Colonial Pipeline 2021: DarkSide Ransomware Lumpuhkan BBM Pantai Timur AS

Konteks Operasional

Target merupakan operator pipa minyak terbesar di AS dengan kapasitas 2.5 juta barrel/hari. Infrastructure kritis ini mengalirkan 45% pasokan BBM Pantai Timur. DarkSide memilih target berdasar tiga kriteria: (1) critical infrastructure dengan toleransi downtime rendah, (2) legacy SCADA systems yang terintegrasi dengan IT network, dan (3) cashflow besar untuk tekanan negosiasi.

Vektor Awal & Lateral Movement

Entry point melalui VPN corporate tanpa MFA menggunakan credential karyawan lama yang sudah tidak aktif. Proses reconnaissance menemukan tiga kelemahan utama: (1) shared local admin password antar workstation, (2) unpatched Citrix vulnerability (CVE-2019-19781), dan (3) Active Directory tanpa tiering yang memungkinkan lateral movement dari workstation biasa ke domain controller. Ransomware di-deploy setelah 14 hari dwell time menggunakan scheduled tasks dengan binary yang disamarkan sebagai update Windows.

Pivot Yang Sering Diabaikan Defender

Operator menggunakan teknik living-off-the-land dengan memanfaatkan: (1) PsExec untuk moving laterally tanpa file drop, (2) Windows Management Instrumentation (WMI) untuk persistence, dan (3) native encryption tool (BitLocker) untuk mengunci backup servers. Defender sering fokus pada signature-based detection sehingga melewatkan aktivitas legitimate tools yang disalahgunakan.

Pelajaran untuk Tim Indonesia

• Implementasi network segmentation ketat antara OT dan IT systems dengan one-way communication
• Audit berkala terhadap stale accounts dan enforcement MFA khususnya untuk remote access
• Deploy LAPS (Local Administrator Password Solution) untuk memecah pola shared admin credentials
• Simulasi ransomware response plan termasuk decision matrix untuk shutdown operational systems

Indikator Detection Yang Bisa Dipasang Besok

• Alert pada failed VPN login attempts diikuti successful login dari IP yang belum pernah terlihat
• Monitoring scheduled tasks yang dibuat dari network share (biasanya digunakan untuk deploy payload)
• Deteksi penggunaan PsExec/WMI dari workstation menuju server dengan pola sequential login
• Baseline normal usage BitLocker dan trigger alert ketika volume encryption terjadi di luar jam kerja