Berkas di komputer atau server tidak bisa dibuka, namanya berubah, dan muncul catatan yang meminta tebusan. Ransomware bisa menjalar ke folder bersama dan perangkat lain di jaringan yang sama, jadi langkah pertama adalah memutus sambungan.
Tanda-tanda
- Ekstensi berkas berganti menjadi akhiran asing, misalnya
laporan.docx.locked. - Muncul berkas teks seperti
README.txtatauHOW_TO_DECRYPTdi banyak folder. - Wallpaper berganti menjadi pesan tebusan.
- Dokumen, foto, dan database gagal dibuka atau isinya tampak acak.
- Komputer sangat sibuk tanpa sebab dan antivirus mati sendiri.
Lakukan sekarang
- Cabut kabel jaringan dan matikan Wi-Fi perangkat itu. Biarkan perangkat menyala, kecuali sambungan jaringannya tidak bisa diputus.
- Cabut flashdisk, hard disk eksternal, dan drive backup yang tersambung.
- Beri tahu pengelola TI OPD dan rekan yang memakai folder bersama atau server yang sama.
- Foto layar catatan tebusan dan catat jam pertama kali berkas terlihat terkunci.
- Laporkan ke KUTIM-CSIRT dengan tingkat Kritis (lihat bagian Laporkan).
- Periksa perangkat lain di ruangan atau jaringan yang sama, dan putuskan juga sambungannya bila ada tanda serupa.
- Siapkan daftar backup yang ada: lokasinya, tanggal terakhir, dan apakah ikut tersambung saat kejadian.
Jangan
- Jangan membayar tebusan atau menghubungi pelaku. Pembayaran tidak menjamin berkas kembali.
- Jangan menghapus berkas yang terkunci atau catatan tebusan, karena keduanya diperlukan untuk mengenali varian.
- Jangan menjalankan decryptor atau aplikasi pembersih sembarangan dari internet.
- Jangan menyambungkan drive backup ke perangkat yang terinfeksi.
- Jangan menginstal ulang perangkat sebelum bukti diamankan.
Laporkan
Laporkan lewat /lapor dengan kategori Malware / Ransomware dan tingkat keparahan Kritis. Menurut standar pelayanan, tanggapan awal untuk Kritis paling lambat 1 jam. Lampirkan foto catatan tebusan dan contoh nama berkas yang berubah, tanpa melampirkan berkas terenkripsinya. Kirim juga ke csirt@kutaitimurkab.go.id; email diterima 24 jam dan laporan Kritis ditindaklanjuti juga di luar jam kerja. Pada Senin–Jumat 08.00–16.00 WITA Anda dapat menelepon (0549) 2021207.
Proyek No More Ransom menyediakan decryptor untuk sebagian varian ransomware. Untuk perangkat dinas, koordinasikan dulu dengan KUTIM-CSIRT sebelum mengunggah contoh berkas ke layanan pihak ketiga.
Supaya tidak terulang
- Simpan backup terjadwal dengan minimal satu salinan yang terputus dari jaringan, dan uji pemulihannya secara berkala.
- Update sistem operasi dan aplikasi, terutama VPN, firewall, dan server yang terbuka ke internet.
- Jangan membuka Remote Desktop (RDP) langsung ke internet.
- Pakai akun pengguna biasa untuk kerja harian dan akun administrator hanya untuk instalasi.
- Curigai lampiran email yang meminta Enable Content atau berupa berkas ZIP ber-password.