Play Ransomware Serang AG Scholtes: Kelompok Double Extortion di Balik Serangan ke Rantai Pasok Pangan Global
Daftar Isi 38 bagian
Ringkasan Eksekutif
Pada 16 Juli 2026, kelompok ransomware Play (juga dikenal sebagai PlayCrypt) menambahkan AG Scholtes — sebuah perusahaan pemasok daging grosir asal Belanda — ke dalam daftar korban di leak site mereka di dark web. Insiden ini menandai ekspansi Play ke sektor rantai pasok pangan Eropa dan menambah daftar panjang korban dari kelompok ransomware yang telah beroperasi secara konsisten sejak Juni 2022.
Play ransomware bukanlah pendatang baru dalam lanskap ancaman siber. Selama lebih dari empat tahun, kelompok ini telah membangun reputasi sebagai salah satu operasi ransomware paling persisten dan paling sulit dilacak. Berbeda dengan model Ransomware-as-a-Service (RaaS) yang mengandalkan afiliasi eksternal, Play beroperasi sebagai kelompok tertutup (closed group) — mempertahankan kontrol penuh atas operasi mereka dan memilih target secara hati-hati.
Serangan terhadap AG Scholtes menyoroti tren yang semakin mengkhawatirkan: rantai pasok pangan sebagai target ransomware. Dari Royal Foods di Australia yang diserang kelompok The Gentlemen pada Juli 2026, hingga AG Scholtes yang diserang Play, sektor pangan semakin menjadi sasaran empuk — di mana gangguan operasional dapat berdampak langsung pada ketersediaan pangan dan memaksa korban untuk membayar tebusan dengan cepat.
Insiden AG Scholtes: Kronologi dan Dampak
Profil AG Scholtes
AG Scholtes adalah perusahaan pemasok daging grosir yang berbasis di Belanda. Perusahaan ini beroperasi dalam rantai pasok pangan Eropa, memasok produk daging ke retailer, restoran, dan institusi di seluruh kawasan.
Kronologi Serangan
| Tanggal | Peristiwa |
|---|---|
| 16 Juli 2026 | Play ransomware mencantumkan AG Scholtes di leak site mereka |
| 16-17 Juli 2026 | Platform monitoring pelanggaran data (BreachSense, GalaxyWarden, ransomware.live) mengkonfirmasi listing |
| 18 Juli 2026 (status) | Belum ada pernyataan resmi dari AG Scholtes; data yang dicuri belum dipublikasikan penuh |
Data yang Diklaim
Play ransomware mengklaim telah mengeksfiltrasi “file internal” dari sistem AG Scholtes. Namun hingga saat artikel ini ditulis, belum ada sampel data yang diverifikasi secara independen, dan perusahaan belum mengkonfirmasi skala penuh dari pelanggaran data.
Dampak Potensial
Sebagai pemasok dalam rantai pasok pangan, dampak potensial dari serangan terhadap AG Scholtes meliputi:
| Dampak | Detail |
|---|---|
| Operasional | Gangguan pada sistem pemrosesan pesanan, logistik, dan distribusi |
| Data Bisnis | Kebocoran informasi klien, supplier, kontrak, dan harga |
| Keuangan | Biaya pemulihan, potensi denda GDPR, dan kehilangan bisnis |
| Rantai Pasok | Efek domino pada retailer dan restoran yang bergantung pada pasokan AG Scholtes |
| Reputasi | Kerusakan kepercayaan dari mitra bisnis dan pelanggan |
Profil Play Ransomware: Dari 2022 hingga 2026
Sejarah dan Evolusi
Play ransomware pertama kali muncul pada Juni 2022 dan sejak itu telah berkembang menjadi salah satu kelompok ransomware paling aktif dan paling berbahaya di dunia.
EVOLUSI PLAY RANSOMWARE (2022-2026)
| Fase | Periode | Karakteristik |
|---|---|---|
| EMERGENCE | Juni 2022 | Operasi awal dengan targeting terbatas; pengembangan tool kustom |
| GROWTH | 2023 | Ekspansi targeting ke sektor kritikal; pengembangan encryptor Linux/ESXi |
| MATURITY | 2024 | Double extortion sebagai model standar; perhatian dari FBI/CISA/ASD |
| PERSISTENCE | 2025-2026 | Operasi global berkelanjutan; adaptasi terhadap penegakan hukum; ekspansi ke sektor pangan |
Identitas dan Atribusi
Tidak seperti banyak kelompok ransomware yang atribusinya dapat dilacak ke negara tertentu, asal-usul Play ransomware masih belum jelas. Beberapa karakteristik operasional — termasuk pola komunikasi dan jam operasional — telah memunculkan spekulasi tentang kemungkinan koneksi ke Eropa Timur, namun belum ada atribusi definitif.
Model Operasi: Closed Group
Salah satu karakteristik paling membedakan dari Play adalah model operasi closed group:
| Aspek | Play (Closed Group) | RaaS Tradisional (Contoh: LockBit) |
|---|---|---|
| Afiliasi | Tidak menggunakan afiliasi eksternal | Mengandalkan jaringan afiliasi luas |
| Kontrol Operasi | Terpusat, tight control | Terdistribusi, loose control |
| Targeting | Selektif, calculated | Volume-based, oportunistik |
| Tooling | Kustom, proprietary | Standardized, shared |
| OPSEC | Ketat, sulit diinfiltrasi | Longgar, rentan terhadap infiltrasi penegak hukum |
Model tertutup ini membuat Play lebih sulit diinfiltrasi oleh penegak hukum — tidak ada afiliasi yang bisa ditangkap dan dimintai informasi — namun juga membatasi kecepatan ekspansi mereka dibandingkan model RaaS.
Taktik, Teknik, dan Prosedur (TTP)
Kill Chain Serangan Play
Berdasarkan analisis dari FBI, CISA, ASD, dan peneliti keamanan:
PLAY RANSOMWARE ATTACK KILL CHAIN
| Tahap | Aktivitas |
|---|---|
| 1. INITIAL ACCESS | Eksploitasi kerentanan pada Microsoft Exchange (ProxyNotShell); Eksploitasi Fortinet VPN dan firewall (CVE-2022-42475, CVE-2023-27997, CVE-2024-21762); Kredensial RDP/VPN yang dicuri |
| 2. EXECUTION & PERSISTENCE | Scheduled tasks untuk survivabilitas; Registry Run keys; AnyDesk untuk remote access persisten |
| 3. DISCOVERY | AdFind untuk enumerasi Active Directory; Grixba (tool kustom) untuk network scanning; BloodHound untuk pemetaan AD |
| 4. DEFENSE EVASION | HRsword.exe untuk terminasi proses EDR/AV; Penghapusan Windows Event Logs; Disable Windows Defender |
| 5. LATERAL MOVEMENT | RDP dan SMB lateral movement; AnyDesk untuk akses remote ke host internal |
| 6. COLLECTION & EXFILTRATION | Data staging di server internal; Eksfiltrasi via HTTPS; Tools: Rclone, WinSCP |
| 7. ENCRYPTION | Encryptor kustom: Hi.exe (Windows), varian Linux/ESXi; Intermittent encryption; AES-RSA hybrid |
| 8. EXTORTION | Ransom note: README.txt; Kontak via email (gmx.de, web.de); Leak site di Tor; Double extortion |
Intermittent Encryption: Evolusi Teknis
Salah satu inovasi teknis Play yang paling signifikan adalah penggunaan intermittent encryption — hanya mengenkripsi sebagian dari setiap file, bukan seluruh file. Teknik ini memiliki beberapa keunggulan bagi penyerang:
- Kecepatan: Enkripsi sebagian lebih cepat daripada enkripsi penuh — penting untuk menyelesaikan serangan sebelum terdeteksi
- Evasi: File yang dienkripsi sebagian mungkin tidak memicu signature antivirus yang mencari pola enkripsi penuh
- Efektivitas: File tetap rusak dan tidak dapat digunakan, mencapai tujuan yang sama dengan enkripsi penuh
Encryptor Multi-Platform
Play mengembangkan encryptor untuk berbagai platform:
| Platform | Fitur |
|---|---|
| Windows | Hi.exe — binary kustom yang dikompilasi ulang per korban untuk menghindari deteksi signature |
| Linux | Native ELF binary untuk server Linux |
| VMware ESXi | Varian khusus dengan CLI commands untuk mematikan VM sebelum enkripsi |
Setiap binary encryptor dikompilasi ulang untuk setiap serangan — menghasilkan hash unik yang tidak dapat dideteksi oleh antivirus berbasis signature. Ini adalah langkah OPSEC yang secara signifikan mempersulit deteksi dan atribusi.
Toolkit Play: Grixba dan Arsenal Kustom
Grixba (Gt_net.exe)
Grixba adalah tool kustom Play yang digunakan untuk network scanning dan enumerasi. Nama ini berasal dari penamaan internal yang ditemukan oleh peneliti keamanan.
| Fungsi Grixba | Deskripsi |
|---|---|
| Network Scanning | Mengidentifikasi host aktif di jaringan korban |
| Service Enumeration | Mendeteksi layanan yang berjalan pada setiap host |
| Data Discovery | Mencari file shares, database, dan repository data berharga |
| Stealth | Dirancang untuk beroperasi tanpa memicu alert keamanan standar |
HRsword.exe
Tool defense evasion yang secara spesifik digunakan untuk menonaktifkan software keamanan:
| Target | Metode |
|---|---|
| Antivirus/EDR | Terminasi paksa proses keamanan |
| Windows Defender | Disable services dan real-time protection |
| Logging | Modifikasi konfigurasi logging Windows |
AnyDesk
Play secara rutin menginstal AnyDesk — software remote desktop yang sah — sebagai mekanisme akses persisten. Penggunaan software yang sah (Living-off-the-Land) membuat aktivitas mereka sulit dibedakan dari traffic normal.
Model Double Extortion Play
Play menerapkan model double extortion yang ketat dan metodis:
PROSES DOUBLE EXTORTION PLAY
| Tahap | Deskripsi |
|---|---|
| 1. EKSFILTRASI | Data sensitif dicuri dari jaringan korban sebelum enkripsi |
| 2. ENKRIPSI | File dienkripsi dengan intermittent encryption; ransom note ditinggalkan |
| 3. KONTAK AWAL | Korban diinstruksikan menghubungi Play via email (gmx.de atau web.de) |
| 4. NEGOSIASI | Jumlah tebusan ditentukan berdasarkan nilai data dan kemampuan korban |
| 5. ANCAMAN | Jika tidak membayar, data akan dipublikasikan di leak site |
| 6. PUBLIKASI | Data dipublikasikan jika tenggat waktu terlampaui |
Karakteristik Ransom Note
Ransom note Play (README.txt) memiliki karakteristik khusus:
- Tidak mencantumkan jumlah tebusan spesifik — korban harus menghubungi untuk negosiasi
- Menggunakan email provider Jerman (gmx.de, web.de) — tidak biasa untuk kelompok ransomware
- Bahasa profesional — berbeda dengan nada agresif atau mengancam dari kelompok lain
- Instruksi detail — panduan langkah demi langkah untuk menghubungi dan membayar
Korban Global Play Ransomware
Statistik
Play ransomware telah mengklaim ratusan korban di seluruh dunia sejak 2022. Kelompok ini tidak mendiskriminasi sektor atau wilayah:
| Sektor | Contoh Korban |
|---|---|
| Pemerintahan | Berbagai instansi pemerintah di AS, Eropa, dan Amerika Latin |
| Manufaktur | Perusahaan manufaktur di Jerman, Belanda, dan AS |
| Kesehatan | Rumah sakit dan penyedia layanan kesehatan |
| Telekomunikasi | Provider telekomunikasi di Amerika Selatan |
| Rantai Pasok | AG Scholtes (pangan), perusahaan logistik |
| Konstruksi | Perusahaan konstruksi di Eropa |
| Layanan Profesional | Firma hukum dan konsultan di berbagai negara |
Korban Terbaru (Juli 2026)
| Korban | Sektor | Negara | Tanggal Listing |
|---|---|---|---|
| AG Scholtes | Rantai Pasok Pangan | Belanda | 16 Juli 2026 |
Play cenderung mempublikasikan korban dalam batch, bukan secara individual — berbeda dengan kelompok seperti DragonForce yang mempublikasikan puluhan korban dalam satu hari. Ini konsisten dengan model tertutup mereka: targeting yang lebih selektif dan lebih sedikit korban, namun dengan tingkat keberhasilan negosiasi yang lebih tinggi.
Mengapa Rantai Pasok Pangan Menjadi Target
Serangan terhadap AG Scholtes terjadi dalam konteks yang lebih luas: rantai pasok pangan global sebagai target ransomware yang semakin populer.
Faktor Kerentanan
| Faktor | Penjelasan |
|---|---|
| Sistem Legacy | Industri pangan sering menggunakan sistem IT yang menua dan tidak terpatch |
| Ketergantungan Operasional | Gangguan sistem langsung menghentikan produksi dan distribusi |
| Margin Rendah | Perusahaan pangan sering beroperasi dengan margin tipis — tidak mampu menanggung downtime panjang |
| Data Sensitif | Informasi supplier, harga, kontrak, dan formulasi produk bernilai tinggi |
| Regulasi | Kepatuhan terhadap regulasi keamanan pangan menambah tekanan untuk segera pulih |
Serangan Rantai Pasok Pangan Terbaru
| Insiden | Kelompok | Negara | Bulan |
|---|---|---|---|
| AG Scholtes | Play | Belanda | Juli 2026 |
| Royal Foods | The Gentlemen | Australia | Juli 2026 |
| Mackay Sugar | The Gentlemen | Australia | Juni 2026 |
Pola ini menunjukkan bahwa sektor pangan semakin menjadi target yang disengaja — bukan korban kebetulan dari kampanye oportunistik.
Respons Penegakan Hukum
Play ransomware telah menjadi prioritas tinggi bagi penegakan hukum internasional. FBI, CISA, dan Australian Signals Directorate (ASD) telah menerbitkan joint advisory (AA23-352A) yang diperbarui secara berkala, menyediakan IoC dan panduan mitigasi.
Upaya Penegakan Hukum
| Tindakan | Detail |
|---|---|
| Joint Advisory | FBI/CISA/ASD AA23-352A — panduan teknis untuk deteksi dan mitigasi |
| IoC Sharing | Distribusi hash, IP, dan indikator ke komunitas keamanan |
| Monitoring Aktif | Pemantauan leak site Play secara real-time |
| Investigasi | Kerjasama internasional untuk identifikasi dan penangkapan operator |
Meskipun demikian, model closed group Play membuat mereka sulit ditangkap. Tanpa afiliasi eksternal yang bisa dijadikan saksi atau ditangkap, penegakan hukum harus mengandalkan metode investigasi tradisional — yang membutuhkan waktu, sumber daya, dan kerjasama internasional yang tidak selalu tersedia.
Indikator Kompromi (IoC)
File Indicators
| Indikator | Deskripsi |
|---|---|
| Hi.exe | Nama file encryptor Windows yang umum (nama bervariasi) |
| README.txt | Ransom note — tidak mencantumkan jumlah tebusan |
| Gt_net.exe | Grixba network scanning tool |
| HRsword.exe | Defense evasion tool |
| Ekstensi .play | Ekstensi file terenkripsi (dapat bervariasi) |
Network Indicators
| Indikator | Deskripsi |
|---|---|
| Koneksi ke email provider Jerman | gmx.de, web.de — digunakan untuk komunikasi negosiasi |
| AnyDesk connections | Remote access tool |
| Leak site di Tor | Alamat .onion untuk publikasi data |
Behavioral Indicators
| Indikator | Severity |
|---|---|
| AdFind.exe berjalan di sistem | SEDANG |
| Instalasi AnyDesk yang tidak sah | TINGGI |
| Scheduled tasks dengan nama mencurigakan | TINGGI |
| Enkripsi intermiten pada file | KRITIS |
| Penghapusan Volume Shadow Copies | TINGGI |
| Penghapusan Windows Event Logs | TINGGI |
Rekomendasi Mitigasi
1. Pencegahan Initial Access
| Vektor | Mitigasi |
|---|---|
| Microsoft Exchange | Patch segera untuk semua kerentanan Exchange (prioritas ProxyNotShell) |
| Fortinet | Patch CVE-2022-42475, CVE-2023-27997, CVE-2024-21762 |
| RDP | Hapus dari internet publik; gunakan VPN dengan MFA |
| Kredensial | MFA mandatory; password policy ketat |
2. Deteksi Dini
| Aturan Deteksi | Deskripsi |
|---|---|
| AdFind.exe execution | Monitor untuk eksekusi AdFind — tool enumerasi AD yang jarang digunakan secara sah |
| AnyDesk installation | Alert untuk instalasi AnyDesk yang tidak sah |
| HRsword.exe | Deteksi eksekusi HRsword.exe atau proses dengan karakteristik serupa |
| Intermittent encryption | Monitor untuk pola enkripsi file yang tidak lengkap |
| VSS deletion | Alert untuk vssadmin delete shadows |
3. Perlindungan terhadap Enkripsi
| Kontrol | Detail |
|---|---|
| Backup 3-2-1-1-0 | 3 salinan, 2 media, 1 offsite, 1 immutable, 0 error |
| Network Segmentation | Isolasi sistem kritikal dari jaringan umum |
| EDR/XDR | Solusi endpoint detection dengan anti-ransomware capabilities |
| App Control | Batasi eksekusi binary dari direktori tidak dikenal |
4. Incident Response
| Langkah | Tindakan |
|---|---|
| Isolasi | Segera putuskan koneksi sistem terdampak |
| Preservasi | Ambil forensic image sebelum modifikasi apapun |
| Investigasi | Identifikasi vektor akses awal dan skala kompromi |
| Komunikasi | Notifikasi regulator, pelanggan, dan mitra bisnis |
| Pemulihan | Pulihkan dari backup bersih; bangun ulang sistem yang dikompromi |
Kesimpulan
Serangan Play ransomware terhadap AG Scholtes pada 16 Juli 2026 adalah pengingat bahwa kelompok ransomware tertutup seperti Play — yang beroperasi tanpa afiliasi eksternal, dengan tool kustom, dan targeting yang metodis — tetap menjadi ancaman persisten dalam lanskap keamanan siber global.
Empat tahun sejak kemunculannya pada 2022, Play telah membuktikan bahwa model closed group memiliki keunggulan bertahan yang tidak dimiliki model RaaS tradisional. Tanpa afiliasi yang bisa ditangkap, tanpa tool yang dibagikan secara luas, dan dengan targeting yang hati-hati, Play terus beroperasi sementara kelompok lain jatuh ke tangan penegak hukum.
Serangan terhadap AG Scholtes juga menandai tren yang lebih luas: rantai pasok pangan sebagai target ransomware. Dalam dunia di mana gangguan pada sistem IT dapat menghentikan produksi dan distribusi pangan, tekanan untuk membayar tebusan menjadi luar biasa besar. Perusahaan pangan — yang sering beroperasi dengan infrastruktur IT yang menua — harus menyadari bahwa mereka kini berada dalam daftar target prioritas tinggi.
Bagi organisasi di semua sektor, pelajaran dari Play ransomware jelas: keamanan fundamental — patching tepat waktu, MFA, backup offline, segmentasi jaringan, dan monitoring — bukanlah opsi. Mereka adalah garis pertahanan terakhir melawan ancaman yang terus beradaptasi dan bertahan.
Artikel ini disusun berdasarkan data dari ransomware.live (Victim Listing AG Scholtes, Juli 2026), BreachSense, GalaxyWarden, joint advisory FBI/CISA/ASD AA23-352A tentang Play Ransomware, analisis dari CybelAngel dan DeXpose.io, serta pemantauan tim Threat Intelligence Seraphim News.
