EternalBlue dan WannaCry, Kenapa Patch Windows Penting

EternalBlue adalah nama eksploit untuk celah di protokol SMBv1 Windows (terutama CVE-2017-0144) yang memungkinkan penyerang menjalankan kode di komputer target tanpa login, cukup dengan mengirim paket jaringan khusus ke port 445. WannaCry adalah ransomware yang memakai eksploit itu untuk menyebar sendiri dari satu komputer ke komputer lain pada Mei 2017.

Apa yang dipertaruhkan? Microsoft sudah merilis tambalannya, buletin MS17-010, pada 14 Maret 2017. Komputer yang terinfeksi WannaCry dua bulan kemudian sebagian besar adalah komputer yang belum memasang patch itu, atau Windows lama yang sudah tidak didukung. Jadi ini bukan kisah celah yang tak bisa dicegah, melainkan kisah patch yang tertunda.

Bagaimana EternalBlue dan WannaCry bekerja?

Celah di SMBv1

SMB (Server Message Block) adalah protokol yang dipakai Windows untuk berbagi file dan printer di jaringan. Versi pertamanya, SMBv1, sudah sangat tua. Menurut buletin MS17-010, beberapa celah di cara server SMBv1 menangani permintaan tertentu bisa dimanfaatkan penyerang tanpa autentikasi untuk mengeksekusi kode di server target. Microsoft memberi peringkat Critical untuk semua versi Windows yang didukung saat itu, dari Windows Vista sampai Windows 10 dan Server 2016.

Eksploit EternalBlue menjadi terkenal setelah dibocorkan ke publik oleh kelompok yang menamakan diri Shadow Brokers pada April 2017, sebulan setelah patch tersedia. Sejak itu, siapa pun bisa memakainya.

WannaCry: ransomware yang menyebar sendiri

WannaCry muncul pada 12 Mei 2017. Yang membuatnya berbeda dari ransomware biasa adalah sifat cacing (worm): setelah satu komputer terinfeksi, ia memindai jaringan lokal dan internet untuk mencari komputer lain dengan port 445 terbuka dan SMBv1 yang belum dipatch, lalu menginfeksinya tanpa campur tangan manusia. File di setiap komputer dienkripsi dan korban diminta membayar tebusan dalam Bitcoin. CISA saat itu menerbitkan indikator dan panduan mitigasinya.

Karena penyebarannya begitu luas, Microsoft mengambil langkah tidak biasa: merilis patch darurat untuk Windows XP dan Windows Server 2003 yang sebenarnya sudah lama habis masa dukungannya. Beberapa minggu kemudian, malware lain seperti NotPetya juga memakai EternalBlue. Pola dasar ransomware dijelaskan lebih lengkap di cara kerja ransomware.

Kenapa masih relevan sekarang?

Komputer dengan SMBv1 aktif dan tanpa patch masih ada: PC lama yang menjalankan mesin produksi, komputer kasir dengan Windows lawas, perangkat medis atau industri yang tidak boleh diubah, dan server yang "jangan disentuh, nanti aplikasinya rusak". Satu perangkat seperti ini di jaringan kantor cukup menjadi pintu masuk bila ada malware yang berhasil masuk dari email atau USB.

Masa dukungan juga terus berjalan. Windows 10 berakhir masa dukungan umumnya pada 14 Oktober 2025, dan Windows Server 2012 serta 2012 R2 pada 10 Oktober 2023. Perangkat yang masih memakainya tanpa program pembaruan berbayar tidak lagi menerima patch keamanan rutin, sehingga celah berikutnya akan tetap terbuka.

Pilihan perlindungan: mana yang cukup?

Tidak ada satu langkah yang cukup sendirian. Patch menutup celahnya, mematikan SMBv1 menghilangkan protokol yang rapuh, pemblokiran port 445 memutus serangan dari internet, segmentasi menahan penyebaran, dan backup menyelamatkan data.

Kapan cukup patch, kapan harus isolasi?

Untuk komputer dan server yang masih didukung Microsoft, patch rutin plus SMBv1 dimatikan sudah menutup risiko EternalBlue. Pastikan Windows Update tidak dimatikan dan pembaruan tidak ditunda berbulan-bulan. Windows 10 versi 1709 dan Windows Server versi 1709 ke atas tidak memasang SMBv1 secara bawaan pada instalasi baru, tetapi komputer hasil upgrade dari versi lama bisa masih membawanya.

Untuk perangkat lama yang tidak bisa dipatch atau diganti segera, misalnya PC pengendali mesin, pilih isolasi. Taruh di segmen jaringan terpisah, blokir SMB dari dan ke segmen lain, putus akses internetnya bila tidak diperlukan, dan rencanakan penggantiannya. Menganggap perangkat itu aman karena "tidak pernah ada masalah" adalah cara berpikir yang membuat WannaCry berhasil.

Langkah cek cepat di Windows

Di PowerShell sebagai Administrator, sesuai dokumentasi Microsoft:

Get-SmbServerConfiguration | Select EnableSMB1Protocol
Set-SmbServerConfiguration -EnableSMB1Protocol $false

Di Windows 8.1, Server 2012 R2, dan yang lebih baru, kamu juga bisa menghapus fiturnya sepenuhnya:

Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol

Lalu cek riwayat update di Settings untuk memastikan pembaruan kumulatif terbaru sudah terpasang. Untuk menentukan patch mana yang harus didahulukan, gunakan kerangka di katalog KEV CISA, karena celah yang sudah dieksploitasi seperti CVE-2017-0144 layak paling depan. Siapkan juga backup yang tidak bisa disentuh ransomware, seperti dijelaskan di aturan backup 3-2-1-1-0.