Kelompok BlackLock Lancarkan Gelombang Serangan Baru terhadap Infrastruktur Kritis
Daftar Isi 4 bagian
Kelompok ransomware BlackLock kembali menjadi perhatian komunitas keamanan siber global setelah meluncurkan serangkaian serangan terhadap organisasi infrastruktur kritis dalam beberapa pekan terakhir.
Menurut sejumlah peneliti threat intelligence, operator BlackLock menargetkan perusahaan energi, utilitas publik, serta layanan transportasi dengan teknik infiltrasi yang jauh lebih agresif dibanding kampanye sebelumnya.
Aktivitas kelompok tersebut mulai meningkat sejak akhir April 2026 dan kini telah memengaruhi sejumlah organisasi di Eropa dan Amerika Utara. Beberapa korban mengalami gangguan operasional signifikan akibat sistem internal yang dienkripsi secara massal.
Laporan forensik awal menunjukkan pelaku memanfaatkan kredensial VPN yang bocor serta eksploitasi terhadap sistem remote management yang tidak diperbarui. Setelah mendapatkan akses awal, pelaku melakukan lateral movement secara cepat sebelum akhirnya menjalankan payload ransomware utama.
Selain mengenkripsi data, BlackLock juga menerapkan skema double extortion dengan mencuri dokumen internal perusahaan sebelum proses enkripsi dimulai. Data tersebut kemudian digunakan sebagai alat tekanan tambahan terhadap korban.
Analis keamanan menyebut BlackLock kini mulai mengadopsi pola operasi yang menyerupai kelompok ransomware-as-a-service modern, termasuk penggunaan afiliasi eksternal untuk memperluas skala serangan mereka.
Teknik Serangan yang Diidentifikasi
- Eksploitasi layanan remote access
- Penyalahgunaan kredensial bocor
- Lateral movement menggunakan PowerShell
- Penghapusan backup internal
- Eksfiltrasi data sebelum enkripsi
Dampak terhadap Infrastruktur
Beberapa organisasi terdampak melaporkan:
- Gangguan layanan publik
- Downtime operasional berjam-jam
- Keterlambatan distribusi layanan
- Potensi kebocoran data internal
- Kerugian finansial signifikan
Pakar keamanan memperingatkan bahwa kelompok ransomware kini semakin fokus pada target dengan dampak operasional tinggi karena tekanan terhadap korban menjadi jauh lebih besar dibanding serangan terhadap perusahaan biasa.
Analisis Seraphim News
Kampanye terbaru BlackLock memperlihatkan bagaimana kelompok ransomware terus berevolusi menjadi ancaman strategis terhadap stabilitas infrastruktur digital global.
Fokus terhadap sektor energi dan utilitas menunjukkan perubahan pola target dari sekadar pencarian keuntungan cepat menjadi operasi dengan dampak geopolitik dan ekonomi yang lebih luas.
Organisasi disarankan segera melakukan:
- Audit akses remote
- Rotasi kredensial kritis
- Implementasi MFA
- Segmentasi jaringan
- Pemantauan aktivitas lateral movement
Dengan meningkatnya aktivitas ransomware sepanjang 2026, sektor infrastruktur kritis diperkirakan akan tetap menjadi target utama operasi siber berskala besar.
Sumber referensi:
- Ransomware.live
- Recorded Future
- CISA Advisories
Update 13 Juli 2026: BlackLock Rebrand ke Mamona — Integrasi DragonForce Cartel
Berdasarkan analisis Blackpoint Cyber dan NordStellar (Juni-Juli 2026), operasi BlackLock telah mengalami perubahan signifikan sejak kampanye Mei 2026:
- Rebrand ke Mamona: Threat actor di balik BlackLock (sebelumnya juga dikenal sebagai “El Dorado” atau “Eldorado”) telah melakukan rebranding menjadi Mamona dan berintegrasi ke dalam ekosistem DragonForce ransomware cartel.
- Penurunan Aktivitas Independen: Nama BlackLock tidak lagi muncul dalam laporan threat intelligence ransomware untuk Juni-Juli 2026. Aktivitas grup ini telah disubsumsi ke dalam operasi DragonForce yang lebih besar.
- Kompromi Infrastruktur 2025: Investigasi Resecurity pada awal 2025 berhasil menginfiltrasi dan mengekspos infrastruktur BlackLock — faktor signifikan yang memaksa rebranding dan integrasi ke cartel yang lebih besar.
- Lanskap RaaS 2026: Pasar ransomware kini didominasi oleh LockBit 5.0, Qilin, AKIRA, dan The Gentlemen — dengan BlackLock/Mamona tidak lagi menjadi pemain independen yang signifikan.
Meskipun demikian, aktor di balik operasi ini tetap aktif melalui afiliasi DragonForce — sehingga organisasi tetap perlu mewaspadai TTP yang sebelumnya diasosiasikan dengan BlackLock.
