Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat / Ransomware

Ransomware

Perangkat penyimpanan jaringan Asustor sedang terkena serangan ransomware jahat

by

Pemilik berbagai model perangkat Asustor Network Attached Storage (NAS) turun ke Reddit dan forum resmi perusahaan hari ini, memperingatkan orang lain tentang serangan ransomware aktif yang menyandera perpustakaan media mereka dan data tersimpan lainnya (melalui Windows Central dan Tom’s Hardware). Pada awalnya, diduga bahwa pengguna yang menggunakan fitur konfigurasi EZConnect Asustor rentan, tetapi menurut akun dari beberapa pengguna Reddit yang terpengaruh, mereka menonaktifkan layanan di NAS mereka.

Komunitas r/asustor melacak informasi yang tersedia di sini, dan setelah merujuk silang layanan pada perangkat yang terpengaruh, mencurigai Plex sebagai salah satu kemungkinan vektor serangan.

Asustor secara aktif menyelidiki serangan ransomware, yang dikenal sebagai Deadbolt, dan memposting blog di situsnya yang menunjukkan bahwa Layanan Nama Domain Dinamis (DDNS) myasustor.com telah dinonaktifkan sementara demi keamanan. Perusahaan menyarankan mereka yang belum terkena dampak Deadbolt untuk mengambil tindakan pencegahan berikut:

  • Ubah port default, termasuk port akses web NAS default 8000 dan 8001, serta port akses web jarak jauh 80 dan 443.
  • Nonaktifkan EZ Connect.
  • Membuat cadangan segera.
  • Matikan layanan Terminal/SSH dan SFTP.

Tetapi bagi mereka yang tidak cukup beruntung untuk melindungi diri mereka sendiri dan memiliki pesan ransomware yang tidak menyenangkan di GUI Asustor NAS, perusahaan menyarankan untuk sepenuhnya menonaktifkannya dengan mengambil langkah-langkah berikut:

  • Cabut kabel jaringan Ethernet
  • Matikan NAS Anda dengan aman dengan menekan dan menahan tombol daya selama tiga detik.
  • Jangan menginisialisasi NAS Anda, karena ini akan menghapus data Anda.

Serangan Ransomware telah meningkat yang mempengaruhi banyak orang, termasuk serangan Colonial Pipeline tahun lalu yang menyebabkan kekurangan gas dan kepanikan di sepanjang pantai tenggara, dan juga serangan Natal lalu di Kronos yang bisa membuat banyak orang kehilangan gaji.

Serangan Ransomware yang menargetkan produk jaringan konsumen khusus seperti Asustor NAS tidak terlalu terkenal, tetapi ini berfungsi sebagai pengingat untuk selalu mencadangkan data Anda. Dalam hal ini, orang mungkin kehilangan banyak media mereka dan kalah

Sumber : The Verge

San Francisco 49ers mengkonfirmasi insiden keamanan jaringan; geng ransomware mengaku bertanggung jawab

by

Tim sepak bola San Francisco 49ers mengatakan pada hari Minggu sebuah “insiden keamanan jaringan” telah mengganggu beberapa sistem komputer organisasi, setelah geng ransomware mengklaim waralaba NFL sebagai korban.

Berita tentang insiden itu pecah hanya beberapa jam sebelum kickoff Super Bowl LVI, yang akan dimainkan 49ers jika mereka tidak kalah tipis dari Los Angeles Rams dua minggu lalu.

Insiden itu tampaknya “terbatas pada jaringan TI perusahaan kami” dan tidak memengaruhi sistem komputer yang terlibat dalam operasi stadion tim atau sistem yang terkait dengan pemegang tiket, kata 49ers dalam sebuah pernyataan kepada CNN.

Peretas di balik jenis ransomware yang dikenal sebagai BlackByte mencantumkan 49ers di situs web mereka yang diduga menjadi korban, sebuah taktik yang sering digunakan penjahat dunia maya untuk menekan organisasi agar membayar uang tebusan.

FBI dan Secret Service mengatakan kepada perusahaan-perusahaan AS dalam peringatan 11 Februari untuk waspada terhadap ransomware BlackByte, yang menurut badan-badan tersebut telah digunakan untuk mengkompromikan organisasi-organisasi AS di fasilitas pemerintah, keuangan, dan sektor pangan dan pertanian.

BlackByte hanyalah salah satu dari beberapa jenis ransomware yang pemiliknya mengoperasikan apa yang dikenal sebagai model bisnis “ransomware sebagai layanan”. Pemilik ransomware menjual akses ke kode berbahaya ke penjahat dunia maya lainnya, yang melakukan serangan ransomware dan biasanya membagi hasilnya dengan pemiliknya. Sifat operasi kriminal yang menyebar dapat mempersulit aparat penegak hukum untuk melacaknya.

Pemerintahan Biden telah berusaha untuk secara agresif menindak sistem yang memungkinkan ransomware berkembang mulai dari membantu menangkap dugaan operasi ransomware di Eropa hingga memberi sanksi pada pertukaran mata uang kripto yang memfasilitasi pembayaran uang tebusan.

Tetapi sementara beberapa kelompok ransomware telah mengurangi serangan, yang lain terus mencoba memeras bisnis AS. Penjahat dunia maya menerima lebih dari $1,2 miliar pembayaran tebusan pada tahun 2020 dan 2021 jika digabungkan, menurut perusahaan pelacak cryptocurrency Chainalysis.

Keamanan siber telah menjadi pertimbangan bagi pejabat federal untuk mempersiapkan Super Bowl hari Minggu. Departemen Keamanan Dalam Negeri mengatakan sekitar 500 personel yang membantu keamanan fisik dan siber di acara tersebut telah melakukan penilaian keamanan siber terhadap infrastruktur game-day.

Sumber : CNN

Pengembang Ransomware merilis Egregor, kunci dekripsi master Maze

by

Ransomware Maze mulai beroperasi pada Mei 2019 dan dengan cepat menjadi terkenal karena mereka bertanggung jawab atas penggunaan pencurian data dan taktik pemerasan ganda yang sekarang digunakan oleh banyak operasi ransomware.

Setelah Maze mengumumkan penutupannya pada Oktober 2020, mereka berganti nama pada September sebagai Egregor, yang kemudian menghilang setelah anggotanya ditangkap di Ukraina.

Maju cepat 14 bulan kemudian, dan kunci dekripsi untuk operasi ini sekarang telah bocor di forum BleepingComputer oleh pengguna bernama ‘Topleak’ yang mengaku sebagai pengembang untuk ketiga operasi tersebut.

Poster tersebut mengatakan bahwa ini adalah kebocoran yang direncanakan dan tidak terkait dengan operasi penegakan hukum baru-baru ini yang telah menyebabkan penyitaan server dan penangkapan afiliasi ransomware.

Mereka lebih lanjut menyatakan bahwa tidak ada anggota tim mereka yang akan kembali ke ransomware dan bahwa mereka menghancurkan semua kode sumber untuk ransomware mereka.

Forum post leaking Maze, Egregor, and Sekhmet decryption keys
Source: BleepingComputer

Postingan tersebut menyertakan tautan unduhan untuk file 7zip dengan empat arsip yang berisi kunci dekripsi Maze, Egregor, dan Sekhmet, dan kode sumber untuk malware ‘M0yv’ yang digunakan oleh geng ransomware.

Arsip yang berisi kunci dekripsi yang bocor
Sumber: BleepingComputer

Masing-masing arsip ini berisi kunci enkripsi master publik dan kunci dekripsi master pribadi yang terkait dengan “iklan” tertentu, atau afiliasi dari operasi ransomware.

Michael Gillespie dan Fabian Wosar dari Emsisoft telah meninjau kunci dekripsi dan mengonfirmasi ke BleepingComputer bahwa kunci tersebut sah dan dapat digunakan untuk mendekripsi file yang dienkripsi oleh tiga keluarga ransomware.

Gillespie memberi tahu kami bahwa kunci tersebut digunakan untuk mendekripsi kunci terenkripsi korban yang disematkan dalam catatan tebusan.

Encrypted key in Maze ransom note
Source: BleepingComputer

Emsisoft telah merilis decryptor untuk memungkinkan korban Maze, Egregor, dan Sekhmet yang telah menunggu untuk memulihkan file mereka secara gratis.

Emsisoft decryptor for Maze, Egregor, and Sekhmet

Untuk menggunakan dekripsi, korban akan memerlukan catatan tebusan yang dibuat selama serangan karena berisi kunci dekripsi terenkripsi.

Arsip juga menyertakan kode sumber untuk ‘modular x86/x64 file infector’ M0yv yang dikembangkan oleh operasi ransomware Maze dan digunakan sebelumnya dalam serangan.

“Juga ada sedikit kode sumber yang tidak berbahaya dari file infector file EPO polimorfik x86/x64 modular m0yv yang terdeteksi di alam liar sebagai virus Win64/Expiro, tetapi sebenarnya bukan expiro, tetapi mesin AV mendeteksinya seperti ini, jadi tidak ada satu hal pun di dalamnya. sama dengan gazavat,” kata pengembang ransomware dalam posting forum.

Cuplikan kode sumber untuk malware M0yv
Sumber: BleepingComputer

File todo.txt menunjukkan kode sumber untuk malware ini terakhir diperbarui pada 19 Januari 2022.

Selengkapnya : Bleeping Computer

Puma terkena pelanggaran data setelah serangan ransomware Kronos

by

Pabrikan pakaian olahraga Puma terkena pelanggaran data menyusul serangan ransomware yang menghantam Kronos, salah satu penyedia layanan manajemen tenaga kerja Amerika Utara, pada Desember 2021.

Pemberitahuan pelanggaran data yang diajukan ke beberapa kantor jaksa agung awal bulan ini mengatakan penyerang juga mencuri informasi pribadi milik karyawan Puma dan tanggungan mereka dari lingkungan cloud Kronos Private Cloud (KPC) sebelum mengenkripsi data.

Kronos menggambarkan KPC sebagai penyimpanan aman yang dilindungi dari serangan menggunakan firewall, otentikasi multi-faktor, dan transmisi terenkripsi.

Ini digunakan sebagai fasilitas server untuk meng-hosting Workforce Central, Workforce TeleStaff, Enterprise Archive, TeleTime IP, Extensions for Healthcare (EHC), dan lingkungan FMSI.

“Pada 7 Januari 2022, Kronos mengonfirmasi bahwa beberapa informasi pribadi Anda termasuk di antara data yang dicuri. Kami memberi tahu PUMA tentang insiden ini pada 10 Januari 2022.”

Meskipun pemberitahuan pelanggaran tidak menyebutkan berapa banyak karyawan Puma yang informasinya dicuri selama serangan itu, informasi yang diberikan kepada Kantor Kejaksaan Agung Maine mengungkapkan bahwa operator ransomware mendapatkan data milik 6.632 orang.

Puma juga mengatakan bahwa dokumen yang dicuri selama serangan ransomware Kronos termasuk Nomor Jaminan Sosial dalam pengajuan dengan kantor yang sama.

Orang-orang yang terkena dampak pelanggaran data ini juga ditawarkan dua tahun keanggotaan Experian IdentityWorks gratis, yang dilengkapi dengan pemantauan kredit, pemulihan identitas, dan asuransi pencurian identitas.

Peretas juga mencuri kode sumber untuk aplikasi internal Puma pada bulan Agustus dan menjualnya di portal kebocoran data Marketo. Serangan itu dikonfirmasi oleh kepala komunikasi korporat Puma, Robert-Jan Bartunek.

Pembaruan 08 Februari, 04:41 EST: Kepala Komunikasi Senior Puma Kerstin Neuber mengatakan bahwa tidak ada data pelanggan Puma yang terpengaruh dalam pernyataan tindak lanjut yang dikirim setelah kami menerbitkan:

Pada 10 Januari 2022, PUMA Amerika Utara diberi tahu bahwa UKG/ Kronos, salah satu vendor PUMA, sedang mengurangi dampak insiden ransomware. Pelanggaran hanya terjadi di dalam sistem UKG/Kronos. Tidak ada sistem di jaringan PUMA yang dilanggar dan tidak ada data pelanggan PUMA yang terpengaruh. Insiden itu terbatas pada Private Cloud Kronos.

UKG/ Kronos telah melibatkan pakar keamanan siber, memberi tahu pihak berwenang, dan berkomunikasi dengan mereka yang terkena dampak. Setiap pertanyaan media terkait dengan pelanggaran UKG/Kronos yang mendasari harus diarahkan ke UKG karena masalah tersebut sedang diselidiki.

Sumber : Bleeping Computer

LockBit, BlackCat, Swissport, Astaga! Aktivitas Ransomware Tetap Kuat

by

Penegakan hukum, eksekutif C-suite, dan komunitas keamanan telah fokus untuk menghentikan rentetan serangan ransomware. Namun meskipun demikian, langkah-langkah terbaru dari geng LockBit 2.0 dan BlackCat, ditambah pukulan akhir pekan ini di perusahaan logistik darat bandara Swissport, menunjukkan momok masih jauh dari selesai.

Kelompok ransomware telah meningkatkan lebih sedikit serangan dengan permintaan ransomware yang lebih tinggi, Coveware telah melaporkan, menemukan bahwa rata-rata pembayaran ransomware pada kuartal keempat tahun lalu naik 130 persen mencapai $322.168 . Demikian juga, Coveware menemukan lonjakan 63 persen dalam pembayaran tebusan rata-rata, hingga $117.116.

“Pergeseran taktis melibatkan upaya yang disengaja untuk memeras perusahaan yang cukup besar untuk membayar sejumlah uang tebusan ‘permainan besar’ tetapi cukup kecil untuk menjaga biaya operasi serangan dan mengakibatkan perhatian media dan penegakan hukum tetap rendah.”

Grup yang Ingin Menurunkan Profilnya
“Proporsi perusahaan yang diserang dalam ukuran 1.000 hingga 10.000 karyawan meningkat dari 8 persen di Q3 menjadi 14 persen di Q4,” para peneliti menemukan. “Pembayaran tebusan rata-rata hanya dalam ember karyawan ini jauh di utara satu juta dolar, yang menyeret jumlah rata-rata dan median Q4 lebih tinggi.”

Rebranding BlackCat, Ancaman Pemerasan Tiga Kali
BlackCat, juga dikenal sebagai ALPHV, operasi RaaS pemula, sedang meningkat dan dengan cepat merekrut afiliasi, menurut Graham Cluley dari Tripwire kelompok tersebut telah mulai menambahkan tekanan bagi korban mereka untuk membayar dengan tidak hanya mencuri data mereka dan mengancam akan merilisnya, tetapi juga menjanjikan penolakan layanan (DDoS) yang melumpuhkan jika mereka menolak untuk membayar taktik ransomware yang dikenal sebagai “pemerasan tiga kali lipat.”

Pertama kali ditemukan oleh MalwareHunterTeam, operator ransomware BlackCat berkode Rust menyebut diri mereka ALPHV, tetapi MalwareHunterTeam menjuluki mereka BlackCat setelah gambar yang digunakan pada halaman pembayaran yang harus dikunjungi korban di Tor untuk membayar. Laporan tersebut juga mengkonfirmasi bahwa BlackCat pada dasarnya adalah merek ulang, menambahkan anggota grup telah mengonfirmasi bahwa mereka adalah anggota grup BlackMatter/DarkSide sebelumnya.

LockBit 2.0 adalah kelompok lain yang menambahkan tekanan pada korbannya untuk membayar dengan ancaman untuk merilis data pelanggan perusahaan dan itu juga tidak terlalu rendah.

LockBit 2.0 baru-baru ini mengambil kredit untuk melanggar platform pertukaran cryptocurrency playbito.com, pemburu ancaman DarkTracer tweeted. Peneliti juga memposting peringatan dari LockBit2.0 bahwa grup tersebut akan mempublikasikan data pribadi lebih dari 100.000 pengguna platform kecuali uang tebusan dibayarkan pada 21 Februari.

“FBI mencari informasi apa pun yang dapat dibagikan, untuk memasukkan log batas yang menunjukkan komunikasi ke dan dari alamat IP asing, contoh catatan tebusan, komunikasi dengan pelaku ancaman, informasi dompet Bitcoin, file dekripsi, dan/atau sampel jinak. dari file terenkripsi,” kata peringatan FBI, menambahkan bahwa departemen tidak mendorong pembayaran uang tebusan, tetapi memahami keputusan bisnis perlu dibuat untuk menjaga operasi tetap berjalan.

Serangan Swissport: Ransomware Masih Kuat
Selama akhir pekan, Swissport dijatuhkan oleh serangan ransomware yang menyebabkan penundaan 22 penerbangan dari Zurich, Swiss, menurut juru bicara bandara yang berbicara dengan Der Speigel.

Penelitian terbaru dari Trellix menunjukkan bahwa bergerak maju pada tahun 2022, layanan keuangan akan dibombardir dengan serangan ransomware. Dari kuartal kedua hingga ketiga tahun 2021, serangan terhadap sektor keuangan dan asuransi meningkat sebesar 21 persen, diikuti oleh peningkatan hanya 7 persen pada serangan perawatan kesehatan, catat perusahaan itu.

Sumber : Threat Post

Ransomware Ingin Anda Like dan Subscribe

by

Ransomware telah menjadi masalah endemik di internet. Tidak ada hari yang berlalu tanpa berita utama tentang serangan baru di mana peretas meminta ratusan ribu dolar, atau bahkan jutaan, setelah mengunci korban dari komputer dan server mereka.

Tetapi jenis ransomware baru meminta sesuatu yang sedikit berbeda: berlangganan saluran YouTube.

Ransomware pertama kali ditemukan oleh MalwareHunterTeam, sekelompok peneliti keamanan siber independen.

“HALO SEMUA FILE ANDA TELAH DIKUNCI OLEH RANOMWARE [sic] TAPI CALSE [SIC] ANDA DAPAT MENGAKSES BAK DENGAN SUBSCRIBE MY CHANEL [sic] YOUTUBE,” bunyi pesan yang muncul di layar korban.

Allan Liska, peneliti keamanan siber di Recorded Future mengatakan kepada Motherboard dalam obrolan online bahwa malware itu nyata. Dia mengatakan telah melihat analisis independen dari peneliti lain di forum industri swasta. Liska mengatakan bahwa ransomware “adalah ransomware mesin tunggal, jadi hanya mengenai satu komputer dan tidak menyebar.”

Saluran YouTube yang mereka minta untuk dilanggani oleh para korban hanya memiliki 64 langganan pada saat penulisan. Saluran ini menampilkan sebagian besar video terkait peretasan yang menampilkan logo kelompok peretasan yang kurang dikenal, dan beberapa video yang diambil di tempat yang tampak seperti sekolah.

Dalam pesan tersebut, para peretas menyebut diri mereka sebagai GHOST CYBER TEAM dan mengaku berasal dari Indonesia.

Apakah Anda memiliki informasi lebih lanjut tentang geng ransomware atau jenis ransomware lain? Kami ingin mendengar dari Anda. Anda dapat menghubungi Lorenzo Franceschi-Bicchierai dengan aman di Signal di +1 917 257 1382, Wire/Wickr @lorenzofb, atau email lorenzofb@vice.com.

Tidak jelas apakah ransomware ini hanya lelucon, atau pekerjaan beberapa peretas remaja yang mencari perhatian. Namun sampel ransomware yang ditemukan oleh MalwareHunterTeam terdeteksi sebagai berbahaya oleh beberapa mesin antivirus, menurut VirusTotal, gudang malware.

Sumber : Vice

Raksasa KP Snacks terkena ransomware Conti, pengiriman terganggu

by

KP Snacks, produsen utama makanan ringan Inggris yang populer telah terpukul oleh kelompok ransomware Conti yang mempengaruhi distribusi ke supermarket terkemuka.

Kenyon Produce (KP) Snacks termasuk merek populer seperti PopChips, Skips, Hula Hoops, Penn State pretzels, McCoy’s, Wheat Crunchies, dll.

KP Snacks memiliki lebih dari 2.000 karyawan dan memperkirakan pendapatan tahunan perusahaan lebih dari $ 600 juta, menjadikannya target yang menarik bagi aktor ancaman.

Conti berencana untuk membocorkan dokumen sensitif

Serangan cyber terhadap raksasa makanan ringan Inggris, KP Snacks kini telah meningkat menjadi gangguan rantai pasokan di seluruh Inggris.

Karena serangan itu, pengiriman dari perusahaan ke superstore terkemuka dilaporkan tertunda atau dibatalkan sama sekali. Menurut pemberitahuan yang dikirim ke supermarket oleh KP Snacks, masalah kekurangan pasokan dapat berlangsung hingga akhir Maret.

Sebuah sumber memberi tahu BleepingComputer bahwa jaringan internal perusahaan telah dilanggar dengan aktor ancaman yang mendapatkan akses ke dan mengenkripsi file sensitif, termasuk catatan karyawan dan dokumen keuangan.

Halaman kebocoran pribadi yang dilihat oleh BleepingComputer menunjukkan kelompok ransomware Conti mengaku bertanggung jawab atas serangan itu:

Pada halaman kebocoran pribadi, Conti berbagi sampel laporan kartu kredit, akta kelahiran, spreadsheet dengan alamat karyawan dan nomor telepon, perjanjian rahasia, dan dokumen sensitif lainnya.

Penyedia intel Darknet DarkFeed juga telah memposting kemarin tentang conti ransomware op memberikan perusahaan lima hari sebelum membocorkan lebih banyak data kepemilikan di blog publik mereka.

Tidak jelas apakah KP Snacks saat ini sedang bernegosiasi dengan Conti atau apakah akan membayar uang tebusan.

“Pada hari Jumat, 28 Januari kami menyadari bahwa kami sayangnya menjadi korban insiden ransomware,” kata juru bicara KP Snacks kepada BleepingComputer.

“Segera setelah kami menyadari insiden itu, kami memberlakukan rencana respons cybersecurity kami dan melibatkan perusahaan teknologi informasi forensik terkemuka dan penasihat hukum untuk membantu kami dalam penyelidikan kami.”

Tim TI internal perusahaan bekerja dengan pakar keamanan pihak ketiga untuk menilai situasi.

“Kami terus menjaga rekan kerja, pelanggan, dan pemasok kami menginformasikan perkembangan apa pun dan meminta maaf atas gangguan yang mungkin disebabkannya,” kata perusahaan itu dalam pernyataan mereka kepada kami.

Sumber: Bleepingcomputer

Ransomware BlackCat Melambung ke Puncak

by

BlackCat RaaS, juga dikenal sebagai ALPHV, pertama kali muncul pada pertengahan November dan sudah terbukti kecanggihannya. Itu menjadi geng ransomware profesional pertama yang menggunakan malware berbasis Rust. Sekarang, grup agresif ini sedang menuju puncak, dan mari kita lihat apa yang terjadi.

Unit 42 menyatakan bahwa BlackCat naik ke posisi ketujuh dalam peringkat kelompok ransomware global. Pemeringkatan ini didasarkan pada jumlah korban yang terdaftar di situs kebocoran data grup. Dalam waktu kurang dari sebulan, geng tersebut telah mengumpulkan lebih dari selusin korban yang berlokasi di AS, Jerman, Belanda, Prancis, Spanyol, dan Filipina.

Laporan lain oleh Sentinel Labs menyatakan bahwa kelompok tersebut telah menargetkan organisasi di India dan Australia, dan menuntut pembayaran tebusan antara $400.000 dan $3.000.000 dalam bentuk Bitcoin atau Monero.

Berbagai alasan dapat menjadi faktor dalam munculnya ALPHV RaaS. Beberapa dianataranya adalah:

  • Pemasaran yang efektif untuk afiliasi adalah salah satu alasan utama. Geng meminta afiliasi di forum web gelap populer dan membiarkan mereka menyimpan 80–90% dari pembayaran tebusan.
  • Dengan menggunakan bahasa pemrograman Rust, para pengembang dapat dengan mudah mengkompilasi malware terhadap OS apapun. Menjadi sangat dapat disesuaikan, Rust memungkinkan penyerang untuk mengindividualisasikan serangan.
  • Varonis menemukan bahwa BlackCat secara aktif merekrut mantan operator dari REvil, DarkSide, dan BlackMatter. Mereka mewawancara dan memeriksa afiliasi sebelum menambahkan mereka ke dalam grup.

Cyware Social