VECT 2.0: Ransomware "Gagal" yang Justru Lebih Mengerikan
Bayangkan diserang ransomware, membayar tebusan... tapi data Anda tetap hilang selamanya. Itulah yang terjadi pada korban VECT 2.0—ancaman siber terbaru yang mengguncang dunia keamanan digital.
Berbeda dari ransomware pada umumnya yang mengunci data untuk diminta tebusan, VECT 2.0 punya "efek samping" yang jauh lebih mengerikan: menghancurkan file korban secara permanen, bahkan pelaku serangannya sendiri tidak bisa memulihkannya.
Peneliti dari Check Point Research menganalisis varian VECT 2.0 yang menyerang sistem Windows, Linux, dan VMware ESXi, dan menemukan cacat serius pada mekanisme enkripsinya—membuat sebagian besar file penting perusahaan berubah menjadi rusak total.
Kenapa Disebut "Wiper", Bukan Ransomware?
Peneliti keamanan Eli Smadja menjelaskan bahwa untuk file berukuran di atas 131 KB—ukuran yang umumnya berisi data penting perusahaan—malware ini pada praktiknya justru menjadi alat penghancur data, bukan alat pemeras biasa.
Ini membuat korban berada di posisi yang sangat merugikan. Pada serangan ransomware biasa, korban masih punya harapan memulihkan data lewat pembayaran tebusan. Tapi pada VECT 2.0, membayar pun percuma karena data yang rusak sudah tidak bisa dikembalikan lagi.
Akar Masalahnya: Kesalahan Teknis Fatal
Menurut Check Point, masalah utama terletak pada cara malware mengenkripsi file besar:
- VECT 2.0 membagi file menjadi empat bagian, lalu mengenkripsi tiap bagian dengan kode acak (nonce) yang berbeda.
- Masalahnya, malware hanya menyimpan nonce terakhir—tiga nonce lainnya langsung dibuang setelah proses enkripsi selesai.
- Padahal algoritma ChaCha20-IETF yang dipakai butuh pasangan kunci dan nonce yang tepat untuk membuka kembali file.
- Karena tiga nonce pertama hilang permanen, sebagian besar isi file berukuran di atas 131.072 byte (±131 KB) praktis hancur total—termasuk dokumen, database, arsip, dan file virtualisasi perusahaan.
Bahkan operator ransomware itu sendiri tidak punya kemampuan memulihkan file korban. Artinya, VECT 2.0 menghancurkan peluang negosiasi yang selama ini jadi inti model bisnis ransomware.
Karena itu, para ahli mengingatkan perusahaan agar tidak mengandalkan pembayaran tebusan sebagai strategi pemulihan data. Sebaliknya, perkuat sistem cadangan (backup) offline, uji prosedur pemulihan secara berkala, dan percepat respons saat terjadi insiden.
Beroperasi Bak Bisnis Profesional
Di balik kelemahan fatal tersebut, VECT 2.0 dibangun dengan model operasi yang cukup modern—yaitu ransomware-as-a-service (RaaS), layanan yang bisa disewa afiliasi lain untuk melancarkan serangan.
- Program afiliasi VECT dibuka sejak Desember 2025, dengan slogan "Exfiltration / Encryption / Extortion" (mencuri data → mengenkripsi sistem → memeras korban).
- Calon afiliasi wajib membayar biaya masuk 250 dolar AS dalam kripto Monero (XMR)—kecuali pendaftar dari negara-negara CIS (bekas Uni Soviet) yang dibebaskan biaya.
- VECT diketahui bekerja sama dengan forum kriminal BreachForums dan kelompok peretas TeamPCP untuk memperluas serangan lewat data hasil pencurian rantai pasokan (supply chain attack).
Meski begitu, hingga kini situs kebocoran data VECT baru mencatat dua korban, keduanya diretas lewat serangan rantai pasokan yang melibatkan TeamPCP.
Fitur Canggih di Setiap Platform
Selain masalah enkripsinya, VECT 2.0 juga dilengkapi fitur-fitur khas malware modern:
- Windows — menyerang penyimpanan lokal, perangkat eksternal, hingga jaringan perusahaan. Punya kemampuan anti-analisis terhadap puluhan alat keamanan, bahkan bisa memaksa sistem masuk Safe Mode (lewat perintah
--force-safemode) agar malware tetap aktif dan sulit dideteksi. - VMware ESXi — dilengkapi geofencing dan anti-debugging sebelum mengenkripsi, serta mencoba menyebar ke server lain lewat koneksi SSH.
- Linux — menggunakan basis kode yang sama dengan versi ESXi, meski fiturnya tidak selengkap itu.
Keanehan: "Melewatkan" Ukraina dan Negara CIS
Salah satu temuan menarik adalah fitur geofencing VECT—malware ini otomatis berhenti bekerja jika dijalankan di negara-negara CIS, termasuk Ukraina.
Ini tergolong tidak biasa, sebab banyak grup ransomware lain sudah mencoret Ukraina dari daftar pengecualian sejak invasi Rusia tahun 2022. Check Point menduga dua kemungkinan: kode malware sebagian dibuat dengan bantuan AI yang dilatih dari data lama, atau pengembangnya memakai basis kode ransomware lawas.
Kesimpulan: Berbahaya Bukan Karena Canggih
Peneliti menilai operator VECT bukan kelompok peretas yang sangat berpengalaman. Meski tampil profesional dengan dukungan multi-platform, panel operator modern, dan program afiliasi aktif, implementasi teknisnya dinilai jauh dari sempurna.
Namun justru kelemahan itulah yang membuat VECT 2.0 lebih berbahaya—bukan karena enkripsinya hebat, melainkan karena ia bisa menghancurkan data korban secara permanen tanpa kemungkinan pemulihan.
Bagi perusahaan, kemunculan VECT 2.0 jadi pengingat penting: ancaman siber modern kini tidak cuma soal pemerasan, tapi juga berpotensi menyebabkan kehilangan data permanen yang bisa melumpuhkan operasional bisnis dalam waktu singkat.
Sumber: https://csirt.or.id/berita/vect-2-0-serang-windows-linux