Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat / Ransomware

Ransomware

Geng ransomware kehilangan minat pada perusahaan AS

by

Operator ransomware sekarang memusatkan upaya mereka pada wilayah dan industri tertentu, karena AS kehilangan daya tariknya.

Dengan menganalisis data yang tersedia untuk umum tentang serangan ransomware yang terjadi antara tahun 2020 dan 2023, para peneliti menemukan bahwa pada tahun 2022, bisnis Amerika mengalami 876 serangan, turun dari 1.237 pada tahun sebelumnya.

Perusahaan finance diserang
Meskipun tampaknya geng ransomware menyebarkan jaring yang lebih luas, mereka sebenarnya memusatkan upaya mereka. Pada tahun 2021, perusahaan di 102 negara menjadi sasaran ransomware, turun menjadi 91 negara tahun lalu.

Ada juga perubahan di antara target industri paling populer. Sementara pada 2021, manufaktur menjadi industri paling populer dengan 223 serangan, tahun lalu konstruksi menjadi yang paling populer dengan 142 serangan.

Secara keseluruhan, jumlah serangan ransomware di seluruh dunia menurun antara tahun 2021 dan 2022, dari 2.702 menjadi 2.257.

“Kami memperhatikan bahwa perusahaan keuangan semakin khawatir dengan keamanan siber mereka. Perusahaan memperhatikan peningkatan serangan dunia maya di sektor ini,” kata Aivaras Vencevičius, kepala produk NordLocker.

Namun meskipun manufaktur dan konstruksi menjadi pusat perhatian, sektor keuanganlah yang dengan cepat menjadi target terbesar. Pada tahun 2021, perusahaan keuangan hanya menjadi sektor keenam yang paling banyak diserang, tetapi naik ke posisi kedua pada tahun 2022.

Grup ransomware paling aktif tahun lalu adalah LockBit, terlibat dalam total 723 serangan di seluruh dunia, dan menggulingkan Conti yang terkenal. Pada tahun 2021 Conti, yang diyakini berafiliasi dengan Rusia, menjadi grup paling aktif dengan 445 serangan di seluruh dunia.

sumber : techradar.com

British Airways, Boots dan BBC telah Terkena Ultimatum dari Kelompok Kejahatan Siber berbahasa Rusia “Clop”

by

Enam organisasi telah dipastikan terkena dampaknya, dengan Aer Lingus dan University of Rochester juga mengakui bahwa mereka telah terkena dampaknya. Banyak organisasi bukan pengguna langsung perangkat lunak MOVEit, tetapi mengalihdayakan layanan penggajian mereka ke pihak ketiga bernama Zellis, yang juga terpukul.

Grup peretas mengklaim memiliki informasi tentang “ratusan” perusahaan. Dalam postingan tersebut, mereka malu-malu tentang sifat serangan mereka, menggambarkannya hanya sebagai “layanan pengujian penetrasi setelah fakta”.

Grup peretas mengklaim memiliki informasi tentang “ratusan” perusahaan. Dalam postingan tersebut, mereka malu-malu tentang sifat serangan mereka, menggambarkannya hanya sebagai “layanan pengujian penetrasi setelah fakta”.

“Ini adalah pengumuman untuk mengedukasi perusahaan yang menggunakan produk Progress MOVEit bahwa kemungkinan besar kami mengunduh banyak data Anda sebagai bagian dari eksploitasi luar biasa,” bunyi permintaan tersebut. “Kami adalah satu-satunya yang melakukan serangan seperti itu dan santai karena data Anda aman.”

Ultimatum tidak berisi jumlah eksplisit yang harus dibayar oleh bisnis, tetapi menuntut agar mereka mengadakan negosiasi.

Kelompok tersebut juga mengklaim telah menghapus data yang mungkin telah dicuri dari aktor negara. “Jangan khawatir, kami menghapus data Anda, Anda tidak perlu menghubungi kami,” katanya. “Kami tidak tertarik untuk mengungkapkan informasi semacam itu.”

Cabang-cabang zaitun seperti itu biasa terjadi pada kelompok peretas profesional, yang ingin memaksimalkan pendapatan mereka tanpa menarik perhatian yang tidak perlu dari penegak hukum.

Ancaman tersebut merupakan peningkatan serangan ransomware konvensional dan dikenal sebagai “doxware”. Alih-alih hanya mengenkripsi data dan menagih kunci, peretas mencuri data secara langsung dan mengancam akan menerbitkannya kecuali uang tebusan dibayarkan.

“Meskipun tidak pernah disarankan untuk membayar tuntutan uang tebusan kepada penjahat dunia maya, ada risiko yang tak terhindarkan bahwa beberapa perusahaan yang ditargetkan akan menyerah pada tekanan tersebut. Ini hanya akan menyulut api dan melanjutkan siklus kelompok kriminal yang menghancurkan ini.

“Yang lebih penting adalah perusahaan yang terkena dampak terbuka dan jujur dengan karyawan dan pelanggan mereka yang menawarkan dukungan dalam cara melindungi diri mereka sendiri dan cara menemukan … serangan.”

sumber : theguardian.com

Driver Kernel Windows Berbahaya yang Digunakan Dalam Serangan Ransomware BlackCat

by

Grup ransomware ALPHV alias BlackCat diamati menggunakan driver kernel Windows berbahaya yang ditandatangani untuk menghindari deteksi oleh perangkat lunak keamanan selama serangan.

Trend Micro melihat penggerak versi perbaikan dari malware ‘POORTRY’ yang ditemukan Microsoft, Mandiant, Sophos, dan SentinelOne dalam serangan ransomware akhir tahun lalu.

Malware POORTRY adalah driver kernel Windows yang ditandatangani menggunakan kunci curian milik akun yang sah di Program Pengembang Perangkat Keras Windows Microsoft.

Driver jahat ini digunakan oleh grup peretasan UNC3944 atau 0ktapus dan Scattered Spider, untuk menghentikan perangkat lunak keamanan yang berjalan di perangkat Windows agar terhindar dari deteksi.

Hacker menyebarkan versi terbaru dari driver kernel POORTRY yang ditandatangani menggunakan sertifikat tanda tangan silang yang dicuri atau bocor.

Driver baru yang digunakan oleh operasi ransomware BlackCat membantu mereka meningkatkan hak istimewa mereka pada mesin yang dikompromikan dan kemudian menghentikan proses yang berkaitan dengan agen keamanan.

Hal ini juga dapat memberikan tautan longgar antara geng ransomware dan grup peretasan UNC3944/Scattered Spider.

Driver bertanda tangan yang dilihat oleh Trend Micro pada Februari 2023 Serangan BlackCat adalah ‘ktgn.sys,’ dimasukkan ke sistem file korban di folder %Temp% dan kemudian dimuat oleh program mode pengguna bernama ‘tjr.exe.’

Administrator sistem disarankan untuk menggunakan indikator penyusupan yang dibagikan oleh Trend Micro dan menambahkan driver jahat yang digunakan oleh pelaku ransomware ke daftar blokir driver Windows.

Kemudian Admin Windows harus memastikan bahwa ‘Driver Signature Enforcement’ diaktifkan, yang memblokir penginstalan driver apa pun yang tidak memiliki tanda tangan digital yang valid.

Selengkapnya: BleepingComputer

Ancaman Ransomware Semakin Meningkat, dan Semakin Banyak Menargetkan Perangkat Microsoft

by

Peretas mengeksploitasi ribuan kelemahan. Serangan ransomware tidak pernah sepopuler ini, laporan baru dari peneliti keamanan siber Securin, Ivanti, dan Cyware menyatakan.

Grup ransomware baru muncul terus-menerus dan kerentanan baru yang dieksploitasi ditemukan hampir setiap hari. Produk Microsoft adalah yang paling diminati untuk menjadi sasaran.

Secara umum, penyerang kini menargetkan lebih dari 7.000 produk yang dibuat oleh 121 vendor, semuanya digunakan oleh bisnis dalam operasi sehari-hari mereka. Sebagian besar milik Microsoft, yang memiliki 135 kerentanan terkait dengan ransomware, klaim para peneliti.

Sebanyak 59 kerentanan ada rantai pembunuh MITRE ATT&CK lengkap, mencakup dua kelemahan baru. Sementara 18 kelemahan tidak ditandai oleh program antivirus.

Jumlah kerentanan yang ditemukan dalam perangkat lunak open source (OSS) juga terus bertambah. Saat ini terdapat 119 kelemahan yang terkait dengan serangan ransomware. Karena OSS digunakan oleh semakin banyak perusahaan, para peneliti menyimpulkan bahwa ini adalah kekhawatiran yang sangat mendesak.

Selengkapnya: techradar.pro

3 Akun Vektor Serangan Awal Umum untuk Sebagian Besar Kampanye Ransomware

by

Sebagian besar penyerang ransomware menggunakan salah satu dari tiga vektor utama untuk menyusupi jaringan dan mendapatkan akses ke sistem dan data penting organisasi.

Vektor paling signifikan dalam serangan ransomware yang berhasil pada tahun 2022, misalnya, melibatkan eksploitasi aplikasi publik, yang menyumbang 43% dari semua pelanggaran, diikuti oleh penggunaan akun yang dikompromikan (24%) dan email berbahaya (12%). , menurut laporan Kaspersky yang baru dirilis, “The Nature of Cyber Incidents.”

Eksploitasi aplikasi dan email jahat menurun sebagai bagian dari semua serangan dibandingkan tahun sebelumnya, sementara penggunaan akun yang disusupi meningkat dari 18% pada tahun 2021.

Intinya: Menggandakan vektor serangan yang paling umum bisa sangat membantu untuk mencegah serangan ransomware. “Banyak perusahaan bukan target awal penyerang tetapi memiliki keamanan TI yang lemah dan [memungkinkan mereka] diretas dengan mudah, jadi penjahat dunia maya mengambil kesempatan ini,” kata Konstantin Sapronov, kepala tim tanggap darurat global di Kaspersky. “Jika kita melihat tiga vektor awal teratas, yang bersama-sama menyumbang hampir 80% dari semua kasus, kita dapat menerapkan beberapa tindakan defensif untuk menguranginya, dan sangat membantu untuk mengurangi kemungkinan menjadi korban.”

selengkapnya : darkreading.com

Aplikasi Fake Steam Desktop Authenticator mendistribusikan DarkCrystal RAT

by

Baru-baru ini saya menemukan kampanye menarik yang menggunakan situs web palsu untuk mendistribusikan malware. Meski TTP ini bukan barang baru, namun sepertinya sedang naik daun. Secara anekdot, saya telah melihatnya dalam banyak kasus di tahun 2023 lebih dari sebelumnya. Sulit untuk mengukur tanpa melakukan penelitian ekstensif, setidaknya ini adalah sesuatu yang harus diperhatikan oleh analis lain.

Tersangka penjahat dunia maya yang berbasis di Rusia memutuskan untuk mengkloning situs web aplikasi desktop sumber terbuka yang sah (lihat di sini) yang disebut Steam Desktop Authenticator (SDA) yang merupakan versi desktop yang nyaman dari aplikasi autentikator seluler. Namun, untuk kenyamanan itu, ada harga – penipuan peniruan dan pembajakan akun. Repo GitHub dari aplikasi SDA juga memiliki peringatan kepada orang lain tentang versi palsu yang beredar.

Pelaku ancaman yang mendistribusikan SDA versi palsu menggunakan dua teknik yang efektif jika dipasangkan bersama: Kloning Situs dan Typosquatting.

Kloning Situs melibatkan penyalinan semua HTML, CSS, JavaScript, PHP, dll, kode dari satu situs web dan menghostingnya kembali di server web Anda sendiri. Oleh karena itu terlihat sama dan bertindak sama. Semua tombol di situs itu juga berfungsi seperti aslinya dan akan mengarahkan Anda dari situs palsu ke halaman lain di situs asli.

Typosquatting melibatkan pendaftaran domain yang mirip dengan target. Oleh karena itu, ketika pengguna mengunjungi situs atau disajikan dengan URL, mereka kemudian harus secara sadar memperhatikan domain di URL untuk mengetahui bahwa itu bukan yang asli, misalnya, github.com.

selengkapnya : blog.bushidotoken.net

Ransomware MalasLocker menargetkan server Zimbra, menuntut sumbangan amal

by

Catatan tebusan berisi alamat email untuk menghubungi pelaku ancaman atau URL TOR yang menyertakan alamat email terbaru untuk grup tersebut. Catatan itu juga memiliki bagian teks yang disandikan Base64 di bagian bawah yang diperlukan untuk menerima dekripsi, yang akan kita bahas lebih detail nanti di artikel.

Meskipun catatan tebusan tidak berisi tautan ke situs kebocoran data geng ransomware, analis ancaman Emsisoft Brett Callow menemukan tautan ke situs kebocoran data mereka, dengan judul, “Somos malas… podemos ser peores,” diterjemahkan menjadi, ” Kami buruk… kami bisa lebih buruk.”

Situs kebocoran data MalasLocker saat ini mendistribusikan data yang dicuri untuk tiga perusahaan dan konfigurasi Zimbra untuk 169 korban lainnya.

Halaman utama situs kebocoran data itu juga berisi pesan panjang berisi emoji yang menjelaskan apa yang mereka perjuangkan dan uang tebusan yang mereka butuhkan.

“Kami adalah grup ransomware baru yang telah mengenkripsi komputer perusahaan untuk meminta mereka menyumbangkan uang kepada siapa pun yang mereka inginkan,” demikian bunyi situs kebocoran data MalasLocker.

“Kami meminta mereka memberikan donasi ke organisasi nirlaba pilihan mereka, lalu menyimpan email yang mereka terima untuk mengonfirmasi donasi dan mengirimkannya kepada kami sehingga kami dapat memeriksa tanda tangan DKIM untuk memastikan email tersebut asli.”

Tuntutan tebusan ini sangat tidak biasa dan, jika jujur, menempatkan operasi lebih ke ranah hacktivisme.

Namun, BleepingComputer belum menentukan apakah pelaku ancaman menepati janjinya ketika korban menyumbangkan uang untuk amal bagi dekripsi.

selengkapnya : bleepingcomputer.com

Mantan insinyur Ubiquiti di balik pencurian data yang “menakjubkan” mendapat hukuman penjara 6 tahun

by

BRAZIL – 2022/03/10: In this photo illustration the logo from the cyber security company Ubiquiti Networks seen displayed on a smartphone. (Photo Illustration by Rafael Henrique/SOPA Images/LightRocket via Getty Images)

Seorang mantan insinyur Ubiquiti, Nickolas Sharp, dijatuhi hukuman enam tahun penjara kemarin setelah mengaku bersalah di pengadilan New York karena mencuri puluhan gigabyte data rahasia, menuntut uang tebusan $1,9 juta dari mantan majikannya, dan kemudian mempublikasikan data tersebut ke publik. ketika tuntutannya ditolak.

Sharp tidak meminta hukuman penjara, memberi tahu Hakim Distrik Amerika Serikat Katherine Polk Failla bahwa serangan dunia maya itu sebenarnya adalah “latihan keamanan tanpa izin” yang menjadikan Ubiquiti “tempat yang lebih aman untuk dirinya sendiri dan untuk kliennya,” lapor Bloomberg. Dalam dokumen pengadilan, Sharp mengklaim bahwa CEO Ubiquiti Robert Pera telah mencegah Sharp untuk “menyelesaikan masalah keamanan yang luar biasa”, dan Sharp mengatakan kepada hakim bahwa hal ini menyebabkan “hiperfiksasi bodoh” dalam memperbaiki kelemahan keamanan tersebut.

Ubiquiti memilih untuk tidak membayar uang tebusan dan malah melibatkan FBI. Segera setelah itu, kesalahan Sharp yang menunjukkan IP rumahnya membuat FBI melacaknya. Di tempat kerja, Sharp menyarankan IP rumahnya dicatat dalam upaya untuk menjebaknya, memberi tahu rekan kerja, “Saya akan sangat tidak kompeten jika saya meninggalkan IP saya di hal yang saya minta, unduh, dan unggah” dan mengatakan bahwa akan menjadi “penyamaran paling buruk yang pernah ada lol.”

Sementara FBI menganalisis semua perangkat kerja Sharp, Sharp menghapus dan menyetel ulang laptop yang dia gunakan dalam serangan itu, tetapi dengan berani meninggalkan laptop itu di rumah, di mana laptop itu disita selama penggeledahan FBI pada Maret 2021.

Setelah pencarian FBI, Sharp mulai menyamar sebagai pembocor rahasia, menghubungi jurnalis dan regulator untuk memberikan peringatan palsu bahwa pengungkapan publik dan tanggapan Ubiquiti terhadap serangan siber tidak memadai.

selengkapnya : arstechnica.com