DragonForce Ransomware: Kartel RaaS Paling Agresif Juli 2026 — 11+ Korban dalam Sehari, Momenta AI Jadi Target Utama

Ringkasan Eksekutif

Tanggal 14 Juli 2026 mencatat salah satu hari paling sibuk dalam lanskap ransomware tahun ini: 31 korban dipublikasikan di berbagai leak site oleh 11 grup ransomware berbeda. Di antara semuanya, satu nama mendominasi: DragonForce — dengan 11 korban dalam satu hari, menjadikannya grup ransomware paling agresif pada pertengahan Juli 2026.

Yang membedakan gelombang ini bukan sekadar volume. Target paling strategis DragonForce adalah Momenta — perusahaan autonomous driving dan artificial intelligence asal Tiongkok yang didukung oleh investor global termasuk Mercedes-Benz, Bosch, dan General Motors. Data yang dicuri mencakup source code, dokumen keuangan, file konfigurasi, dan basis data karyawan. Serangan terhadap perusahaan AI bukanlah insiden biasa — ia menandai pergeseran target ransomware dari organisasi tradisional ke pusat inovasi teknologi.

DragonForce sendiri bukan pemain biasa. Sejak kemunculannya pada akhir 2023, grup ini telah berevolusi dari RaaS konvensional menjadi kartel ransomware — model operasi di mana afiliasi beroperasi di bawah bendera DragonForce dengan infrastruktur dan tooling terpusat, namun mempertahankan otonomi operasional dan identitas merek sendiri. Model ini memungkinkan ekspansi agresif yang sulit ditandingi oleh operasi ransomware tradisional.

Latar Belakang: Kemunculan DragonForce

Sejarah dan Evolusi

DragonForce pertama kali terdeteksi pada akhir 2023. Dalam kurang dari tiga tahun, grup ini telah bertransformasi dari operator ransomware menengah menjadi entitas yang oleh peneliti keamanan disebut sebagai “The Godfather of Ransomware” — referensi terhadap ambisi mereka membangun koalisi kriminal terstruktur.

Fase evolusi DragonForce dapat dirangkum sebagai berikut:

EVOLUSI DRAGONFORCE (2023-2026)

EVOLUSI

Fase 1: EMERGENCE (Q4 2023) Operasi RaaS konvensional, targeting terbatas, afiliasi kecil (3-5 operator) Fase 2: EXPANSION (2024) Ekspansi targeting ke manufaktur dan teknologi, pengembangan tooling modular, Double Extortion Fase 3: CARTEL FORMATION (2025) Transisi ke model kartel, absorpsi grup lebih kecil, layanan Data Audit diluncurkan, targeting global Fase 4: DOMINANCE (2026) 11+ korban/hari, integrasi BlackLock/Mamona, sabotase kompetitor (defacing leak site rival), serangan ke sektor AI dan autonomous driving

Identitas dan Atribusi

Meskipun laporan awal menyebutkan kemungkinan koneksi ke Malaysia, investigasi lanjutan oleh Group-IB dan LevelBlue (Cybereason) mengaitkan infrastruktur DragonForce dengan aktor berbasis Rusia. Pola operasional, tooling, dan model bisnis mereka menunjukkan kematangan yang konsisten dengan ekosistem RaaS berbahasa Rusia.

DragonForce dikenal karena pendekatan profesional dan terstruktur yang tidak biasa dalam dunia kejahatan siber:

Panel administrasi dedicated untuk afiliasi
Dokumentasi teknis untuk penggunaan tools
Sistem tiering afiliasi berdasarkan performa
Layanan “Customer Support” untuk negosiasi tebusan
Jaminan pembayaran tepat waktu kepada afiliasi

Gelombang Serangan 14 Juli 2026

Pada 14 Juli 2026, DragonForce mempublikasikan 11 korban di leak site mereka — jumlah tertinggi di antara 11 grup ransomware yang aktif pada hari yang sama.

Statistik Hari Itu

14 JULI 2026: RANSOMWARE LANDSCAPE

Total Korban Dipublikasikan : 31 Grup Aktif : 11 Negara Terdampak : 18 TOP 3 GRUP BERDASARKAN VOLUME: 1. DragonForce : 11 korban (35.5%) 2. Arcus Media : 6 korban (19.4%) 3. Chaos : 3 korban (9.7%) Grup Lain: Qilin (2), INC Ransom (2), BlackNevas (2), Coinbase Cartel (1), Nightspire (1), PayoutsKing (1), AiLock (1), CMD Organization (1)

Daftar Korban DragonForce — 14 Juli 2026

No	Korban	Sektor	Negara	Signifikansi
1	Momenta	AI / Autonomous Driving	Tiongkok	Source code, data finansial, database karyawan
2	Edison Global Networks Limited	Telekomunikasi	—	Infrastruktur jaringan bisnis
3	SITAV SpA	Manufaktur	Italia	Sistem produksi industri
4	Graphic International Centre	Percetakan / Media	—	Data klien dan desain
5	Road Ahead Technologies Consultant	Konsultan TI	—	Data proyek klien
6	Intron Technology Holdings	Otomotif / Elektronik	Tiongkok	Rantai pasok otomotif
7	Atcom	Teknologi	—	Sistem komunikasi
8	Midal Cables	Manufaktur Kabel	—	Infrastruktur energi
9	Omax Autos	Otomotif	India	Manufaktur komponen kendaraan
10	Ifage	Pendidikan	Swiss	Data mahasiswa dan riset
11	Asimar	Galangan Kapal	Thailand	Infrastruktur maritim

Pola Targeting

Dari 11 korban, terlihat pola targeting yang jelas:

Dominasi sektor teknologi dan manufaktur — Momenta (AI), Intron Technology (otomotif elektronik), Atcom (teknologi), dan Omax Autos (otomotif)
Target di kawasan Asia-Pasifik — Tiongkok (2), India (1), Thailand (1) — menunjukkan ekspansi geografis DragonForce ke Asia
Diversifikasi sektor — dari AI hingga galangan kapal, menunjukkan model targeting oportunistik berbasis akses afiliasi
Tidak ada korban healthcare — berbeda dengan Qilin atau Medusalocker yang rutin menyerang sektor kesehatan

Momenta AI: Korban Paling Strategis

Profil Momenta

Momenta adalah perusahaan autonomous driving dan artificial intelligence yang berkantor pusat di Beijing dan Suzhou, Tiongkok. Perusahaan ini didukung oleh investor strategis global:

Mercedes-Benz AG — investasi strategis untuk kolaborasi autonomous driving
Bosch — kemitraan teknologi sensor dan sistem
General Motors — investasi $300 juta di 2021
SAIC Motor — mitra manufaktur Tiongkok
Toyota — kolaborasi pengembangan HD mapping

Momenta mengembangkan teknologi persepsi berbasis deep learning, HD mapping untuk navigasi otonom, dan sistem planning & decision-making untuk kendaraan Level 4.

Data yang Dicuri

Berdasarkan klaim DragonForce di leak site mereka, data yang berhasil diekstrak dari sistem Momenta meliputi:

MOMENTA DATA BREACH: KATEGORI DATA

MOMENTA

[KATEGORI 1] PROPRIETARY SOURCE CODE
Algoritma computer vision untuk autonomous driving
Model deep learning (trained weights & architecture)
Sistem HD mapping dan sensor fusion
Kode produksi untuk platform Momenta MPilot
[KATEGORI 2] FINANCIAL DOCUMENTS
Laporan keuangan internal
Dokumentasi pendanaan dari investor
Proyeksi bisnis dan roadmap produk
Kontrak dengan mitra manufaktur
[KATEGORI 3] CONFIGURATION FILES
Konfigurasi server dan jaringan internal
Credential files dan access tokens
Konfigurasi CI/CD pipeline
Infrastruktur cloud dan development environment
[KATEGORI 4] EMPLOYEE DATABASE
Data pribadi karyawan
Informasi kontak dan struktur organisasi
Kredensial akun internal
Riwayat proyek dan assignment tim

Signifikansi Serangan terhadap Perusahaan AI

Serangan terhadap Momenta memiliki implikasi yang jauh melampaui insiden ransomware biasa:

1. Pencurian Kekayaan Intelektual (IP Theft)

Source code dan model AI Momenta adalah hasil investasi ratusan juta dolar dan penelitian bertahun-tahun. Jika data ini jatuh ke tangan kompetitor atau aktor negara, dampaknya tidak terbatas pada Momenta tetapi meluas ke seluruh mitra mereka termasuk Mercedes-Benz, GM, dan Toyota.

2. Keamanan Nasional dan Teknologi Strategis

Teknologi autonomous driving adalah aset strategis dalam persaingan teknologi global. Kebocoran source code dan model AI dapat memberikan keuntungan tidak adil kepada kompetitor geopolitik Tiongkok.

3. Ekspansi Target Ransomware

Serangan terhadap perusahaan AI murni menandai ekspansi target ransomware dari sektor tradisional (manufaktur, healthcare, pemerintahan) ke pusat inovasi teknologi. Perusahaan AI, dengan valuasi tinggi dan data yang sangat sensitif, kini menjadi target premium.

4. Disrupsi Rantai Pasok Otomotif Global

Momenta adalah pemasok penting dalam ekosistem autonomous driving global. Gangguan pada operasi mereka berpotensi menunda proyek pengembangan kendaraan otonom di Mercedes-Benz, GM, dan mitra lainnya.

Status Terkini

Hingga 16 Juli 2026, Momenta belum mengeluarkan pernyataan publik resmi mengenai insiden ini. Tidak ada notifikasi breach yang diajukan kepada regulator. Perusahaan diduga sedang melakukan investigasi internal dan berupaya mengelola dampak tanpa menarik perhatian publik yang dapat mempengaruhi valuasi dan hubungan dengan investor.

Model Kartel: Evolusi RaaS

Dari RaaS ke Kartel

Model bisnis DragonForce adalah inovasi struktural paling signifikan dalam ekosistem ransomware sejak munculnya model RaaS itu sendiri. Berbeda dengan RaaS tradisional di mana operator pusat mengontrol semua aspek operasi, DragonForce mengadopsi model kartel:

MODEL RaaS TRADISIONAL vs MODEL KARTEL DRAGONFORCE

MODEL

RaaS TRADISIONAL:

[OPERATOR PUSAT]
[AFILIASI A] –> Target X
[AFILIASI B] –> Target Y
[AFILIASI C] –> Target Z Semua menggunakan brand dan leak site yang sama Afiliasi tidak memiliki identitas sendiri MODEL KARTEL DRAGONFORCE:
[DRAGONFORCE INFRASTRUKTUR PUSAT]
[SUB-BRAND A] –> Target Group A | (Identitas sendiri, target sendiri, | otonomi operasional) |
[SUB-BRAND B] –> Target Group B | (Branding independen, leak site sendiri, | namun berbagi infrastruktur DragonForce) |
[BLACKLOCK/MAMONA] –> Integrated May 2026 (Grup ransomware yang diabsorpsi ke dalam ekosistem DragonForce)

Karakteristik Kunci Model Kartel

1. Infrastruktur Terpusat, Otonomi Terdistribusi

Afiliasi DragonForce menggunakan:

Encryptor dan tooling yang disediakan oleh DragonForce
Infrastruktur C2 dan exfiltration terpusat
Panel administrasi dan negosiasi bersama
Layanan Data Audit DragonForce

Namun afiliasi bebas menentukan:

Target dan sektor yang akan diserang
Strategi negosiasi spesifik
Waktu publikasi di leak site
Identitas merek sendiri (opsional)

2. Absorpsi dan Integrasi Grup Lain

Pada Mei 2026, DragonForce mengabsorpsi operasi BlackLock (yang kemudian direbrand menjadi Mamona). Ini bukan akuisisi dalam arti tradisional, melainkan integrasi di mana operator BlackLock tetap menjalankan operasi mereka namun menggunakan infrastruktur DragonForce.

Investigasi Resecurity pada awal 2025 yang berhasil mengekspos infrastruktur BlackLock menjadi katalis yang mendorong integrasi ini — menunjukkan bahwa DragonForce secara aktif merekrut grup yang infrastrukturnya terkompromi.

3. Sabotase Kompetitor

DragonForce tidak segan melakukan operasi ofensif terhadap kompetitor:

Defacing leak site BlackLock — sebelum mengintegrasikan mereka
Upaya sabotase terhadap RansomHub — kompetitor langsung dalam model RaaS
Seruan koalisi terbuka — mengajak grup ransomware besar untuk menstandarisasi persyaratan ekstorsi

4. Regulasi Mandiri Pasar Kriminal

DragonForce secara terbuka menyerukan “standardisasi industri ransomware” — sebuah langkah yang tidak pernah dilakukan oleh grup ransomware lain. Ini mencakup:

Standarisasi persyaratan tebusan
Mekanisme resolusi sengketa antar afiliasi
“Kode etik” untuk negosiasi (ironisnya)
Jaminan decryptor berfungsi setelah pembayaran

Taktik, Teknik, dan Prosedur (TTP)

Kill Chain Serangan DragonForce

Berdasarkan analisis Group-IB, LevelBlue, dan Broadcom:

DRAGONFORCE ATTACK KILL CHAIN

DRAGONFORCE

[1] INITIAL ACCESS
Spear-phishing dengan malicious attachment
Eksploitasi RDP yang terpapar internet
Kredensial VPN yang dibeli dari dark web marketplace
Eksploitasi kerentanan firewall edge devices
[2] EXECUTION & PERSISTENCE
SystemBC backdoor untuk akses persisten
Scheduled tasks untuk survivabilitas
Registry Run keys untuk persistence
[3] DEFENSE EVASION
BYOVD (Bring Your Own Vulnerable Driver)
Terminasi proses EDR/XDR via driver kernel
Disable Windows Defender services
Penghapusan event logs sistematis
[4] DISCOVERY & LATERAL MOVEMENT
Cobalt Strike beacon untuk C2
Mimikatz untuk credential dumping
BloodHound untuk AD enumeration
RDP lateral movement antar host internal
[5] COLLECTION & EXFILTRATION
Data staging di server internal
Eksfiltrasi via HTTPS ke server eksternal
Volume data: 100GB - 1TB+ per korban
Tools: Rclone, WinSCP, custom exfiltrator
[6] IMPACT (ENCRYPTION)
Modular encryptor (Windows/Linux/ESXi/NAS)
Enkripsi AES-256 + RSA-2048
VSS deletion (vssadmin delete shadows /all)
Backup destruction (Veeam, Acronis, Commvault)
Ekstensi file: bervariasi per kampanye
[7] EXTORTION (DOUBLE EXTORTION)
Ransom note dengan instruksi pembayaran
Tenggat waktu 72-120 jam
Publikasi sampel data di leak site
Eskalasi: full data leak jika tidak membayar
Data Audit Report untuk tekanan tambahan

BYOVD: Teknik Evasion Utama

DragonForce menggunakan teknik Bring Your Own Vulnerable Driver (BYOVD) untuk menonaktifkan solusi keamanan endpoint:

# DragonForce BYOVD Attack Flow

[LANGKAH 1] Drop driver Windows yang ditandatangani secara sah
            (menggunakan sertifikat valid atau dicuri)

[LANGKAH 2] Muat driver ke Windows kernel
            sc create VulnDriver binPath= C:\Windows\Temp\drv.sys type= kernel
            sc start VulnDriver

[LANGKAH 3] Driver mengeksploitasi kerentanan kernel (CVE tertentu)
            untuk mendapatkan akses ring-0

[LANGKAH 4] Dari ring-0, terminasi paksa proses EDR:
            - CrowdStrike Falcon (CSFalconService)
            - Microsoft Defender (MsMpEng.exe, WinDefend)
            - SentinelOne (SentinelAgent)
            - Carbon Black (CbDefense)

[LANGKAH 5] Nonaktifkan ETW (Event Tracing for Windows)
            Patch EtwEventWrite di ntdll.dll

[LANGKAH 6] Nonaktifkan AMSI (Antimalware Scan Interface)
            Patch AmsiScanBuffer di amsi.dll

[LANGKAH 7] Lanjutkan ke enkripsi tanpa hambatan
            Tidak ada EDR yang tersisa untuk mendeteksi aktivitas

Modular Encryptor

Salah satu kekuatan teknis DragonForce adalah encryptor modular yang mendukung berbagai lingkungan:

Platform	Fitur	Metode Enkripsi
Windows	Full/partial/header encryption, process kill list, dry-run mode	AES-256 + RSA-2048
Linux	Native ELF binary, NAS support, VMware ESXi	AES-256 + RSA-2048
ESXi	VM encryption, vCenter enumeration, snapshot deletion	AES-256
NAS	QNAP, Synology, NetApp support	AES-256

Fitur dry-run memungkinkan afiliasi menguji serangan tanpa benar-benar mengenkripsi file — mengukur kecepatan enkripsi, mengidentifikasi file yang akan dienkripsi, dan memetakan obstacles sebelum eksekusi sebenarnya.

Layanan Data Audit: Senjata Ekstorsi Baru

Konsep

Salah satu inovasi DragonForce yang paling membedakan adalah layanan “Company Data Audit” — analisis profesional terhadap data curian yang digunakan untuk meningkatkan leverage dalam negosiasi tebusan.

Mekanisme

DRAGONFORCE DATA AUDIT SERVICE

DRAGONFORCE

[INPUT] Data mentah hasil exfiltration | v
[ANALISIS OTOMATIS + MANUAL]
Klasifikasi dokumen berdasarkan tingkat sensitivitas
Identifikasi data regulator (GDPR/HIPAA exposure)
Ekstraksi metrik finansial (revenue, profit) untuk | kalkulasi kemampuan bayar
Identifikasi klien dan mitra bisnis untuk | potensi serangan lanjutan
Pemetaan reporting structure (siapa decision-maker) | v
[OUTPUT] Audit Report
Executive summary untuk negosiator
Daftar data paling merusak jika dipublikasikan
Estimasi dampak finansial kebocoran
Perbandingan: denda regulasi vs jumlah tebusan
“Recommended talking points” untuk komunikasi dengan korban

Mengapa Ini Efektif

Layanan Data Audit mentransformasi negosiasi tebusan dari ancaman umum (“kami akan mempublikasikan data Anda”) menjadi tekanan yang sangat spesifik dan terukur:

Presisi Ekstorsi: Alih-alih mengancam mempublikasikan “semua data”, operator DragonForce dapat menyebutkan dokumen spesifik: “Kami memiliki laporan keuangan Q3 Anda yang menunjukkan margin yang lebih rendah dari yang dipublikasikan ke investor”
Tekanan Regulasi: Audit mengidentifikasi eksposur GDPR/HIPAA/UU PDP dan mengkalkulasi potensi denda, memberikan perbandingan langsung antara denda regulasi dan jumlah tebusan
Leverage Multi-Level: Data audit mengidentifikasi bukan hanya dampak ke korban langsung, tetapi juga ke klien, mitra, dan supplier — menciptakan tekanan dari berbagai arah
Profesionalisasi Kejahatan: Layanan ini mengaburkan batas antara konsultan keamanan dan pelaku kejahatan, menciptakan ilusi “profesionalisme” yang dapat membuat korban lebih cenderung membayar

Perbandingan dengan Kompetitor RaaS

Aspek	DragonForce	Qilin	AKIRA	The Gentlemen	LockBit 5.0
Model	Kartel	RaaS	RaaS	RaaS	RaaS
Volume Juli 2026	11+/hari (puncak)	2-5/hari	3-5/hari	2-4/hari	~1-2/hari (klaim)
BYOVD	Ya	Ya	Ya	Tidak	Terbatas
Encryptor Platform	Win + Linux + ESXi + NAS	Win + WSL Linux	Win only	Win + ESXi	Win + Linux
Data Audit Service	Ya	Call Lawyer	Tidak	Tidak	Tidak
Cartel Absorption	Ya	Tidak	Tidak	Tidak	Tidak
Target AI/Tech	Ya (Momenta)	Terbatas	Tidak	Tidak	Tidak
Sabotase Kompetitor	Ya	Tidak	Tidak	Tidak	Historis (operasi law enforcement)

DragonForce unggul dalam tiga area yang tidak dimiliki kompetitor:

Model kartel yang memungkinkan scaling lebih cepat
Layanan Data Audit yang meningkatkan efektivitas ekstorsi
Agresi terhadap kompetitor yang menciptakan dominasi pasar

Implikasi bagi Sektor Teknologi dan AI

1. Perusahaan AI sebagai Target Premium

Serangan terhadap Momenta membuka babak baru dalam targeting ransomware. Perusahaan AI memiliki karakteristik yang membuat mereka sangat menarik:

Valuasi tinggi — kemampuan membayar tebusan besar
Data sangat sensitif — source code, model weights, training data tidak ternilai harganya
Investor global — tekanan dari investor meningkatkan urgensi pembayaran
Regulasi yang berkembang — EU AI Act dan regulasi serupa menambah tekanan kepatuhan
Kompetisi geopolitik — data AI adalah aset strategis nasional

2. Risiko Rantai Pasok Otomotif

Momenta adalah pemasok untuk Mercedes-Benz, GM, Toyota, dan SAIC. Serangan terhadap pemasok teknologi seperti Momenta dapat menciptakan efek domino:

Gangguan pada pengembangan autonomous driving
Kebocoran data yang mempengaruhi mitra manufaktur
Potensi akses lateral ke jaringan mitra
Penundaan roadmap produk kendaraan otonom

3. Ekspansi Geografis ke Asia-Pasifik

Dari 11 korban DragonForce pada 14 Juli, 4 berada di Asia-Pasifik (Tiongkok, India, Thailand). Ini menandakan bahwa grup ransomware yang sebelumnya fokus ke Eropa dan Amerika Utara kini secara agresif mengekspansi operasi ke Asia — kawasan yang secara historis memiliki pertahanan ransomware yang kurang matang.

Indikator Kompromi (IoC)

File Indicators

# DragonForce Ransom Note (format bervariasi per kampanye)
- !!!DRAGONFORCE_README!!!.txt
- dragonforce_ransom_note.html
- HOW_TO_DECRYPT.txt

# Encrypted File Extensions
- .dragonforce (varian terbaru)
- Ekstensi acak per korban (customization)

# Malware Binaries
- encryptor.exe (Windows)
- encryptor.elf (Linux)
- sys_bc.exe (SystemBC backdoor)

Network Indicators

# C2 Communication Patterns
- HTTPS beaconing ke IP bulletproof hosting
- User-agent string tidak standar
- Koneksi ke Tor hidden services (.onion)
- Data exfiltration volume abnormal (>500MB dalam 1 jam)

# DragonForce Leak Site
- Domain .onion (rotating, beberapa mirror)
- Hosting di infrastruktur bulletproof Rusia

Behavioral Indicators

endpoint_behavioral_indicators:
  - process: "vssadmin.exe delete shadows /all /quiet"
  - process: "wbadmin.exe delete catalog -quiet"
  - driver_load: "unsigned kernel driver loaded"
  - service_stop: "WinDefend, MsMpEng, CSFalconService, SentinelAgent"
  - registry: "HKLM/Software/Microsoft/Windows/CurrentVersion/Run"
  - scheduled_task: "randomly-named task executing from %TEMP%"

network_behavioral_indicators:
  - smb_scan: "Massive SMB connection attempts to internal IPs"
  - rdp_jump: "RDP connection chains to multiple internal hosts"
  - exfiltration: "Outbound HTTPS to single IP with sustained high volume"
  - dns: "Queries to .onion domains via Tor DNS"

Rekomendasi Mitigasi

Untuk Perusahaan Teknologi dan AI

1. Perlindungan Kekayaan Intelektual

IP PROTECTION CHECKLIST

Segmentasi jaringan untuk source code repository
Air-gapped backup untuk model weights dan training data
Code signing untuk semua binary production
Akses source code berbasis zero-trust
Audit akses ke repository secara real-time
Enkripsi data at rest untuk semua IP assets

2. BYOVD Protection

# Blokir loading driver yang tidak dikenal
# Windows Defender Application Control (WDAC)
# Hanya izinkan driver yang ditandatangani oleh Microsoft
Set-RuleOption -FilePath "WDAC_Policy.xml" -Option 6

# Enable Hypervisor-Protected Code Integrity (HVCI)
# Mencegah driver kernel dari memodifikasi kernel
# Settings > Windows Security > Device Security > Core Isolation

3. RDP dan Remote Access Hardening

Hapus RDP dari internet — gunakan VPN dengan MFA
Implementasi Just-in-Time (JIT) access
Kondisional akses berbasis geolokasi dan device posture
Monitor sesi RDP untuk anomali (durasi, volume data, time of day)

Untuk Semua Organisasi

1. Pencegahan Initial Access

Vektor	Mitigasi
Phishing	Email filtering AI, DMARC/DKIM/SPF, security awareness training
RDP Exposure	Hapus RDP dari internet, VPN + MFA, JIT access
VPN Credential Theft	MFA mandatory, conditional access, impossible travel detection
Firewall Exploitation	Patch segera untuk edge devices Fortinet, Pulse Secure, Citrix

2. Deteksi Dini

siem_rules:
  - name: "BYOVD Driver Load Detection"
    condition: "Driver load event with unknown signer or known vulnerable driver hash"
    severity: "KRITIS"
  - name: "Mass VSS Deletion"
    condition: "vssadmin.exe delete shadows OR wmic shadowcopy delete"
    severity: "KRITIS"
  - name: "EDR Service Stop"
    condition: "Service stop event for known EDR/AV services"
    severity: "TINGGI"
  - name: "Abnormal Outbound Data Volume"
    condition: "Outbound traffic > 500MB/hour to single external IP"
    severity: "TINGGI"

3. Backup Strategy (3-2-1-1-0)

3 salinan data
2 media berbeda
1 salinan offsite
1 salinan immutable (tidak dapat diubah/dihapus)
0 error dalam pemulihan (tested recovery)

Kesimpulan

Gelombang serangan DragonForce pada 14 Juli 2026 — dengan 11 korban dalam sehari dan Momenta AI sebagai target paling strategis — menandai eskalasi yang mengkhawatirkan dalam lanskap ransomware global. Namun signifikansi DragonForce melampaui volume semata.

Model kartel DragonForce adalah inovasi struktural yang mengubah dinamika RaaS. Dengan memberikan otonomi kepada afiliasi sambil menyediakan infrastruktur terpusat dan layanan profesional seperti Data Audit, DragonForce menciptakan ekosistem kriminal yang lebih efisien, lebih skalabel, dan lebih sulit dihentikan dibandingkan model RaaS tradisional. Integrasi grup seperti BlackLock/Mamona menunjukkan bahwa DragonForce tidak hanya bersaing — mereka mengakuisisi dan mengabsorpsi.

Layanan Data Audit merepresentasikan profesionalisasi kejahatan yang belum pernah terjadi sebelumnya. Kemampuan untuk menganalisis data curian, mengidentifikasi exposure regulasi, dan menghasilkan laporan yang digunakan sebagai senjata dalam negosiasi mengaburkan batas antara konsultan keamanan dan pelaku kejahatan. Ini adalah eskalasi kualitatif — bukan sekadar kuantitatif — dalam kapabilitas ekstorsi.

Serangan terhadap Momenta AI membuka front baru dalam targeting ransomware. Perusahaan AI dengan valuasi tinggi, data sangat sensitif, investor global, dan posisi strategis dalam persaingan teknologi kini menjadi target premium. Jika serangan terhadap Momenta berhasil menghasilkan pembayaran tebusan signifikan, ini akan memicu gelombang serangan terhadap perusahaan AI dan teknologi tinggi lainnya — mengubah lanskap ancaman untuk seluruh sektor inovasi.

Ekspansi DragonForce ke Asia-Pasifik adalah peringatan bagi organisasi di kawasan. Dari 11 korban pada 14 Juli, 4 berada di Asia (Tiongkok, India, Thailand). Kawasan yang secara historis memiliki postur keamanan ransomware yang kurang matang kini menghadapi ancaman dari grup ransomware paling canggih di dunia.

Pertahanan terhadap DragonForce memerlukan pendekatan multi-layer: perlindungan terhadap BYOVD, hardening RDP dan remote access, deteksi dini melalui SIEM rules yang tepat, dan strategi backup yang tangguh. Namun yang paling fundamental, organisasi harus menyadari bahwa lanskap ancaman telah berevolusi — dan DragonForce dengan model kartel, layanan audit, dan ambisi dominasi pasarnya adalah wajah baru dari ancaman ransomware yang lebih profesional, lebih terstruktur, dan lebih berbahaya.

Artikel ini disusun berdasarkan data dari ransomware.live (Live Ransomware Activity Tracker), Dark Web Informer (Threat Intelligence Feed, 14 Juli 2026), analisis Group-IB (DragonForce Ransomware Group Profile), LevelBlue/Cybereason (Inside DragonForce’s Cartel Ambitions, Februari 2026), Broadcom Ransomware Report 2026, GalaxyWarden (Hwaseng Listed by DragonForce, Juni 2026), serta pemantauan tim Threat Intelligence Seraphim News terhadap leak site DragonForce di dark web.