Setelah maraknya ransomeware Wannacry beberapa waktu lalu kini muncul kembali ancaman ransomware baru yang serupa dan disebut dengan Malware Petya. Berkaitan dgn hal tersebut, sebagai antisipasi meluasnya insiden pada saat awal hari kerja pada hari Senin 3 Juli 2017 mendatang - setelah libur panjang Idul Fitri 1438 Hijriah, maka untuk seluruh SKPD mengikuti langkah-langkah untuk pencegahan dan mitigasi ransomware tersebut, yg secara umum langkah penanganan Ransomeware Petya mirip dengan Ransomware Wannacry. Informasi tentang ini dapat diakses di alamat http://s.id/ransom

* Asumsi jika PC dalam keadaan menyala
PC yang terinfeksi ransomware Petya akan muncul peringatan serperti berikut pada saat setelah proses reboot:

"DO NOT TURN OFF YOUR PC! IF YOU ABORT THIS PROCESS, TOU COULD DESTROY ALL OF YOUR DATA! PLEASE ENSURE THAT YOUR POWER CABLE IS PLUGGED IN!"

Jika muncul pesan seperti ini segera MATIKAN PC Anda, jika PC Anda tetap dalam keadaan mati maka data Anda akan baik-baik saja.

* Asumsi antisipasi PC dalam keadaan mati :

1. Putuskan koneksi jaringan kabel LAN atau matikan koneksi WiFi (untuk sementara sampai seluruh langkah mitigasi selesai dilakukan dan telah dipastikan sistem operasi komputer telah terupdate dan data penting telah diselamatkan / backup).
2. Lakukan backup semua data yang ada di PC / client / host maupun di server khususnya file sharing. Untuk keamanan, walaupun servernya menggunakan Linux, MacOS dll. Disarankan untuk membackup filenya juga ke external drive kemudian cabut external drive tersebut dan amankan di tempat lain. Apabila terhubung ke online cloud storage yang tersinkronisasi, maka putuskan hubungan untuk sementara sampai semuanya aman.
3. Download Tools dan Security Patch secara manual dari komputer lain yang dipastikan aman.
4. Install Tools dan Security Patch yang sudah di-download tersebut ke komputer target (korban).
5. Lakukan Full Scan PC / Laptop menggunakan Anti Virus dengan fitur Total Security dengan catatan AV tersebut sudah menggunakan update terbaru.
6. Non-aktifkan Macro service pada MS.Office dan SMB Service pada PC / client / host maupun di server, aktifkan Firewall dan block Port 139, 445, 3389 untuk sementara sampai seluruh proses mitigasi, backup dan update patch tuntas dilaksanakan dan tidak ada masalah lain:

* Cara untuk menonaktifkan macro service:

https://support.office.com/en-us/article/Enable-or-disable-macros-in-Office-documents-7b4fdd2e-174f-47e2-9611-9efe4f860b12

* Cara untuk menonaktifkan SMB service:
https://support.microsoft.com/en-us/help/2696547/how-to-enable-and-disable-smbv1,-smbv2,-and-smbv3-in-windows-vista,-windows-server-2008,-windows-7,-windows-server-2008-r2,-windows-8,-and-windows-server-2012

* Cara untuk menonaktifkan WMIC (Windows Management Instrumentation Command-line) https://msdn.microsoft.com/en-us/library/aa826517(v=vs.85).aspx

Untuk komunikasi dan konsultasi lebih lanjut, silahkan menghubungi:
Email: info@idsirtii.or.id untuk permintaan informasi umum tentang ancama ini
Email: incident@idsirtii.or.id untuk laporan insiden dan permintaan bantuan teknis
Whatsapp M.S. Manggalanny: +62 811-99-360-71 ; Adi Jaelani: +62 857-2414-4246

Tentang RANSOMEWARE  PETYA :

a. Apa itu Petya ?

Ransomware Petya mengeksploitasi eksploitasi SMBv1 EternalBlue, sama seperti WannaCry yang memanfaatkan Sistem Operasi Microsoft Windows yang tidak melakukan patching dan update berkala - misalnya karena menggunakan aplikasi bajakan atau alasan untuk menghindari konflik sistem dengan in house application di perusahaan.

b. Bagaimana cara bekerja Petya ?

Belum diketahui dengan jelas mekanisme penyebarannya. Namun diduga mirip dengan Ransomware Wannacry yang dapat menyebar dan melakukan infeksi otomatis melalui jaringan lokal LAN dan internet (attachment email atau inject dari malware sites). Berdasarkan Security Advisory dari Microsoft, Ransomware Petya berhasil menyebar karena menggabungkan serangan sisi klien (CVE-2017-0199) dan ancaman berbasis jaringan (MS17-010).

c. Apa dampak dari Petya  ?

Data akan terenkripsi pada komputer yang terinfeksi Ransomware Petya. Modusnya sedikit berbeda dengan Ransomware Wannacry, dimana Ransomware Petya akan melakukan proses booting secara paksa atau kalau tidak berhasil maka membuat sistem crash sehingga user mau tidak mau melakukan proses booting. Bila proses booting dilakukan, maka Ransomware Petya akan melakukan enkripsi terhadap Master Boot Record (MBR), File Allocation Table (FAT) dan Master File Table (MFT) untuk file system jenis NTFS. Sebagai akibatnya HDD tidak akan bisa diakses (terenkripsi). Oleh karena itu, apabila komputer yang dicurigai (target) telah menjadi korban sedang dalam keadaan menyala, sebaiknya segera dimatikan dan tidak melakukan booting sebelum dilakukan backup. Sedangkan bila dalam keadaan mati, agar dilakukan backup terlebih dahulu menggunakan Live Operating System yang dijalankan dari CD atau USB Drive.

d.  Sudah sejauh mana penyebarannya ?

Ransomware Petya diketahui telah menjangkiti ribuan komputer dalam waktu singkat beberapa hari yang lalu di Ukraina. Kemudian menyebar ke seluruh Eropa terutama Perancis, Inggris dan akhirnya sampai ke Asia Selatan khususnya India, Pakistan dan juga dilaporkan Turki. Dari pemantauan online, sudah 250 ribu komputer terinfeksi dan dikhawatirkan jumlahnya akan meningkat karena sejumlah negara sedang musim libur musim panas dan lebaran seperti di Indonesia dan Malaysia.

e. Apa yang harus dilakukan agar kita tidak terkena ?

Mirip seperti Ransomware Wannacry, langkah pencegahan yang paling utama adalah BACKUP, BACKUP, BACKUP dan dilaksanakan secara rutin / otomatis. Satu backup bukan backup, dua backup tidak cukup, harus ada backup ketiga yang terpisah dari sistem yang hendak dibackup. Kemudian menggunakan Operating System dan Aplikasi orisinal yang memiliki fitur secara rutin/otomatis melakukan update/patch kerawanan keamanan. Selanjutnya menggunakan, mengaktifkan sistem proteksi dan secara rutin / otomatis update Anti Virus khususnya yang memiliki fitur Proteksi Anti Ransomware dan Anti Malware lainnya.

Lakukan backup semua data yang ada di PC / client / host maupun di Server khususnya File Sharing. Untuk keamanan, walaupun servernya menggunakan Linux, MacOS dll. Disarankan untuk membackup filenya juga ke external drive kemudian cabut external drive tersebut dan amankan di tempat lain. Apabila terhubung ke online cloud storage yang tersinkronisasi, maka putuskan hubungan untuk sementara sampai semuanya dipastikan telah aman.

f. Karena masyarakat pernah terekspos Ransomware WANNACRY, maka :

1) Apa bedanya ?

Berbeda dengan Ransomware Wannacry, proses enkripsi pada ransomware Petya terjadi setelah pengguna melakukan proses reboot/booting. Jadi jika sistem Anda terinfeksi Ransomware Petya dengan  meminta uang jaminan dan komputer anda melakukan restart, jangan menyalakannya kembali karena itu adalah proses enkripsi. Jadi, jika Anda tidak menyalakannya kembali  atau komputer anda masih dalam keadaan tidak aktif (off), maka data Anda akan baik-baik saja. Segera lakukan proses backup dengan menggunakan Live Operating System menggunakan CD atau USB Drive.

2) Apakah langkah-langkah untuk pencegahannya berbeda ?

Langkahnya hampir sama dengan Ransomware Wannacry, ada beberapa tambahan:

* nonaktifkan WMIC (Windows Management Instrumentation Command-line).
https://msdn.microsoft.com/en-us/library/aa826517(v=vs.85).aspx
(Nuty/Dinkominfo)