Serangan ransomware telah berevolusi menjadi salah satu ancaman siber paling merusak bagi organisasi modern. Tidak lagi sekadar menyerang individu, ransomware kini menargetkan perusahaan, institusi keuangan, rumah sakit, hingga infrastruktur pemerintahan. Dampaknya tidak hanya berupa kehilangan data, tetapi juga gangguan operasional, kerugian finansial besar, dan kerusakan reputasi jangka panjang. Masalah terbesar dari ransomware modern adalah kecepatannya. Banyak organisasi baru menyadari adanya serangan setelah proses enkripsi berjalan atau bahkan selesai, ketika file sudah tidak bisa diakses dan pesan tebusan muncul di layar. Pada titik ini, pilihan menjadi sangat terbatas: membayar tebusan, kehilangan data, atau menghentikan operasional. Di sinilah pendekatan mendeteksi ransomware sebelum terlambat dengan analisis perilaku menjadi sangat krusial.
Berdasarkan temuan dalam jurnal Moreira et al. (2022), banyak solusi keamanan modern masih gagal mendeteksi ransomware secara efektif karena terlalu bergantung pada pendekatan lama berbasis signature.
Pendekatan tradisional berbasis signature terbukti tidak lagi memadai untuk menghadapi ransomware modern. Tanpa kemampuan memahami perilaku aktual malware di sistem, organisasi akan selalu berada selangkah di belakang penyerang.
Baca juga: Ransomware dan Krisis Kebocoran Data di Sektor Kesehatan
Berdasarkan jurnal “Understanding Ransomware Actions Through Behavioral Feature Analysis” oleh Moreira et al. (2022), analisis perilaku merupakan pendekatan deteksi malware yang berfokus pada tindakan nyata sebuah program saat dijalankan, bukan pada ciri statis seperti hash atau signature. Pendekatan ini juga sejalan dengan penelitian lain seperti “EldeRan: A Machine Learning-Based Approach for Ransomware Detection” oleh Sgandurra et al. (2016), yang menekankan bahwa perilaku sistem memberikan indikator lebih stabil dibandingkan struktur kode yang mudah dimanipulasi. Analisis perilaku umumnya dilakukan melalui dynamic analysis, di mana sebuah program dijalankan di lingkungan terisolasi seperti sandbox. Selama eksekusi, seluruh interaksi program dengan sistem operasi, mulai dari pemanggilan API, operasi memori, hingga akses file dan jaringan—dicatat dan dianalisis.
Pendekatan ini membuat teknik pengelabuan seperti obfuscation dan polymorphism menjadi jauh kurang efektif, karena meskipun kode berubah, tujuan dan pola tindakannya tetap terlihat. Inilah alasan mengapa analisis perilaku dianggap lebih relevan untuk menghadapi ransomware modern. Dalam konteks ransomware, fokus utama analisis perilaku berada pada fase destruksi, yaitu fase paling kritis sebelum enkripsi terjadi. Pada tahap ini, ransomware mulai menunjukkan pola aktivitas yang secara statistik berbeda dari aplikasi normal (goodware), sehingga membuka peluang untuk deteksi dini sebelum kerusakan meluas. Pada fase destruksi tersebut, analisis perilaku mengamati aktivitas seperti:
Penelitian Moreira et al. (2022) menganalisis 582 sampel ransomware dan 942 aplikasi normal (goodware) menggunakan lebih dari 30.000 fitur perilaku, menjadikannya salah satu studi paling komprehensif dalam memahami perbedaan perilaku ransomware dan aplikasi normal. Temuan ini memperkuat kesimpulan bahwa memahami apa yang dilakukan program, bukan sekadar apa nama atau bentuknya, adalah kunci utama dalam mendeteksi ransomware sebelum terlambat.
Mengacu pada jurnal Moreira et al. (2022), ransomware tidak bekerja secara instan, melainkan melalui rangkaian fase yang sistematis. Memahami tahapan ini penting karena tidak semua fase memberikan peluang deteksi yang sama efektifnya, terutama jika organisasi masih mengandalkan mekanisme keamanan konvensional. Secara umum, serangan ransomware dapat dibagi ke dalam empat fase utama berikut:
Dalam praktiknya, banyak solusi keamanan hanya relatif efektif pada fase infeksi (misalnya melalui email filtering) dan fase ekstorsi (misalnya mendeteksi ransom note). Namun, kedua fase ini memiliki keterbatasan besar yaitu fase infeksi mudah dilewati oleh teknik social engineering, sementara fase ekstorsi terjadi setelah kerusakan sudah terjadi. Justru fase destruksi menjadi titik paling strategis untuk deteksi dini, karena pada tahap inilah ransomware mulai menunjukkan pola perilaku yang secara statistik sangat berbeda dari aplikasi normal bahkan sebelum satu pun file terenkripsi. Temuan penelitian Moreira et al. (2022) menunjukkan bahwa analisis perilaku pada fase ini membuka peluang paling realistis untuk menghentikan serangan sebelum dampak besar terhadap data dan operasional bisnis terjadi.
Berdasarkan jurnal “Understanding Ransomware Actions Through Behavioral Feature Analysis” oleh Moreira et al. (2022), salah satu temuan paling signifikan dalam deteksi ransomware adalah peran Windows API call sebagai indikator perilaku paling kuat. Dibandingkan kelompok fitur lain, API call terbukti memberikan sinyal paling jelas mengenai niat dan aktivitas berbahaya suatu program di dalam sistem operasi.
API call pada dasarnya merepresentasikan cara sebuah program “berbicara” dengan sistem operasi. Setiap tindakan penting, mulai dari mengelola proses hingga mengakses jaringan harus melalui API. Karena itu, meskipun kode ransomware dapat disamarkan atau diubah bentuknya, pola API call yang digunakan tetap relatif konsisten, terutama pada fase destruksi. Dalam konteks ransomware, API call sering digunakan untuk melakukan aktivitas kritis seperti:
Temuan penelitian Moreira et al. (2022) menunjukkan bahwa hanya dengan menganalisis kelompok fitur API call, sistem deteksi sudah mampu mencapai akurasi hingga 96%. Ketika API call dikombinasikan dengan fitur perilaku lain dan diproses menggunakan algoritma Random Forest, akurasi meningkat hingga 98,48%. Angka ini menegaskan bahwa API call bukan sekadar salah satu sinyal, melainkan fondasi utama dalam mendeteksi ransomware secara efektif sebelum enkripsi benar-benar terjadi.
Menurut penelitian Moreira et al. (2022), ransomware modern tidak bekerja secara acak atau spontan. Sebelum melakukan enkripsi, malware ini menyiapkan serangan melalui serangkaian pola perilaku teknis yang relatif konsisten. Mengenali pola-pola ini memberi peluang besar untuk menghentikan serangan lebih awal, sebelum data dan operasional bisnis terdampak.
Ransomware sangat dominan dalam aktivitas manajemen proses dan thread, seperti menghentikan proses tertentu, mengubah konteks thread, hingga melanjutkan kembali thread yang sebelumnya dihentikan. Pemanggilan API seperti NtTerminateProcess, NtGetContextThread, dan NtSetContextThread muncul jauh lebih sering pada ransomware dibandingkan aplikasi normal, menandakan upaya aktif untuk mengendalikan alur eksekusi sistem. Perilaku ini memungkinkan ransomware bekerja “di balik layar” tanpa memicu kecurigaan sebagai proses baru yang mencolok.
Berbeda dengan aplikasi normal yang mayoritas beroperasi di virtual memory, ransomware justru lebih sering melakukan operasi langsung pada physical memory. API seperti WriteProcessMemory dan ReadProcessMemory menjadi indikator kuat adanya aktivitas berbahaya karena menunjukkan upaya penyuntikan kode atau modifikasi proses lain yang sedang berjalan. Teknik ini umum digunakan untuk meningkatkan persistensi dan menghindari deteksi oleh mekanisme keamanan tradisional.
Hampir semua ransomware membutuhkan komunikasi eksternal, baik untuk mengirim informasi sistem korban, mengambil kunci enkripsi, maupun menerima perintah lanjutan dari server Command & Control (C2). Munculnya API seperti WSAStartup bahkan sebelum enkripsi dimulai mengindikasikan bahwa ransomware telah menyiapkan jalur komunikasi sejak tahap awal, sering kali dilakukan secara tersembunyi agar tidak mudah terdeteksi oleh monitoring jaringan standar.
Ransomware tidak mengenkripsi semua file secara acak. Aktivitas API seperti GetFileType menunjukkan bahwa malware terlebih dahulu mengidentifikasi jenis file yang ada di sistem, lalu memilih file yang paling bernilai bagi korban. Pendekatan selektif ini bertujuan memaksimalkan tekanan psikologis dan peluang pembayaran tebusan, sambil menghindari file sistem yang dapat merusak stabilitas perangkat dan menghambat proses pemerasan.
Pola-pola perilaku ini menunjukkan bahwa ransomware selalu “memberi sinyal” sebelum melakukan enkripsi. Dengan memantau aktivitas proses, memori, jaringan, dan seleksi file secara lebih cermat, organisasi dapat mendeteksi ancaman pada tahap paling kritis saat serangan masih bisa dihentikan sebelum berubah menjadi krisis.
Berdasarkan jurnal Moreira et al. (2022), salah satu kontribusi paling penting dari penelitian ini adalah pemisahan yang jelas antara fitur perilaku yang dominan pada ransomware dan fitur yang umum ditemukan pada aplikasi normal (goodware). Temuan ini menunjukkan bahwa perbedaan antara program berbahaya dan program sah tidak hanya terletak pada apa yang dikerjakan, tetapi pada bagaimana dan untuk tujuan apa aktivitas tersebut dilakukan di tingkat sistem operasi. Ciri perilaku ransomware cenderung agresif dan berorientasi pada penguasaan sistem sebelum enkripsi dimulai, antara lain:
Sebaliknya, ciri perilaku aplikasi normal (goodware) menunjukkan pola yang lebih terstruktur dan fungsional:
Perbedaan perilaku inilah yang memungkinkan sistem keamanan modern membedakan niat sebuah program, bukan sekadar fungsi teknis yang dijalankannya. Dengan memahami pola ini, pendekatan berbasis analisis perilaku menjadi jauh lebih efektif dalam mendeteksi ransomware secara dini, bahkan sebelum satu pun file terenkripsi.
Mengacu pada jurnal “Understanding Ransomware Actions Through Behavioral Feature Analysis” oleh Moreira et al. (2022), salah satu temuan paling mengejutkan dalam penelitian ini adalah bahwa asumsi umum tentang penggunaan API kriptografi oleh ransomware ternyata tidak sepenuhnya benar. Banyak pendekatan deteksi selama ini beranggapan bahwa aktivitas enkripsi selalu meninggalkan jejak yang jelas melalui API kriptografi bawaan sistem operasi. Hasil analisis terhadap ratusan sampel ransomware menunjukkan fakta berikut:
Temuan ini memiliki implikasi besar bagi strategi deteksi. Jika sistem keamanan hanya berfokus pada pemantauan pemanggilan API kriptografi, maka sebagian besar ransomware modern akan lolos tanpa terdeteksi. Dengan kata lain, mendeteksi ransomware hanya berdasarkan aktivitas enkripsi adalah strategi yang keliru dan berisiko, karena deteksi justru terjadi ketika proses destruksi sudah atau hampir selesai. Pendekatan yang lebih efektif adalah mengamati perilaku sistem secara menyeluruh, mulai dari manipulasi proses, operasi memori, hingga komunikasi jaringan—jauh sebelum enkripsi benar-benar dijalankan.
Temuan penelitian Moreira et al. (2022) tentang perilaku ransomware, memberikan arah yang jelas bahwa sistem keamanan modern tidak lagi cukup mengandalkan pendekatan lama. Untuk mampu menghadapi ransomware yang semakin adaptif, strategi deteksi perlu bergeser ke arah yang lebih kontekstual dan proaktif.
Pendekatan strategis ini memungkinkan sistem keamanan untuk bertindak preventif, bukan reaktif. Dengan mendeteksi niat dan pola serangan sejak dini, organisasi memiliki peluang lebih besar untuk menghentikan ransomware sebelum berubah menjadi krisis operasional dan reputasi.
Baca juga: Memprediksi Insiden Ransomware dengan Time-Series Modeling
Mendeteksi ransomware sebelum terlambat bukan lagi pilihan, melainkan kebutuhan. Ketika enkripsi sudah berjalan, organisasi berada dalam posisi terlemah. Analisis perilaku menawarkan jalan keluar dengan membaca niat di balik aksi, bukan hanya hasil akhirnya. Penelitian ilmiah membuktikan bahwa ransomware meninggalkan jejak perilaku yang jelas, mulai dari manipulasi proses, operasi memori, hingga komunikasi jaringan—jauh sebelum file terkunci. Dengan mengadopsi analisis perilaku sebagai fondasi strategi keamanan, organisasi dapat meningkatkan ketahanan siber, meminimalkan dampak serangan, dan melindungi aset paling berharga: data dan kepercayaan.