Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat / Ransomware

Ransomware

Peretas yang Didukung Negara Menggunakan Ransomware sebagai Umpan untuk Serangan Spionase

by

Sebuah kelompok ancaman persisten tingkat lanjut (APT) yang berbasis di China mungkin menyebarkan keluarga ransomware berumur pendek sebagai umpan untuk menutupi tujuan operasional dan taktis yang sebenarnya di balik kampanyenya.

Cluster aktivitas, yang dikaitkan dengan grup peretasan yang dijuluki Bronze Starlight oleh Secureworks, melibatkan penyebaran ransomware pasca-intrusi seperti LockFile, Atom Silo, Rook, Night Sky, Pandora, dan LockBit 2.0.

“Ransomware dapat mengalihkan perhatian responden insiden dari mengidentifikasi maksud sebenarnya dari pelaku ancaman dan mengurangi kemungkinan mengaitkan aktivitas jahat dengan kelompok ancaman China yang disponsori pemerintah,” kata para peneliti dalam sebuah laporan baru. “Dalam setiap kasus, ransomware menargetkan sejumlah kecil korban selama periode waktu yang relatif singkat sebelum berhenti beroperasi, tampaknya secara permanen.”

Bronze Starlight, aktif sejak pertengahan 2021, juga dilacak oleh Microsoft di bawah klaster ancaman yang muncul DEV-0401, dengan raksasa teknologi itu menekankan keterlibatannya dalam semua tahap siklus serangan ransomware langsung dari akses awal hingga penyebaran muatan.

Tidak seperti grup RaaS lain yang membeli akses dari broker akses awal (IAB) untuk memasuki jaringan, serangan yang dipasang oleh aktor ditandai dengan penggunaan kerentanan yang belum ditambal yang memengaruhi Exchange Server, Zoho ManageEngine ADSelfService Plus, Atlassian Confluence (termasuk kelemahan yang baru diungkapkan), dan Apache Log4j.

Dalam waktu kurang dari satu tahun, kelompok tersebut dikatakan telah melewati sebanyak enam jenis ransomware yang berbeda seperti LockFile (Agustus 2021), Atom Silo (Oktober), Rook (November), Night Sky (Desember), Pandora (Februari 2022 ), dan yang terbaru LockBit 2.0 (April).

Terlebih lagi, kesamaan telah ditemukan antara LockFile dan Atom Silo serta antara Rook, Night Sky, dan Pandora — tiga yang terakhir berasal dari ransomware Babuk, yang kode sumbernya bocor pada September 2021 — menunjukkan pekerjaan aktor yang sama.

“Karena DEV-0401 memelihara dan sering mengubah nama muatan ransomware mereka sendiri, mereka dapat muncul sebagai kelompok yang berbeda dalam pelaporan berbasis muatan dan menghindari deteksi dan tindakan terhadap mereka,” Microsoft mencatat bulan lalu.

Setelah mendapatkan pijakan di dalam jaringan, Bronze Starlight diketahui mengandalkan teknik seperti menggunakan Cobalt Strike dan Windows Management Instrumentation (WMI) untuk gerakan lateral, meskipun mulai bulan ini, grup tersebut mulai mengganti Cobalt Strike dengan kerangka Sliver dalam serangan mereka. .

Tradecraft lain yang diamati terkait dengan penggunaan HUI Loader untuk meluncurkan payload terenkripsi tahap berikutnya seperti PlugX dan Cobalt Strike Beacons, yang terakhir digunakan untuk mengirimkan ransomware, tetapi tidak sebelum mendapatkan kredensial Administrator Domain istimewa.

“Penggunaan HUI Loader untuk memuat Cobalt Strike Beacon, informasi konfigurasi Cobalt Strike Beacon, infrastruktur C2, dan kode yang tumpang tindih menunjukkan bahwa kelompok ancaman yang sama dikaitkan dengan lima keluarga ransomware ini,” jelas para peneliti.

Perlu ditunjukkan bahwa baik HUI Loader dan PlugX, bersama ShadowPad, adalah malware yang secara historis digunakan oleh kolektif musuh negara-bangsa China, memberikan kepercayaan pada kemungkinan bahwa Bronze Starlight lebih diarahkan untuk spionase daripada keuntungan moneter langsung.

Selain itu, pola viktimologi yang mencakup berbagai jenis ransomware menunjukkan bahwa sebagian besar target cenderung lebih menarik bagi kelompok yang disponsori pemerintah China yang berfokus pada pengumpulan intelijen jangka panjang.

Korban utama mencakup perusahaan farmasi di Brasil dan AS, organisasi media yang berbasis di AS dengan kantor di China dan Hong Kong, perancang dan produsen komponen elektronik di Lituania dan Jepang, firma hukum di AS, dan divisi kedirgantaraan dan pertahanan dari seorang konglomerat India.

Untuk itu, operasi ransomware, selain menyediakan sarana untuk mengekstrak data sebagai bagian dari skema pemerasan ganda “nama-dan-malu”, juga menawarkan keuntungan ganda karena memungkinkan pelaku ancaman untuk menghancurkan bukti forensik dari aktivitas jahat mereka dan bertindak sebagai pengalih perhatian dari pencurian data.

“Masuk akal bahwa Bronze Starlight menyebarkan ransomware sebagai tabir asap daripada untuk keuntungan finansial, dengan motivasi yang mendasari mencuri kekayaan intelektual atau melakukan spionase,” kata para peneliti.

Sumber: The Hacker News

QNAP ‘menyelidiki secara menyeluruh’ serangan ransomware DeadBolt baru

by

Vendor Network-attached storage (NAS) bernama QNAP sekali lagi memperingatkan pelanggan pada hari Jumat untuk mengamankan perangkat mereka dari kampanye serangan baru yang mendorong ransomware DeadBolt.

Perusahaan mendesak pengguna untuk memperbarui perangkat NAS mereka ke versi firmware terbaru dan memastikan mereka tidak terkena akses jarak jauh melalui Internet.

“QNAP baru-baru ini mendeteksi kampanye ransomware DeadBolt baru. Menurut laporan korban sejauh ini, kampanye tersebut tampaknya menargetkan perangkat QNAP NAS yang menjalankan QTS 4.x,” kata QNAP hari ini.

“Kami sedang menyelidiki kasus ini secara menyeluruh dan akan memberikan informasi lebih lanjut sesegera mungkin.”

Peringatan ini mengikuti beberapa tiga peringatan lain yang telah dikeluarkan perusahaan sejak awal 2022 [1, 2, 3], semua menyarankan pengguna untuk menjaga perangkat mereka tetap mutakhir dan tidak mengekspos mereka ke akses Internet.

Seperti yang terlihat pada serangan sebelumnya yang menargetkan perangkat QNAP NAS pada akhir Januari dan mengenai ribuan korban, ransomware DeadBolt membajak halaman login perangkat untuk menampilkan layar yang menyatakan, “PERINGATAN: File Anda telah dikunci oleh DeadBolt.”

Setelah diluncurkan pada perangkat NAS yang disusupi, DeadBolt menggunakan AES128 untuk mengenkripsi file, menambahkan ekstensi .deadbolt ke namanya.

Deadbolt juga menggantikan file /home/httpd/index.html sehingga korban akan melihat catatan tebusan saat mengakses perangkat yang dienkripsi.

Setelah korban membayar tebusan 0,03 bitcoin, pelaku ancaman membuat transaksi bitcoin ke alamat bitcoin yang sama yang berisi kunci dekripsi di bawah output OP_RETURN.

Selengkapnya: Bleeping Computer

Microsoft: Server Exchange diretas untuk menyebarkan ransomware BlackCat

by

Microsoft mengatakan afiliasi ransomware BlackCat sekarang menyerang server Microsoft Exchange menggunakan eksploitasi yang menargetkan kerentanan yang belum ditambal.

Setidaknya dalam satu insiden yang diamati oleh pakar keamanan Microsoft, penyerang perlahan-lahan bergerak melalui jaringan korban, mencuri kredensial, dan mengekstrak informasi yang akan digunakan untuk pemerasan ganda.

Dua minggu setelah kompromi awal menggunakan server Exchange yang belum ditambal sebagai vektor entri, pelaku ancaman menyebarkan muatan ransomware BlackCat di seluruh jaringan melalui PsExec.

Meskipun tidak menyebutkan kerentanan Exchange yang digunakan untuk akses awal, Microsoft menautkan ke penasihat keamanan mulai Maret 2021 dengan panduan untuk menyelidiki dan mengurangi serangan ProxyLogon.

Selain itu, meskipun Microsoft tidak menyebutkan nama afiliasi ransomware yang menyebarkan ransomware BlackCat dalam studi kasus ini, perusahaan tersebut mengatakan beberapa kelompok kejahatan dunia maya sekarang berafiliasi dengan operasi Ransomware sebagai Layanan (RaaS) ini dan secara aktif menggunakannya dalam serangan.

Masuk melalui server Exchange yang rentan (Microsoft)

Salah satunya, kelompok kejahatan dunia maya bermotivasi finansial yang dilacak sebagai FIN12, dikenal karena sebelumnya menggunakan ransomware Ryuk, Conti, dan Hive dalam serangan yang terutama menargetkan organisasi perawatan kesehatan.

Namun, seperti yang diungkapkan Mandiant, operator FIN12 jauh lebih cepat karena terkadang mereka melewatkan langkah pencurian data dan membutuhkan waktu kurang dari dua hari untuk melepaskan muatan enkripsi file mereka di seluruh jaringan target.

Ransomware BlackCat juga disebarkan oleh grup afiliasi yang dilacak sebagai DEV-0504 yang biasanya mengekstrak data yang dicuri menggunakan Stealbit, alat berbahaya yang disediakan geng LockBit kepada afiliasinya sebagai bagian dari program RaaS-nya.

DEV-0504 juga telah menggunakan jenis ransomware lain mulai Desember 2021, termasuk BlackMatter, Conti, LockBit 2.0, Revil, dan Ryuk.

Untuk mempertahankan diri dari serangan ransomware BlackCat, Microsoft menyarankan organisasi untuk meninjau postur identitas mereka, memantau akses eksternal ke jaringan mereka, dan memperbarui semua server Exchange yang rentan di lingkungan mereka sesegera mungkin.

Pada bulan April, FBI memperingatkan dalam peringatan kilat bahwa ransomware BlackCat telah digunakan untuk mengenkripsi jaringan setidaknya 60 organisasi di seluruh dunia antara November 2021 dan Maret 2022.

Namun, jumlah sebenarnya dari korban BlackCat kemungkinan besar jauh lebih tinggi mengingat lebih dari 480 sampel telah dikirimkan pada platform ID-Ransomware antara November 2021 dan Juni 2022.

Aktivitas BlackCat (ID-Ransomware)

Dalam peringatan April, FBI juga meminta admin dan tim keamanan yang mendeteksi aktivitas BlackCat dalam jaringan mereka untuk berbagi info insiden terkait dengan Pasukan Siber FBI lokal mereka.

Informasi berguna yang akan membantu melacak dan mengidentifikasi pelaku ancaman yang menggunakan ransomware ini dalam serangan mereka termasuk “Log IP yang menunjukkan panggilan balik dari alamat IP asing, alamat Bitcoin atau Monero dan ID transaksi, komunikasi dengan pelaku ancaman, file dekripsi, dan/atau sampel jinak dari file terenkripsi.”

Sumber: Bleeping Computer

Hello XD ransomware sekarang menjatuhkan Backdoor saat mengenkripsi

by

Peneliti keamanan siber melaporkan peningkatan aktivitas ransomware Hello XD, yang operatornya sekarang menerapkan sampel yang ditingkatkan dengan enkripsi yang lebih kuat.

Pertama kali diamati pada November 2021, keluarga tertentu didasarkan pada kode sumber yang bocor dari Babuk dan terlibat dalam sejumlah kecil serangan pemerasan ganda di mana pelaku ancaman mencuri data perusahaan sebelum mengenkripsi perangkat.

Menurut sebuah laporan baru oleh Palo Alto Networks Unit 42, pembuat malware telah menciptakan sebuah encryptor baru yang menampilkan custom packing untuk menghindari deteksi dan perubahan algoritma enkripsi.

Ini menandai keberangkatan yang signifikan dari kode Babuk dan menyoroti niat penulis untuk mengembangkan jenis ransomware baru dengan kemampuan dan fitur unik untuk meningkatkan serangan.

Operasi ransomware Hello XD saat ini tidak menggunakan situs pembayaran Tor untuk memeras korban, melainkan menginstruksikan korban untuk memasuki negosiasi secara langsung melalui layanan obrolan TOX.

Dalam versi terbaru, operator malware telah menambahkan tautan situs bawang pada catatan tebusan yang dijatuhkan, tetapi Unit 42 mengatakan situs itu offline, jadi mungkin sedang dalam pembangunan.

Halo catatan tebusan XD, kiri lama, kanan baru (Unit 42)

Saat dijalankan, Hello XD mencoba menonaktifkan salinan bayangan untuk mencegah pemulihan sistem yang mudah dan kemudian mengenkripsi file, menambahkan ekstensi .hello ke nama file.

Selain muatan ransomware, Unit 42 juga mengamati operator Hello XD sekarang menggunakan pintu belakang sumber terbuka bernama MicroBackdoor untuk menavigasi sistem yang disusupi, mengekstrak file, menjalankan perintah, dan menghapus jejak.

Eksekusi MicroBackdoor ini dienkripsi menggunakan WinCrypt API dan disematkan di dalam muatan ransomware, sehingga langsung dijatuhkan ke sistem setelah terinfeksi.

Mendekripsi dan menjatuhkan Microbackdoor (Unit 42)

Pengemas kustom yang digunakan dalam versi kedua payload ransomware menampilkan dua lapisan kebingungan.

Penulis telah menurunkan crypter dengan memodifikasi UPX, sebuah paket open-source yang telah disalahgunakan oleh banyak pembuat malware di masa lalu.

Pengepakan UPX (kanan) dan pengemasan khusus (kiri) (Unit 42)

Dekripsi gumpalan yang disematkan melibatkan penggunaan algoritme khusus yang berisi instruksi tidak konvensional seperti XLAT, sementara panggilan API dalam pengepakan anehnya tidak dikaburkan.

Aspek paling menarik dari versi utama kedua Hello XD adalah mengganti algoritma enkripsi dari HC-128 dan Curve25519-Donna yang dimodifikasi ke Rabbit Cipher dan Curve25519-Donna.

Enkripsi babuk (kiri) dan enkripsi Hello XD 2.0 (kanan) (Unit 42)

Selain itu, penanda file di versi kedua diubah dari string yang koheren menjadi byte acak, membuat hasil kriptografi lebih kuat.

Saat ini, Hello XD adalah proyek ransomware tahap awal berbahaya yang saat ini digunakan di alam liar. Meskipun volume infeksinya belum signifikan, perkembangannya yang aktif dan terarah meletakkan dasar untuk status yang lebih berbahaya.

Unit 42 melacak asal-usulnya ke aktor ancaman berbahasa Rusia menggunakan alias X4KME, yang mengunggah tutorial tentang penggelaran Cobalt Strike Beacons dan infrastruktur berbahaya secara online.

Selain itu, peretas yang sama telah memposting di forum untuk menawarkan eksploitasi proof-of-concept (PoC), layanan crypter, distribusi Kali Linux khusus, dan layanan hosting dan distribusi malware.

Sumber: Bleeping Computer

Ransomware Black Basta versi Linux menargetkan server VMware ESXi

by

Black Basta adalah geng ransomware terbaru yang menambahkan dukungan untuk mengenkripsi mesin virtual (VM) VMware ESXi yang berjalan di server Linux perusahaan.

Sebagian besar grup ransomware sekarang memfokuskan serangan mereka pada VM ESXi karena taktik ini selaras dengan penargetan perusahaan mereka. Ini juga memungkinkan untuk memanfaatkan enkripsi yang lebih cepat dari beberapa server dengan satu perintah.

Mengenkripsi VM masuk akal karena banyak perusahaan baru-baru ini bermigrasi ke mesin virtual karena memungkinkan pengelolaan perangkat yang lebih mudah dan penggunaan sumber daya yang jauh lebih efisien.

Dalam sebuah laporan baru, analis Uptycs Threat Research mengungkapkan bahwa mereka melihat binari ransomware Black Basta baru yang secara khusus menargetkan server VMWare ESXi.

Encryptor ransomware Linux bukanlah hal baru, dan BleepingComputer telah melaporkan encryptor serupa yang dirilis oleh beberapa geng lain, termasuk LockBit, HelloKitty, BlackMatter, REvil, AvosLocker, RansomEXX, dan Hive.

Seperti encryptor Linux lainnya, biner ransomware Black Basta akan mencari /vmfs/volumes tempat mesin virtual disimpan di server ESXi yang disusupi (jika tidak ada folder seperti itu yang ditemukan, ransomware akan keluar).

Ransomware menggunakan algoritma ChaCha20 untuk mengenkripsi file. Ini juga memanfaatkan multithreading untuk menggunakan banyak prosesor dan mempercepat proses enkripsi.

Saat mengenkripsi, ransomware akan menambahkan ekstensi .basta ke nama file terenkripsi dan membuat catatan tebusan bernama readme.txt di setiap folder.

Catatan tersebut menyertakan tautan ke panel dukungan obrolan dan ID unik yang dapat digunakan korban untuk berkomunikasi dengan penyerang.

Catatan tebusan Black Basta Linux (BleepingComputer)

“Berdasarkan tautan dukungan obrolan dan ekstensi file terenkripsi, kami percaya bahwa aktor di balik kampanye ini adalah sama yang menargetkan sistem Windows sebelumnya dengan ransomware Black Basta.”

Ransomware Black Basta pertama kali terlihat di alam liar pada minggu kedua bulan April, saat operasi tersebut dengan cepat meningkatkan serangannya yang menargetkan perusahaan di seluruh dunia.

Meskipun tuntutan tebusan geng cenderung bervariasi antara korban, BleepingComputer tahu setidaknya satu yang menerima permintaan lebih dari $ 2 juta untuk decryptor dan untuk menghindari kebocoran data online.

Meskipun tidak banyak lagi yang diketahui tentang geng ransomware baru, ini mungkin bukan operasi baru melainkan perubahan citra karena kemampuan mereka yang ditunjukkan untuk dengan cepat menembus korban baru dan gaya negosiasi (mungkin perubahan citra operasi ransomware Conti).

CTO Emsisoft Fabian Wosar sebelumnya telah memberi tahu bahwa geng ransomware lain (selain yang kami laporkan), termasuk Babuk, RansomExx/Defray, Mespinoza, GoGoogle, Snatch, PureLocker, dan DarkSide, juga telah mengembangkan dan menggunakan enkripsi Linux mereka sendiri.

Sumber: Bleeping Computer

Evil Corp beralih ke ransomware LockBit untuk menghindari sanksi

by

Kelompok kejahatan dunia maya Evil Corp kini telah beralih untuk menyebarkan ransomware LockBit pada jaringan target untuk menghindari sanksi yang dijatuhkan oleh Kantor Pengawasan Aset Asing (OFAC) Departemen Keuangan AS.

Aktif sejak 2007, Evil Corp (alias INDRIK SPIDER atau geng Dridex) dikenal karena mendorong malware Dridex dan kemudian beralih ke “bisnis” ransomware.

Geng mulai dengan ransomware Locky dan kemudian menyebarkan jenis ransomware mereka sendiri yang dikenal sebagai BitPaymer hingga 2019.

Sejak AS memberikan sanksi kepada mereka pada Desember 2019 karena menggunakan Dridex untuk menyebabkan kerugian finansial lebih dari $100 juta, grup tersebut beralih untuk memasang ransomware WastedLocker baru pada Juni 2020.

Dari Maret 2021, Evil Corp pindah ke jenis lain yang dikenal sebagai Hades ransomware, varian 64-bit dari WastedLocker yang ditingkatkan dengan kebingungan kode tambahan dan perubahan fitur kecil.

Sejak itu, para pelaku ancaman juga meniru kelompok peretas PayloadBin dan menggunakan jenis ransomware lain yang dikenal sebagai Macaw Locker dan Phoenix CryptoLocker.

Seperti yang baru-baru ini diamati oleh analis ancaman Mandiant, geng kejahatan dunia maya kini telah melakukan upaya lain untuk menjauhkan diri dari alat yang diketahui untuk memungkinkan korban membayar uang tebusan tanpa menghadapi risiko yang terkait dengan pelanggaran peraturan OFAC,

Sebuah cluster aktivitas yang dilacak oleh Mandiant sebagai UNC2165 (sebelumnya menyebarkan Hades ransomware dan ditautkan ke Evil Corp) sekarang menyebarkan ransomware sebagai afiliasi LockBit.

“Selain itu, pembaruan kode yang sering dan rebranding HADES membutuhkan sumber daya pengembangan dan masuk akal bahwa UNC2165 melihat penggunaan LOCKBIT sebagai pilihan yang lebih hemat biaya.”

Aktivitas ransomware LockBit (ID-Ransomware)

Taktik baru bertindak sebagai afiliasi operasi Ransomware sebagai Layanan (RaaS) kemungkinan akan memungkinkan mereka menginvestasikan waktu yang dibutuhkan untuk pengembangan ransomware ke dalam memperluas operasi penyebaran ransomware geng.

Teori lain adalah bahwa peralihan ke alat jahat orang lain dapat memberi Evil Corp sumber daya gratis yang cukup untuk mengembangkan jenis ransomware baru dari awal, sehingga mempersulit peneliti keamanan untuk menautkan ke operasi geng sebelumnya.

“Kami berharap para pelaku ini serta pihak lain yang terkena sanksi di masa depan mengambil langkah-langkah seperti ini untuk mengaburkan identitas mereka agar tidak menjadi faktor pembatas untuk menerima pembayaran dari para korban,” tutup Mandiant.

Sumber: Bleeping Computer

Geng Ransomware sekarang meretas situs web perusahaan untuk menampilkan catatan tebusan

by

Geng ransomware membawa pemerasan ke tingkat yang baru dengan meretas situs web perusahaan secara publik untuk menampilkan catatan tebusan secara publik.

Strategi pemerasan baru ini dilakukan oleh Industrial Spy, geng pemerasan data yang baru-baru ini mulai menggunakan ransomware sebagai bagian dari serangan mereka.

Sebagai bagian dari serangan mereka, Industrial Spy akan menembus jaringan, mencuri data, dan menyebarkan ransomware di perangkat. Pelaku ancaman kemudian mengancam akan menjual data yang dicuri di pasar Tor mereka jika uang tebusan tidak dibayarkan.

Contoh catatan tebusan mata-mata industri
Sumber: BleepingComputer

Hari ini, Industrial Spy mulai menjual data yang mereka klaim dicuri dari perusahaan Prancis bernama SATT Sud-Est seharga $500.000.

Seperti yang pertama kali diketahui oleh peneliti keamanan MalwareHunterTeam, serangan ini menonjol karena pelaku juga meretas situs web perusahaan untuk menampilkan pesan peringatan bahwa 200GB telah dicuri dan akan segera dijual jika korban tidak membayar uang tebusan.

SATT Sud-Est dirusak untuk menunjukkan catatan tebusan
Sumber: BleepingComputer

Ketika geng ransomware memeras korban, mereka biasanya memberi mereka waktu singkat, biasanya beberapa minggu, untuk bernegosiasi dan membayar uang tebusan sebelum mereka mulai membocorkan data.

Selama proses negosiasi ini, pelaku ancaman berjanji untuk merahasiakan serangan, memberikan kunci dekripsi, dan menghapus semua data jika uang tebusan dibayarkan.

Setelah periode ini, pelaku ancaman akan menggunakan berbagai metode untuk meningkatkan tekanan, termasuk serangan DDoS di situs web perusahaan, mengirim email kepada pelanggan dan mitra bisnis, dan menelepon eksekutif dengan ancaman.

Taktik ini semua dilakukan secara pribadi atau dengan eksposur minimal di situs kebocoran data mereka, yang biasanya hanya dikunjungi oleh peneliti keamanan siber dan media.

Sementara taktik ini di luar norma, memungkinkan geng ransomware untuk memberikan tekanan lebih lanjut pada korban, karena mendorong serangan menjadi sorotan di mana pelanggan dan mitra bisnis dapat lebih mudah melihatnya.

Namun, tidak diyakini bahwa taktik baru ini akan digunakan secara luas karena server web biasanya tidak di-host di jaringan perusahaan melainkan dengan penyedia hosting.

Oleh karena itu, pelaku ancaman perlu menemukan kerentanan di situs web atau mendapatkan akses ke kredensial saat mereka mencuri data dari jaringan internal.

Sumber: Bleeping Computer

Laporan Verizon: Ransomware, Kesalahan Manusia Di Antara Risiko Keamanan Teratas

by

Ransomware, ancaman rantai pasokan, dan bagaimana organisasi dan karyawan mereka adalah musuh terburuk mereka sendiri dalam hal keamanan adalah beberapa kesimpulan utama dari laporan tahunan Verizon tentang serangan cyber selama 12 bulan terakhir.

Laporan Investigasi Pelanggaran Data 2022 (DBIR) yang diterbitkan Selasa memberikan beberapa berita mengejutkan bagi organisasi yang bertujuan untuk mengamankan diri mereka sendiri dari ancaman yang dapat mengakibatkan kompromi sistem dan hilangnya data, sumber daya, uang, waktu, dan/atau semua hal di atas.

Para peneliti di balik laporan tersebut–Gabriel Bassett, C. David Hylender, Philippe Langlois, Alex Pinto, dan Suzanne Widup–mengamati bahwa beberapa tahun terakhir telah “luar biasa” bagi semua orang, tanpa menyebutkan faktor yang jelas, yaitu pandemi dan awal mulanya. perang di Ukraina tepat di belakangnya.

Namun, yang paling dipedulikan oleh penjaga laporan adalah data yang terkait dengan insiden dan pelanggaran keamanan yang terjadi—dengan yang pertama adalah kompromi apa pun terhadap aset informasi, dan yang terakhir adalah pengungkapan data kepada pihak yang tidak berwenang. Dan pada tahun 2021, para peneliti menemukan bahwa keduanya mengalami lonjakan kejadian yang belum pernah terjadi sebelumnya.

Ada sedikit kejutan di antara temuan-temuan kunci DBIR bagi mereka yang mengamati lanskap keamanan pada tahun 2021. Faktanya, beberapa temuan tampaknya konsisten dengan apa yang disoroti oleh laporan tersebut sejak dimulainya pada tahun 2008, seorang profesional keamanan mengamati.

Namun, satu temuan yang mencerminkan ancaman yang menjadi terkenal hanya dalam beberapa tahun terakhir adalah bahwa ransomware melanjutkan tren kenaikannya. Jenis kejahatan dunia maya ini yang mengunci data perusahaan melalui penyusupan dan tidak akan merilisnya sampai organisasi membayar sejumlah pemerasan yang besar mengalami peningkatan hampir 13 persen dari tahun ke tahun pada tahun 2021.

Memang, meskipun kelompok ransomware telah datang dan pergi dan otoritas federal telah mengambil langkah besar untuk menindak jenis kejahatan dunia maya ini, keuntungannya sangat menguntungkan bagi penjahat sehingga kemungkinan akan bertahan untuk sementara waktu, catat pakar keamanan.

Serangan signifikan pada rantai pasokan—di mana pelanggaran terjadi pada satu sistem atau perangkat lunak yang dapat dengan mudah menyebar ke seluruh organisasi—yang menunjukkan dampak jangka panjang juga meningkat dan terjadi pada tahun 2021, para peneliti menemukan.

Tanpa menyebutkan namanya, tim Verizon mengutip sebagai contoh serangan rantai pasokan SolarWinds yang sekarang terkenal yang terjadi pada akhir tahun 2020 dan masih membuat perusahaan berebut untuk bereaksi terhadap dampak hingga tahun 2021.

Memang, “rantai pasokan bertanggung jawab atas 62 persen insiden penyusupan sistem tahun ini,” para peneliti melaporkan. Selain itu, tidak seperti aktor ancaman yang bermotivasi finansial, pelaku kejahatan ini sering kali adalah aktor yang disponsori negara yang lebih memilih untuk “melewati pelanggaran dan mempertahankan aksesnya,” mempertahankan kegigihan pada jaringan organisasi untuk beberapa waktu, kata peneliti.

Serangan ini sangat berbahaya karena, karena serangan dapat dimulai dengan satu perusahaan tetapi dengan cepat menyebar ke pelanggan dan mitranya, dapat ada begitu banyak korban yang terlibat, para peneliti.

Lebih lanjut, sering kali pelanggaran yang melewati rantai pasokan tidak ditemukan sampai lama setelah penyerang mendapatkan akses ke sistem organisasi, membuat potensi pelanggaran dan pencurian data dalam jangka panjang lebih mungkin terjadi.

Dua temuan kunci lagi dari laporan tersebut terkait dalam hal di mana letak tanggung jawab utama—seseorang baik di dalam maupun di luar organisasi yang melakukan kesalahan. Memang, kesalahan manusia terus menjadi tren dominan tentang bagaimana dan mengapa pelanggaran terjadi, para peneliti menemukan.

Faktanya, 82 persen dari pelanggaran yang dianalisis dalam DBIR pada tahun 2021 melibatkan apa yang oleh para peneliti disebut “elemen manusia, yang dapat berupa banyak hal, kata mereka.

“Apakah itu penggunaan kredensial yang dicuri, phishing, penyalahgunaan, atau hanya kesalahan, orang terus memainkan peran yang sangat besar dalam insiden dan pelanggaran,” tulis para peneliti.

Pakar keamanan mengungkapkan sedikit kejutan atas temuan “elemen manusia”, yang merupakan salah satu yang menjangkiti industri teknologi bahkan sebelum keamanan dan seluruh industri di sekitarnya menjadi kenyataan, kata seorang profesional keamanan.

Banyak kesalahan yang terjadi saat ini adalah hasil dari rekayasa sosial yang cerdik dari pihak penyerang, terutama dalam serangan phishing yang mengelabui orang agar mengklik file atau tautan berbahaya yang memungkinkan akses komputer atau memberikan kredensial pribadi yang dapat digunakan untuk menyusup ke sistem perusahaan , dia berkata.

Satu-satunya cara untuk mengatasi masalah keamanan yang disebabkan oleh kesalahan manusia adalah melalui pendidikan, apakah itu tentang kesalahan konfigurasi yang salah, pentingnya menambal, kredensial yang dicuri, dan atau hanya “kesalahan biasa, seperti ketika pengguna secara tidak sengaja mengirim email ke data orang yang salah,” kata Grimes.

Sumber: Threat Post