Mengenal Windows Defender, "Pintu" Awal Serangan Ransomware ke PDNS

Dalam pengujian itu, penyerangan dimulai dengan mengeksploitasi kerentanan pada server terlebih dahulu. Setelah kerentanan dieksploitasi, serangan dilakukan dengan memuat Cobalt Strike, sehingga nantinya memungkinkan untuk mengambil akses dan mengunci file.

Cobalt Strike bisa dimuat karena memanfaatkan kerentanan pada prompt line atau baris perintah yang sah untuk mengakses Windows Defender, yakni MpCmdRun.exe. Saat Cobalt Strike berhasil dimuat, akses sistem komputer pun dikuasai.

Ransomware terus mengalami perkembangan. Pengembang atau operator dari ransomware LockBit juga akan terus mengeksplorasi dan mengeksploitasi alat-alat baru yang bisa membantu aksi peretasan mereka dan menghindari sistem keamanan komputer.

Dari pengujian yang dilakukan One Sentinel, Windows Defender masih memungkinkan untuk diterobos ransomware LockBit. Microsoft sendiri secara tidak langsung mengamini jika antivirusnya masih memungkinkan untuk dilewati ransomware.

Dalam situs resminya, Microsoft memaparkan langkah lanjutan jika pengguna terkena serangan ransomware.

Dalam laman dukungan resmi Microsoft, disebutkan bahwa pengguna mungkin tidak menyadari perangkatnya telah disusupi ransomware, sampai melihat adanya pemberitahuan, baik di jendela, aplikasi, atau pesan layar penuh, yang meminta pengguna untuk membayar sejumlah uang agar bisa mengakses file atau perangkatnya kembali.

Microsoft juga mengimbau pengguna agar tidak membayar uang yang diminta hacker untuk memulihkan file. Sebab, tidak ada jaminan akses akan dipulihkan setelah pembayaran dilakukan.

Pemulihan PDNS

Untuk diketahui, ransomware beroperasi dengan mengunci data pada komputer pengguna. Data yang dikunci itu bakal dijadikan peretas untuk meminta tebusan ke korban. Peretas mengiming-imingi memberikan kunci untuk membuka data jika tebusan diberikan.

Dalam kasus serangan ransomware LockBit 3.0 Brain Chiper ke PDNS, peretas juga meminta tebusan untuk membuka data yang terkunci. Adapun tebusan yang diminta sebesar 8 miliar dollar AS (sekitar Rp 131 miliar).

Setelah diserang beberapa hari, Direktur Jenderal Aplikasi Informatika Kominfo Semuel Abrijani Pangerapan mengatakan, layanan instansi pemerintah dalam PDNS yang sempat terganggu berangsur pulih, seperti layanan imigrasi.

Selain layanan imigrasi, terdapat beberapa layanan lain yang sudah bisa digunakan, antara lain layanan SIKaP Lembaga Kebijakan Pengadaan Barang/Jasa Pemerintah, perizinan event Kemenko Marves, dan website Pemerintah Kota Kediri.

Hingga kini, pihak pemerintah dan pengelola terus melakukan upaya pemulihan. Namun, Herlan Wijanarko selaku Direktur Network & IT Solution PT Telkom mengatakan, data yang terkunci tidak dapat dipulihkan.

"Sejak kejadian sampai dengan hari ini, kami diasistensi oleh BSSN dan kerja sama dengan semua yang terkait, Kominfo, para tenant, Bareskrim. Kami berupaya keras melakukan pemulihan (recovery) dengan sumber daya (resource) yang kami miliki," kata Herlan.

"Yang jelas, data yang sudah kena ransomware ini sudah tidak bisa kami pulihkan," imbuh Herlan dikutip KompasTekno dari YouTube resmi Kementerian Kominfo, pada Rabu sore (26/6/2024).

Menurut Herlan, hasil audit sementara yang dilakukan tim BSSN menunjukkan bahwa kondisi data tersebut dienkripsi, tetapi di tempat, yakni di PNDS 2 Surabaya.