Ransomware terus berubah. Threat actors dapat mengganti binary, memodifikasi code, menggunakan legitimate tools, bahkan menjalankan encryption dari perangkat lain di dalam network.

Masalahnya sederhana: bagaimana jika ransomware yang menyerang organisasi hari ini belum pernah terlihat sebelumnya?

Traditional detection yang bergantung pada signature atau karakteristik malware tertentu dapat menghadapi keterbatasan ketika berhadapan dengan varian baru. Bahkan ketika endpoint protection berhasil mendeteksi sebagian besar aktivitas attacker, masih ada satu tahap yang menjadi titik kritis: encryption.

Begitu file bisnis berhasil dienkripsi, masalahnya bukan lagi sekadar mendeteksi malware. Organisasi harus memikirkan data recovery, operational disruption, downtime, dan potensi kehilangan akses terhadap data penting.

Di sinilah pendekatan Sophos CryptoGuard menjadi menarik.

Alih-alih bertanya, apakah ini ransomware?, CryptoGuard melihat pertanyaan yang berbeda:

Apakah data sedang dienkripsi dengan pola yang menunjukkan adanya aktivitas berbahaya?

Ransomware Tidak Harus Dikenali untuk Bisa Dihentikan

Sebuah ransomware attack biasanya terdiri dari beberapa tahap:

initial access → execution → persistence → privilege escalation → lateral movement → data encryption.

Endpoint protection, EDR, network security, dan berbagai security controls lainnya bekerja untuk menghentikan attacker sedini mungkin.

Idealnya, ransomware tidak pernah mencapai tahap encryption.

Namun security architecture yang baik juga perlu memiliki lapisan perlindungan untuk skenario ketika attacker berhasil melewati beberapa defense layer.

Menurut Sophos, encryption merupakan salah satu tahap paling kritis karena kerusakan yang ditimbulkannya sulit dibalikkan. Initial infection atau persistence masih dapat ditangani melalui incident response. Tetapi ketika sejumlah besar file sudah terenkripsi, dampaknya terhadap operasional bisnis menjadi jauh lebih serius.

Karena itu, anti-ransomware protection perlu menjawab satu pertanyaan penting:

Bagaimana menghentikan ransomware ketika kita belum mengetahui ransomware seperti apa yang sedang menyerang?

Kelemahan Pendekatan yang Terlalu Fokus pada Ransomware

Secara umum, solusi cybersecurity dapat menggunakan berbagai indikator untuk mengidentifikasi ransomware.

Misalnya:

• Malware signature
• Suspicious process behavior
• File renaming atau extension changes
• High-frequency file operations
• Suspicious API calls
• Known indicators of compromise
• Machine learning atau behavioral analysis

Pendekatan tersebut tetap penting. Bahkan, dalam defense-in-depth architecture, kemampuan untuk mengenali attacker dan menghentikan malicious activity sedini mungkin merupakan bagian fundamental dari security stack.

Tetapi ada sebuah masalah.

Attacker juga mengetahui apa yang kita cari.

Threat actors dapat memodifikasi code, menggunakan obfuscation, menggunakan legitimate tools, atau memanfaatkan trusted processes agar aktivitas mereka terlihat normal.

Masalah menjadi lebih kompleks dalam remote ransomware attack.

Dalam skenario ini, ransomware dapat berjalan di sebuah endpoint yang tidak terlindungi atau kurang terlindungi, kemudian menggunakan network access untuk mengenkripsi file pada perangkat lain.

Artinya, pada endpoint yang menyimpan data korban, ransomware binary tersebut mungkin tidak pernah berjalan.

Tidak ada malicious process yang bisa diamati.

Tidak ada ransomware executable yang bisa dianalisis.

Yang terlihat hanyalah file yang tiba-tiba dibaca, dimodifikasi, dan ditulis kembali dalam bentuk terenkripsi.

Sophos melaporkan peningkatan intentional remote encryption attacks dan menjelaskan bahwa kelompok ransomware seperti Akira, ALPHV/BlackCat, LockBit, Royal, dan lainnya telah menggunakan teknik remote encryption.

Dan justru di sinilah pendekatan CryptoGuard menjadi berbeda.

CryptoGuard Tidak Mencari Ransomware. CryptoGuard Mencari Dampaknya.

CryptoGuard menggunakan pendekatan yang disebut Sophos sebagai asymmetric defense.

Alih-alih mencoba mengidentifikasi attacker, ransomware binary, atau malicious behavior tertentu, CryptoGuard fokus pada data yang sedang dimanipulasi.

Secara teknis, CryptoGuard bekerja pada file system layer Windows melalui minifilter driver yang berjalan di kernel.

Ketika sebuah process membuka file untuk melakukan read dan write, CryptoGuard menganalisis data tersebut secara real time. Sistem membuat histogram dari data yang dibaca dan ditulis, kemudian menggunakan analisis matematis untuk mengevaluasi karakteristik data dan menentukan apakah data tersebut menunjukkan pola unencrypted, compressed, atau encrypted.

Pendekatan ini menghasilkan perbedaan fundamental.

Traditional anti-malware bertanya:

Process apa yang melakukan aktivitas ini?

CryptoGuard lebih fokus pada:

Apa yang sedang terjadi pada data?

Jika sebuah process yang belum pernah dikenal sebelumnya mulai melakukan mass encryption terhadap dokumen, CryptoGuard tidak harus mengetahui nama ransomware, hash file, atau signature malware tersebut terlebih dahulu.

Perubahan pada data itu sendiri menjadi indikator utama.

Bagaimana CryptoGuard Menghadapi Never-Before-Seen Ransomware?

Bayangkan sebuah perusahaan terkena ransomware variant baru.

Ransomware tersebut:

1. Belum masuk database signature.
2. Menggunakan binary yang belum pernah terlihat.
3. Menggunakan legitimate process untuk melakukan encryption.
4. Tidak memiliki indikator yang cukup untuk langsung diklasifikasikan sebagai ransomware.
5. Mulai mengenkripsi dokumen perusahaan.

Dengan pendekatan signature-based detection, ransomware tersebut berpotensi menjadi tantangan karena sistem belum memiliki informasi spesifik mengenai malware tersebut.

CryptoGuard mengambil pendekatan berbeda.

Ia tidak perlu menjawab:

Apakah binary ini adalah LockBit?

Ia perlu menjawab:

Apakah process ini sedang melakukan pola encryption yang tidak sesuai dengan aktivitas normal terhadap file?

Ketika karakteristik data yang dibaca dan ditulis menunjukkan pola malicious encryption, CryptoGuard dapat mengambil tindakan untuk menghentikan aktivitas tersebut dan melakukan recovery terhadap perubahan file yang terdampak.

Inilah alasan mengapa pendekatan tersebut relevan untuk menghadapi previously unseen ransomware.

Bukan karena CryptoGuard mengetahui ransomware baru tersebut.

Justru karena CryptoGuard tidak harus mengenal ransomware tersebut terlebih dahulu.

Dari File Encryption ke File Recovery

Stopping encryption adalah satu hal.

Mengembalikan data yang sudah berubah adalah hal lain.

CryptoGuard menggunakan temporary backups dan mekanisme proprietary journaling untuk memungkinkan file dikembalikan ketika aktivitas mass encryption terdeteksi. Sophos menjelaskan bahwa mekanisme ini berbeda dari pendekatan yang bergantung pada Windows Volume Shadow Copy, yang dapat menjadi target attacker.

Dalam remote ransomware scenario, CryptoGuard juga dapat mengidentifikasi perangkat remote yang melakukan malicious encryption terhadap shared files dan melakukan blocking terhadap IP address perangkat tersebut.

Secara sederhana, alurnya dapat digambarkan seperti ini:

Ransomware mulai mengenkripsi file

↓

CryptoGuard menganalisis perubahan data secara real time

↓

Pola encryption teridentifikasi sebagai malicious

↓

Aktivitas encryption dihentikan

↓

Perubahan file di-rollback

↓

Remote source dapat diblokir jika serangan berasal dari perangkat lain

Yang menarik adalah proses ini tidak bergantung pada apakah ransomware tersebut sudah dikenal atau belum.

Mengapa Pendekatan Ini Penting untuk Zero-Day Ransomware?

Di sini kita perlu berhati-hati dengan istilah zero-day.

CryptoGuard bukan solusi untuk zero-day vulnerability dalam arti mendeteksi atau menutup vulnerability yang belum diketahui vendor.

Namun, dari perspektif ransomware defense, CryptoGuard dapat memberikan zero-day-like protection terhadap previously unknown ransomware.

Mengapa?

Karena attacker harus tetap melakukan satu hal untuk mencapai tujuan akhirnya:

mengubah data korban menjadi bentuk terenkripsi yang tidak dapat digunakan.

Code ransomware dapat berubah.

Nama file dapat berubah.

Hash dapat berubah.

Process yang digunakan dapat berubah.

Bahkan teknik deployment dapat berubah.

Tetapi kebutuhan untuk melakukan encryption terhadap target data tetap ada.

CryptoGuard memanfaatkan fakta tersebut.

Dengan kata lain, security control-nya tidak bergantung pada siapa attacker-nya, tetapi pada apa yang terjadi terhadap data.

Itulah inti dari asymmetric approach.

Studi Kasus: Remote Ransomware

Salah satu skenario yang memperlihatkan nilai pendekatan ini adalah remote ransomware.

Misalnya sebuah attacker berhasil menguasai satu endpoint yang tidak terlindungi dengan baik.

Endpoint tersebut memiliki akses ke network share perusahaan.

Attacker kemudian menjalankan ransomware dari endpoint tersebut dan mulai mengenkripsi dokumen yang tersimpan di file server.

Dari perspektif file server:

• ransomware binary mungkin tidak berjalan di server;
• malicious process mungkin tidak terlihat di server;
• endpoint protection di server tidak memiliki ransomware executable untuk dianalisis;
• tetapi file di server mulai berubah menjadi encrypted data.

Jika security control hanya berfokus pada process yang berjalan di server, aktivitas tersebut dapat menjadi sulit untuk dideteksi.

CryptoGuard mengambil perspektif berbeda.

Ia mengamati perubahan pada file.

Ketika data pada shared location mengalami pola malicious encryption, CryptoGuard dapat mengenali aktivitas tersebut, melakukan blocking terhadap remote source, dan melakukan rollback terhadap perubahan yang terjadi.

Ini adalah contoh nyata mengapa protecting the data itself dapat menjadi defense layer yang penting.

Bagaimana dengan Legitimate Encryption?

Pertanyaan berikutnya justru cukup penting:

Bukankah banyak aplikasi legitimate juga melakukan encryption?

Benar.

Database, backup software, compression tools, document management systems, dan berbagai aplikasi bisnis dapat melakukan operasi terhadap data yang secara teknis terlihat seperti encryption atau transformation.

Karena itu, CryptoGuard tidak sekadar mencari kata kunci atau extension file tertentu.

Analisis dilakukan terhadap karakteristik data yang sedang dibaca dan ditulis, serta konteks operasinya. Sophos menjelaskan bahwa pendekatan tersebut memungkinkan CryptoGuard membedakan legitimate encryption activity dari pola mass encryption yang mengindikasikan ransomware.

Hal ini penting karena objective-nya bukan menghentikan setiap encryption.

Objective-nya adalah menghentikan malicious encryption.

CryptoGuard Bukan Pengganti Defense-in-Depth

Ada satu kesalahpahaman yang perlu dihindari.

CryptoGuard bukan berarti organisasi cukup memasang satu security technology lalu tidak perlu memikirkan security layer lainnya.

Justru sebaliknya.

Sophos menempatkan CryptoGuard sebagai last layer of defense ketika attacker berhasil melewati protection sebelumnya dan sudah mencapai tahap encryption.

Defense yang baik tetap membutuhkan beberapa lapisan:

Prevent

Endpoint protection, email security, firewall, vulnerability management, identity security, dan security awareness.

Detect

EDR, XDR, threat intelligence, behavioral detection, dan monitoring.

Respond

Incident response, isolation, investigation, dan remediation.

Protect the Data

Anti-ransomware protection seperti CryptoGuard yang dapat menghentikan malicious encryption dan membantu melakukan rollback.

Jadi, CryptoGuard bukan menggantikan EDR.

Bukan juga menggantikan backup.

Dan bukan alasan untuk mengabaikan prevention.

Perannya berbeda: menjadi pengaman ketika attacker sudah berada sangat dekat dengan aset yang paling penting, yaitu data.

Key Takeaways

Ada beberapa hal yang perlu diperhatikan dari pendekatan CryptoGuard.

1. Unknown ransomware tidak selalu berarti unknown behavior

Binary ransomware dapat berubah, tetapi tujuan akhirnya tetap melakukan encryption terhadap data.

2. Detection tidak harus dimulai dari malware

CryptoGuard menggunakan data encryption sebagai titik observasi, bukan identitas ransomware sebagai titik awal.

3. Remote ransomware membutuhkan perspektif yang berbeda

Ketika malicious process berjalan di perangkat lain, melindungi perangkat yang menyimpan data dengan hanya mengamati process lokal memiliki keterbatasan.

4. Protection harus terjadi sebelum data tidak dapat digunakan

Semakin cepat malicious encryption dihentikan, semakin kecil potensi operational impact.

5. Anti-ransomware protection adalah bagian dari defense-in-depth

CryptoGuard bekerja sebagai additional layer ketika threat actor berhasil melewati security controls lainnya.

Kesimpulan: Ransomware Bisa Berubah. Data Tetap Menjadi Target.

Ransomware defense sering kali berfokus pada bagaimana mengenali malware.

Masuk akal. Tetapi pendekatan tersebut memiliki keterbatasan ketika attacker menggunakan ransomware yang belum pernah terlihat, legitimate tools, trusted processes, atau remote encryption.

CryptoGuard mengambil pendekatan yang berbeda.

Ia tidak perlu mengetahui apakah ransomware tersebut adalah LockBit, Akira, atau sebuah variant baru yang belum pernah terlihat sebelumnya.

Fokusnya adalah aktivitas yang pada akhirnya paling dibutuhkan ransomware untuk mencapai objective-nya:

mengubah data menjadi encrypted data.

Dengan menganalisis data secara real time pada file system layer, CryptoGuard dapat mendeteksi malicious encryption, menghentikan aktivitas tersebut, dan membantu mengembalikan file yang terdampak.

Inilah yang membuat pendekatan CryptoGuard relevan sebagai additional defense layer terhadap previously unseen ransomware.

Karena ketika ransomware belum dikenal, mungkin kita belum tahu siapa yang menyerang.

Tetapi kita tetap bisa melihat apa yang sedang terjadi pada data.

FAQ: Sophos CryptoGuard

1. Apa itu Sophos CryptoGuard?

CryptoGuard adalah anti-ransomware technology dalam Sophos Endpoint yang dirancang untuk mendeteksi dan menghentikan malicious file encryption. Teknologi ini menganalisis karakteristik data yang sedang dibaca dan ditulis, bukan hanya mencari ransomware berdasarkan signature atau identitas malware.

• Apakah CryptoGuard dapat mendeteksi ransomware yang belum pernah dikenal sebelumnya?

Ya, pendekatannya dirancang agar tidak bergantung pada prior knowledge seperti ransomware signature. Karena CryptoGuard menganalisis pola encryption pada data, pendekatan ini dapat digunakan untuk menghadapi previously unseen ransomware variants.

• Apakah CryptoGuard sama dengan EDR?

Tidak. EDR berfokus pada detection, investigation, dan response terhadap aktivitas endpoint. CryptoGuard memiliki fungsi yang lebih spesifik sebagai anti-ransomware layer untuk mendeteksi dan menghentikan malicious encryption.

• Apakah CryptoGuard dapat melindungi dari remote ransomware?

Ya. Karena fokusnya pada perubahan terhadap file, CryptoGuard dapat mendeteksi malicious encryption terhadap data yang berada pada perangkat yang dilindungi meskipun ransomware berjalan pada remote machine. CryptoGuard juga dapat memblokir IP address dari remote device yang melakukan encryption.

• Apakah CryptoGuard menggantikan backup?

Tidak. Backup tetap merupakan komponen penting dalam ransomware resilience. CryptoGuard dan backup memiliki fungsi berbeda: CryptoGuard berfokus pada menghentikan malicious encryption dan melakukan rollback terhadap perubahan yang terdeteksi, sedangkan backup menyediakan recovery mechanism untuk skenario kehilangan atau kerusakan data yang lebih luas.

• Apakah CryptoGuard merupakan solusi untuk zero-day vulnerability?

Tidak dalam pengertian vulnerability zero-day. CryptoGuard lebih tepat dipahami sebagai protection layer yang dapat menghadapi previously unseen atau new ransomware karena deteksinya tidak bergantung pada ransomware signature atau prior knowledge.

Protect What Ransomware Is Actually After

Ransomware dapat mengganti binary, teknik deployment, dan metode evasion.

Tetapi target akhirnya tetap sama: data.

Jika organisasi ingin membangun ransomware defense yang tidak hanya bergantung pada kemampuan mengenali malware, maka data protection harus menjadi bagian dari security architecture.

Untuk membahas bagaimana pendekatan ini dapat diterapkan dalam environment organisasi Anda, hubungi Dymar Jaya Indonesia dan diskusikan kebutuhan Sophos Endpoint, EDR, XDR, atau ransomware protection yang sesuai dengan environment Anda.

Untuk laporan lebih lanjut terkait Sophos ai security dapat didownload di : https://assets.sophos.com/X24WTUEQ/at/2gxzgxgw5xxgtsch4cmtqwkr/sophos-ai-security-report-2026.pdf