Mengenal Ransomware Yang Menyerang PDNS

[Angela]

Sedang ramai di berita bahwa PDNS atau Pusat Data Nasional Sementara sudah diserang dengan ransomeware LockBit 3.0 dengan varian terbaru yaitu Brain Chiper.

Pusat Data Nasional (PDN) merupakan fasilitas pusat data untuk keperluan penempatan, penyimpanan & pengolahan data, serta pemulihan data yg nantinya dipakai secara bagi data atau data sharing oleh instansi pusat & pemerintah daerah, & saling terhubung di Indonesia

Menurut Kompas.comSerangan ke PDNS itu diketahui setelah regu BSSN, Kementerian Komunikasi & Informatika (Kominfo), & Cybercrime Polri mengerjakan investigasi, setelah gangguan terjadi pada Kamis pekan lalu (20/6/2024).

Apa tiu Ransomeware?

Menurut ibm.com Ransomware adalah tipe malware (Malicious software) yg menyandera data atau perangkat sensitif korban, mengancam akan menguncinya kecuali korban membayar uang tebusan kepada penyerang.

Malicious Software atau perangkat lunak berbahayaadalah program komputer apapun, termasuk ransomware, trojan horse, & spyware, yg sengaja ditulis untuk membahayakan sistem komputer atau penggunanya. - ibm.com

Lockbit 3.0

Lockbit 3.0 adalah versi terbaru dari ransomware Lockbit yg perdana kali ditemukan pada Maret 2022. Malware Ini dipakai oleh penjahat dunia maya atau Cybercriminals untuk mengerjakan serangan ransomware kepada berbagai sektor & organisasi di seluruh dunia termasuk Indonesia yg sekarang sedang menyerang PDNS atau Pusat Data Nasional Sementara.

Setelah memperoleh akses ke sistem korban, penjahat dunia maya mengpakai ransomware untuk mengenkripsi data & menuntut uang tebusan supaya akses ke file sensitif dapat dipulihkan, serupa dengan tujuan varian ransomware lainnya.
Pelaku ancaman ransomware Lockbit 3.0 mengpakai serangkaian teknik untuk mendapatkan akses awal ke jaringan korban, seperti:

1. Serangan brute force kepada kredensial pengguna untuk menyusupi akses Remote Desktop Protocol (RDP) & Virtual Private Network (VPN) yg terhubung ke internet

2. Penggunaan kredensial yg dibeli atau dicuri dari broker akses awal

3. Serangan phishing untuk mendapatkan kredensial pengguna

4. Eksploitasi kerentanan yg diketahui dalam perangkat lunak & kesalahan konfigurasi keamanan



Jika melihat cara & strategi yg dapat dipakai, data center PDNS diserang melalui kesalahan konfigurasi keamanan di dalam sistem windows defender yg dimiliki PDNS. Hal ini terbukti dari berita yg beredar bahwa adanya konfigurasi windows defender yg berubah. Dikutip dari Kompas.com,Juru bicara BSSN Ariandi Putra menjelaskan, berdasarkan Hasil Analis Forensik Sementara, ditemukan adanya upaya penonaktifan fitur keamanan Windows Defender mulai 17 Juni 2024 pukul 23.15 WIB.


Bagaimana cara mitigasi Ransomeware?


ACSC ASD (The Australian Signals Directorates Australian Cyber Security Centre)merekomendasikan organisasi untuk menerapkan mitigasi berikut:

1. Aktifkan & terapkan autentikasi multifaktor untuk mencegah aktor mengakses akun valid dengan kredensial yg dicuri.

2. Selalu perbarui semua sistem operasi, perangkat lunak, & firmware. Menambal sistem perangkat lunak & perangkat keras yg rentan dalam waktu 24 hingga 48 jam sejak kerentanan terungkap.

3. Memantau dengan cermat akses pengguna ke sistem & kebijakan mengatakan sandi yg kuat sangatlah penting.

4. Segmentasi jaringan dapat menolong mencegah penyebaran ransomware dengan mengendalikan arus lalu lintas antara & akses ke berbagai subjaringan & dengan membatasi pergerakan lateral musuh.

5. Pemfilteran lalu lintas jaringan mengpakai aturan firewall stateful akan mencegah lalu lintas tidak sah melintasi batas jaringan.

6. Hentikan koneksi VPN di segmen jaringan terkontrol, cuma mengizinkan koneksi resmi.

7. Blokir akses ke Uniform Resource Identifier (URI) di luar 1 juta situs web atau domain teratas yg terdaftar dalam sebulan terakhir.

8. Tinjau pengontrol domain, server, stasiun kerja, & direktori aktif untuk akun baru dan/atau tidak dikenal.

9. Konfigurasikan Registri Windows supaya memerlukan persetujuan Kontrol Akses Pengguna (UAC) untuk setiap operasi PsExec yg memerlukan hak istimewa administrator untuk mengurangi risiko perpindahan lateral oleh PsExec.

10. Terapkan pemantauan log hypervisor & pastikan bahwa log diproses pada sistem terpisah, sebaiknya dengan SIEM.

11. Menerapkan Kontrol Aplikasi (minimal dalam mode monitor untuk menangkap aktivitas yg tidak biasa).

12. Pelaku ancaman mengpakai teknik malware tanpa file yg berarti pemerintah, dunia usaha, & perseorangan harus memantau eksekusi perangkat lunak apa pun yg tidak dijadwalkan atau dijalankan oleh program tepercaya atau pengguna tepercaya.

13. Lakukan pencadangan harian & jaga supaya tetap offline & terenkripsi. ACSC ASD merekomendasikan bisnis untuk mengikuti strategi cadangan 3-2-1. Artinya organisasi harus memiliki 3 salinan data (1 salinan data produksi & 2 salinan cadangan) pada dua media berbeda seperti disk & tape dengan satu salinan di luar letak untuk pemulihan bencana.

14. Rencana pencadangan & pemulihan bencana yg kuat & dilaksanakan dengan baik akan memberikan pemerintah, dunia usaha, & perseorangan kekuatan yg lebih akbar ketika mengambil keputusan untuk memulihkan file mereka kalau mereka jadi korban.

15. Menyimpan data sensitif dengan kondusif & secara aktif mengurangi data yg tersedia di jaringan bersama akan mengurangi akibat pemerasan dari kelompok ransomware kalau file tersebut dicuri.






Spoiler for Sumber:
2023-03: ASD's ACSC Ransomware Profile Lockbit 3.0 | Cyber.gov.au

BSSN Ungkap Kronologi Serangan Ransomware PDNS, Diawali Peretasan Windows Defender (kompas.com)

Mengenal Ransomware LockBit 3.0 Brain Chiper yg Serang PDNS & Minta Tebusan Rp 130 Miliar (kompas.com)

What is Malware? | IBM

What Is Ransomware? | IBM

Pusat Data Nasional - Wikipedia bahasa Indonesia, ensiklopedia bebas