Ringkasnya: The Hacker News melaporkan framework malware baru bernama Avalon yang membawa kemampuan ransomware CrownX. Dari laporan tersebut, risikonya bukan hanya enkripsi file, tetapi rangkaian yang lebih panjang: phishing bertahap, pencurian kredensial, lateral movement, remote access, gangguan recovery, dan eksekusi ransomware.
Untuk tim IT Indonesia, pelajarannya sederhana: pertahanan terhadap ransomware tidak cukup berhenti di email security atau endpoint protection. Backup, disaster recovery, akses admin, dan uji restore perlu diperlakukan sebagai satu rangkaian kontrol.
Kenapa Avalon perlu diperhatikan?
Menurut laporan The Hacker News, Avalon didistribusikan melalui rantai phishing bertahap yang dapat melewati kontrol keamanan tradisional. Serangan dimulai dari email dokumen hukum palsu yang mengarahkan korban ke arsip berpassword di Proton Drive. Di dalamnya ada ISO image dan shortcut Windows bertema dokumen. Jika korban menjalankannya, proses berlanjut ke staged malware sequence yang akhirnya menjalankan Avalon.
Avalon disebut menggabungkan beberapa fungsi dalam satu framework: credential collection, lateral movement, remote access, recovery disruption, dan ransomware execution. Komponen ransomware di dalamnya diberi nama CrownX.
Rantai risikonya tidak berhenti di phishing
Phishing adalah pintu masuk. Tetapi dampak yang lebih berat muncul setelah endpoint pertama berhasil dikompromikan. Laporan tersebut menyebut Avalon dapat mengambil data dari browser, aplikasi komunikasi, VPN, credential manager, SSH known hosts, RDP connection, Wi-Fi profile, hingga artefak Group Policy Preferences.
Bagian yang paling relevan untuk kesiapan recovery adalah kemampuan Avalon untuk melemahkan opsi pemulihan lokal. Laporan The Hacker News menyebut adanya fungsi untuk menghentikan Volume Shadow Copy Service dan menghapus shadow copies. Ini sinyal penting: ransomware modern bukan hanya mengenkripsi data, tetapi juga berusaha mengurangi peluang recovery cepat.
Checklist backup dan DR untuk menghadapi pola seperti Avalon
Checklist ini bisa dipakai sebagai bahan review internal untuk tim IT, security, dan manajemen operasional.
1. Pisahkan akses backup dari domain produksi
Jika akun domain biasa bisa mengakses konsol backup, mengubah job, atau menghapus repository, risiko masih tinggi. Gunakan akun khusus, MFA, role minimum, dan audit log untuk setiap perubahan konfigurasi backup.
2. Pastikan ada backup immutable atau offsite
Backup yang tersimpan di jaringan yang sama dengan server produksi bisa ikut terdampak saat kredensial admin bocor. Untuk sistem penting, siapkan salinan immutable, offsite, atau mekanisme yang tidak mudah dihapus dari jaringan produksi.
3. Uji restore, bukan hanya job backup
Backup success bukan bukti recovery siap. Tim perlu menguji restore untuk file penting, server aplikasi, database, dan data SaaS seperti Microsoft 365 atau Google Workspace jika digunakan. Catat durasi restore dan kendala yang muncul.
4. Review proteksi email dan endpoint bersamaan
Serangan bertahap seperti Avalon menunjukkan bahwa email security, endpoint protection, dan identity control harus saling mendukung. Periksa proteksi attachment, link, deteksi script, isolasi endpoint, dan alert terhadap aktivitas credential dumping atau akses tidak biasa.
5. Lindungi kredensial dan akses admin
Karena Avalon dilaporkan memiliki kemampuan pengumpulan kredensial, periksa ulang akses admin lokal, password reuse, credential manager, koneksi RDP, VPN profile, dan akun service. Jangan biarkan kredensial bernilai tinggi tersimpan longgar di endpoint user.
6. Siapkan urutan pemulihan bisnis
Saat ransomware terjadi, tim tidak boleh baru berdebat sistem mana yang dipulihkan dulu. Buat daftar prioritas: sistem inti, owner bisnis, RPO, RTO, lokasi backup, PIC restore, dan dependensi antar aplikasi.
Tanda backup belum siap menghadapi ransomware
- Restore test hanya pernah dilakukan saat implementasi awal.
- Akun admin backup dipakai bersama atau tidak memakai MFA.
- Repository backup bisa dijangkau langsung dari jaringan user.
- Belum ada salinan immutable atau offsite untuk sistem kritikal.
- RPO/RTO belum disepakati dengan owner bisnis.
- Log backup jarang dicek kecuali saat ada error besar.
- Tidak ada tabletop exercise untuk skenario phishing ke ransomware.
Langkah praktis minggu ini
Mulai dari tiga sistem yang paling penting untuk operasional. Cek status backup terakhir, lakukan restore test kecil, review siapa saja yang punya akses ke konsol backup, dan pastikan ada satu salinan yang tidak mudah dihapus jika akun produksi bocor.
Untuk organisasi yang memakai kombinasi Microsoft 365, Google Workspace, server on-premise, cloud, Fortinet, Veeam, Acronis, atau layanan managed security, fokus utamanya bukan mengganti semua tool. Fokusnya adalah memastikan kontrol yang sudah ada benar-benar saling menutup celah.
Kapan perlu review eksternal?
Review eksternal berguna jika tim belum yakin apakah backup, DR, email security, endpoint protection, dan akses admin sudah diuji sebagai satu skenario. Terutama jika perusahaan belum pernah melakukan restore test penuh, belum punya RPO/RTO per aplikasi, atau mulai melihat peningkatan percobaan phishing.
myBATICloud dapat membantu melakukan review kesiapan backup dan ransomware response secara bertahap. Mulainya dari hal yang bisa dibuktikan: status backup, akses repository, restore test, proteksi email, dan jalur pemulihan.
Jika ingin mulai dari pemeriksaan ringan, gunakan form assessment di halaman layanan atau kanal WhatsApp resmi myBATICloud dan tulis: Review ransomware backup readiness.