WantToCry Ransomware: Kembalinya Ancaman SMB, Enkripsi Jarak Jauh Tanpa Malware di Endpoint

Bayangkan sebuah skenario serangan ransomware di mana tidak ada satu pun file berbahaya (malicious file) yang pernah menyentuh server Anda. Tidak ada proses mencurigakan yang berjalan di sistem. Tidak ada tanda tangan malware yang terdeteksi. Namun, secara tiba-tiba, ribuan file penting Anda berubah ekstensi menjadi .want_to_cry dan sebuah catatan tebusan bernama !Want_To_Cry.txt muncul di direktori Anda.

Itulah WantToCry, varian ransomware baru yang diidentifikasi oleh SophosLabs pada pertengahan Mei 2026. Penamaan ini sengaja dipilih aktor ancaman untuk mereferensikan insiden WannaCry yang melumpuhkan 200.000 komputer di 150 negara pada 2017 silam. Namun, jangan terkecoh oleh nama nostalgia tersebut : mekanisme kerjanya justru jauh lebih licik, asimetris, dan sangat sulit dideteksi oleh pertahanan siber konvensional.

Anatomi Serangan: Bagaimana WantToCry Bekerja?

WantToCry mendefinisikan ulang taktik serangan pemerasan digital. Berdasarkan analisis teknis SophosLabs, rantai serangan (kill chain) ransomware ini terdiri dari lima tahap utama yang seluruhnya menyalahgunakan protokol SMB (Server Message Block): protokol file-sharing standar di ekosistem Windows:

Tahap 1: Pemindaian Massal (Mass Reconnaissance)

Penyerang menggunakan platform OSINT (Open Source Intelligence) seperti Shodan dan Censys untuk memindai jutaan alamat IP publik yang membuka port SMB ke internet internet luas. Data statistik pertengahan Januari 2026 menyingkap fakta mengkhawatirkan: masih terdapat lebih dari 1,5 juta perangkat di seluruh dunia yang mengekspos port TCP 139 dan 445 ke jaringan luar, di mana Amerika Serikat menyumbang lebih dari 600.000 titik di antaranya.

Tahap 2: Brute-Force Otomatis pada Jalur Autentikasi

Setelah mengidentifikasi target potensial yang terekspos, aktor ancaman meluncurkan serangan brute-force otomatis menggunakan kombinasi nama pengguna (username) dan kata sandi (password) yang lemah atau yang telah bocor di pasar gelap (credential stuffing). Tidak dibutuhkan eksploitasi kerentanan zero-day yang rumit : murni hanya memanfaatkan kelemahan manajemen kata sandi.

Tahap 3: Eksfiltrasi Data Melalui Jalur SMB Sah

Begitu berhasil mendapatkan hak akses login yang sah, penyerang tidak melakukan instalasi berkas atau skrip apa pun di mesin korban. Mereka memanfaatkan sesi SMB yang telah terautentikasi untuk langsung melakukan penyalinan (eksfiltrasi) dokumen-dokumen internal milik korban ke infrastruktur server command and control (C2) yang mereka kendalikan di luar yurisdiksi nasional.

Tahap 4: Eksekusi Enkripsi Jarak Jauh (Remote Encryption)

Inilah letak disrupsi taktis WantToCry. Proses enkripsi material data terjadi sepenuhnya di server milik penyerang, bukan di komputer target. Dokumen yang telah disalin dari mesin korban dienkripsi di infrastruktur penyerang, lalu dikirimkan kembali ke lokasi direktori aslinya melalui sesi SMB yang sama untuk menimpa file orisinil. Tidak ada proses komputasi enkripsi lokal yang berjalan di endpoint korban.

Tahap 5: Pemerasan (Ransom Note Drop)

File yang telah ditimpa otomatis berubah ekstensi menjadi .want_to_cry dan berkas catatan tebusan !Want_To_Cry.txt dijatuhkan pada direktori yang terkompromi. Menariknya, nilai tebusan finansial yang diminta relatif rendah jika dibandingkan standar ransomware enterprise modern, yaitu berkisar antara $400 hingga $1.800 per korban (rata-rata $600), dengan saluran komunikasi terarah melalui protokol QTox atau Telegram.

Pemetaan Infrastruktur Jaringan Penyerang

Analisis forensik SophosLabs berhasil mengidentifikasi dan memetakan segmentasi infrastruktur yang digerakkan dalam kampanye siber WantToCry lintas yurisdiksi negara:

Mengapa WantToCry Melumpuhkan Fungsi Deteksi EDR?

WantToCry mengeksploitasi celah arsitektural pada mekanisme kerja EDR (Endpoint Detection and Response) serta antivirus tradisional. Sistem keamanan endpoint umumnya bersandar pada tiga pilar pertahanan: deteksi berbasis proses biner (process-based detection), analisis perilaku aplikasi lokal (behavioral analysis), dan kecocokan tanda tangan malware (malware signature matching). Taktik WantToCry berhasil mengeliminasi ketiga pilar tersebut sekaligus.

Karena tidak ada kode biner berbahaya yang dieksekusi di dalam memori komputer korban, tidak ada indikasi proses mencurigakan yang dapat dianalisis oleh EDR. Operasi pembacaan dan penulisan berkas massal melalui protokol SMB dipandang oleh sistem keamanan sebagai aktivitas normal sistem file-sharing jaringan internal. Hal inilah yang membuat teknik remote encryption ini menjadi ancaman siluman yang sangat berbahaya.

Kendati demikian, aktivitas WantToCry tidak sepenuhnya kebal dari pemantauan siber. Indikator anomali seperti lonjakan aktivitas brute-force ke port SMB, pola pembacaan-penulisan (read-write) file massal dari alamat IP eksternal di luar jam kerja normal, serta pembuatan berkas !Want_To_Cry.txt secara instan tetap dapat diidentifikasi secara akurat melalui solusi pemantauan lalu lintas jaringan (network traffic analysis) yang mumpuni.

Rekomendasi Kebijakan Mitigasi bagi Institusi

Kabar baiknya, arsitektur pertahanan untuk menangkal taktik serangan WantToCry tidak membutuhkan investasi teknologi yang mahal. Tim IT dan keamanan siber dapat segera menerapkan langkah-langkah kontrol keamanan berikut:

1. Isolasi Total Akses SMB dari Jaringan Internet Publik
Langkah paling krusial adalah memblokir total seluruh lalu lintas data masuk (inbound traffic) yang mengarah ke port TCP 139 dan 445 pada perangkat firewall terluar (edge firewall). Protokol SMB secara inheren dirancang murni untuk kebutuhan pertukaran berkas internal, sehingga tidak ada pembenaran teknis dan operasional yang sah untuk membuka port tersebut ke internet luas.

2. Deaktivasi Protokol Usang SMBv1
Protokol SMB versi 1 memiliki kelemahan struktural yang tinggi terhadap berbagai eksploitasi siber. Microsoft telah merilis rekomendasi penonaktifan total protokol ini sejak penyerangan WannaCry dan NotPetya di tahun 2017 silam.

3. Eliminasi Hak Akses Guest dan Anonymous Shares
Lakukan audit terhadap konfigurasi direktori bersama (share folder) dan pastikan untuk menutup total izin akses tanpa otentikasi (guest / anonymous access). Setiap bentuk pertukaran data melalui SMB wajib melewati proses validasi kredensial pengguna yang sah.

4. Penerapan Kebijakan Kata Sandi Kompleks dan Kebijakan MFA
Mengingat brute-force merupakan vektor tunggal pintu masuk WantToCry, penegakan aturan kompleksitas kata sandi yang ketat serta implementasi Otentikasi Multi-Faktor (MFA) untuk setiap akses jaringan jarak jauh akan memutus rantai serangan sejak fase awal.

5. Isolasi Jaringan Cadangan Data (Backup Hardening) dari Protokol SMB
Pastikan infrastruktur penyimpanan cadangan data (backup) organisasi tidak terhubung atau dapat diakses menggunakan protokol SMB. Jika jaringan utama terkompromi, penyerang dapat dengan mudah melakukan enkripsi jarak jauh terhadap server backup yang terhubung melalui SMB shares.

6. Integrasi Sistem Pemantauan Konten Berkas (File Content Monitoring)
Implementasikan solusi keamanan yang memiliki kapabilitas melakukan analisis perubahan konten file secara langsung (seperti fitur Sophos CryptoGuard) yang mendeteksi proses konversi biner enkripsi secara real-time, alih-alih hanya memantau proses aplikasi lokal. Solusi XDR yang mampu mengidentifikasi aktivitas reconnaissance pada port SMB akan memberikan lapisan deteksi dini yang sangat berharga.

Indikator Kompromi (IoC / Indicators of Compromise)

Guna mempermudah proses pemindaian penanganan insiden (incident response), berikut adalah parameter IoC terverifikasi dari varian WantToCry:

Implikasi Strategis bagi Kedaulatan Siber Indonesia

Ancaman dari ransomware WantToCry ini menjadi alarm keras sekaligus studi kasus penting bagi instansi pemerintah, sektor vital nasional, dan korporasi di Indonesia. Insiden ini membuktikan bahwa serangan siber yang merusak tidak selalu hadir dalam bentuk malware rumit berteknologi tinggi. Sering kali, ancaman asimetris paling berbahaya justru memanfaatkan celah paling mendasar: port komunikasi internal yang tidak sengaja terekspos ke internet publik, kebijakan kata sandi yang lemah, dan asumsi keliru bahwa “tidak ditemukannya proses malware lokal berarti infrastruktur aman”.

Mengingat masih tingginya port data SMB yang terbuka di berbagai institusi domestik, tim pertahanan siber Indonesia wajib segera beralih dari model mitigasi reaktif berbasis agen menuju penguatan arsitektur jaringan Zero Trust. Penegakan langkah pembatasan sederhana seperti menonaktifkan fungsi `wscript.exe` bagi pengguna standar dan mengisolasi port 445 dari perimeter luar merupakan tindakan pertahanan siber mendasar yang mutlak dilakukan hari ini guna memutus mata rantai penyerangan taktis sebelum aktor luar berhasil melumpuhkan kedaulatan data organisasi Anda.

Baca Juga

• Hacker Junior Opname? Operation Poisson: Kisah Remaja Prancis yang Melumpuhkan 2.700+ Sistem dengan OpenSSH dan Tailscale
• Insider Trading di Polymarket, Eks-Security Engineer Google Raup Rp19 Miliar Pakai Data Internal