Pemulihan ransomware & pembersihan malware.

Keduanya saling melengkapi dan biasanya berjalan bersamaan, tetapi menjawab pertanyaan yang berbeda. IR & Forensik Digital menginvestigasi dan membuktikan: apa yang terjadi, bagaimana caranya, seberapa jauh dampaknya, dan bukti yang akan diminta regulator atau perusahaan asuransi. Layanan ini membersihkan dan memulihkan: sistem kembali bersih, bisnis kembali berjalan, dan infeksinya dipastikan tidak muncul lagi. Dalam insiden ransomware besar, Anda butuh keduanya. Tim IR menjalankan investigasi dan fungsi komando, sementara kami menjalankan pembersihan dan engineering pemulihan. Untuk infeksi malware yang sudah terisolasi dan tanpa urusan regulasi atau hukum, layanan ini saja biasanya sudah cukup.

Itu keputusan Direksi bersama penasihat hukum Anda sendiri, bukan keputusan teknis. Proyek kami pun direncanakan dengan asumsi Anda tidak membayar. Yang perlu Anda ketahui sebelum memutuskan: pembayaran tidak menjamin dekripsi yang berhasil. Decryptor dari penyerang sering lambat, hanya memulihkan sebagian, atau merusak data saat dijalankan. Jika data Anda sudah dicuri, kunci dekripsi tidak mengembalikannya, dan 'bukti penghapusan' pada dasarnya tidak bisa diverifikasi. Tergantung kelompok yang terlibat, pembayaran bisa berisiko melanggar ketentuan sanksi. Pembayaran juga mendanai serangan berikutnya, dan menandai organisasi Anda sebagai pihak yang mau membayar. Agar jelas soal peran kami: Zentara tidak bernegosiasi dengan threat actor, dan tidak menangani atau mentransfer pembayaran tebusan.

Kadang bisa tanpa tebusan, dan itu selalu hal pertama yang kami cek. Sejumlah keluarga ransomware punya implementasi yang cacat atau kuncinya sudah bocor. Untuk keluarga seperti itu, decryptor gratis tersedia lewat inisiatif seperti No More Ransom. Karena itu, identifikasi varian yang tepat sangat penting. Kadang inilah pembeda antara pemulihan gratis dan pemulihan yang berakhir fatal. Namun untuk ransomware modern yang dibuat dengan baik, jawaban jujurnya: tidak bisa. Enkripsi itu sendiri tidak bisa dipecahkan, dan siapa pun yang menjanjikan sebaliknya hanya sedang menjual janji. Pemulihan lalu bergantung pada backup, dan di situlah persiapan menentukan hasilnya.

Boleh, tapi hanya setelah seluruh sistem terbukti bersih, dan urutan ini tidak bisa ditawar. Restore ke lingkungan yang masih disusupi hanya membuat salinan bersih terakhir Anda ikut terenkripsi, sehingga satu-satunya aset yang tersisa pun hilang. Ada masalah kedua yang terus kami temui: penyerang sengaja mengincar infrastruktur backup sebelum memicu enkripsi. Akibatnya, backup itu sendiri sering ikut terenkripsi, terhapus, atau tidak lengkap. Kami memvalidasi integritas backup sebelum ada yang mengandalkannya, membangun ulang sistem dalam kondisi bersih, lalu menjalankan restore bertahap sesuai tingkat kekritisan bisnis.

Jauh lebih bergantung pada kondisi backup Anda daripada pada malware-nya. Dengan backup yang sudah diuji, terisolasi, dan immutable, sistem kritikal bisa mulai pulih dalam hitungan hari. Jika backup bisa dijangkau dari jaringan yang dibobol, dan ini kasus yang umum, pemulihan bisa memakan waktu berminggu-minggu. Kadang sistem harus dibangun ulang dari nol. Pembersihan dan identifikasi biasanya cepat. Yang menyita waktu adalah restore-nya. Kami mengaturnya bertahap, sehingga sistem penghasil pendapatan dan sistem yang menyangkut keselamatan pulih lebih dulu, bukan berdasarkan urutan abjad.

Besar kemungkinan ya, dan tenggatnya singkat. Menurut UU PDP, kegagalan Pelindungan Data Pribadi umumnya wajib diberitahukan tertulis dalam 72 jam. Pemberitahuan ditujukan kepada lembaga yang berwenang dan kepada Subjek Data Pribadi yang terdampak. Institusi keuangan punya kewajiban tambahan untuk melaporkan insiden ke OJK, dan operator infrastruktur kritis juga menghadapi ketentuan dari BSSN. Dalam sebagian besar skenario nyata, ransomware yang disertai pencurian data termasuk kegagalan Pelindungan Data Pribadi. Karena itu, soal pemberitahuan harus dijawab sejak awal, bukan setelah pemulihan. Kami menyediakan fakta teknis yang dibutuhkan penasihat hukum dan tim kepatuhan Anda untuk menentukannya, sekaligus membantu menyiapkan paket pemberitahuannya.

Karena kami memeriksa semua sistem lain, bukan hanya perangkat yang menunjukkan gejala. Hasil pembersihan diverifikasi dengan menyisir set IOC lengkap di seluruh sistem. Sistem yang tidak pernah dilaporkan justru menjadi sumber infeksi ulang. Setelah itu ada periode pemantauan ketat yang ditetapkan, dan titik masuknya ditutup agar jalur yang sama tidak bisa dipakai dua kali. Jika Anda belum punya kemampuan deteksi sendiri untuk melanjutkannya, inilah saat yang tepat untuk menambah monitoring. Minggu-minggu setelah insiden adalah masa Anda paling rawan diincar lagi oleh penyerang.