Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cybersecurity / Cyber Crime

Cyber Crime

Trojan Perbankan Chaes Membajak Chrome dengan Ekstensi Berbahaya

by

Kampanye berskala besar yang melibatkan lebih dari 800 situs wordpress yang dikompromikan menyebarkan trojan perbankan yang menargetkan kredensial pengguna e-banking Brasil.

Trojan yang digunakan dalam kampanye ini disebut ‘Chaes,’ dan menurut para peneliti dari Avast, telah aktif menyebar sejak akhir 2021.

Meskipun perusahaan keamanan memberi tahu CERT Brasil, kampanye sedang berlangsung dengan ratusan situs web masih dikompromikan dengan skrip berbahaya yang mendorong malware.

Rantai serangan

Ketika korban mengunjungi salah satu situs web yang dikompromikan, mereka disajikan dengan pop-up yang meminta mereka untuk menginstal aplikasi Java Runtime palsu.

Penginstal MSI berisi tiga file JavaScript berbahaya (install.js, sched.js, sucesso.js) yang mempersiapkan lingkungan Python untuk loader tahap berikutnya.

Skrip sched.js menambahkan kegigihan dengan membuat Tugas Terjadwal dan tautan Startup, dan sucesso.js bertanggung jawab untuk melaporkan status ke C2.

Sementara itu, skrip .js instalasi melakukan tugas-tugas berikut:

  • Periksa koneksi internet (menggunakan google.com)
  • Membuat folder %APPDATA%extensions
  • Unduh arsip yang dilindungi kata sandi seperti python32.rar/python64.rar dan unrar.exe ke folder ekstensi tersebut
  • Tulis jalur folder ekstensi yang baru dibuat ke HKEY_CURRENT_USERSoftwarePythonConfigPath
  • Melakukan beberapa profil sistem dasar
  • Jalankan perintah unrar.exe dengan kata sandi yang ditentukan sebagai argumen untuk membongkar python32.rar/python64.rar
  • Terhubung ke C2 dan unduh skrip __init__.py 32bit dan 64bit bersama dengan dua muatan terenkripsi. Setiap payload memiliki nama pseudo-random.

Rantai loader Python terbentang dalam memori dan melibatkan pemuatan beberapa skrip, shellcode, dan Delphi DLL sampai semuanya ada untuk mengeksekusi muatan akhir dalam proses Python.

Tahap akhir dilakukan dengan instruksi.js, yang mengambil ekstensi Chrome dan menginstalnya pada sistem korban. Akhirnya, semua ekstensi diluncurkan dengan argumen yang tepat.

Ekstensi Chrome

Avast mengatakan mereka telah melihat lima ekstensi browser Chrome berbahaya yang berbeda diinstal pada perangkat korban, termasuk:

  • Online – Sidik jari korban dan menulis kunci registri.
  • Mtps4 – Terhubung ke C2 dan menunggu PascalScripts yang masuk. Juga mampu menangkap tangkapan layar dan menampilkannya di layar penuh untuk menyembunyikan tugas-tugas berbahaya yang berjalan di latar belakang.
  • Chrolog – Mencuri kata sandi dari Google Chrome dengan exfiltrating database ke C2 melalui HTTP.
  • Chronodx – Trojan perbankan loader dan JS yang berjalan diam-diam di latar belakang dan menunggu peluncuran Chrome. Jika browser dibuka, ia akan segera menutupnya dan membuka kembali instance Chrome sendiri yang memungkinkan pengumpulan info perbankan.
  • Chremows – Target kredensial pasar online Mercado Libre.

Pada saat ini, kampanye Chaes masih berlangsung, dan mereka yang telah dikompromikan akan tetap berisiko bahkan jika situs web dibersihkan.

Avast mengklaim bahwa beberapa situs web yang dikompromikan disalahgunakan karena menjatuhkan muatan sangat populer di Brasil, sehingga jumlah sistem yang terinfeksi kemungkinan besar.

Sumber: Bleepingcomputer

Ransomware DeadBolt Menargetkan perangkat QNAP, Meminta 50 BTC untuk Kunci Utama

by

Grup ransomware DeadBolt baru mengenkripsi perangkat QNAP NAS di seluruh dunia menggunakan apa yang mereka klaim sebagai kerentanan zero-day dalam perangkat lunak perangkat.

Serangan dimulai hari ini, 25 Januari, dengan perangkat QNAP tiba-tiba menemukan file mereka dienkripsi dan nama file ditambahkan dengan ekstensi file .deadbolt.

Alih-alih membuat catatan tebusan di setiap folder pada perangkat, halaman login perangkat QNAP dibajak untuk menampilkan layar yang menyatakan, “PERINGATAN: File Anda telah dikunci oleh DeadBolt,” seperti yang ditunjukkan pada gambar di bawah ini.

Layar ini memberi tahu korban bahwa mereka harus membayar 0,03 bitcoin (sekitar $ 1.100) ke alamat Bitcoin tertutup yang unik untuk setiap korban.

Setelah pembayaran dilakukan, aktor ancaman mengklaim bahwa mereka akan melakukan transaksi tindak lanjut ke alamat yang sama yang mencakup kunci dekripsi, yang dapat diambil menggunakan instruksi berikut.

Kunci dekripsi ini kemudian dapat dimasukkan ke dalam layar untuk mendekripsi file perangkat. Pada saat ini, tidak ada konfirmasi bahwa membayar uang tebusan akan mengakibatkan menerima kunci dekripsi atau bahwa pengguna akan dapat mendekripsi file.

QNAP telah mengatakan kepada BleepingComputer bahwa pengguna dapat melewati layar tebusan dan mendapatkan akses ke halaman admin mereka dengan menggunakan URL http://nas_ip:8080/cgi-bin/index.cgi atau https://nas_ip/cgi-bin/index.cgi URL.

BleepingComputer menyadari setidaknya lima belas korban serangan ransomware DeadBolt baru, tanpa wilayah tertentu yang menjadi sasaran.

Seperti semua serangan ransomware terhadap perangkat QNAP, serangan DeadBolt hanya mempengaruhi perangkat yang dapat diakses ke Internet.

Karena aktor ancaman mengklaim serangan itu dilakukan melalui kerentanan zero-day, sangat disarankan agar semua pengguna QNAP memutuskan perangkat mereka dari Internet dan menempatkannya di belakang firewall.

QNAP lebih lanjut mengatakan kepada kami bahwa Tim Respons Insiden Keamanan Produk (PSIRT) mereka sedang menyelidiki vektor serangan sekarang dan bahwa pemilik harus mengikuti langkah-langkah ini untuk melindungi data dan NAS mereka.

Penyerang menuntut 50 bitcoin untuk kunci utama

Pada layar catatan tebusan utama, ada tautan berjudul “pesan penting untuk QNAP,” yang ketika diklik, akan menampilkan pesan dari geng DeadBolt khusus untuk QNAP.

Di layar ini, geng ransomware DeadBolt menawarkan rincian lengkap dari dugaan kerentanan zero-day jika QNAP membayar mereka 5 Bitcoin senilai $ 184.000.

Mereka juga bersedia menjual QNAP kunci dekripsi utama yang dapat mendekripsi file untuk semua korban yang terkena dampak dan info zero-day untuk 50 bitcoin, atau sekitar $ 1,85 juta.

“Lakukan pembayaran bitcoin sebesar 50 BTC ke bc1qnju697uc83w5u3ykw7luujzupfyf82t6trlnd8,” tulis para aktor ancaman dalam sebuah pesan kepada QNAP.

Anda akan menerima kunci master dekripsi universal (dan instruksi) yang dapat digunakan untuk membuka semua file klien Anda. Selain itu, kami juga akan mengirimkan semua rincian tentang kerentanan zero-day untuk security@qnap.com.”

Geng ransomware lebih lanjut menyatakan bahwa tidak ada cara untuk menghubungi mereka selain melalui pembayaran Bitcoin.

Metode komunikasi ini adalah pendekatan yang sangat berbeda dari serangan ransomware lainnya yang biasanya memberikan beberapa bentuk komunikasi, baik melalui situs web, email, atau platform perpesanan Tor khusus.

Sumber: Bleepingcomputer

Emotet Sekarang Menggunakan Format Alamat IP Yang Tidak Konvensional untuk Menghindari Deteksi

by

Kampanye rekayasa sosial yang melibatkan penyebaran botnet malware Emotet telah diamati menggunakan format alamat IP “tidak konvensional” untuk pertama kalinya dalam upaya untuk menghindari deteksi oleh solusi keamanan.

Ini melibatkan penggunaan representasi heksadesimal dan oktal dari alamat IP yang, ketika diproses oleh sistem operasi yang mendasarinya, secara otomatis dikonversi “ke representasi quad desimal putus-putus untuk memulai permintaan dari server jarak jauh,” Analis Ancaman Trend Micro, Ian Kenefick, mengatakan dalam sebuah laporan Jumat.

Rantai infeksi, seperti serangan terkait Emotet sebelumnya, bertujuan untuk mengelabui pengguna agar mengaktifkan makro dokumen dan mengotomatisasi eksekusi malware. Dokumen ini menggunakan Excel 4.0 Macros, fitur yang telah berulang kali disalahgunakan oleh aktor jahat untuk mengirimkan malware.

Setelah diaktifkan, makro memanggil URL yang dikaburkan dengan carets, dengan host menggabungkan representasi heksadesimal dari alamat IP – “h ^ tt ^ p ^ : / ^ / 0xc12a24f5/cc.html” – untuk mengeksekusi kode aplikasi HTML (HTA) dari host jarak jauh.

Varian kedua dari serangan phishing mengikuti modus operandi yang sama, satu-satunya perbedaan adalah bahwa alamat IP sekarang dikodekan dalam format oktal – “h ^ tt ^ p ^:/^/0056.0151.0121.0114/c.html”.

“Penggunaan alamat IP heksadesimal dan oktal yang tidak konvensional dapat mengakibatkan menghindari solusi saat ini yang bergantung pada pencocokan pola,” kata Kenefick. “Teknik penghindaran seperti ini dapat dianggap sebagai bukti penyerang terus berinovasi untuk menggagalkan solusi deteksi berbasis pola.”

Perkembangan ini terjadi di tengah aktivitas Emotet yang diperbarui akhir tahun lalu setelah absen selama 10 bulan setelah operasi penegakan hukum yang terkoordinasi. Pada bulan Desember 2021, para peneliti menemukan bukti malware yang mengembangkan taktiknya untuk menjatuhkan Cobalt Strike Beacons langsung ke sistem yang dikompromikan.

Temuan ini juga muncul ketika Microsoft mengungkapkan rencana untuk menonaktifkan Makro Excel 4.0 (XLM) secara default untuk melindungi pelanggan dari ancaman keamanan. “Pengaturan ini sekarang default ke makro Excel 4.0 (XLM) dinonaktifkan di Excel (Build 16.0.14427.10000),” perusahaan mengumumkan pekan lalu.

Sumber: The Hacker News

File PowerPoint Berbahaya Digunakan untuk Mendorong Trojan Akses Jarak Jauh

by

Sejak Desember 2021, tren yang berkembang dalam kampanye phishing telah muncul yang menggunakan dokumen PowerPoint berbahaya untuk mendistribusikan berbagai jenis malware, termasuk akses jarak jauh dan trojan pencuri informasi.

Menurut sebuah laporan oleh Netskope’s Threat Labs yang dibagikan dengan Bleeping Computer sebelum dipublikasikan, para aktor menggunakan file PowerPoint yang dikombinasikan dengan layanan cloud yang sah yang meng-host muatan malware.

Keluarga yang dikerahkan dalam kampanye yang dilacak adalah Warzone (alias AveMaria) dan AgentTesla, dua RAT yang kuat dan pencuri info yang menargetkan banyak aplikasi, sementara para peneliti juga melihat jatuhnya pencuri cryptocurrency.

Geser malware ke perangkat Windows

Lampiran phishing PowerPoint yang berbahaya berisi makro yang dikaburkan yang dieksekusi melalui kombinasi PowerShell dan MSHTA, keduanya alat Windows bawaan.

Skrip VBS kemudian didefuscated dan menambahkan entri registri Windows baru untuk ketekunan, yang mengarah ke eksekusi dua skrip. Yang pertama mengambil AgentTesla dari URL eksternal, dan yang kedua menonaktifkan Windows Defender.

Selain itu, VBS menciptakan tugas terjadwal yang mengeksekusi skrip setiap jam, yang mengambil pencuri cryptocurrency PowerShell dari URL Blogger.

Muatan kedua yang disampaikan dalam kampanye ini adalah Warzone, juga RAT, tetapi Netskope tidak memberikan banyak rincian tentang hal itu dalam laporan.

Pencuri cryptocurrency adalah muatan ketiga dari kampanye ini, yang memeriksa data clipboard dengan regex yang sesuai dengan pola dompet cryptocurrency. Jika ditemukan, itu menggantikan alamat penerima dengan satu di bawah kendali aktor.

Pencuri mendukung Bitcoin, Ethereum, XMR, DOGE, dan banyak lagi. Netskope telah menerbitkan daftar lengkap IoCs (indikator kompromi) untuk kampanye ini, termasuk semua dompet yang digunakan oleh para aktor di halaman GitHub ini.

Selengkapnya: Bleepingcomputer

Lebih dari 90 Tema WordPress, Plugin Backdoored dalam Serangan Rantai Pasokan

by

Serangan rantai pasokan besar-besaran membahayakan 93 tema dan plugin WordPress berisi backdoor, memberikan aktor ancaman akses penuh ke situs web.

Secara total, aktor ancaman mengkompromikan 40 tema dan 53 plugin milik AccessPress, pengembang add-on WordPress yang digunakan di lebih dari 360.000 situs web aktif.

Serangan itu ditemukan oleh para peneliti di Jetpack, pencipta alat keamanan dan pengoptimalan untuk situs WordPress, yang menemukan bahwa backdoor PHP telah ditambahkan ke tema dan plugin.

Jetpack percaya bahwa aktor ancaman eksternal melanggar situs web AccessPress untuk mengkompromikan perangkat lunak dan menginfeksi situs WordPress lebih lanjut.

Backdoor untuk memberikan kontrol penuh

Segera setelah admin menginstal produk AccessPress yang dikompromikan di situs mereka, para aktor menambahkan file “awal.php” baru ke dalam direktori tema utama dan memasukkannya ke dalam file “fungsi.php” utama.

File ini berisi muatan yang dikodekan base64 yang menulis webshell ke dalam file “./wp-includes/vars.php”.

Kode berbahaya menyelesaikan instalasi backdoor dengan decoding payload dan menyuntikkannya ke dalam file “vars.php”, pada dasarnya memberikan aktor ancaman remote control atas situs yang terinfeksi.

Satu-satunya cara untuk mendeteksi ancaman ini adalah dengan menggunakan solusi pemantauan integritas file inti, karena malware menghapus pipet file “awal.php” untuk menutupi jejaknya.

Menurut peneliti Sucuri yang menyelidiki kasus ini untuk mengetahui tujuan para aktor, aktor ancaman menggunakan backdoor untuk mengarahkan pengunjung ke situs malware-dropping dan scam. Oleh karena itu, kampanye tidak terlalu canggih.

Ada juga kemungkinan bahwa aktor menggunakan malware ini untuk menjual akses ke situs web backdoored di web gelap, yang akan menjadi cara yang efektif untuk memonetisasi infeksi skala besar seperti itu.

Apakah saya terpengaruh?

Jika Anda telah menginstal salah satu plugin atau tema yang dikompromikan di situs Anda, menghapus / mengganti / memperbaruinya tidak akan mencabut webshells apa pun yang mungkin telah ditanam melaluinya.

Dengan demikian, administrator situs web disarankan untuk memindai situs mereka untuk tanda-tanda kompromi dengan melakukan hal berikut:

  • Periksa file wp-includes/vars.php Anda di sekitar baris 146-158. Jika Anda melihat fungsi “wp_is_mobile_fix” di sana dengan beberapa kode yang dikaburkan, Anda telah dikompromikan.
  • Kueri sistem file Anda untuk “wp_is_mobile_fix” atau “wp-theme-connect” untuk melihat apakah ada file yang terpengaruh.
  • Ganti file WordPress inti Anda dengan salinan baru.
  • Upgrade plugin yang terpengaruh dan beralih ke tema yang berbeda.
  • Ubah kata sandi wp-admin dan database.

Jetpack telah menyediakan aturan YARA berikut yang dapat digunakan untuk memeriksa apakah sebuah situs telah terinfeksi dan mendeteksi dropper dan webshell yang diinstal.

rule accesspress_backdoor_infection
{
strings:

// IoC’s for the dropper
$inject0 = “$fc = str_replace(‘function wp_is_mobile()’,”
$inject1 = “$b64($b) . ‘function wp_is_mobile()’,”
$inject2 = “$fc);”
$inject3 = “@file_put_contents($f, $fc);”

// IoC’s for the dumped payload
$payload0 = “function wp_is_mobile_fix()”
$payload1 = “$is_wp_mobile = ($_SERVER[‘HTTP_USER_AGENT’] == ‘wp_is_mobile’);”
$payload2 = “$g = $_COOKIE;”
$payload3 = “(count($g) == 8 && $is_wp_mobile) ?”

$url0 = /https?:\/\/(www\.)?wp\-theme\-connect\.com(\/images\/wp\-theme\.jpg)?/

condition:

all of ( $inject* )
or all of ( $payload* )
or $url0
}

Jetpack pertama kali mendeteksi backdoor pada September 2021, dan segera setelah itu, para peneliti menemukan bahwa aktor ancaman telah mengkompromikan semua plugin dan tema gratis milik vendor.

Sebagian besar produk kemungkinan telah dikompromikan pada awal September.

Sumber: Bleepingcomputer

FBI Memperingatkan Kode QR Berbahaya yang Digunakan untuk Mencuri Uang Anda

by

Biro Investigasi Federal (FBI) memperingatkan orang Amerika minggu ini bahwa penjahat dunia maya menggunakan kode Quick Response (QR) yang dibuat dengan jahat untuk mencuri kredensial dan info keuangan mereka.

Peringatan itu dikeluarkan sebagai pengumuman layanan publik (PSA) yang diterbitkan di Pusat Pengaduan Kejahatan Internet Biro (IC3) awal pekan ini.

“Penjahat dunia maya merusak kode QR untuk mengarahkan korban ke situs berbahaya yang mencuri informasi login dan keuangan,” kata lembaga penegak hukum federal.

FBI mengatakan penjahat beralih kode QR yang sah yang digunakan oleh bisnis untuk tujuan pembayaran untuk mengarahkan korban potensial ke situs web berbahaya yang dirancang untuk mencuri informasi pribadi dan keuangan mereka, menginstal malware di perangkat mereka, atau mengalihkan pembayaran mereka ke akun di bawah kendali mereka.

Setelah para korban memindai apa yang tampak seperti kode yang sah, mereka dikirim ke situs phishing penyerang, di mana mereka diminta untuk memasukkan info login dan keuangan mereka. Setelah masuk, itu akan dikirim ke penjahat cyber yang dapat menggunakannya untuk mencuri uang menggunakan rekening perbankan yang dibajak.

“Sementara kode QR tidak berbahaya, penting untuk berhati-hati ketika memasukkan informasi keuangan serta memberikan pembayaran melalui situs yang dinavigasi melalui kode QR,” tambah FBI. “Penegakan hukum tidak dapat menjamin pemulihan dana yang hilang setelah transfer.”

Perhatikan saat memindai kode QR

FBI menyarankan orang Amerika untuk memperhatikan URL yang mereka kirim setelah memindai kode QR, selalu berhati-hati saat memasukkan data mereka setelah memindai kode QR, dan memastikan bahwa kode QR fisik belum tercakup dengan yang berbahaya.

Anda juga harus menghindari menginstal aplikasi melalui kode QR atau menginstal pemindai kode QR (sebagai gantinya, gunakan yang disertakan dengan OS ponsel Anda).

Last but not least, selalu masukkan URL dengan tangan saat melakukan pembayaran alih-alih memindai kode QR yang dapat diatur untuk mengarahkan Anda ke situs berbahaya.

Sumber: Bleepingcomputer

Spyware ‘anomali’ mencuri kredensial di perusahaan industri

by

Para peneliti telah menemukan beberapa kampanye spyware yang menargetkan perusahaan industri, yang bertujuan untuk mencuri kredensial akun email dan melakukan penipuan keuangan atau menjualnya kembali kepada aktor lain.

Para aktor menggunakan alat spyware yang tersedia tetapi hanya menggunakan setiap varian untuk waktu yang sangat terbatas untuk menghindari deteksi.

Contoh malware yang digunakan dalam serangan termasuk AgentTesla/Origin Logger, HawkEye, Noon/Formbook, Masslogger, Snake Keylogger, Azorult, dan Lokibot.

Serangan spyware ini disebut ‘anomali’ karena sifatnya yang berumur sangat pendek yaitu sekitar 25 hari, sedangkan sebagian besar kampanye spyware berlangsung selama beberapa bulan atau bahkan bertahun-tahun.

Durasi serangan dibandingkan dengan statistik dari semua deteksi
Sumber: Kaspersky

Jumlah sistem yang diserang dalam kampanye ini selalu di bawah seratus, setengahnya adalah mesin ICS (sistem komputer terintegrasi) yang digunakan di lingkungan industri.

Elemen lain yang tidak biasa adalah menggunakan protokol komunikasi berbasis SMTP untuk mengekstrak data ke server C2 yang dikendalikan aktor.

SMTP adalah saluran satu arah yang hanya melayani pencurian data, SMTP berkembang melalui kesederhanaan dan kemampuannya untuk berbaur dengan lalu lintas jaringan biasa.

Mencuri kredensial untuk melanjutkan infiltrasi
Para aktor menggunakan kredensial karyawan curian yang mereka peroleh melalui spear-phishing untuk menyusup lebih dalam dan bergerak secara lateral di jaringan perusahaan.

Selain itu, mereka menggunakan kotak surat perusahaan yang dikompromikan dalam serangan sebelumnya sebagai server C2 untuk serangan baru, membuat deteksi dan penandaan korespondensi internal berbahaya menjadi sangat menantang.

diagram operasional
Sumber: Kaspersky

Dalam hal jumlah, para analis mengidentifikasi setidaknya 2.000 akun email perusahaan yang disalahgunakan sebagai server C2 sementara dan 7.000 akun email lainnya disalahgunakan dengan cara lain.

Menjual di pasar Darkweb
Banyak kredensial akun RDP, SMTP, SSH, cPanel, dan VPN email yang dicuri dalam kampanye ini diposting di pasar web gelap dan akhirnya dijual ke pelaku ancaman lainnya.

Menurut analisis statistik Kaspersky, sekitar 3,9% dari semua akun RDP yang dijual di pasar ilegal ini adalah milik perusahaan industri.

Akun RDP (protokol desktop jarak jauh) sangat berharga bagi penjahat dunia maya karena memungkinkan mereka mengakses mesin yang disusupi dari jarak jauh dan berinteraksi langsung dengan perangkat tanpa menimbulkan tanda bahaya.

Sumber : Bleeping Computer

FBI menautkan ransomware Diavol ke grup kejahatan dunia maya TrickBot

by

FBI telah secara resmi menghubungkan operasi ransomware Diavol ke Grup TrickBot, pengembang malware di balik trojan perbankan TrickBot yang terkenal kejam.

Geng TrickBot, alias Wizard Spider, adalah pengembang infeksi malware yang telah merusak jaringan perusahaan selama bertahun-tahun, umumnya mengarah pada serangan ransomware Conti dan Ryuk, penyusupan jaringan, penipuan keuangan, dan spionase perusahaan.

Pada Juli 2021, peneliti dari FortiGuard Labs merilis analisis ransomware baru bernama Diavol (bahasa Rumania untuk Iblis) yang terlihat menargetkan korban perusahaan.

Para peneliti melihat muatan ransomware Diavol dan Conti disebarkan di jaringan dalam serangan ransomware yang sama pada awal Juni 2021.

Setelah menganalisis dua sampel ransomware, kesamaan ditemukan, seperti penggunaan operasi I/O asinkron untuk antrian enkripsi file dan parameter baris perintah yang hampir identik untuk fungsi yang sama.

Sebulan kemudian, peneliti IBM X-Force membangun hubungan yang lebih kuat antara ransomware Diavol dan malware TrickBot Gang lainnya, seperti Anchor dan TrickBot.

FBI menghubungkan ransomware Diavol ke geng TrickBot
FBI telah secara resmi mengumumkan bahwa mereka telah menghubungkan operasi Ransomware Diavol ke Geng TrickBot dalam indikator berbagi penasehat baru dari kompromi yang terlihat pada serangan sebelumnya.

Sejak itu, FBI telah melihat tuntutan tebusan berkisar antara $10.000 dan $500.000, dengan pembayaran yang lebih rendah diterima setelah negosiasi tebusan.

Warning.txt ransom note dari Diavol ransomware

Jumlah ini sangat kontras dengan tebusan yang lebih tinggi yang diminta oleh operasi ransomware lain yang terkait dengan TrickBot, seperti Conti dan Ryuk, yang secara historis meminta tebusan jutaan dolar.

FBI dapat secara resmi menghubungkan Diavol ke Geng TrickBot setelah penangkapan Alla Witte, seorang wanita Latvia yang terlibat dalam pengembangan ransomware untuk geng malware.

“Alla Witte memainkan peran penting untuk operasi TrickBot dan berdasarkan wawasan permusuhan mendalam AdvIntel sebelumnya, dia bertanggung jawab atas pengembangan ransomware Diavol dan proyek frontend/backend yang dimaksudkan untuk mendukung operasi TrickBot dengan ransomware khusus yang disesuaikan dengan bot backconnectivity antara TrickBot dan Diavol,” kata Kremez

“Nama lain untuk ransomware Diavol disebut ransomware “Enigma” yang dimanfaatkan oleh kru TrickBot sebelum merek ulang Diavol.”

Perlu dicatat bahwa ransomware Diavol awalnya membuat catatan tebusan bernama ‘README_FOR_DECRYPT.txt’ seperti yang ditunjukkan oleh penasihat FBI, tetapi geng ransomware beralih pada bulan November ke catatan tebusan bernama ‘Warning.txt.’

FBI juga mendesak semua korban, terlepas dari apakah mereka berencana untuk membayar uang tebusan, untuk segera memberi tahu penegak hukum tentang serangan untuk mengumpulkan IOC baru yang dapat mereka gunakan untuk tujuan investigasi dan operasi penegakan hukum.

Jika Anda terkena serangan Diavol, penting juga untuk memberi tahu FBI sebelum membayar karena mereka “mungkin dapat memberikan sumber daya mitigasi ancaman kepada mereka yang terkena dampak ransomware Diavol.”

Sumber : Bleeping Computer