Ransomware Petya

Apa Itu Petya?

Menurut catatan Symantec, program jahat jenis Petya sudah ada sejak tahun 2016. Nama lainnya adalah: NotPetya, Mischa, GoldenEye.

Kaspersky, salah satu perusahaan keamanan jaringan, menyebutnya sebagai NotPetya. Sementara itu, ESET mendeteksinya sebagai Win32/Diskcoder.C.

Menurut ESET, jika Petya berhasil menginfeksi komputer, ia akan mengenkripsi keseluruhan drive alias harddisk.

Kondisi ini diperparah karena serangan dikombinasikan melalui celah keamanan EternalBlue dan EternalRomance. Kemudian ia mengeksploitasi SMB yang sebelumnya digunakan WannaCry untuk masuk ke jaringan dan menyebar melalui PSExec untuk menyebar di dalam jaringan.

Tidak seperti WannaCry, Petya akan menyebar hanya melalui LAN, dan tidak melalui internet. Hanya dibutuhkan satu komputer yang belum di-patch untuk masuk ke  jaringan, ransomware bisa langsung mendapatkan hak administrator dan menyebar ke komputer lain dalam satu jam.

Akibatnya banyak bank, jaringan listrik dan perusahaan pos terinfeksi. Bahkan kantor-kantor pemerintah yang memiliki keamanan berlapis berhasil ditembus.

Perusahaan keamanan siber Kaspersky dari Rusia, mengatakan Petya dirancang sebagai wiper yang kemudian berpura-pura menjadi ransomware.

Petya menjanjikan akan memberikan kode unik untuk membuka kunci dokumen yang terenkripsi. Tetapi menurut analisis yang dilakukan oleh Kaspersky, sekalipun Petya memberikan kode unik itu, maka sejatinya itu hanyalah data acak biasa. 

Program jahat jenis wiper punya tujuan merusak, atau bahkan menghancurkan data pada media penyimpanan komputer. Berdasarkan analisis Kaspersky, maka bisa kita sebut Petya tidak punya kode unik untuk membuka kunci dokumen yang telah terenkripsi, karena dia adalah program jahat penghancur data di hard drive yang menyamar jadi ransomware.

Ini sekaligus jadi berita buruk untuk korban, karena walaupun mereka telah membayar uang tebusan, si penjahat tidak akan mengembalikan datanya. Analisis ini sekaligus memperkuat anggapan bahwa penjahat Petya bukan hanya termotivasi meraih keuntungan finansial, tetapi juga ingin merusak sistem komputer korban.

Format Dokumen yang Dikunci atau Dirusak Petya

.3ds .7z .accdb .ai .asp .aspx .avhd .back .bak .c .cfg .conf .cpp .cs .ctl .dbf .disk .djvu .doc .docx .dwg .eml .fdb .gz .h. hdd .kdbx .mail .mdb .msg .nrg .ora .ost .ova .ovf .pdf .php .pmf .ppt .pptx .pst .pvi .py .pyc .rar .rtf .sln .sql .tar .vbox .vbs .vcb .vdi .vfd .vmc .vmdk .vmsd .vmx .vsdx .vsv .work .xls .xlsx .xvd .zip

Siapa yang Terkena Dampak?

Petya paling banyak menginfeksi komputer di Ukraina, menurut catatan Symantec. Lalu ke Amerika Serikat, Rusia, Prancis, Inggris, Jerman, India, China, Jepang, Irlandia, sampai Brazil, Korea, dan Australia. Berikut data 20 negara yang terdampak Petya, menurut Symantec.

Pesan Khusus ID-SIRTII untuk Tim IT Perusahaan Swasta dan Lembaga Pemerintah

Indonesia Security Incident Response Team on Internet Infrastructure atau ID-SIRTII, memberi imbauan kepada para pekerja kantor swasta atau pemerintahan, untuk mewaspadai ancaman siber ini. ID-SIRTII mengatakan komputer yang telah terinfeksi Petya akan muncul peringatan seperti berikut saat komputer dinyalakan:

DO NOT TURN OFF YOUR PC! IF YOU ABORT THIS PROCESS,YOU COULD DESTROY ALL OF YOUR DATA! PLEASE ENSURE THAT YOUR POWER CABLE IS PLUGGED IN!

Jika muncul pesan seperti ini, ID-SIRTII meminta agar segera mematikan komputer. Jika komputer kamu tetap dalam keadaan mati, maka data akan baik-baik saja.

ID-SIRTII juga memberi arahan antisipasi jika komputer masih dalam keadaan mati:

1. Putuskan koneksi jaringan kabel LAN atau matikan koneksi WiFi (untuk sementara sampai seluruh langkah mitigasi selesai dilakukan dan telah dipastikan sistem operasi komputer telah terupdate dan data penting telah diselamatkan/backup)

2. Lakukan backup semua data yang ada di PC/client/host maupun di server khususnya file sharing. Untuk keamanan, walaupun servernya menggunakan Linux, MacOS dll. Disarankan untuk membackup filenya juga ke external drive kemudian cabut external drive tersebut dan amankan di tempat lain. Apabila terhubung ke online cloud storage yang tersinkronisasi, maka putuskan hubungan untuk sementara sampai semuanya aman

3. Download Tools dan Security Patch secara manual dari komputer lain yang dipastikan aman

4. Install Tools dan Security Patch yang sudah di-download tersebut ke komputer target (korban)

5. Lakukan Full Scan PC / Laptop menggunakan Anti Virus dengan fitur Total Security dengan catatan AV tersebut sudah menggunakan update terbaru

6. Non-aktifkan Macro service pada MS.Office dan SMB Service pada PC/client/host maupun di server, aktifkan Firewall dan block Port 139, 445, 3389 untuk sementara sampai seluruh proses mitigasi, backup dan update patch tuntas dilaksanakan dan tidak ada masalah lain:

- Cara untuk menonaktifkan macro service:
https://support.office.com/en-us/article/Enable-or-disable-macros-in-Office-documents-7b4fdd2e-174f-47e2-9611-9efe4f860b12

- Cara untuk menonaktifkan SMB service
https://support.microsoft.com/en-us/help/2696547/how-to-enable-and-disable-smbv1,-smbv2,-and-smbv3-in-windows-vista,-windows-server-2008,-windows-7,-windows-server-2008-r2,-windows-8,-and-windows-server-2012

- Cara untuk menonaktifkan WMIC (Windows Management Instrumentation Command-line)
https://msdn.microsoft.com/en-us/library/aa826517(v=vs.85).aspx

Kemkominfo bersama ID-SIRTII sampai saat ini mengaku terus memantau dan memitigasi pergerakan dari penyebaran virus Petya di Indonesia.



Sumber:
https://kumparan.com/
https://infokomputer.grid.id/