Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat / Ransomware

Ransomware

Ransomware Linux ‘Cheers’ baru menargetkan server VMware ESXi

by

Ransomware baru bernama ‘Cheers’ telah muncul di ruang kejahatan dunia maya dan telah memulai operasinya dengan menargetkan server VMware ESXi yang rentan.

VMware ESXi adalah platform virtualisasi yang biasa digunakan oleh organisasi besar di seluruh dunia, jadi mengenkripsi mereka biasanya menyebabkan gangguan parah pada operasi bisnis.

Kami telah melihat banyak grup ransomware yang menargetkan platform VMware ESXi di masa lalu, dengan tambahan terbaru adalah LockBit dan Hive.

Penambahan ransomware Cheers ke klub ditemukan oleh analis di Trend Micro, yang menyebut varian baru ‘Cheerscrypt’.

Setelah server VMware ESXi disusupi, pelaku ancaman meluncurkan encryptor, yang secara otomatis akan menghitung mesin virtual yang sedang berjalan dan mematikannya menggunakan perintah esxcli berikut.

esxcli vm process kill –type=force –world-id=$(esxcli vm process list|grep ‘World ID’|awk ‘{print $3}’)

Saat mengenkripsi file, ia secara khusus mencari file dengan ekstensi .log, .vmdk, .vmem, .vswp, dan .vmsn berikut. Ekstensi file ini terkait dengan snapshot ESXi, file log, file swap, file paging, dan disk virtual.

Setiap file terenkripsi akan memiliki ekstensi “.Cheers” yang ditambahkan ke nama filenya. Anehnya, penggantian nama file terjadi sebelum enkripsi, jadi jika izin akses untuk mengubah nama file ditolak, enkripsi akan gagal, tetapi file akan tetap diganti namanya.

Skema enkripsi menggunakan sepasang kunci publik dan pribadi untuk mendapatkan kunci rahasia (SOSEMANUK stream cipher) dan menyematkannya di setiap file terenkripsi. Kunci pribadi yang digunakan untuk membuat kunci rahasia dihapus untuk mencegah pemulihan.​

Rutinitas enkripsi Cheers (Trend Micro)

Saat memindai folder untuk file yang akan dienkripsi, ransomware akan membuat catatan tebusan bernama ‘Cara Mengembalikan File Anda.txt’ di setiap folder.

Catatan tebusan ini mencakup informasi tentang apa yang terjadi pada file korban dan tautan ke situs kebocoran data Tor operasi ransomware dan situs negosiasi tebusan.

Setiap korban memiliki situs Tor unik untuk negosiasi mereka, tetapi URL situs kebocoran data Onion bersifat statis.

Cheers uang tebusan untuk para korban
Sumber: BleepingComputer

Berdasarkan penelitian BleepingComputer ke dalam operasi baru, tampaknya telah diluncurkan pada Maret 2022.

BleepingComputer menemukan kebocoran data dan pemerasan korban situs Onion untuk operasi ransomware Cheers, yang saat ini hanya mencantumkan empat korban.

Namun, keberadaan portal ini menunjukkan bahwa Cheers melakukan eksfiltrasi data selama serangan dan menggunakan data yang dicuri dalam serangan pemerasan ganda.

Kebocoran data Cheer situs Bawang
Sumber: BleepingComputer

Berdasarkan catatan tebusan yang kami periksa, pelaku ancaman memberi korbannya tiga hari untuk mengakses situs Tor yang disediakan untuk menegosiasikan pembayaran tebusan sebagai ganti kunci dekripsi yang berfungsi.

Jika korban tidak membayar uang tebusan, pelaku ancaman mengatakan mereka akan menjual data yang dicuri ke penjahat lain.

Jika tidak ada yang tertarik untuk membeli data, data tersebut akan dipublikasikan di portal kebocoran dan diekspos ke klien, kontraktor, otoritas perlindungan data, pesaing, dan pelaku ancaman lainnya.

Sumber: Bleeping Computer

Conti ransomware menutup operasi, mengubah citra menjadi unit yang lebih kecil

by

Geng Conti ransomware yang terkenal telah secara resmi menutup operasi mereka, dengan infrastruktur dimatikan dan para pemimpin tim diberitahu bahwa merek tersebut tidak ada lagi.

Berita ini datang dari Intel Lanjutan Yelisey Boguslavskiy, yang men-tweet sore ini bahwa infrastruktur internal geng dimatikan.

Boguslavskiy mengatakan bahwa infrastruktur yang diambil offline termasuk situs web Tor yang digunakan oleh anggota untuk melakukan negosiasi dan mempublikasikan “berita” di situs kebocoran data mereka. Selain itu, layanan internal lainnya, seperti server obrolan roket mereka, sedang dinonaktifkan.

Meskipun mungkin aneh bagi Conti untuk menutup di tengah perang informasi mereka dengan Kosta Rika, Boguslavskiy memberi tahu kita bahwa Conti melakukan serangan yang sangat umum ini untuk membuat fasad operasi langsung sementara anggota Conti perlahan-lahan bermigrasi ke ransomware lain yang lebih kecil operasi.

Conti mengancam pemerintah Kosta Rika
Sumber: BleepingComputer

Sementara merek ransomware Conti tidak ada lagi, sindikat kejahatan dunia maya akan terus memainkan peran penting dalam industri ransomware untuk waktu yang lama.

Boguslavskiy mengatakan alih-alih mengubah citra sebagai operasi ransomware besar lainnya, kepemimpinan Conti malah bermitra dengan geng ransomware kecil lainnya untuk melakukan serangan.

Di bawah kemitraan ini, geng ransomware yang lebih kecil mendapatkan masuknya Conti pentester, negosiator, dan operator yang berpengalaman. Sindikat kejahatan dunia maya Conti memperoleh mobilitas dan penghindaran yang lebih besar dari penegakan hukum dengan memecah menjadi “sel-sel” yang lebih kecil, semuanya dikelola oleh kepemimpinan pusat.

Laporan Advanced Intel menjelaskan bahwa Conti telah bermitra dengan banyak operasi ransomware terkenal, termasuk HelloKitty, AvosLocker, Hive, BlackCat, BlackByte, dan banyak lagi.

Anggota Conti yang ada, termasuk negosiator, analis intel, pentester, dan pengembang, tersebar di seluruh operasi ransomware lainnya. Sementara para anggota ini sekarang akan menggunakan enkripsi dan situs negosiasi operasi ransomware lainnya, mereka masih menjadi bagian dari sindikat kejahatan dunia maya Conti yang lebih besar.

Pecahnya kelompok semi-otonom dan otonom yang lebih kecil ini diilustrasikan pada gambar di bawah yang dibagikan oleh Intel Lanjutan.

Anggota Conti menyebar ke operasi ransomware lainnya
Sumber: Intel Tingkat Lanjut

Advanced Intel juga menyatakan bahwa grup otonom baru dari anggota Conti telah dibuat yang berfokus sepenuhnya pada eksfiltrasi data dan bukan enkripsi data. Beberapa dari grup ini termasuk Karakurt, BlackByte, dan kolektif Bazarcall.

Inisiatif ini memungkinkan sindikat kejahatan dunia maya yang ada untuk terus beroperasi tetapi tidak lagi dengan nama Conti.

Rebranding Conti tidak mengejutkan para peneliti dan jurnalis yang telah mengikuti mereka selama beberapa bulan terakhir, jika bukan beberapa tahun terakhir.

Operasi ransomware Conti diluncurkan pada musim panas 2020, setelah menggantikan ransomware Ryuk.

Seperti Ryuk, Conti didistribusikan melalui kemitraan dengan infeksi malware lainnya, seperti TrickBot dan BazarLoader, yang menyediakan akses awal ke geng ransomware.

Seiring waktu, Conti tumbuh menjadi operasi ransomware terbesar, perlahan berubah menjadi sindikat kejahatan dunia maya saat mereka mengambil alih operasi TrickBot, BazarLoader, dan Emotet.

Conti bertanggung jawab atas banyak serangan selama masa mereka, termasuk serangan terhadap Kota Tulsa, Sekolah Umum Kabupaten Broward, dan Advantech.

Mereka mendapat perhatian media yang luas setelah mereka menyerang Eksekutif Layanan Kesehatan Irlandia (HSE) dan Departemen Kesehatan (DoH), mematikan sistem TI negara itu selama berminggu-minggu.

Pada akhirnya, geng ransomware menyediakan decryptor gratis untuk HSE Irlandia, tetapi pada saat itu, mereka berada di garis bidik penegakan hukum di seluruh dunia.

Namun, tidak sampai Conti memihak invasi Rusia ke Ukraina bahwa merek Conti menjadi sangat beracun dan nasib mereka disegel.

Conti berpihak pada Rusia atas invasi ke Ukraina
Sumber: BleepingComputer

Setelah memihak Rusia, seorang peneliti keamanan Ukraina mulai membocorkan lebih dari 170.000 percakapan obrolan internal antara anggota geng ransomware Conti dan kode sumber untuk enkripsi ransomware Conti.

Setelah kode sumber ini menjadi publik, pelaku ancaman lain mulai menggunakannya dalam serangan mereka sendiri, dengan satu kelompok peretas menggunakan encryptor Conti dalam serangan terhadap entitas Rusia.

Pemerintah AS menganggap Conti sebagai salah satu jenis ransomware paling mahal yang pernah dibuat, dengan ribuan korban dan pembayaran tebusan lebih dari $150 juta.

Eksploitasi geng ransomware Conti telah membuat pemerintah AS menawarkan hadiah hingga $15.000.000 untuk identifikasi dan lokasi anggota Conti dalam peran kepemimpinan.

Sumber: Bleeping Computer

Bank nasional terkena ransomware troll hacker dengan foto penis

by

Setelah menderita serangan ransomware oleh operasi Hive, Bank Zambia menjelaskan bahwa mereka tidak akan membayar dengan memposting gambar alat kelamin laki-laki dan memberi tahu para peretas untuk s… (yah, Anda dapat menggunakan imajinasi Anda).

Pekan lalu, Bank of Zambia, bank sentral negara itu, mengungkapkan bahwa pemadaman teknis baru-baru ini diakibatkan oleh serangan siber.

“Bank Zambia ingin menginformasikan kepada masyarakat bahwa pihaknya mengalami gangguan sebagian pada beberapa aplikasi Teknologi Informasi (TI) pada Senin 9 Mei 2022,” ungkap bank dalam siaran pers.

“Gangguan, yang mempengaruhi beberapa sistem di Bank seperti Sistem Pemantauan Bureau De Change dan Situs Web, berasal dari insiden keamanan siber yang dicurigai. Kami ingin memberitahukan bahwa sistem ini telah dipulihkan sepenuhnya.”

Sementara Bank of Zambia tidak mengungkapkan rincian serangan siber, BleepingComputer mengetahui bahwa serangan itu dilakukan oleh operasi ransomware Hive, yang mengklaim telah mengenkripsi perangkat Network Attached Storage (NAS) bank.

Namun, alih-alih membayar uang tebusan, perwakilan bank menanggapi negosiasi tebusan dengan mengolok-olok ’14m3-sk1llz’ milik peretas.

Mereka kemudian melanjutkan untuk memposting tautan ke gambar kontol sambil menyatakan, “hisap penis ini dan berhenti mengunci jaringan bank dengan berpikir bahwa Anda akan memonetisasi sesuatu, belajarlah untuk menghasilkan uang.”

Obrolan ini membuat peneliti keamanan MalwareHunterTeam memposting jajak pendapat yang menanyakan apakah orang merasa foto seperti ini dalam negosiasi tebusan berarti dibajak atau pesannya berasal dari korban.

Hari ini, Bloomberg melaporkan bahwa Direktur Teknis Bank, Greg Nsofu, mengatakan mereka telah melindungi sistem inti bank, sehingga tidak perlu terlibat dengan pelaku ancaman.

Namun, Nsofu berkata, “Jadi kami cukup memberi tahu mereka di mana harus turun,” membenarkan bahwa seseorang yang berafiliasi dengan bank yang menanggapi Hive.

Tanggapan bank terhadap pelaku ancaman mungkin bukan metode yang tepat untuk semua organisasi, tetapi mereka harus dipuji karena menjelaskan bahwa mereka tidak akan menyerah pada tuntutan penyerang.

Sementara ransomware tetap menjadi masalah besar bagi pengguna perusahaan dan rumahan, cara terbaik untuk mengakhiri momok ini adalah dengan tidak membayar uang tebusan dan memulihkan dari cadangan.

Menggabungkan non-pembayaran dengan peningkatan tindakan penegakan hukum dan sanksi pemerintah, semoga kita akan melihat operasi ransomware perlahan memudar.

Sumber: Bleeping Computer

AS Klaim Seorang ahli jantung Sibuk Membuat Ransomware

by

AS telah mendakwa seorang ahli jantung Venezuela dengan “gangguan komputer” karena diduga bekerja sambilan sebagai pengembang ransomware.

Pada hari Senin, Departemen Kehakiman membuka (Membuka di jendela baru) pengaduan pidana terhadap Moises Luis Zagala Gonzalez yang berusia 55 tahun yang mengklaim bahwa dia adalah penulis dari dua jenis ransomware yang disebut Jigsaw v.2 dan Thanos.

Menurut penyelidik federal, Zagala menjual dan menyewakan alat ransomware kepada penjahat dunia maya mulai tahun 2019 dan mengajari para penipu cara menggunakan program tersebut.

FBI mengklaim Zagala menciptakan versi 2.0 dari Jigsaw ransomware yang dirancang untuk memperbarui program ransomware lama, yang dibuat oleh orang lain. Dia juga mengembangkan alat pembuat ransomware yang dijuluki Thanos (Buka di jendela baru) setelah penjahat super Marvel.

Fitur Thanos termasuk menyesuaikan catatan tebusan, memilih file mana yang harus dienkripsi ransomware, dan berbagai opsi untuk membantu menutupi kode berbahaya dari deteksi antivirus.

Sumber: FBI

Zagala menjual Thanos dengan menyewakan alat tersebut melalui model lisensi. Dia juga membuat program afiliasi di sekitar Thanos, yang melibatkan membiarkan penjahat dunia maya menggunakan alat tersebut dengan imbalan bagian keuntungan dari setiap serangan ransomware yang berhasil.

Zagala mengiklankan Thanos di berbagai forum online yang digunakan oleh penjahat dunia maya. “Dalam iklan publik untuk program tersebut, Zagala membual bahwa ransomware yang dibuat menggunakan Thanos hampir tidak terdeteksi oleh program antivirus, dan bahwa ‘setelah enkripsi selesai,’ ransomware akan ‘menghapus dirinya sendiri,’ membuat deteksi dan pemulihan ‘hampir mustahil’ bagi korban. ,” tambah DOJ.

Sumber: PCMAG

Kit malware keabadian menawarkan alat pencuri, penambang, worm, ransomware

by

Pelaku ancaman telah meluncurkan ‘Proyek Keabadian,’ malware-as-a-service baru di mana pelaku ancaman dapat membeli perangkat malware yang dapat disesuaikan dengan modul yang berbeda tergantung pada serangan yang dilakukan.

Perangkat malware bersifat modular dan dapat mencakup pencuri info, penambang koin, pemotong, program ransomware, penyebar worm, dan segera, juga bot DDoS (penolakan layanan terdistribusi), masing-masing dibeli secara terpisah.

Situs Proyek Keabadian (Cyble)

Semua hal di atas dipromosikan di saluran Telegram khusus yang memiliki lebih dari 500 anggota, tempat penulis memposting catatan rilis untuk pembaruan, petunjuk penggunaan, dan mendiskusikan saran fitur.

Mereka yang telah membeli perangkat malware dapat memanfaatkan Bot Telegram untuk membangun biner secara otomatis setelah memilih fitur mana yang ingin mereka aktifkan dan membayarnya dengan kripto.

Membeli modul malware untuk pembuatan otomatis (Cyble)

Dimulai dengan pencuri info, yang dijual seharga $260/tahun, alat ini mengambil kata sandi, kartu kredit, bookmark, token, cookie, dan data pengisian otomatis yang disimpan di lebih dari dua puluh browser web.

Selain itu, ia dapat mencuri informasi dari ekstensi cryptocurrency atau bahkan dompet dingin, dan juga menargetkan sepuluh pengelola kata sandi, klien VPN, messenger, dan klien game.

Modul penambang berharga $90/tahun dan menampilkan penyembunyian pengelola tugas, restart otomatis saat dimatikan, dan ketekunan peluncuran startup.

Clipper dijual seharga $ 110 dan merupakan utilitas yang memantau clipboard untuk alamat dompet cryptocurrency untuk menggantikannya dengan dompet di bawah kendali operator.

Pengembang menjual Eternity Worm seharga $ 390, memberikan malware kemampuan untuk menyebar sendiri melalui driver USB, berbagi jaringan lokal, file lokal, drive cloud, proyek Python (melalui juru bahasa), akun Discord, dan akun Telegram.

Contoh malware menyebar melalui akun Discord (Cyble)

Terakhir, Eternity ransomware, modul paling mahal, adalah $490. Ini mendukung enkripsi offline menggunakan kombinasi AES dan RSA dan menargetkan dokumen, foto, dan database.

Penulis mengklaim itu FUD (sepenuhnya tidak terdeteksi), klaim yang diduga didukung oleh Virus Total hasil di mana strain mengembalikan deteksi nol.

Menariknya, modul ransomware menawarkan opsi untuk menyetel timer yang membuat file benar-benar tidak dapat dipulihkan saat kedaluwarsa. Ini memberi tekanan tambahan pada korban untuk membayar uang tebusan dengan cepat.

Pengatur waktu ransomware mengancam file yang rusak (Cyble)

Analis di Cyble yang menemukan Proyek Keabadian mengatakan bahwa meskipun mereka belum memiliki kesempatan untuk memeriksa semua modul, mereka telah melihat sampel malware yang beredar dan digunakan di alam liar, dan semua komentar pengguna di Telegram mengarah ke ini menjadi ancaman nyata.

Dengan melihat ke dalam modul stealer, analis Cyble menemukan beberapa kesamaan dengan Jester Stealer, keduanya mungkin berasal dari proyek GitHub bernama DynamicStealer.

Dengan demikian, “Eternity Stealer” kemungkinan besar adalah salinan kode itu, diikuti dengan modifikasi dan rebranding untuk menjualnya di Telegram demi keuntungan.

Bahkan jika ini adalah “skidware”, modul tambahan, dukungan pelanggan, pembuatan otomatis, dan instruksi terperinci tentang cara menggunakan malware, menjadikannya senjata ampuh di tangan peretas yang tidak terampil dan ancaman parah bagi pengguna internet.

Sumber: Bleeping Computer

Bug ransomware Conti, REvil, LockBit dieksploitasi untuk memblokir enkripsi

by

Peretas biasanya mengeksploitasi kerentanan di jaringan perusahaan untuk mendapatkan akses, tetapi seorang peneliti telah membalikkan keadaan dengan menemukan eksploitasi di ransomware dan malware paling umum yang didistribusikan saat ini.

Malware dari operasi ransomware terkenal seperti Conti, REvil, Black Basta, LockBit, atau AvosLocker, semuanya datang dengan masalah keamanan yang dapat dieksploitasi untuk menghentikan langkah terakhir dan paling merusak dari serangan, enkripsi file.

Menganalisis jenis malware dari geng ransomware ini, seorang peneliti keamanan bernama hyp3rlinx menemukan bahwa sampel tersebut rentan terhadap DLL hijacking, sebuah metode yang biasanya dimanfaatkan oleh penyerang untuk menyuntikkan kode berbahaya ke dalam aplikasi yang sah.

Untuk setiap bagian malware yang dianalisis, peneliti memberikan laporan yang menjelaskan jenis kerentanan yang ditemukan, hash sampel, eksploitasi proof-of-concept (PoC), dan video demo.

Untuk sampel ransomware yang rentan dari Conti, REvil, LockBit, Black Basta, LockiLocker, dan AvosLocker, peneliti mengatakan bahwa exploit mereka memungkinkan mengeksekusi kode untuk “mengendalikan dan menghentikan pra-enkripsi malware.”

Di bawah ini adalah video dari peneliti yang mengeksploitasi kerentanan DLL hijacking di REvil ransomware untuk menghentikan malware sebelum proses enkripsi dimulai.

Untuk bertahan melawan keluarga ransomware ini, hyp3rlinx mengatakan bahwa DLL dapat ditempatkan di lokasi di mana penjahat siber cenderung menjalankan ransomware mereka, seperti lokasi jaringan dengan data penting.

Berikut adalah laporan kerentanan untuk sampel ransomware yang dianalisis: Conti, REvil, LockBit, Black Basta, LockiLocker, dan AvosLocker.

Selengkapnya: Bleeping Computer

Stormous: Geng Ransomware Pro-Rusia Menargetkan AS dan Ukraina

by

Sebagai bagian dari penelitian Dark Web dan cybercriminal reguler kami, Trustwave SpiderLabs telah menemukan dan menganalisis postingan dari grup ransomware pro-Rusia yang bermotivasi politik bernama Stormous. Kelompok tersebut baru-baru ini menyatakan dukungan untuk Rusia dalam perangnya dengan Ukraina, menyerang Kementerian Luar Negeri Ukraina dan diduga memperoleh dan membuat nomor telepon umum, alamat email, dan kartu identitas nasional. Kelompok itu juga mengklaim memiliki operasi ransomware yang sukses terhadap merek-merek besar Amerika Coca-Cola, Mattel dan Danaher. Secara total, Stormous mengklaim telah mengakses dan merusak 700 situs web AS dan menyerang 44 perusahaan Amerika.

Siapa Stormous?

Stormous, yang mungkin telah mulai beroperasi pada pertengahan 2021, telah memposting pernyataan misi yang menyatakan tujuannya adalah untuk menyerang target di AS dan negara-negara barat lainnya. Tujuan ini bergeser pada tahun 2022, menambahkan Ukraina dan India ke daftar targetnya. Cara mereka mendiskusikan negara sebagai target mereka dibandingkan dengan bisnis atau industri tertentu menunjukkan bahwa politik lebih memengaruhi perubahan target ini daripada keuntungan finansial.

Analisis awal kami terhadap Stormous menunjukkan geng tersebut kemungkinan memiliki anggota yang berlokasi di negara-negara Timur Tengah dan Rusia. Beberapa postingan kelompok itu ditulis dalam bahasa Arab bersama dengan sikap publiknya yang pro-Rusia, yang konsisten dengan wilayah tersebut. Apalagi, dua anggota kelompok yang ditangkap berasal dari negara-negara timur tengah.

Grup berkomunikasi melalui saluran Telegram dan situs web .onion di Tor. Ada sedikit obrolan di saluran Telegram, dengan percakapan yang sebagian besar terdiri dari proklamasi grup. Meskipun grup tersebut mengidentifikasi dirinya sebagai grup ransomware, grup tersebut tidak beroperasi sebagai Ransomware-as-a-Service (RaaS), dan tidak diketahui jenis ransomware apa yang mungkin digunakan dalam kampanye mereka.

Era Baru Penjahat Dunia Maya

Gaya baru kelompok ancaman Stormous yang tidak takut — dan bahkan mencari pujian publik — dapat membuat anggotanya lebih rentan untuk ditemukan dan ditangkap.

Meskipun mungkin ada sisi positif dari perspektif pengaruh dan branding untuk membuat aktivitas peretasan menjadi publik, penegak hukum dapat menggunakan informasi komunikasi untuk membawa penjahat dunia maya lebih cepat ke pengadilan.

Trustwave SpiderLabs akan terus melacak ancaman Stormous dan aktivitas grup saat lebih banyak informasi tersedia.

Sumber: Trustwave

Sampel malware baru mengonfirmasi bahwa REvil telah kembali

by

Operasi ransomware REvil yang terkenal telah kembali di tengah meningkatnya ketegangan antara Rusia dan AS, dengan infrastruktur baru dan encryptor yang dimodifikasi memungkinkan serangan yang lebih bertarget.

Pada bulan Oktober, geng ransomware REvil ditutup setelah operasi penegakan hukum membajak server Tor mereka, diikuti oleh penangkapan salah satu anggota oleh penegak hukum Rusia.

Namun, setelah invasi ke Ukraina, Rusia menyatakan bahwa AS telah menarik diri dari proses negosiasi mengenai geng REvil dan menutup saluran komunikasi.

Segera setelah itu, infrastruktur REvil Tor yang lama mulai beroperasi kembali, tetapi alih-alih menampilkan situs web lama, mereka mengarahkan pengunjung ke URL untuk operasi ransomware baru yang tidak disebutkan namanya.

Sementara situs-situs ini tidak terlihat seperti situs web REvil sebelumnya, fakta bahwa infrastruktur lama dialihkan ke situs baru menunjukkan bahwa REvil kemungkinan akan beroperasi kembali.

Satu-satunya cara untuk mengetahui dengan pasti apakah REvil telah kembali adalah dengan menemukan contoh enkripsi ransomware dan menganalisisnya.

Sebuah sampel dari enkripsi operasi ransomware baru akhirnya ditemukan minggu ini oleh penelitian AVAST Jakub Kroustek dan telah mengkonfirmasi hubungan operasi baru dengan grup REvil.

BleepingComputer telah diberitahu oleh beberapa peneliti keamanan dan analis malware bahwa sampel REvil yang ditemukan yang digunakan oleh operasi baru dikompilasi dari kode sumber dan mencakup perubahan baru.

BleepingComputer juga menguji sampel ransomware, dan meskipun tidak mengenkripsi, sampel tersebut membuat catatan tebusan, yang identik dengan catatan tebusan lama REvil.

Tidak mengherankan bahwa REvil telah berganti nama di bawah operasi baru, terutama dengan menurunnya hubungan antara AS dan Rusia.

Selengkapnya: Bleeping Computer