Cara Mencegah Ransomware WannaCry, DIsable SMBv1 dan Blokir Port 139/445 dan 3389 + Kode Decryp

Mungkin artikel ini tidak ada hubungannya dengan poster atau desain, tapi mengingat informasi perihal Ransomware WannaCry v2.0 sedang viral dan banyak yang menjadi korbannya, maka ada sedikit informasi perihal preventif dan reaktifnya yang mungkin bisa dicoba.

Untuk preventif dengan cara menonaktifkan SMB (Server Messages Block) yang dicurigai menjadi exploit yang dimanfaatkan oleh Ransomware ini:

---

Bagi pengguna Win8 / Win8.1 / Win10:

1. Buka "Control Panel"

*) Windows 10 user, cukup klik kanan Start Icon dan pilih dari menu yang muncul.

2. Pilih menu "Programs and Features".

3. Pilih opsi "Turn Windows featurs on or off".

4. Uncheck "SMB 1.0/CIFS File Sharing Support"

5. Cek buat SMB 2.0 dan SMB 3.0 juga. Klo gaada coba run Shell script dibawah.

6. Restart.

-

Bagi pengguna Win7 or earlier:

1. Buka Start Menu

2. Ketik ISE, pilih "Windows PowerShell ISE".

*) Atau dapat dicari di: All Programs -> Accessories -> Windows PowerShell -> Windows PowerShell ISE.

3. Ketik ini untuk SMBv1 (ketikkan/copas satu persatu, lengkap dari awal sampai akhir):

> Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" SMB1 -Type DWORD -Value 0 -Force

> sc.exe config lanmanworkstation depend= bowser/mrxsmb20/nsi

> sc.exe config mrxsmb10 start= disabled

4. Lalu untuk SMBv2 dan SMBv3 (ketikkan/copas satu persatu, lengkap dari awal sampai akhir):

> Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" SMB2 -Type DWORD -Value 0 -Force

> sc.exe config lanmanworkstation depend= bowser/mrxsmb10/nsi 

> sc.exe config mrxsmb20 start= disabled

5. Apabila mendapatkan error "Access is denied", tutup PowerShell, lalu ulangi langkah kedua. Namun kali ini, saat menemukan programnya, klik kanan dan pilihlah "Run as administrator".

6. Restart.

Untuk memblokir port melalui Firewall:

1. Buka "Control Panel".

2. Klik "System and Security".

3. Klik "Windows Firewall".

4. Klik "Advanced Settings" pd menu bagian kiri.

5. Klik "Inbound Rules".

6. Lihat pada menu bagian kanan, lalu klik "New Rules".

7. Pilih/Klik "Port" dan klik "Next".

8. Pilih/Klik "TCP".

9. Pilih/Klik "Specific local ports:" isikan/ketik: 139, 445, 3389, lalu klik "Next".

10. Pilih/Klik "Block the connection" dan klik "Next".

11. Pastikan Pilihan "Domain", "Private" dan "Public" terpilih (checked), lalu klik "Next".

12. Isikan/ketik nama rule, misal: "Block Port Ransomware", lalu klik "Finish".

-

Untuk mematikan macro di Ms. Office:

1. Jalankan program Ms. Office manapun.

2. Klik menu "File" pilih "Options".

3. Klik "Trust Center".

4. Klik "Trust Center settings".

5. Klik "Macro settings".

6. Check/pilih "Disable all macros without notification", lalu klik "OK".

7. Lakukan hal yg sama pd program Ms. Office yg lain.

---

Bagi yang sudah terkena Ransomware tersebut, dapat dicoba langkah reaktif berikut. Berlaku untuk seluruh versi OS Windows:

1. Masuk ke Safe Mode

2. Klik Safe Boot -> minimal, klik OK dan Restart

3. Setelah direstart masuk ke: 

Control Panel -> Folder Options -> Show Hidden File, lalu klik Apply.

*) Untuk pengguna Windows 8 keatas, tinggal klik tab "View" di Explorer dan cek box "Hidden Files".

4. Masuk ke:

msconfig -> Startup -> Disable Program yang mencurigakan atau tidak diketahui, klik OK, lalu klik "Exit without Restart".

5. Hapus File Berbahaya (File Virusnya Semua)

6. Periksa folder berikutnya untuk menemukan file yang mencurigakan:

%TEMP%

%APPDATA%

%ProgramData%

(Jika ada folder / File Wanna Cry hapus langsung)

7. Cek host file, karena itu bisa corrupt sama si Virus

Letak host:

C:\windows\System32\drivers\etc

nanti ada file host lalu buka pake notepad

(Disitu jika ada situs yang ga diketahui, maka hapus langsung)

8. Masuk lagi ke msconfig terus disable Safe Mode klik ok lalu Restart

9. Setelah direstart, tidak ada "Decryption Tool" sekarang, tapi ente dapat merestore file dari backup atau mengembalikan folder yang terpisah

10. Sekarang ente bisa lihat versi lama dari file yang terenskripsi

11. Hapus File bernama:

Readme.txt.WCRY

License.txt.WCRY

History.txt.WCRY

!Please Read Me!.txt

!WannaDecryptor!.exe

Cara Lain:

Cara Menonaktifkan SMB v1 via regedit (semua windows)

Buka Notepad Paste Kode di bawah ini, kemudian save dengan extensi .reg, setalah itu double click dan restart PC

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters]

"SMB1"=dword:00000000

8. Jangan Mengaktifkan Fungsi Macros

Windows Scripting Host (kerap disingkat menjadi WSH) merupakan sebuah aplikasi yang mendorong fungsi-fungsi skripting di dalam metode operasi Windows 2000, Windows NT Option Pack, Windows 98, Windows XP, dan Windows Vista yang membiarkan para administrator untuk mengeksekusi skrip-skirp untuk sebagian tugas administratif, bagus itu menerapkan cscript.exe ataupun wscript.exe.Perlu Anda kenal Bahwa Fungsi macros dipakai untuk menghindari file dari aplikasi Ms. Office, atau WScript terkena akibat penyebaran Malware Ransomware Wannacrypt.

Berikut ini adalah langkah untuk mengetahui status Windows Script & Macro ON / OFF :

Klik Start -> Run , kemudian ketik: “wscript” tanpa tanda kutip

Jika ada pesan: “Windows Script Host access is disabled on this machine. Contact your administrator for details.”, itu tandanya WSH (Windows Script Host) dalam posisi OFF

3. Setelah direstart masuk ke: 

Control Panel -> Folder Options -> Show Hidden File, lalu klik Apply.
*) Untuk pengguna Windows 8 keatas, tinggal klik tab "View" di Explorer dan cek box "Hidden Files".
4. Masuk ke:
msconfig -> Startup -> Disable Program yang mencurigakan atau tidak diketahui, klik OK, lalu klik "Exit without Restart".
5. Hapus File Berbahaya (File Virusnya Semua)
6. Periksa folder berikutnya untuk menemukan file yang mencurigakan:
%TEMP%
%APPDATA%
%ProgramData%
(Jika ada folder / File Wanna Cry hapus langsung)
7. Cek host file, karena itu bisa corrupt sama si Virus
Letak host:
C:\windows\System32\drivers\etc
nanti ada file host lalu buka pake notepad
(Disitu jika ada situs yang ga diketahui, maka hapus langsung)
8. Masuk lagi ke msconfig terus disable Safe Mode klik ok lalu Restart
9. Setelah direstart, tidak ada "Decryption Tool" sekarang, tapi ente dapat merestore file dari backup atau mengembalikan folder yang terpisah
10. Sekarang ente bisa lihat versi lama dari file yang terenskripsi
11. Hapus File bernama:
Readme.txt.WCRY
License.txt.WCRY
History.txt.WCRY
!Please Read Me!.txt
!WannaDecryptor!.exe

Cara Lain:

Cara Menonaktifkan SMB v1 via regedit (semua windows)

Buka Notepad Paste Kode di bawah ini, kemudian save dengan extensi .reg, setalah itu double click dan restart PC
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters]
"SMB1"=dword:00000000

Jangan Mengaktifkan Fungsi Macros
Windows Scripting Host (kerap disingkat menjadi WSH) merupakan sebuah aplikasi yang mendorong fungsi-fungsi skripting di dalam metode operasi Windows 2000, Windows NT Option Pack, Windows 98, Windows XP, dan Windows Vista yang membiarkan para administrator untuk mengeksekusi skrip-skirp untuk sebagian tugas administratif, bagus itu menerapkan cscript.exe ataupun wscript.exe.Perlu Anda kenal Bahwa Fungsi macros dipakai untuk menghindari file dari aplikasi Ms. Office, atau WScript terkena akibat penyebaran Malware Ransomware Wannacrypt.

Berikut ini adalah langkah untuk mengetahui status Windows Script & Macro ON / OFF :
Klik Start -> Run , kemudian ketik: “wscript” tanpa tanda kutip
Jika ada pesan: “Windows Script Host access is disabled on this machine. Contact your administrator for details.”, itu tandanya WSH (Windows Script Host) dalam posisi OFF

Update Patch Microsoft

Dalam rangka ikut mencegah penyebaran ransomware WannaCry, Microsoft telah merilis patch khusus untuk Windows XP, Windows Server 2003, dan Windows 8. Silakan Akses http://www.catalog.update.microsoft.com/Search.aspx?q=KB4012598

Kode Decrypt Jika Terinfeksi
Password Decrypt: WNcry@2ol7