Gunra: RaaS Baru yang Memburu Sektor Kritis — CISA, FBI, dan DC3 Terbitkan Advisory AA26-222a

Advisory dari Tiga Lembaga

Pada 10 Agustus 2026, Cybersecurity and Infrastructure Security Agency (CISA) bersama FBI dan Department of Defense Cyber Crime Center (DC3) menerbitkan advisory keamanan bersama bertajuk AA26-222a di bawah inisiatif #StopRansomware. Dokumen ini secara khusus menyoroti Gunra, kelompok ransomware yang dalam setahun terakhir bertransformasi dari varian enkripsi independen menjadi operasi ransomware-as-a-service (RaaS) yang agresif memburu organisasi pemerintah dan infrastruktur kritis di berbagai negara.

Advisory semacam ini lazimnya baru diterbitkan ketika sebuah kelompok sudah mencatat cukup banyak korban dan polanya bisa dipetakan. Publikasi yang dilakukan serentak oleh tiga lembaga penegak hukum dan pertahanan siber AS menandakan bahwa Gunra telah naik kelas dari sekadar nama di forum bawah tanah menjadi ancaman yang dianggap berdampak sistemik.

Dari Varian Enkripsi Menjadi Model RaaS

Gunra pertama kali muncul pada 2025 sebagai alat enkripsi yang relatif sederhana. Setahun kemudian, kelompok ini mengadopsi model RaaS penuh: pengembang inti memelihara encryptor, infrastruktur pembayaran, dan situs kebocoran data, sementara afiliasi independen menjalankan intrusi terhadap target bernilai tinggi. Pemisahan peran ini membuat biaya masuk bagi penyerang baru menjadi rendah, sehingga volume serangan meningkat tanpa harus dibarengi kapasitas teknis yang setara.

Model semacam ini bukan hal baru di ekosistem kejahatan siber, tetapi yang membuat Gunra menarik perhatian adalah disiplin operasionalnya. Para afiliasi disebut menerapkan tenggat waktu yang ketat, dalam sejumlah laporan hanya memberi korban waktu sekitar lima hari untuk merespons tuntutan sebelum data mulai dipublikasikan. Tekanan waktu itu dirancang untuk mempersingkat proses negosiasi dan menutup ruang korban mencari bantuan teknis.

Sektor yang Dibidik

Menurut advisory tersebut, target Gunra membentang lintas sektor: layanan pemerintah dan fasilitas publik, utilitas dan transportasi, kesehatan, jasa keuangan dan asuransi, manufaktur kritis dan konstruksi, hingga akademisi, media, dan ritel. Pola ini menunjukkan perburuan besar (big-game hunting) yang tidak membedakan jenis industri selama data dan operasionalnya dinilai bernilai tebusan.

Bagi organisasi di Indonesia, daftar sektor tersebut akrab dengan daftar objek vital nasional yang diawasi BSSN. Perusahaan yang mengoperasikan layanan publik, rumah sakit, lembaga keuangan, maupun operator logistik yang terhubung ke internet sebaiknya membaca advisory ini sebagai peringatan dini, bukan sekadar berita dari belahan dunia lain.

Cara Masuk dan Bergerak di Jaringan

Laporan intelijen yang menyertai advisory mencatat bahwa afiliasi Gunra memperoleh akses awal terutama melalui sistem yang terbuka ke internet. Perangkat edge yang belum di-patch, gateway VPN, dan layanan remote desktop yang terekspos menjadi pintu masuk favorit. Sejumlah laporan juga menyebut eksploitasi terhadap kerentanan firewall Fortinet yang pernah masuk daftar eksploitasi aktif, termasuk CVE-2024-55591 dan CVE-2025-24472, selain pemakaian kredensial valid yang diperoleh dari perangkat VPN atau RDP tanpa autentikasi multi-faktor serta loader yang dikirim lewat phishing.

Setelah menembus perimeter, gerak mereka terbilang metodis. Para penyerang melakukan enumerasi Active Directory memakai utilitas bawaan Windows seperti nltest dan net group, lalu mengekstrak kredensial dari proses LSASS atau penyimpanan kredensial lokal. Perpindahan lateral dilakukan lewat share administratif SMB, RDP, dan eksekusi jarak jauh ala PsExec. Sebelum enkripsi dimulai, data sensitif dikompresi dan disusun dalam arsip menggunakan 7-Zip, WinRAR, atau rclone, lalu dieksfiltrasi melalui HTTPS atau layanan transfer file komersial.

Ekstorsi Ganda dan Tuntutan Tebusan

Gunra beroperasi penuh dengan skema ekstorsi ganda. Enkripsi data operasional membuat sistem tidak bisa dipakai, sementara ancaman memublikasikan data curian di situs kebocoran khusus memberi tekanan kedua yang tidak kalah menyakitkan. Konsekuensinya, organisasi yang memiliki cadangan data bersih sekalipun tetap menghadapi risiko keterbukaan regulator dan ekstorsi sekunder, karena data yang sudah dicuri tidak bisa “dipulihkan” hanya dengan mengembalikan sistem dari backup.

Besaran tuntutan bervariasi tergantung skala korban, tetapi sejumlah kasus dilaporkan menyentuh angka jutaan dolar AS. Angka setinggi itu hanya masuk akal bila kelompok ini menilai target mampu membayar dan data yang dicuri cukup sensitif untuk dijadikan jaminan.

Indikator dan Langkah Deteksi

CISA dan FBI menyertakan artefak teknis dalam format STIX XML dan STIX JSON untuk mendukung perburuan ancaman, mencakup hash file, indikator infrastruktur command-and-control, dan pola baris perintah yang khas. Tim keamanan disarankan memantau aktivitas arsip yang tidak lazim, staging data dalam volume besar, dan lalu lintas keluar yang mencurigakan, karena tahap eksfiltrasi hampir selalu terjadi sebelum payload dijatuhkan.

Langkah anti-recovery juga menjadi ciri khas yang bisa dijadikan sinyal: penghapusan volume shadow copy melalui vssadmin atau wmic, pembersihan katalog backup lewat wbadmin, dan penonaktifan layanan pemulihan. Deteksi dini terhadap perintah-perintah destruktif semacam ini bisa mengubah hasil akhir sebuah insiden secara signifikan.

Mitigasi dan Relevansi untuk Indonesia

Rekomendasi dari advisory ini berlapis dan sebagian besar bisa diterapkan segera. Pertama, prioritaskan penambalan kerentanan yang tercatat di katalog Known Exploited Vulnerabilities (KEV) CISA, khususnya pada perangkat perimeter seperti VPN, firewall, dan gateway remote access. Kedua, aktifkan autentikasi multi-faktor yang tahan phishing, idealnya berbasis FIDO2, pada semua titik akses jarak jauh. Ketiga, jadikan backup sebagai kontrol keamanan: simpan salinan immutable dan offline mengikuti aturan 3-2-1, pisahkan kredensial infrastruktur backup, dan uji pemulihan secara berkala karena penyerang kini rutin menghancurkan katalog backup sebelum menuntut tebusan.

Segmentasi jaringan juga menjadi penekanan, khususnya memblokir komunikasi SMB dan RDP antar-workstation secara default agar pergerakan lateral terhambat. Untuk insiden yang sudah terjadi, korban diminta melaporkan kejadian ke IC3 (ic3.gov) atau kantor FBI setempat. Bagi organisasi Indonesia, prinsip yang sama berlaku: pantau aset perimeter terhadap daftar KEV, perketat akses jarak jauh, dan siapkan rencana respons yang mengasumsikan data bisa dicuri sebelum terenkripsi. Advisory AA26-222a bukan sekadar dokumen penegak hukum Amerika; ia adalah peta jalan pertahanan yang relevan untuk siapa pun yang menjalankan layanan vital di atas jaringan yang terhubung internet.