PERINGATAN KEAMANAN .CERBER RANSOMWARE

------------------------------------------------------

PERINGATAN KEAMANAN / SECURITY ALERTS ID-CERT

Nomor: IDCERT 2016 – 0001

Tanggal: 14 Mei 2016

Diperbaharui: -

===============================================

PENDAHULUAN

~~~~~~~~~~~~~

CERBER adalah ransomware yang cukup kuat yang ditulis/dibuat dengan sangat memperhatikan detil/rincian.

Setelah di-deploy, file-nya menghilang dan berjalanlah salinan turunannya (berganti nama menjadi [kata acak].exe dari folder tersembunyi yang dibuat di %APPDATA%. Beberapa contoh nama file hasil virus CERBER: csrstub.exe, dinotify.exe, ndadmin.exe, setx.exe, rasdial.exe, RelPost.exe, ntkrnlpa.exe. File-file tersebut memiliki creation timestamp yang diedit.

Malware ini juga membuat link ke malware turunannya di: %APPDATA%/Microsoft/Windows/Start Menu/Program/Startup. Pada Process Explorer kita dapat melihat turunannya membuat file baru (digunakan untuk membagi tugas file-file yang terenkripsi).

Malware ini juga membuat perubahan dalam registry Windows.

CERBER dapat mengenkripsi file dalam keadaan offline - ini berarti tidak perlu mengambil key dari server CnC. File yang telah dienkripsi sepenuhnya berganti nama dan ditambahkan dengan ekstensi khas untuk ransomware ini: .cerber.

Setelah mengeksekusi file .cerber tersebut, akan menampilkan pesan tebusan dalam dua bentuk: HTML dan TXT. Pesan ini hanya tersedia dalam bahasa Inggris.

DEKRIPTOR

~~~~~~~~~~

Setelah kami melakukan analisa, tim kami menemukan beberapa dekriptor yang dapat digunakan, namun ini tidak menjamin akan berfungsi optimal. Sebelum menggunakan dekriptor ini ada baiknya dilakukan cloning HDD yang terkena Ransomware ini. Beberapa diantaranya dapat dilihat pada link berikut:

http://nabzsoftware.com/types-of-threats/cerber-file

https://www.pcrisk.com/removal-guides/9842-cerber-ransomware

http://howtoremove.guide/cerber-ransomware-virus-removal/

SOLUSI PENCEGAHAN

~~~~~~~~~~~~~~~~~~

1. Update Flash ke versi terbaru

2. Lakukan backup data secara rutin

Referensi:

https://blog.malwarebytes.org/threat-analysis/2016/03/cerber-ransomware-new-but-mature/

http://www.bleepingcomputer.com/forums/t/606583/cerber-ransomware-support-and-help-topic-decrypt-my-files-htmltxtvbs/page-3