Cyberthreat.id – Pada Agustus 2019, Mailto muncul pertama kali di ID Ransomware, situs web yang dikelola oleh MalwareHunterTeam yang menampilkan nama-nama ransomware.

Ketika infeksi ransomware baru ditemukan, penemu atau peneliti biasanya akan mencari beberapa indikasi mengenai nama yang diberikan oleh pengembang perangkat lunak jahat tersebut.

Ketika tidak ada petunjuk apa pun tentang nama, dalam banyak kasus ransomware, peneliti akhirnya menamainya berdasarkan ekstensi yang ditambahkan pada file enkripsi. Hal itu pula yang dilakukan pada Mailto. Saat pertama kali ditemukan, ekstensi pada file yang dienkripsi tertulis Mailto. Sejak itulah, ransomware itu dijuluki Mailto.

Namun, beberapa waktu setelah itu, Coveware—perusahaan cybersecurity yang fokus pada ransomware asal Connecticut, AS—mendapatkan decryptor (alat dekripsi): NetWalker Decrypter untuk membuka kunci Mailto. Peneliti akhirnya menemukan petunjuk untuk nama baru, kemungkinan besar merujuk ke pengembang ransomware, yaitu “Netwalker”.

Sejak kemunculannya, Mailto belum dikenali secara jelas dalam serangan hingga akhirnya Australian Toll Group, perusahaan transportasi dan logistik, mengklaim telah diserang grup peretas Mailto pada Februari 2020. Insiden keamanan ini indikasi publik pertama, bahwa ransomware Mailto atau Netwalker mulai mengejar jaringan perusahaan.

Ransomware adalah perangkat lunak jahat yang mengunci komputer/jaringan. Aktor di balik serangan ransomware biasanya meminta uang tebusan berupa mata uang kripto (cryptocurrency) jika korban ingin mendapatkan kunci pembukanya (decryptor).

Setelah kejadian di Australian Toll Group, peneliti keamanan siber di Quick Heal menyelidiki kembali Mailto. Menurut peneliti, ransomware tersebut menargetkan para pengguna Windows baik rumahan maupun bisnis.

Mailto dapat menyuntikkan kode berbahaya langsung ke Windows Explorer. Memakai teknik yang disebut sebagai "proccess hollowing” guna menginjeksi kode berbahaya itu, pelaku berharap bisa menghindari deteksi alat antivirus. Setelah ransomware menjalankan rutinitas enkripsi, explorer.exe mematikan proses induk dan menghapus sampel asli.

Bleeping Computer juga menganalisis sampel Mailto yang dibagikan oleh MalwareHunterTeam. Hasilnya, eksekusi Netwalker berusaha menyamar sebagai perangkat lunak manajemen kata sandi bernama “Sticky Password”.

Saat dijalankan, ransomware menggunakan konfigurasi tertanam yang mencakup template catatan tebusan, nama file tebusan, panjang id/ekstension, file yang dimasukkan dalam daftar putih, folder, dan ekstensi berbagai pilihan konfigurasi lainnya.

Menurut Kepala SentinelLabs Vitali Kremez yang juga menganalisis ransomware, konfigurasi Mailto cukup canggih dan terperinci ketimbang dengan infeksi ransomware lain.

"Ransomware dan kelompoknya memiliki salah satu konfigurasi yang lebih terperinci dan lebih canggih," kata Kremez kepada Bleeping Computer.

Saat mengenkripsi file, Mailto akan menambahkan ekstensi menggunakan format .mailto [{mail1}]. {Id}.

Misalnya, file bernama 1.doc akan dienkripsi dan diganti namanya menjadi 1.doc.mailto [cyberthreat@cock.li] .77d8b.

Artinya, file terenkripsi diganti namanya dengan alamt email yang disukai penyerang untuk komunikasi. Selanjutnya, ekstensi file yang unik untuk setiap pengguna yang dikompromikan.

Ransomware juga akan membuat catatan tebusan yang dinamai menggunakan format nama file {ID} -Readme.txt.

Sebagai contoh, dalam pengujian peneliti menjalankan catatan tebusan bernama 77D8B-Readme.txt. Catatan tebusan yang telah dibuat akan terbuka secara otomatis menggunakan notepad setelah enkripsi selesai.

Catatan tebusan itu akan berisi informasi tentang apa yang terjadi pada komputer dan dua alamat email yang dapat digunakan untuk pembayaran dan instruksi. Di sini tidak diketahui berapa permintaan tebusan dari penyerang.

Secara umum, hanya penyeranglah yang dapat mendekripsi data yang telah dienkripsi oleh perangkat lunak mereka. Mailto dan program serupa menggunakan algoritma enkripsi yang sangat kuat yang secara praktis tidak mungkin untuk dibuka tanpa kunci enkripsi.

Meskipun vektor infeksi untuk jenis NetWalker ini belum ditemukan, diperkirakan rute yang paling mungkin adalah email spam dan phishing. Jadi saran untuk menghindari mailto adalah berkaitan dengan kehati-hatian saat membuka lampiran dan/atau mengikuti tautan dalam email yang tidak diminta.

Jika didistribusikan melalui email, Mailto menginfeksi sistem pengguna melalui aktivasi payload  (muatan) yang terinfeksi yang menyamar sebagai file yang sah. Ketika dilakukan dengan beberapa perencanaan, pengguna dapat dituntun untuk percaya bahwa file itu sah dan yakin untuk mengkliknya.

Setelah infeksi awal, Mailto tidak memerlukan interaksi pengguna karena melintasi file dan folder yang terhubung jaringan yang dapat diakses, mengenkripsi file dengan ekstensi file yang dipilih seperti .docx, .xlsx dan .jpg.

Untuk menghindarinya, solusi keamanan menggunakan metodologi deteksi perilaku, seperti Windows Defender, akan berguna dalam melindungi sistem terhadap serangan tersebut. Mencadangkan file secara teratur, menggunakan kombinasi metode yang mencakup setidaknya satu di luar kantor, juga langkah-langkah lain yang harus dilakukan demi terhindar dari Mailto, tulis Computer One.[]

Redaktur: Andi Nugroho