Waspada! AI-Powered Ransomware Mengincar Enterprise

AI kini tidak hanya digunakan untuk meningkatkan operasional bisnis namun teknologi ini juga semakin dimanfaatkan oleh pelaku serangan siber untuk menciptakan polymorphic malware dan meretas sistem dengan kecepatan eksponensial.

Sebagai evolusi ancaman siber yang memanfaatkan AI, AI-powered ransomware membantu otomatisasi, pembuatan, atau modifikasi komponen serangan. Meskipun tidak semua ransomware berbasis AI, kemunculan malware seperti PromptLock menunjukkan bahwa AI mulai masuk ke execution flow malware.

ESET pada Agustus 2025 mengungkap PromptLock, yang disebut sebagai kasus pertama AI-powered ransomware yang diketahui. Malware tersebut dapat menggunakan model AI untuk menghasilkan malicious script secara dinamis, meskipun ESET menilai sampel yang ditemukan sebagai proof of concept dan bukan bukti serangan operasional yang telah meluas.

Memahami Evolusi Ransomware: Bagaimana Penjahat Siber Memanfaatkan AI?

Ransomware konvensional umumnya mengikuti pola yang relatif familiar seperti mendapatkan akses awal, meningkatkan hak akses, bergerak secara lateral, mengeksekusi enkripsi, dan melakukan pemerasan. Namun, AI berpotensi membuat setiap tahap tersebut menjadi lebih cepat dan scalable.

Pelaku ancaman dapat memanfaatkan AI untuk:

• Membuat phishing yang lebih meyakinkan dan personal.
• Menghasilkan atau mempercepat pembuatan script
• Membantu technical problem solving selama serangan.
• Mengotomatisasi tugas yang sebelumnya membutuhkan kemampuan teknis lebih tinggi.
• Mendukung modifikasi malware atau komponen serangan.
• Mempercepat reconnaissance dan pengolahan informasi target.

Dari Malware Statis ke Polymorphic Malware

Salah satu konsep yang relevan bagi CISO adalah polymorphic malware, yaitu malware yang dapat mengubah karakteristik kode atau komponennya tanpa mengubah tujuan utama, sehingga menyulitkan sistem keamanan yang bergantung pada signature statis. AI berpotensi memperluas kemampuan ini dengan menghasilkan script atau variasi kode secara lebih dinamis.

Google Threat Intelligence Group menemukan malware eksperimental PROMPTFLUX yang menggunakan API model AI untuk melakukan self-modification, sementara PromptLock menunjukkan konsep ransomware yang dapat menghasilkan malicious Lua scripts secara real-time. Temuan ini bukan berarti seluruh ransomware telah menjadi sepenuhnya autonomous, tetapi menunjukkan arah evolusi ancaman di mana semakin dinamis serangan, makin sulit mengandalkan indikator ancaman yang sudah dikenal. Karena itu, AI-based ransomware membutuhkan deteksi yang lebih berbasis perilaku dan telemetry.

Mengapa Antivirus Tradisional Tidak Lagi Cukup Menahan AI-Powered Ransomware?

Antivirus berbasis signature tetap memiliki peran penting. Namun, pendekatan tersebut memiliki keterbatasan ketika menghadapi serangan seperti berikut:

• Menggunakan variasi malware
• Mengubah script atau
• Beroperasi melalui aktivitas yang terlihat legitimate.
• Bergerak lintas endpoint, identity, network, dan cloud.
• Menggunakan teknik malware-free atau living-off-the-land.

Pentingnya Security Telemetry 

Untuk mendeteksi serangan modern, organisasi membutuhkan telemetry data dari berbagai lapisan keamanan, termasuk endpoint, identity, network, firewall, cloud, application, DNS, email, dan security tools.

Masalahnya bukan hanya kekurangan data. SOC modern sering justru menghadapi terlalu banyak alert dan log yang tersebar di berbagai platform.

Tanpa kemampuan untuk mengumpulkan, menormalisasi, mengorelasikan, dan menganalisis data tersebut, indikasi ransomware dapat terlewat. Serangan ransomware sering kali bukan satu event tunggal.

Sebuah alert login mencurigakan mungkin terlihat tidak berbahaya. Aktivitas endpoint tertentu juga mungkin tidak langsung terlihat kritis. Namun, ketika dikorelasikan dengan privilege escalation, lateral movement, atau aktivitas data yang abnormal, pola serangan dapat menjadi lebih jelas.

Karena itu, ransomware detection modern membutuhkan visibilitas yang lebih luas daripada sekadar scanning file.

Strategi Deteksi dan Respons Berbasis AI Menggunakan Google Security Operations

Untuk menghadapi ancaman yang bergerak lebih cepat butuh perubahan pendekatan security yang reaktif menuju operasi keamanan yang lebih terintegrasi.

Google Security Operations menyediakan kapabilitas terpadu untuk SIEM, SOAR, dan threat intelligence. Platform ini dapat mengumpulkan security telemetry dari lingkungan on-premises dan multi-cloud, kemudian membantu proses detection, investigation, dan response dalam satu workflow.  Google Security Operations atau Google SecOps memiliki kapabilitas SIEM dan SOAR.

1. Analisis Telemetry dalam Skala Enterprise

Google Security Operations dirancang untuk mengumpulkan dan menganalisis security dan network telemetry dalam skala besar.

Platform ini melakukan normalisasi, indexing, correlation, dan analysis untuk memberikan konteks terhadap aktivitas berisiko. Google juga mendukung pencarian sub-second pada telemetry dalam skala petabyte.

Bagi SOC, kemampuan ini membantu menjawab pertanyaan penting seperti:

• Apakah aktivitas ini hanya terjadi pada satu endpoint?
• Apakah indikator yang sama muncul di sistem lain?
• Apakah user yang sama melakukan aktivitas mencurigakan?
• Apakah terdapat tanda lateral movement?
• Apakah indikator ancaman pernah muncul sebelumnya?

2. AI-Assisted Detection dan Investigation 

AI dapat membantu tim SOC dalam mendeteksi ancaman, sekaligus mempercepat proses investigasi.

Google Security Operations menyediakan kapabilitas seperti natural-language search, AI-assisted investigation, case summaries, contextual analysis, dan rekomendasi langkah berikutnya, tergantung kapabilitas serta paket yang digunakan.

Hal ini membantu mengurangi waktu yang biasanya digunakan analyst untuk membuat query, mengumpulkan konteks dari berbagai log, menghubungkan alert yang saling terkait, membuat ringkasan insiden, dan menentukan prioritas investigasi.

3. SecOps Automation untuk Mempercepat Respons 

Ketika ransomware sudah aktif, setiap menit menjadi penting. Google Security Operations SOAR memungkinkan organisasi menggunakan playbook untuk mengotomatisasi dan mengoordinasikan workflow respons keamanan. Platform ini dapat mengintegrasikan berbagai security tools dan menjalankan tindakan respons secara otomatis berdasarkan workflow yang telah ditentukan.

Contohnya, sebuah workflow dapat dirancang untuk:

1. Menerima alert berisiko tinggi.
2. Mengumpulkan konteks endpoint dan identity.
3. Memeriksa threat intelligence.
4. Melakukan enrichment terhadap indikator.
5. Memicu tindakan containment melalui tool
6. Membuka dan mendokumentasikan case untuk analyst.

Pendekatan SecOps automation dapat mengurangi pekerjaan manual dan mempercepat MTTR (Mean Time to Respond). Google SecOps juga menyediakan kemampuan untuk mengukur metrik respons dan efektivitas operasi keamanan, termasuk MTTR.

Langkah-langkah Proteksi Komprehensif untuk Melindungi Aset Data Enterprise

AI-powered ransomware tidak dapat ditangani oleh satu teknologi saja. Organisasi membutuhkan pendekatan defense in depth yang menggabungkan preventive, detective, dan responsive controls.

CISA juga merekomendasikan kombinasi langkah pencegahan dan respons ransomware berdasarkan berbagai initial access vector dan kebutuhan organisasi.

Berikut framework enterprise ransomware protection yang dapat menjadi acuan.

1. Terapkan Zero-Trust Architecture

Dengan prinsip dasar: Never Trust, Always Verify. Dengan begitu setiap user, device, dan akses perlu diverifikasi berdasarkan identitas dan konteks.

Implementasinya dapat mencakup Multi-Factor Authentication, Identity & Access Management, Privileged Access Management, segmentasi akses, continuous verification, dan least privilege.

2. Perkuat Endpoint dengan NGAV, EDR, dan EPM 

Endpoint tetap menjadi salah satu area utama yang perlu dilindungi. Organisasi dapat mengombinasikan:

• Next Generation Antivirus (NGAV) untuk mendeteksi malware menggunakan pendekatan yang lebih modern, termasuk behavioral analysis pada solusi tertentu.
• Endpoint Detection & Response (EDR) untuk monitoring dan investigasi aktivitas endpoint.
• Endpoint Privileged Management (EPM) untuk membatasi dan mengontrol hak administrator.

Tujuannya bukan hanya memblokir file berbahaya, tetapi juga meningkatkan visibilitas ketika terjadi perilaku abnormal pada endpoint.

3. Kontrol Akses Jaringan dengan NAC dan NGFW

Network Access Control (NAC) membantu memastikan perangkat yang mengakses jaringan memenuhi kebijakan keamanan. Sementara Next Generation Firewall (NGFW) membantu melakukan inspeksi dan enforcement terhadap lalu lintas berdasarkan kebijakan keamanan yang lebih granular.

Kombinasi ini membantu membatasi kemungkinan perangkat atau aktivitas berisiko bergerak bebas di dalam lingkungan enterprise.

4. Lindungi Identity dan Privileged Access

Ransomware modern sering memanfaatkan kredensial yang valid. Karena itu, organisasi perlu memperkuat Identity & Access Management, Multi-factor authentication, Privileged Access Management, least privilege, dan monitoring aktivitas privileged account.

Pendekatan ini membantu mengurangi risiko privilege abuse dan account takeover menjadi jalur serangan ransomware.

5. Amankan Aplikasi dan Data

Perlindungan enterprise juga perlu mencakup:

• Web Application Firewall (WAF) untuk melindungi aplikasi web.
• Data Loss Prevention (DLP) untuk mengurangi risiko eksfiltrasi data sensitif.
• Monitoring akses data.
• Kontrol terhadap aktivitas abnormal.

Upaya perlindungan ini menjadi semakin penting karena ransomware modern tidak selalu hanya mengenkripsi data. Banyak kelompok menggunakan strategi double extortion, yaitu menggabungkan pencurian data dan ancaman publikasi.

6. Satukan Visibilitas melalui SIEM dan SecOps 

Seluruh kontrol keamanan akan menghasilkan data yang sebenarnya muncul dari NAC, PAM, NGFW, WAF, NGAV, EDR, EPM, DLP, IAM, dan cloud yang dapat dikorelasikan.

Dengan SIEM solution dan automation yang tepat, organisasi dapat membangun visibilitas keamanan yang lebih menyeluruh.

Tujuannya adalah mendeteksi attack chain sebelum mencapai tahap:

Encryption → Business Disruption → Extortion

Perkuat Pertahanan Siber Enterprise Anda Bersama Pakar Keamanan Smartnet Magna Global

Tak dipungkiri bahwa AI kini telah mengubah cara kerja bisnis. Namun di sisi lain, AI juga mengubah cara penyerang membangun dan menjalankan serangan. Kemunculan PromptLock sebagai proof of concept, eksperimen malware yang melakukan self-modification melalui AI, serta meningkatnya penggunaan AI untuk social engineering dan attack automation menunjukkan bahwa ancaman ini tidak boleh hanya dipandang sebagai prediksi masa depan.

Google Security Operations menghadirkan pendekatan terpadu untuk SIEM, SOAR, dan threat intelligence yang dapat membantu proses deteksi, investigasi, dan respons ancaman dalam satu workflow, Smartnet Magna Global (SMG) sebagai Premier Partner Google Security Operations menghadirkan pendekatan end-to-end security services untuk membantu enterprise membangun strategi menghadapi ancaman modern dengan memperkuat security posture.

Baca Juga: Security Command Center: Solusi Canggih di Tengah Ancaman Siber yang Kian Kompleks

Sebagai bagian dari CTI Group, SMG didukung tim profesional mulai dari tahap assessment, desain, dan implementasi solusi, monitoring, hingga optimasi keamanan. Jangan biarkan ransomware berkembang dari satu alert kecil menjadi business disruption. Konsultasikan security assessment bisnis Anda bersama pakar keamanan SMG sekarang.

Penulis: Ervina Anggraini – Content Writer CTI Group