RansomHub: Kelompok Ransomware Generasi Baru yang Mengisi Kekosongan Pasca LockBit dan ALPHV

Ringkasan Eksekutif

Paruh pertama 2026 menyaksikan kebangkitan fenomenal RansomHub — kelompok ransomware-as-a-service (RaaS) yang dalam waktu kurang dari 18 bulan telah bertransformasi dari pemain pinggiran menjadi salah satu ancaman ransomware paling dominan secara global.

Dengan lebih dari 400 korban di 60 negara dalam enam bulan pertama 2026, RansomHub secara efektif mengisi kekosongan kekuasaan yang ditinggalkan oleh penurunan operasi LockBit, ALPHV/BlackCat, dan Hive. Kelompok ini tidak hanya mewarisi afiliasi dari operasi yang sudah tutup, tetapi juga mengembangkan taktik dan tooling yang lebih agresif.

RansomHub mengoperasikan model triple extortion — menggabungkan enkripsi data, ancaman publikasi, dan serangan DDoS terhadap infrastruktur korban — dengan syarat bagi hasil 90% untuk afiliasi, tertinggi di industri RaaS saat ini. Artikel ini menganalisis profil kelompok, taktik, target, dan implikasinya bagi pertahanan siber global.

Kelahiran RansomHub: Dari Pemain Kecil ke Dominasi Global

Kemunculan Awal (2024)

RansomHub pertama kali muncul pada Februari 2024, bertepatan dengan operasi penegakan hukum internasional yang melumpuhkan infrastruktur LockBit. Banyak pengamat awalnya menganggap RansomHub sebagai rebranding dari operasi ransomware yang sudah ada — dugaan yang diperkuat oleh kemiripan tooling, leak site, dan taktik negosiasi dengan kelompok sebelumnya.

Namun, analisis forensik selanjutnya mengkonfirmasi bahwa RansomHub adalah entitas independen yang dibangun oleh operator veteran dari beberapa operasi ransomware berbeda. Fondasi teknisnya menunjukkan pengalaman mendalam dengan infrastruktur C2, kriptografi, dan operasi ekstorsi skala besar.

Akselerasi 2025-2026

RANSOMHUB GROWTH TRAJECTORY (2024-2026)

RANSOMHUB

Q1-Q2 2024 : Fase Setup ~30 korban, testing tooling & model bisnis Q3-Q4 2024 : Fase Ekspansi Awal ~80 korban, rekrutmen afiliasi agresif Q1 2025 : Fase Konsolidasi ~100 korban, penyempurnaan TTP Q3-Q4 2025 : Fase Akselerasi ~180 korban, ekspansi ke Asia & LATAM Q1-Q2 2026 : Fase Dominasi 400+ korban, 60+ negara, semua sektor

Faktor Pendorong Pertumbuhan

Tiga faktor utama berkontribusi pada pertumbuhan eksplosif RansomHub:

1. Vacuum Effect: Penutupan LockBit dan ALPHV menciptakan surplus afiliasi berpengalaman yang mencari platform baru. RansomHub menawarkan tooling yang setara dengan syarat yang lebih menguntungkan.

2. Afiliasi Agresif: Program afiliasi RansomHub dikenal sangat selektif — hanya menerima operator dengan rekam jejak terbukti — namun memberikan dukungan teknis 24/7 dan pembayaran tepat waktu yang membangun reputasi kepercayaan di dark web.

3. Inovasi Taktis: RansomHub terus mengembangkan tooling mereka. Setiap kuartal melihat pembaruan signifikan pada encryptor, metode evasi, dan teknik tekanan terhadap korban.

Model Bisnis: RaaS dengan Syarat Agresif

Struktur Revenue Share

RansomHub menawarkan salah satu skema bagi hasil paling agresif di industri RaaS:

Komponen	Detail
Revenue Split Afiliasi	90%
Platform Fee	10% (pengembangan, infrastruktur, leak site)
Minimum Tebusan	Tidak ada (bervariasi berdasarkan profil korban)
Dukungan Afiliasi	24/7 via panel administrasi Tor + chat terenkripsi
Tools Disertakan	Encryptor Windows/Linux/ESXi, tool eksfiltrasi, panel negosiasi, DDoS-for-hire integration
Payment Method	Monero (XMR) eksklusif — tidak ada Bitcoin

Mengapa 90%?

Keputusan RansomHub untuk menawarkan 90% kepada afiliasi — jauh di atas rata-rata industri 70-80% — adalah langkah strategis yang disengaja:

• Survival jangka pendek pada fase awal (2024): menarik afiliasi dari platform mapan
• Membangun loyalitas: afiliasi yang dibayar lebih besar cenderung tidak berpindah ke kompetitor
• Volume over margin: dengan volume korban yang tinggi, 10% dari total tebusan tetap menghasilkan pendapatan signifikan untuk operator inti
• Efek jaringan: semakin banyak afiliasi menggunakan RansomHub, semakin kuat reputasi dan posisi tawarnya

Posting Lowongan Kerja

Pada Januari 2026, RansomHub mempublikasikan “lowongan kerja” di forum dark web RAMP — langkah yang sangat tidak lazim bahkan di dunia cybercrime:

RansomHub Affiliate Program — Now Recruiting
Requirements:
  - Proven experience with initial access or lateral movement
  - Portfolio of successful operations (3+ confirmed)
  - Proficiency with Cobalt Strike, Sliver, or Brute Ratel
  - No amateurs

Benefits:
  - 90% revenue share
  - 24/7 technical support
  - Continuous tooling updates
  - Fast payout (within 24 hours of payment)
  - No targeting restrictions

Posting ini menandakan kepercayaan diri yang tinggi dan ambisi untuk terus memperluas operasi.

Anatomi Serangan: TTP yang Membedakan

Initial Access

RansomHub mengandalkan beragam vektor initial access, menunjukkan adaptabilitas tinggi:

# RansomHub Initial Access Vectors (berdasarkan analisis insiden)

1. Eksploitasi kerentanan VPN dan perimeter devices
   - Fortinet FortiOS (CVE-2024-21762, CVE-2024-23113)
   - Citrix NetScaler (CVE-2023-4966 "CitrixBleed")
   - Ivanti Connect Secure (CVE-2025-0282 dan varian baru)

2. Kredensial yang dibeli dari Initial Access Brokers (IAB)
   - Kredensial RDP, VPN, Citrix, VDI
   - Harga: $100-$10,000 tergantung target

3. Phishing bertarget dengan malware loader
   - SocGholish, GootLoader, dan custom loaders

4. Eksploitasi kerentanan aplikasi web
   - SharePoint, Exchange, Confluence yang belum di-patch

Defense Evasion

RansomHub mengadopsi pendekatan multi-layer untuk menonaktifkan pertahanan:

# RansomHub Defense Evasion Chain

[FASE 1] Terminasi proses EDR/AV menggunakan driver kernel rentan
         (Bring Your Own Vulnerable Driver — BYOVD)

[FASE 2] Penonaktifan Windows Defender via PowerShell + Group Policy
         Set-MpPreference -DisableRealtimeMonitoring $true
         Set-MpPreference -DisableBehaviorMonitoring $true
         Set-MpPreference -DisableIOAVProtection $true

[FASE 3] Penghapusan Volume Shadow Copy
         vssadmin delete shadows /all /quiet
         wmic shadowcopy delete

[FASE 4] Terminasi proses database (SQL, Oracle, Exchange, SharePoint)
         untuk membebaskan file yang akan dienkripsi

[FASE 5] Disable Windows Recovery Environment
         reagentc /disable
         bcdedit /set {default} recoveryenabled No

[FASE 6] Hapus Windows Event Logs untuk menghilangkan jejak
         wevtutil cl System
         wevtutil cl Security
         wevtutil cl Application

Encryption Strategy

Encryptor RansomHub bersifat modular dan dapat dikustomisasi per target:

RANSOMHUB ENCRYPTOR SPECIFICATIONS

RANSOMHUB

Algoritma : ChaCha20 + RSA-4096 hybrid Mode : Intermittent encryption (parsial per file) Platform : Windows, Linux, VMware ESXi Kecepatan : ~2.5 GB/menit (NVMe) — intermittent mode Ekstensi File : .ransomhub, .rh (bervariasi per kampanye) Ransom Note : HowToRestore.txt / README_FOR_DECRYPT.txt

Penggunaan intermittent encryption — hanya mengenkripsi sebagian blok setiap file — adalah taktik kunci yang memungkinkan enkripsi jauh lebih cepat tanpa mengorbankan efektivitas (file tetap tidak dapat digunakan).

Triple Extortion

RansomHub mempopulerkan model triple extortion yang kini diadopsi oleh banyak kelompok:

TRIPLE EXTORTION MODEL

TRIPLE

Layer 1: DATA ENCRYPTION File bisnis-kritis dienkripsi. Tebusan untuk decryptor. Layer 2: DATA PUBLICATION Data sensitif dicuri sebelum enkripsi. Ancaman publikasi di leak site. Countdown timer: 72-168 jam. Layer 3: DDoS ATTACK (RansomHub Innovation) Infrastruktur publik korban (website, API, portal pelanggan) diserang DDoS. Tekanan tambahan: “Bayar atau bisnis Anda tidak akan bisa beroperasi online.”

Korban Profil Tinggi

Sektor yang Ditargetkan

RansomHub tidak membatasi target berdasarkan sektor atau wilayah. Distribusi korban Q1-Q2 2026:

Sektor	Persentase	Catatan
Manufaktur	24%	Otomotif, elektronik, farmasi, makanan
Layanan Profesional	18%	Hukum, konsultan, akuntansi, arsitektur
Healthcare	14%	Rumah sakit, klinik, penyedia layanan kesehatan
Teknologi	13%	SaaS, MSP, perusahaan IT
Retail	10%	Rantai toko, e-commerce
Pemerintahan	8%	Pemerintah daerah, lembaga publik
Pendidikan	7%	Universitas, distrik sekolah
Infrastruktur Kritis	6%	Energi, air, transportasi

Insiden Signifikan

Beberapa serangan RansomHub yang mendapat perhatian global:

RCOG (Royal College of Obstetricians and Gynaecologists) — Maret 2026

Institusi medis bergengsi di Inggris menjadi korban serangan yang mengekspos data pasien, catatan kehamilan, dan dokumen penelitian klinis. Serangan ini memicu investigasi Information Commissioner’s Office (ICO) dan perdebatan tentang keamanan data institusi medis di Inggris.

Municipal Government Attack — April 2026

Pemerintah kota di Amerika Serikat bagian Midwest mengalami penghentian total layanan digital — termasuk sistem pembayaran pajak, perizinan, dan layanan publik — selama 18 hari. Pemulihan penuh memakan waktu lebih dari dua bulan.

Logistics Provider Breach — Mei 2026

Perusahaan logistik global dengan operasi di 40 negara mengalami gangguan operasional yang berdampak pada rantai pasok klien-klien besar mereka. Data pelacakan pengiriman, informasi pelanggan, dan dokumen kontrak dipublikasikan di leak site setelah negosiasi gagal.

Perbandingan dengan Kompetitor

Aspek	RansomHub	Qilin	AKIRA	INC Ransom
Volume H1 2026	400+	500+	~450	~200
Revenue Split	90%	80-85%	70-80%	75%
Extortion Model	Triple	Triple	Double	Double
Encryptor Platform	Win + Linux + ESXi	Win + WSL Linux	Win only	Win + ESXi
BYOVD	Ya	Ya	Ya	Tidak
DDoS Layer	Ya	Tidak	Tidak	Tidak
Payment	Monero only	Bitcoin + Monero	Bitcoin + Monero	Bitcoin
Target Restriction	Tidak ada	Tidak ada	Tidak ada	Tidak ada

Indikator Kompromi dan Deteksi

Hash File (Contoh Kampanye Terbaru)

# Contoh IoC RansomHub — diperbarui secara berkala
ransom_note_filenames:
  - "HowToRestore.txt"
  - "README_FOR_DECRYPT.txt"
  - "RECOVERY_INSTRUCTIONS.html"

file_extensions:
  - ".ransomhub"
  - ".rh"
  - ".encrypted"

ransom_note_patterns:
  - "Your files have been encrypted by RansomHub"
  - "Contact us via Tor browser"
  - "Unique ID for your company"

# YARA rule untuk RansomHub encryptor (Windows)
rule RansomHub_Encryptor {
    meta:
        description = "Detects RansomHub encryptor"
        author = "Seraphim Threat Intelligence"
        date = "2026-07-15"
    strings:
        $s1 = "ransomhub" ascii nocase
        $s2 = "HowToRestore" ascii
        $s3 = "ChaCha20" ascii
        $s4 = "vssadmin delete shadows" ascii nocase
        $s5 = "wevtutil cl" ascii
    condition:
        uint16(0) == 0x5A4D and 3 of ($s1, $s2, $s3, $s4, $s5)
}

Network Indicators

# RansomHub C2 dan infrastruktur (contoh)
Tor hidden services (.onion) — untuk leak site dan negosiasi
HTTPS beaconing dengan user-agent non-standar
Koneksi ke IP dari ASN bulletproof hosting (Rusia, Iran, dan negara lainnya)
Eksfiltrasi data via port 443 dengan volume >500MB dalam 1 jam

# Pola DDoS
Serangan UDP amplification (DNS, NTP, CLDAP, Memcached)
Traffic spike 10-50 Gbps ke infrastruktur publik korban

Deteksi Log Windows

# Deteksi aktivitas pre-encryption
Get-WinEvent -LogName "Security" | Where-Object {
    $_.Id -eq 4688 -and (
        $_.Message -match "vssadmin" -or
        $_.Message -match "bcdedit" -or
        $_.Message -match "wevtutil cl" -or
        $_.Message -match "Set-MpPreference"
    )
}

# Deteksi enkripsi massal
Get-WinEvent -LogName "Security" | Where-Object {
    $_.Id -eq 4663 -and $_.Message -match "\.ransomhub"
}

Mengapa RansomHub Sulit Ditakedown

RansomHub dirancang dengan prinsip resiliensi yang membuat operasi penegakan hukum sangat sulit:

1. Infrastruktur Terdistribusi

Tidak seperti LockBit yang memiliki infrastruktur terpusat (memungkinkan Operation Cronos melumpuhkan mereka dalam satu operasi terkoordinasi), RansomHub mengoperasikan infrastruktur yang sangat terdesentralisasi:

• Leak site: Di-host di multiple Tor mirrors dengan failover otomatis
• Panel afiliasi: Setiap afiliasi memiliki panel admin terpisah
• C2 servers: Rotasi IP setiap 24-48 jam via fast-flux DNS
• Payment processing: Monero (tidak bisa dilacak seperti Bitcoin)

2. Tidak Ada Figur Sentral

Berbeda dengan LockBit (LockBitSupp) atau ALPHV (admin pusat), RansomHub tidak memiliki figur publik. Komunikasi dengan korban selalu melalui portal negosiasi terenkripsi tanpa identitas personal operator. Ini mempersulit upaya identifikasi dan penangkapan.

3. Afiliasi Independen

Model RaaS RansomHub memberikan otonomi penuh kepada afiliasi untuk memilih target, metode, dan tools. Bahkan jika infrastruktur pusat ditakedown, afiliasi dapat beralih ke platform lain dengan pengalaman dan data yang sudah diperoleh.

Rekomendasi Mitigasi

Pencegahan

1. Patch perimeter devices — Fortinet, Citrix, Ivanti, dan semua VPN/remote access devices harus selalu up-to-date. Ini adalah vektor initial access paling umum untuk RansomHub.

2. Audit dan rotasi kredensial — kredensial yang dibeli dari IAB adalah vektor initial access kedua paling umum. Rotasi password berkala, enforced MFA, dan monitoring dark web untuk kredensial bocor adalah langkah kritis.

3. Nonaktifkan atau batasi PowerShell untuk pengguna non-administratif. Gunakan Constrained Language Mode dan Script Block Logging.

4. Backup offline dan immutable — strategi 3-2-1-1-0 (3 salinan, 2 media, 1 offsite, 1 air-gapped, 0 error) adalah pertahanan terakhir yang paling efektif.

5. Network segmentation — pisahkan sistem kritis dari jaringan umum. Jika satu segmen terkompromi, lateral movement ke sistem kritis harus dipersulit.

Deteksi

ransomhub_detection_rules:
  endpoint:
    - monitor_service_termination: true
    - alert_on_vssadmin_delete: true
    - alert_on_bcdedit_recovery_disable: true
    - monitor_bulk_file_renames: true
    - alert_on_defender_disable: true

  network:
    - monitor_tor_outbound: true
    - alert_on_data_exfiltration_volume: true
    - monitor_ddos_inbound_traffic: true
    - geoip_alert_bulletproof_asn: true

  identity:
    - alert_on_admin_account_creation: true
    - monitor_privileged_group_changes: true
    - alert_on_impossible_travel: true

Response

1. Isolasi segera — putuskan koneksi jaringan (fisik, bukan hanya disable network adapter via software) pada host yang terinfeksi
2. Jangan restart — preserve volatile memory untuk forensic analysis
3. Identifikasi strain — upload ransom note ke platform seperti ID Ransomware atau No More Ransom
4. Jangan bayar tebusan — pembayaran mendanai operasi kriminal dan tidak ada jaminan data dipulihkan
5. Lapor ke otoritas — BSSN, CSIRT, FBI IC3, atau otoritas lokal yang relevan
6. Aktifkan incident response plan — libatkan tim forensik eksternal, penasihat hukum, dan komunikasi krisis

Kesimpulan

RansomHub merepresentasikan ancaman ransomware paling serius di tahun 2026. Dengan 400+ korban dalam enam bulan, model triple extortion yang inovatif, revenue split 90% yang sangat agresif bagi afiliasi, dan infrastruktur yang dirancang untuk bertahan dari upaya takedown — kelompok ini telah mengisi kekosongan yang ditinggalkan oleh LockBit dan ALPHV dengan efisiensi yang mengkhawatirkan.

Yang membedakan RansomHub bukan hanya volume. Kelompok ini menggabungkan tooling teknis canggih dengan pemahaman mendalam tentang psikologi negosiasi dan tekanan bisnis. Lapisan DDoS pada model triple extortion menambahkan urgensi operasional yang tidak bisa diabaikan oleh korban — pertanyaan bukan lagi “bisakah kami memulihkan data?” tetapi “bisakah kami tetap beroperasi?”

Pertahanan terhadap RansomHub memerlukan pendekatan berlapis: perimeter security yang ketat (patch management, MFA, credential hygiene), deteksi dini (behavioral monitoring, threat hunting), dan yang paling fundamental — backup yang benar-benar tidak bisa dijangkau oleh attacker. Karena dalam lanskap RaaS 2026, tidak ada organisasi yang terlalu kecil atau terlalu tidak penting untuk menjadi target.

Artikel ini disusun berdasarkan analisis tim Threat Intelligence Seraphim News, laporan dari CISA, Europol, BSSN, serta pemantauan forum dark web dan leak site ransomware sepanjang Q1-Q2 2026.