Ransomware merupakan jenis malicious software tertentu yang menuntut tebusan finansial dari seorang korban dengan melakukan penahanan pada aset atau data yang bersifat pribadi. Kegiatan penyebaran ransomware dilakukan oleh penyerang atau Threat Actor dengan tujuan utama adalah finansial, oleh karenanya Threat Actor menjadikan data pribadi sebagai ancamannya.
Ransomware merupakan sebuah nama dari kelas malware yang terdiri dari dua kata, ransom (tebusan) dan malware, yang bertujuan untuk menuntut pembayaran untuk data / informasi pribadi yang telah dicuri, atau data yang aksesnya dibatasi (enkripsi). Saat ini, malicious software telah melakukan diversifikasi (usaha memperoleh keuntungan) dengan cara mereka memeras uang dari korban. Orang dapat berargumen bahwa ransomware adalah bentuk pemerasan sederhana yang digunakan untuk pemerasan secara massal, disebarkan ke banyak pengguna dan dibuat lebih efisien dengan memanfaatkan Cryptocurrency untuk anonymity sebuah transaksi.
Munculnya ransomware telah menjadi sebuah epidemi secara global karena hal tersebut terus memakan banyak korban di seluruh dunia, memaksa perusahaan untuk memutuskan antara mencoba memulihkan data dari cadangan (dan berpotensi kehilangan data penting sejak cadangan terakhir) dan membayar sejumlah besar tebusan kepada peretas. Ransomware telah menjadi berita utama baru-baru ini dengan mengumpulkan korban yang terkenal, termasuk rumah sakit Los Angeles, dan dua rumah sakit Jerman. Dari CryptoLocker, Locky, dan Kovter, hingga serangan baru-baru ini yang memanfaatkan CryptXXX, dan Petya. Pada tahun 2017, Rumah Sakit Kanker Dharmais dan Rumah Sakit Harapan Kita, Jakarta terkena ransomware Wannacry yang mengakibatkan beberapa database pasien pada komputer tidak dapat diakses. Malware bermodus menyandera data dan meminta tebusan uang itu telah mengunci sistem dan data pasien dengan meminta uang Rp 4 juta sebagai tebusan.
Berdasarkan gambar 1, serangan ransomware diawali dengan “malware arrival” ditandai adanya aktivitas dari pengguna baik melakukan klik sebuah malicious links atau malicious software. Setiap malware yang telah diklik, akan secara otomatis melakukan koneksi ke C2C (Command and Control) yang merupakan pusat kegiatan malicious software untuk melakukan pengiriman perintah (Command) dan melakukan kontrol pada victim (Control). Pada tahap koneksi ke C2C, malware akan melakukan unduh file pendukung lainnya untuk dapat melakukan serangan lebih dalam lagi. Selanjutnya, malware akan mencari file penting untuk dapat melakukan pencurian atau target penguncian file. Setiap file yang menjadi target, akan dilakukan enkripsi dan akan memunculkan sebuah file note yang berisi alamat email penyerang beserta nomor rekening pembayaran untuk dapat melakukan dekripsi file yang terkunci. Dengan demikian, penyerang akan memberikan mekanisme dekripsi file jika pembayaran sudah dilakukan. Namun, hal tersebut tidak dapat dipastikan karena beberapa pengguna yang terkena ransomware dan melakukan pembayaran, penyerang tidak memberikan informasi ini.
Berdasarkan jurnal Mihail Anghel dan Andrei Racautanu pada tahun 2019 yang berjudul “A note on different types of ransomware attacks” jenis ransomware dikategorikan menjadi 4 (empat) yaitu :
Jenis ransomware ini, setelah dijalankan, secara diam-diam akan melakukan pencarian dan mengenkripsi file penting di sistem komputer korban. Setelah langkah pertama selesai, sebuah pesan ditampilkan kepada pengguna yang meminta tebusan dan untuk mengembalikan file yang terkunci (enkripsi). Instruksi rinci disajikan kepada pengguna, bahkan informasi kontak baik telepon maupun email disediakan. Setelah tebusan dibayarkan, korban akan diberikan kunci atau kode untuk dekripsi file, yang dapat dijalankan khusus untuk mendekripsi file di sistem komputer korban. Contoh dari encrypting ransomware adalah CryptoWall, CryptoLocker, WannaCry dan Locky.
Beda halnya dengan Ransomware jenis Encrypting, Ransomware jenis non-encrypting melakukan penguncian akses pengguna ke sebuah sistem komputer tanpa melakukan enkripsi pada sistem file dan menampilkan pesan penyerang untuk menuntut sebuah tebusan (ransom) atau meminta tindakan pengguna yang membutuhkan uang untuk membuka kunci. Untuk membuat pengguna membayar uang tebusan, beberapa threat actor meminta korbannya. untuk diberikan pembayaran di awal dengan meminta pengguna untuk menghubungi nomor telepon tertentu. Contoh ransomware ini adalah Winlocker dan Reveton.
Jenis ransomware ini berbeda dari yang sebelumnya di atas karena mereka tidak memblokir akses ke sistem komputer korban atau informasi apa pun yang disimpan di dalamnya. Namun sebaliknya, secara diam-diam mengumpulkan informasi sensitif dari sistem komputer dan menggunakannya untuk melakukan blackmail atau black campaign korban. Informasi yang dikumpulkan disimpan di server atau mesin lain yang terinfeksi dan penyerang mengancam korban bahwa data akan dipublikasikan jika pembayaran tidak dilakukan.
Ransomware ini menargetkan perangkat seluler (ponsel, tablet, dll) dan mengincar data sensitif pengguna perangkat. Threat actor melakukan pembatasan akses dari pengguna ke data korban, dan hanya muncul informasi mengenai detail yang harus dibayarkan beserta informasi penyerang pada perangkat korban.
Dalam melakukan penanganan insiden siber ransomware, perlu dilakukan penelusuran terkait penyebab malicious software (malware) yang mengakibatkan terkuncinya data pengguna. Kegiatan penelusuran insiden siber dapat dilakukan sesuai dengan tahapan sebagai berikut :
Tahap ini adalah tahap dimana kebijakan, prosedur,teknologi, dan sumber daya manusia harus disiapkan secara matang, dimana akan digunakan pada proses penanganan terhadap insiden. Dalam suatu organisasi/institusi, kemampuan melakukan respon yang cepat terhadap suatu insiden, merupakan persiapan yang mendasar bagi penanganan insiden siber ransomware.
Langkah yang dapat diambil, sebagai berikut :
Melakukan identifikasi dan analisis terhadap sistemt erdampak guna mendapatkan akar permasalahan dari insiden yang terjadi. Langkah yang dapat dilakukan :
Tahap ini bertujuan untuk mencegah penyebaran Ransomware. Prosedur yang dilakukan pada tahap penahanan adalah sebagai berikut :
Tahap ini merupakan tahapan dimana beberapa teknik yang berbeda-beda digunakan untuk melakukan analisa terhadap malware dan menghapus malware dari sistem yang telah terinfeksi. Proses-proses yang dilakukan dalam tahap ini adalah sebagai berikut :
Tahap pemulihan merupakan tahap mengembalikan sistem terdampak pada kondisi normal seperti semula. Proses yang dilakukan adalah sebagai berikut :
Tahap ini adalah fase di mana semua dokumentasi kegiatan yang dilakukan dicatat sebagai referensi untuk masa mendatang. Prosedur yang dapat dilakukan adalah sebagai berikut:
Untuk mencegah terjadinya insiden siber ransomware, berikut beberapa tips yang dapat dilakukan :
Untuk dapat memastikan sistem komputer mendapatkan patch terbaru dan pembaruan terbaru, perlu melakukan aktivasi fitur “Windows Update”. Fitur ini akan selalu memeriksa pembaruan terbaru pada pusat data sistem komputer Windows. Setiap pembaruan yang diterima akan dilakukan instalasi pada sistem komputer. Usahakan untuk melakukan backup sebelum melakukan pembaruan sistem guna mencegah adanya kerusakan atau eror pada saat melakukan instalasi pembaruan sistem;
Anti-Virus yang tersedia secara default dari sistem komputer Windows adalah Windows Defender. Anti-Virus ini sangat membantu sistem komputer untuk mengetahui keberadaan aplikasi tidak dikenal atau mempunyai signature malware. Selalu pastikan melakukan scanning pada sistem dan melakukan update pembaruan pada Anti-Virus tersebut.
Waspada akan adanya email spam yang mencantumkan sebuah link untuk di klik atau mengunduh sebuah file. Cek terlebih dahulu setiap link dengan menggunakan VirusTotal, untuk mendapatkan info bahwa link tersebut malicious atau tidak.
Windows Firewall merupakan salah satu elemen terpenting dari OS Windows. Fitur Windows Firewall terus ditingkatkan seperti mengontrol koneksi keluar dari suatu aplikasi serta user juga mampu mengatur Windows Firewall dengan cukup mudah. Program-program pada Windows ini akan secara otomatis membuat sebuah Rules/Aturan di dalam Windows Firewall sehingga program tersebut bisa melakukan Update.
Teknologi Safe Browsing Google dapat memeriksa miliaran URL per hari untuk mencari situs yang tidak aman. Setiap hari, Google menemukan ribuan situs baru yang tidak aman, yang sebagian besar merupakan situs sah yang telah disusupi. Jika mendeteksi situs yang tidak aman, Google akan menampilkan peringatan dan dapat menelusuri untuk melihat apakah situs saat ini berbahaya untuk dikunjungi.
Lakukan backup sistem atau file penting secara berkala dengan melakukan backup pada media penyimpanan eksternal. Sehingga jika terjadi kerusakan data akan dapat dilakukan restore pada sistem terakhir melakukan backup.
Sumber : govcsirt.bssn.go.id