Melalui mekanisme tersebut, pelaku dapat menyebarkan perintah berbahaya ke sejumlah komputer tanpa perlu memasang malware secara terpisah pada setiap perangkat.

GPO yang telah dimodifikasi digunakan untuk menonaktifkan akun administrator lokal, menampilkan tuntutan tebusan, serta mengubah tampilan wallpaper desktop dan layar kunci komputer.

Pesan tebusan kemudian muncul setelah komputer menerima dan menerapkan kebijakan jaringan yang telah diubah oleh pelaku. Serangan tidak berhenti pada penguncian perangkat. Pelaku juga berupaya mengambil data dan aset perusahaan.

Setelah data berhasil dieksfiltrasi dan mekanisme penguncian administratif diterapkan, informasi yang dicuri kemudian dipublikasikan di dark web sebagai bagian dari tekanan terhadap korban agar memenuhi tuntutan pelaku.

Menurut Elsayed, pola tersebut menunjukkan bahwa perusahaan perlu memperluas pendekatan dalam menghadapi ancaman ransomware.

Organisasi, kata dia, tidak cukup hanya melakukan pemindaian malware pada perangkat pengguna karena sumber serangan dalam kasus ini berada pada kebijakan administrasi jaringan.

“Organisasi harus memprioritaskan pemblokiran kebijakan berbahaya dari sumbernya, memperketat akses kredensial administratif, serta mengalihkan strategi pertahanan ke pemantauan perilaku alih-alih sekadar memindai malware,” ujarnya.

Untuk mencegah serangan serupa, Kaspersky menyarankan administrator jaringan memantau setiap pembuatan maupun perubahan GPO. Sistem peringatan keamanan juga perlu dikonfigurasi untuk memberikan notifikasi apabila terdapat aturan baru yang dikaitkan dengan root jaringan perusahaan.

Perusahaan juga disarankan menggunakan autentikasi multifaktor yang kuat dan tahan terhadap phishing, terutama untuk akses ke sistem administrasi jaringan serta VPN.

Salah satu opsi yang direkomendasikan adalah penggunaan kunci keamanan fisik. Selain itu, hak istimewa administrator perlu dibatasi. Administrator TI umum sebaiknya tidak memiliki akses penuh secara bersamaan terhadap seluruh komputer dan server perusahaan.

Kaspersky juga menyarankan agar akun domain administrator dengan hak akses tinggi hanya digunakan pada sistem khusus yang terisolasi. Langkah tersebut bertujuan mencegah kredensial berprivilege tinggi menjadi satu jalur yang dapat digunakan penyerang untuk mengambil alih seluruh jaringan perusahaan.