Spirals Ransomware: Kelompok Baru Mampu Enkripsi Jaringan dalam 24 Jam — Double Extortion dengan Encryptor Berbasis Rust
Daftar Isi 37 bagian
Ringkasan Eksekutif
Pada pertengahan Juli 2026, para peneliti keamanan dari Symantec Threat Hunter Team dan BleepingComputer mengidentifikasi sebuah kelompok ransomware baru yang beroperasi dengan nama Spirals. Yang membedakan Spirals dari pendatang baru lainnya adalah kemampuannya menyelesaikan siklus serangan penuh — dari akses awal hingga enkripsi seluruh jaringan — dalam waktu kurang dari 24 jam.
Dalam insiden pertama yang terdokumentasi secara publik, Spirals menargetkan sebuah perusahaan jasa teknologi informasi di Asia Selatan. Dimulai dari kompromi server IIS yang terekspos internet, penyerang melakukan serangkaian taktik agresif: mengerahkan web shell, membangun persistensi melalui RDP dan tools tunneling, mencuri kredensial dari LSASS dan SAM registry, menonaktifkan Windows Defender dan layanan backup menggunakan PowerShell, dan akhirnya mengenkripsi lebih dari selusin sistem menggunakan encryptor berbasis bahasa pemrograman Rust yang didistribusikan melalui PsExec.
Spirals mengadopsi model double extortion — mengenkripsi data korban sekaligus mencurinya untuk ancaman publikasi. Ransom note disimpan di C:\RECOVERY_SECTION.log dan berisi ancaman eksplisit untuk mempublikasikan data curian jika tebusan tidak dibayarkan.
Kemunculan Spirals menandai eskalasi dalam lanskap ransomware: dwell time yang sangat rendah mempersempit jendela deteksi dan respons. Organisasi yang mengandalkan proses eskalasi dan mitigasi multi-hari kini menghadapi ancaman yang dapat menyelesaikan misinya sebelum tim keamanan sempat merespons.
Profil Spirals: Siapa dan Apa
Spirals adalah kelompok ransomware yang pertama kali terdeteksi secara publik pada Juli 2026 melalui laporan Symantec dan BleepingComputer. Hingga saat publikasi, belum ada atribusi definitif terhadap aktor negara atau kelompok kriminal tertentu. Namun, beberapa karakteristik memberikan petunjuk tentang profil mereka:
Karakteristik Kunci Spirals:
-
Hands-on-Keyboard Operation: Spirals tidak mengandalkan malware otomatis atau worm untuk menyebar. Operator secara manual bergerak melalui jaringan korban menggunakan kredensial yang dicuri dan tools administrasi standar — sebuah pendekatan yang membutuhkan keahlian teknis tinggi dan keterlibatan manusia yang signifikan.
-
Toolset Canggih namun Konvensional: Spirals menggunakan kombinasi tools open-source (Chisel, revsocks), layanan cloud sah (Cloudflare Tunnel), dan utilitas Windows bawaan (PsExec, rundll32, PowerShell) — bukan malware kustom yang kompleks. Ini adalah pendekatan “living off the land” yang menyulitkan deteksi.
-
Fokus pada Kecepatan: Setiap fase serangan dioptimalkan untuk kecepatan, bukan stealth. Ini adalah trade-off yang disengaja: penyerang memprioritaskan menyelesaikan serangan sebelum terdeteksi, bukan menghindari deteksi sama sekali.
-
Double Extortion Model: Spirals mencuri data sebelum enkripsi dan mengancam publikasi, mengikuti model yang kini standar di kalangan kelompok ransomware profesional.
-
Encryptor Rust: Penggunaan bahasa pemrograman Rust untuk encryptor menunjukkan kematangan teknis — Rust menawarkan performa tinggi, keamanan memori, dan kompilasi lintas platform yang mempersulit reverse engineering.
Studi Kasus: Serangan terhadap Perusahaan IT Asia Selatan
Insiden pertama yang terdokumentasi melibatkan sebuah perusahaan penyedia layanan teknologi informasi di Asia Selatan. Meskipun nama perusahaan tidak diungkapkan karena alasan privasi dan investigasi yang sedang berlangsung, detail teknis serangan memberikan gambaran komprehensif tentang TTP Spirals.
Profil Korban
| Atribut | Detail |
|---|---|
| Sektor | Jasa Teknologi Informasi |
| Lokasi | Asia Selatan |
| Entry Point | Server IIS (Internet Information Services) yang terekspos internet |
| Sistem Terdampak | Lebih dari 12 server dan workstation |
| Waktu dari Akses Awal ke Enkripsi | Kurang dari 24 jam |
| Dampak | Enkripsi penuh, data dicuri untuk double extortion |
Signifikansi Target
Perusahaan jasa TI adalah target strategis karena:
- Akses ke sistem dan data klien — potensi supply chain attack
- Infrastruktur yang terhubung ke banyak organisasi — memperluas dampak
- Sering memiliki akses istimewa ke jaringan klien — nilai ekstorsi lebih tinggi
- Kemungkinan membayar tebusan lebih besar karena dampak reputasi terhadap klien
Attack Kill Chain: Dari Initial Access ke Enkripsi Penuh
Berdasarkan analisis forensik oleh Symantec, berikut adalah kill chain serangan Spirals yang terdokumentasi:
Fase 1: Initial Access
INITIAL ACCESS — VIA IIS WEB SERVER
[ENTRY VECTOR]
- Server Microsoft IIS (Internet Information Services)
yang terekspos ke internet
- Kerentanan spesifik belum diidentifikasi secara publik
- Kemungkinan vektor:
- Eksploitasi kerentanan IIS yang belum di-patch
- Kredensial yang lemah atau bocor untuk panel administrasi
- Kerentanan pada aplikasi web yang di-host di server IIS
- SQL Injection pada aplikasi yang terhubung
[WEB SHELL DEPLOYMENT]
- Setelah akses awal, penyerang men-deploy
ASP.NET web shell di server IIS
- Web shell menyediakan:
- Eksekusi perintah jarak jauh
- Upload/download file
- Akses persisten ke server yang dikompromikan
Fase 2: Persistensi dan Peningkatan Akses
PERSISTENCE & PRIVILEGE ESCALATION
[1] RDP ENABLEMENT
- Enable Remote Desktop Protocol (RDP) jika belum aktif
- Membuka akses remote langsung ke server
- Bypass potensi restriksi web shell
[2] LOCAL ACCOUNT CREATION
- Membuat akun pengguna lokal baru
- Menambahkan akun ke grup Administrator lokal
- Memberikan akses persisten yang tidak bergantung pada
kredensial yang ada
[3] TUNNELING TOOLS DEPLOYMENT
- Deploy revsocks — reverse SOCKS proxy
- Deploy Chisel — TCP/UDP tunneling tool
- Deploy Cloudflare Tunnel client (dengan nama yang diubah)
- Membangun multiple redundant paths untuk C2
Fase 3: Credential Theft
CREDENTIAL THEFT — AGGRESSIVE DUMPING
[1] SAM REGISTRY HIVE DUMPING
- Ekstraksi password hash dari Security Account Manager
- Menggunakan tools bawaan Windows atau third-party
- Hash dapat digunakan untuk pass-the-hash attack
[2] LSASS MEMORY DUMPING
- Teknik: rundll32.exe comsvcs.dll, MiniDump
- Target: Local Security Authority Subsystem Service
- Hasil: Password plaintext, NTLM hash, Kerberos tickets
- Dilakukan pada MULTIPLE hosts — bukan hanya entry point
[3] CREDENTIAL HARVESTING
- Pengumpulan kredensial dari berbagai sumber:
- Browser saved passwords
- Konfigurasi aplikasi
- Script dan file konfigurasi yang mengandung kredensial
Fase 4: Discovery dan Lateral Movement
LATERAL MOVEMENT — RDP-BASED
[1] ACTIVE DIRECTORY ENUMERATION
- Identifikasi domain controller
- Pemetaan struktur AD — user, grup, komputer
- Identifikasi target bernilai tinggi (file server, backup, DB)
[2] RDP LATERAL MOVEMENT
- Menggunakan kredensial yang dicuri
- RDP ke server dan workstation lain dalam jaringan
- Mengulangi siklus credential theft pada setiap host baru
- Target: Domain Controller, File Server, Backup Server
[3] CREDENTIAL REUSE CHAIN
- Satu set kredensial admin -> akses ke semakin banyak sistem
- Setiap sistem baru -> kredensial baru -> akses lebih luas
- Dalam hitungan jam: akses ke selusin lebih sistem
Fase 5: Defense Evasion dan Preparation
DEFENSE EVASION — POWERSHELL-BASED
[1] DISABLE WINDOWS DEFENDER
- PowerShell cmdlets untuk menonaktifkan Windows Defender
- Set-MpPreference -DisableRealtimeMonitoring $true
- Menghapus definisi signature terbaru
[2] STOP SECURITY SERVICES
- Menghentikan layanan EDR/AV (jika ada)
- Menargetkan proses keamanan spesifik:
- SentinelOne
- CrowdStrike Falcon
[3] STOP BACKUP & DATABASE SERVICES
- Menghentikan layanan Veeam, Acronis, Commvault
- Menghentikan layanan SQL Server, Exchange
- Menghentikan layanan virtualisasi (VMware, Hyper-V)
[4] DELETE VOLUME SHADOW COPIES
- vssadmin delete shadows /all /quiet
- Menghilangkan opsi pemulihan lokal
Fase 6: Enkripsi (Impact)
ENCRYPTION PHASE — DISTRIBUTED VIA PsExec
[1] DEPLOY Encryptor VIA PsExec
- PsExec.exe \\TARGET -s -d C:\Windows\Temp\bitsadmin.exe
- Berjalan sebagai NT AUTHORITY\SYSTEM
- File disamarkan sebagai "bitsadmin.exe" — menyamar sebagai
utilitas Windows yang sah (BITS Admin)
[2] ENCRYPTION BEHAVIOR
- Encryptor berbasis Rust
- File ditargetkan jika ukuran > 5 MB
- Untuk file besar: enkripsi dalam chunk (blok) secara intermiten
(intermittent encryption) — meningkatkan kecepatan secara
dramatis
- Pola enkripsi parsial menyulitkan pemulihan tanpa decryptor
[3] RANSOM NOTE
- Judul: C:\RECOVERY_SECTION.log
- Disimpan di root drive sistem
- Berisi instruksi pembayaran dan ancaman publikasi data
- Double extortion: "bayar atau data Anda dipublikasikan"
Fase 7: Extortion
EXTORTION — DOUBLE EXTORTION MODEL
[1] RANSOM DEMAND
- Jumlah tebusan spesifik tidak diungkapkan
- Pembayaran dalam cryptocurrency (kemungkinan Bitcoin/Monero)
- Tenggat waktu sebelum data dipublikasikan
[2] DATA LEAK THREAT
- Data yang dicuri akan dipublikasikan di leak site
- Ancaman eksplisit dalam ransom note
- Meningkatkan tekanan pada korban
[3] NEGOTIATION CHANNEL
- Kemungkinan melalui portal Tor (.onion)
- Komunikasi terenkripsi
Analisis Teknis Encryptor
Encryptor Berbasis Rust
Spirals menggunakan encryptor yang ditulis dalam bahasa pemrograman Rust — pilihan yang semakin populer di kalangan pengembang malware karena:
-
Performa Tinggi: Rust mendekati performa C/C++ tanpa overhead garbage collector. Ini berarti enkripsi file berukuran besar dapat dilakukan lebih cepat.
-
Keamanan Memori: Rust mencegah bug memori umum (buffer overflow, use-after-free) pada waktu kompilasi, menghasilkan malware yang lebih stabil dan sulit di-crash oleh solusi keamanan.
-
Kompilasi Lintas Platform: Satu basis kode dapat dikompilasi untuk Windows, Linux, dan sistem lain — memungkinkan satu encryptor menargetkan berbagai lingkungan.
-
Sulit Direverse: Binari Rust memiliki karakteristik yang berbeda dari C/C++, mempersulit analisis oleh reverse engineer yang terbiasa dengan malware tradisional.
Teknik Intermittent Encryption
Salah satu fitur paling signifikan dari encryptor Spirals adalah penggunaan intermittent encryption (enkripsi intermiten atau parsial):
INTERMITTENT ENCRYPTION — CARA KERJA
[FILE BESAR (> 5 MB)]
File: [████████████████████████████████████████████████████]
| | | |
v v v v
Enkripsi hanya pada chunk (blok) tertentu, bukan seluruh file:
[XXXX][····][XXXX][····][XXXX][····][XXXX][····]
^ ^ ^ ^
Chunk 1 Chunk 2 Chunk 3 Chunk 4
(terenkripsi) (terenkripsi) (terenkripsi) (terenkripsi)
Bagian yang tidak terenkripsi ([····]) tetap dalam bentuk
aslinya, tetapi file secara keseluruhan menjadi tidak dapat
digunakan tanpa decryptor.
[KEUNTUNGAN BAGI PENYERANG]
- Kecepatan enkripsi 3-10x lebih cepat
- File tetap rusak dan tidak dapat digunakan
- Lebih sulit dideteksi (operasi disk lebih singkat)
- Lebih sulit dipulihkan tanpa decryptor spesifik
Penyamaran sebagai BITS Admin
Encryptor didistribusikan dengan nama bitsadmin.exe — menyamar sebagai Background Intelligent Transfer Service (BITS) Administration Tool milik Windows yang sah. Teknik ini:
- Mengecoh administrator yang melihat daftar proses —
bitsadmin.exeadalah nama yang familiar - Memanfaatkan kepercayaan terhadap utilitas Windows yang ditandatangani Microsoft (meskipun binary ini tidak ditandatangani)
- Menghindari aturan deteksi berbasis nama file yang mencari pola seperti
encrypt,ransom, ataulocker
Taktik Defense Evasion
Living Off the Land
Spirals secara ekstensif menggunakan teknik “living off the land” — memanfaatkan tools dan utilitas yang sudah ada di sistem Windows untuk menjalankan serangan:
| Tool | Legitimate Use | Malicious Use oleh Spirals |
|---|---|---|
PsExec.exe |
Administrasi sistem jarak jauh (Sysinternals) | Distribusi encryptor ke seluruh jaringan |
rundll32.exe |
Menjalankan fungsi DLL | Dumping memori LSASS via comsvcs.dll |
PowerShell |
Administrasi dan otomatisasi Windows | Menonaktifkan Defender, menghentikan layanan |
cmd.exe |
Command prompt Windows | Eksekusi perintah arbitrer |
vssadmin.exe |
Manajemen Volume Shadow Copy | Menghapus semua shadow copies |
PowerShell Attack Scripts
Spirals menggunakan PowerShell payload untuk melakukan beberapa tindakan secara simultan:
# Pola serangan PowerShell yang teramati:
# 1. Menonaktifkan Windows Defender
Set-MpPreference -DisableRealtimeMonitoring $true
Set-MpPreference -DisableIOAVProtection $true
# 2. Menghentikan layanan keamanan
Stop-Service -Name "SentinelAgent" -Force
Stop-Service -Name "CSFalconService" -Force
# 3. Menghentikan layanan backup
Stop-Service -Name "Veeam*" -Force
Stop-Service -Name "SQL*" -Force
# 4. Menghapus Volume Shadow Copies
vssadmin.exe delete shadows /all /quiet
Menghindari Deteksi Jaringan
Penggunaan Cloudflare Tunnel yang sah (meskipun dengan nama yang diubah) memungkinkan traffic C2 Spirals tersembunyi di antara traffic Cloudflare yang sah — sebuah teknik yang sangat sulit dideteksi karena:
- Traffic dienkripsi dengan TLS
- Tujuan adalah IP Cloudflare yang sah dan bereputasi baik
- Tidak ada pola traffic mencurigakan ke IP jahat yang dikenal
Tunneling dan C2 Infrastructure
Salah satu aspek paling canggih dari operasi Spirals adalah penggunaan multiple redundant tunneling tools untuk memastikan akses persisten ke jaringan korban:
TUNNELING ARCHITECTURE SPIRALS
[INTERNET] <--> [CLOUDFLARE TUNNEL] <--> [NETWORK KORBAN]
(cloudflared,
nama diubah)
[INTERNET] <--> [CHISEL TUNNEL] <--> [NETWORK KORBAN]
(TCP/UDP tunnel,
open-source)
[INTERNET] <--> [REVSOCKS] <--> [NETWORK KORBAN]
(Reverse SOCKS5 proxy)
TUJUAN REDUNDANCY:
- Jika satu tunnel terdeteksi dan diblokir, tunnel lain tetap aktif
- Setiap tunnel menggunakan protokol dan pola traffic berbeda
- Cloudflare Tunnel paling sulit dideteksi karena menggunakan
infrastruktur sah
C2 Infrastructure
| Indikator | Nilai |
|---|---|
| IP C2 Teridentifikasi | 185.141.216[.]194 |
| Domain Staging | computer.kplus[.]com |
| Domain Staging | beta.padmin[.]com |
Domain staging digunakan untuk hosting payload tahap awal dan sebagai rendezvous point untuk C2. Domain-domain ini kemungkinan adalah domain sah yang telah dikompromikan, bukan domain yang didaftarkan khusus untuk operasi jahat.
Indikator Kompromi (IoC)
File Indicators
| Indikator | Detail |
|---|---|
| Ransom Note | C:\RECOVERY_SECTION.log |
| Encryptor Binary | bitsadmin.exe (nama samaran, bukan BITS Admin asli) |
| Encryptor Hash (SHA-256) | 0f9574dc38e5c34a31153f0bcc603c6ec29cb3bf65c3d25380dbe86d42573141 |
| Nama Alternatif Encryptor | vbr2116.exe |
| revsocks Hash (SHA-256) | 4cab935d0ec400059a3fcdc95b6623efdd51a61dff401fba8d5da244cc2de649 |
| Tunnel Binary Hash (SHA-256) | 7f0d49b11d0a3697685622ce510c570199bf2dc76515b3f9a6b6735de8c9134b |
Network Indicators
| Indikator | Detail |
|---|---|
| IP | 185.141.216[.]194 |
| Domain | computer.kplus[.]com |
| Domain | beta.padmin[.]com |
| Traffic Pattern | Koneksi TLS ke IP Cloudflare (untuk Cloudflare Tunnel) |
| Traffic Pattern | Koneksi ke port non-standar untuk Chisel dan revsocks |
Behavioral Indicators
BEHAVIORAL IOCs — PRIORITAS DETEKSI
[KRITIS] Web server (IIS/w3wp.exe) spawn cmd.exe atau powershell.exe
[KRITIS] Aktivasi RDP yang tidak terjadwal pada server
[KRITIS] Pembuatan akun pengguna lokal baru
[TINGGI] PsExec.exe berjalan dari direktori tidak standar (%TEMP%, %PUBLIC%)
[TINGGI] rundll32.exe dengan parameter comsvcs.dll, MiniDump
[TINGGI] PowerShell mengeksekusi perintah menonaktifkan Defender
[TINGGI] vssadmin.exe delete shadows
[SEDANG] Binary tidak bertanda tangan dengan nama "bitsadmin.exe"
[SEDANG] Upload tools tunneling (Chisel, Cloudflare) ke direktori web
[SEDANG] Proses enkripsi file dalam jumlah besar
Mengapa 24 Jam? Analisis Kecepatan Serangan
Kemampuan Spirals menyelesaikan enkripsi penuh dalam 24 jam adalah signifikan dan memerlukan analisis. Beberapa faktor yang memungkinkan kecepatan ini:
1. Hands-on-Keyboard, Bukan Automated Worm
Berbeda dengan ransomware yang mengandalkan worm otomatis (seperti NotPetya atau WannaCry), pendekatan manual Spirals sebenarnya lebih cepat dalam konteks tertentu:
- Operator manusia dapat beradaptasi dengan topology jaringan secara real-time
- Tidak ada waktu terbuang untuk probing dan enumerasi yang tidak perlu
- Keputusan taktis (sistem mana yang harus diprioritaskan) dibuat secara instan
2. Intermittent Encryption
Teknik enkripsi intermiten (hanya mengenkripsi sebagian dari setiap file) secara dramatis mengurangi waktu yang dibutuhkan untuk fase enkripsi:
PERBANDINGAN WAKTU ENKRIPSI
Full Encryption:
File 10 GB -> Enkripsi 10 GB -> 30-60 menit per file
Intermittent Encryption (Spirals):
File 10 GB -> Enkripsi ~2.5 GB (25% secara intermiten) -> 5-10 menit
3. Tidak Ada Fase Eksfiltrasi Panjang
Meskipun Spirals mengklaim melakukan double extortion, bukti menunjukkan bahwa fase eksfiltrasi mungkin dilakukan bersamaan dengan fase lain atau dibatasi pada file-file kunci — tidak menunggu eksfiltrasi penuh sebelum enkripsi.
4. Target Selection
Perusahaan jasa IT dengan server IIS yang terekspos internet menyediakan entry point yang ideal:
- Akses langsung ke jaringan internal melalui web server
- Tidak perlu melewati perimeter security yang kompleks
- Web server sering memiliki koneksi ke sistem internal untuk operasi normal
5. No Sleep, No Wait
Tidak seperti beberapa kelompok ransomware yang menunggu akhir pekan atau jam non-kerja, Spirals tidak menunjukkan periode dorman — mereka bergerak terus-menerus dari awal hingga akhir.
Rekomendasi Deteksi dan Mitigasi
Deteksi Dini
Prioritaskan aturan deteksi yang dapat menangkap aktivitas Spirals sebelum fase enkripsi:
[SIEM RULES — PRIORITAS TERTINGGI]
Rule 1: WEBSHELL DETECTION
condition: IIS worker process (w3wp.exe) spawns cmd.exe or powershell.exe
action: Immediate investigation, isolate host
Rule 2: UNAUTHORIZED RDP ACTIVATION
condition: Registry key HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\fDenyTSConnections modified to 0
action: Alert SOC, verify authorization
Rule 3: NEW LOCAL ACCOUNT CREATION
condition: Event ID 4720 (user account created) on server systems
action: Verify legitimacy, disable if unauthorized
Rule 4: LSASS ACCESS
condition: Process (not svchost.exe) opens handle to LSASS.exe with specific access rights
action: Investigate source process, check for credential dumping
Rule 5: BITSADMIN IMPERSONATION
condition: Process named "bitsadmin.exe" NOT signed by Microsoft, OR bitsadmin.exe running from non-standard path
action: Immediate containment, check file hash against IoC list
Hardening Jangka Panjang
[HARDENING — EDGE DEVICES & WEB SERVERS]
1. IIS HARDENING
- Hapus header versi IIS (Server: Microsoft-IIS/X.X)
- Batasi ekstensi file yang dapat dieksekusi
- Gunakan application pool identity terpisah
- Patch IIS dan aplikasi web secara rutin
- Deploy Web Application Firewall (WAF)
2. CREDENTIAL PROTECTION
- Aktifkan Windows Defender Credential Guard
- Gunakan LSA Protection (RunAsPPL)
- Batasi jumlah akun dengan hak Domain Admin
- Rotasi password administrator secara berkala
3. POWERSHELL CONSTRAINED LANGUAGE MODE
- Aktifkan PowerShell Constrained Language Mode
- Aktifkan PowerShell Script Block Logging
- Batasi penggunaan PowerShell untuk pengguna non-admin
4. RDP RESTRICTIONS
- Nonaktifkan RDP jika tidak diperlukan
- Gunakan Network Level Authentication (NLA)
- Batasi akses RDP via IP whitelisting atau VPN
- Monitor sesi RDP untuk anomali
5. BACKUP STRATEGY
- 3-2-1-1-0 Rule
- Immutable backup — tidak dapat diubah atau dihapus
- Air-gapped backup — terpisah secara fisik dari jaringan
- Test restore secara berkala
Kesimpulan
Kemunculan Spirals pada Juli 2026 menandai babak baru dalam eskalasi ransomware: dwell time di bawah 24 jam yang memampatkan seluruh kill chain — dari akses awal hingga enkripsi penuh — ke dalam satu hari kerja. Ini adalah pengingat keras bahwa model respons insiden tradisional yang mengasumsikan jendela deteksi beberapa hari atau minggu sudah tidak lagi valid.
Beberapa pelajaran kunci dari Spirals:
Pertama, kecepatan adalah senjata. Spirals tidak mengandalkan malware canggih atau zero-day eksotis. Mereka mengandalkan eksekusi yang cepat dan agresif. Dengan bergerak dari akses awal ke enkripsi dalam 24 jam, mereka mempersempit jendela deteksi ke titik di mana banyak organisasi tidak akan sempat merespons.
Kedua, “living off the land” adalah taktik yang semakin matang. Spirals menggunakan tools sah (PsExec, PowerShell, Cloudflare Tunnel, Chisel) yang sudah ada di banyak lingkungan atau mudah diunduh. Pendekatan ini membuat deteksi berbasis signature menjadi tidak efektif — yang dibutuhkan adalah behavioral detection yang memahami konteks.
Ketiga, intermittent encryption adalah game-changer. Dengan hanya mengenkripsi sebagian dari setiap file besar, encryptor Rust Spirals dapat menyelesaikan enkripsi dalam hitungan menit, bukan jam. Teknik ini tidak hanya mempercepat serangan tetapi juga menyulitkan pemulihan tanpa decryptor spesifik.
Keempat, web server yang terekspos adalah entry point pilihan. Server IIS korban adalah titik masuk — sebuah pengingat bahwa web server adalah target prioritas yang harus diamankan dengan standar tertinggi, termasuk WAF, patch rutin, dan monitoring agresif.
Kelima, redundansi tunneling mempersulit pemutusan akses. Spirals menggunakan tiga tools tunneling berbeda (revsocks, Chisel, Cloudflare Tunnel) untuk memastikan setidaknya satu jalur C2 tetap aktif. Organisasi harus memiliki kemampuan untuk mendeteksi dan memblokir traffic tunneling tidak sah — terutama yang menyamar sebagai layanan cloud sah.
Spirals mungkin baru muncul, tetapi TTP mereka menunjukkan kematangan operasional yang mengkhawatirkan. Organisasi harus menyesuaikan postur keamanan mereka sekarang — bukan setelah menjadi korban — dengan memperkuat deteksi dini, mempercepat respons, dan mempersulit setiap fase kill chain. Dalam era ransomware 24 jam, setiap menit berarti.
Artikel ini disusun berdasarkan laporan BleepingComputer oleh Bill Toulas (16 Juli 2026), analisis teknis Symantec Threat Hunter Team, laporan Gridinsoft, serta analisis tim Threat Intelligence Seraphim News. File hash dan IoC diverifikasi terhadap sumber-sumber primer dari peneliti keamanan.
