Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat / Ransomware

Ransomware

TellYouThePass ransomware revived in Linux, Windows Log4j attacks

by

Pelaku ancaman telah menghidupkan kembali keluarga ransomware lama dan relatif tidak aktif yang dikenal sebagai TellYouThePass, menyebarkannya dalam serangan terhadap perangkat Windows dan Linux yang menargetkan bug eksekusi kode jarak jauh yang kritis di perpustakaan Apache Log4j.

Heige dari Tim KnownSec 404 pertama kali melaporkan serangan ini di Twitter pada hari Senin setelah mengamati bahwa ransomware dijatuhkan pada sistem Windows lama menggunakan eksploitasi yang menyalahgunakan kelemahan yang dilacak sebagai CVE-2021-44228 dan dikenal sebagai Log4Shell.

Laporan Heige dikonfirmasi oleh Tim Intelijen Ancaman Sangfor, yang berhasil menangkap salah satu sampel ransomware TellYouThePass yang digunakan dalam serangan menggunakan eksploitasi Log4Shell yang sebagian besar berdampak pada target China, menurut Curated Intelligence.

Ketika mereka menemukan lebih lanjut (temuan yang juga dikonfirmasi oleh CronUP’s Germán Fernández), ransomware memiliki versi Linux yang memanen kunci SSH dan bergerak secara lateral di seluruh jaringan korban.

“Perlu dicatat bahwa ini bukan pertama kalinya Tellyouthepass ransomware menggunakan kerentanan berisiko tinggi untuk meluncurkan serangan,” kata peneliti Sangfor. “Pada awal tahun lalu, ia telah menggunakan kerentanan Eternal Blue untuk menyerang beberapa unit organisasi.”

Peneliti keamanan lainnya [1, 2] juga telah menganalisis salah satu sampel ransomware yang digunakan dalam serangan ini dan menandainya sebagai “kemungkinan milik” keluarga TellYouThePass.

Menurut statistik pengiriman ke layanan ID Ransomware, ransomware TellYouThePass telah melihat lonjakan aktivitas yang besar dan tiba-tiba setelah eksploitasi proof-of-concept Log4Shell dirilis secara online.

Selengkapnya: Bleeping Computer

Bug Log4j Dimanfaatkan Oleh Ransomware Gang Untuk Menyerang Server Minecraft

by

Sejumlah kecil pelanggan Minecraft yang menjalankan server mereka sendiri dengan versi Log4j yang rentan telah terkena ransomware Khonsari, Microsoft melaporkan pada hari Rabu.

Raksasa perangkat lunak yang berbasis di Redmond, Wash. mengatakan bahwa musuh telah mengirim pesan berbahaya dalam game ke server Minecraft yang rentan. Server kemudian mengeksploitasi kerentanan Log4j untuk mengambil dan mengeksekusi muatan yang dihosting penyerang di server serta klien rentan yang terhubung, menurut Microsoft.

“Karena pergeseran lanskap ancaman, Microsoft mengulangi panduan bagi pelanggan Minecraft yang menjalankan server mereka sendiri untuk menerapkan pembaruan server Minecraft terbaru dan bagi pemain untuk berhati-hati dengan hanya menghubungkan ke server Minecraft yang tepercaya,” tulis tim intelijen ancaman terpadu Microsoft dalam sebuah posting blog.

Ransomware Khonsari dikemas sebagai Java class file berbahaya dan dieksekusi dalam konteks javaw.exe untuk menebus perangkat. Microsoft mengatakan temuannya mengkonfirmasi laporan sebelumnya dari Bucharest, Bitdefender yang berbasis di Rumania bahwa Khonsari ransomware dikirimkan sebagai muatan setelah eksploitasi kerentanan Log4j.

Minecraft telah mengarahkan pelanggan yang menghosting server mereka sendiri untuk mengunduh file ke direktori kerja tempat server mereka berjalan atau menambahkan argumen JVM ke baris perintah startup mereka tergantung pada versi yang mereka gunakan. Selain itu, klien yang dimodifikasi dan launcher pihak ketiga mungkin tidak diperbarui secara otomatis, dan Minecraft telah memberi tahu pengguna dalam posisi itu untuk mengikuti saran dari penyedia pihak ketiga mereka.

Selengkapnya: CRN

Ransomware baru sekarang digunakan dalam serangan Log4Shell

by

Kasus publik pertama dari kerentanan Log4j Log4Shell yang digunakan untuk mengunduh dan menginstal ransomware telah ditemukan oleh para peneliti.

Jumat lalu, eksploitasi publik dirilis untuk kerentanan kritis zero-day bernama ‘Log4Shell’ di platform logging berbasis Apache Log4j Java. Log4j adalah kerangka kerja pengembangan yang memungkinkan pengembang untuk menambahkan log event dan error ke dalam aplikasi Java mereka.

Kerentanan ini memungkinkan aktor ancaman untuk membuat string JNDI khusus yang, ketika dibaca oleh Log4j, menyebabkan platform terhubung dan mengeksekusi kode di URL yang disertakan. Ini memungkinkan penyerang untuk dengan mudah mendeteksi perangkat yang rentan atau mengeksekusi kode yang disediakan oleh situs jarak jauh atau melalui string yang disandikan Base64.

Meskipun kerentanan ini telah diperbaiki di Log4j 2.15.0 dan bahkan diperketat lebih lanjut di Log4j 2.16.0, kerentanan ini dimanfaatkan secara luas oleh pelaku ancaman untuk menginstal berbagai malware, termasuk penambang koin, botnet, dan bahkan Cobalt Strike.

Kemarin, BitDefender melaporkan bahwa mereka menemukan keluarga ransomware pertama yang diinstal langsung melalui eksploitasi Log4Shell.

Eksploitasi mengunduh Java class dari hxxp://3.145.115[.]94/Main.class yang dimuat dan dijalankan oleh aplikasi Log4j.

Setelah dimuat, itu akan mengunduh binary .NET dari server yang sama untuk menginstal ransomware baru [VirusTotal] bernama ‘Khonsari.’

Dalam serangan selanjutnya, BitDefender memperhatikan bahwa pelaku ancaman ini menggunakan server yang sama untuk mendistribusikan Trojan Orcus Remote Access.

Selengkapnya: Bleeping Computer

Serangan ransomware Kronos dapat menyebabkan berhentinya solusi HR selama berminggu-minggu

by

Penyedia solusi manajemen tenaga kerja Kronos telah mengalami serangan ransomware yang kemungkinan akan mengganggu banyak solusi berbasis cloud mereka selama berminggu-minggu.

Kronos adalah penyedia manajemen tenaga kerja dan sumber daya manusia yang menyediakan solusi berbasis cloud untuk mengelola ketepatan waktu, penggajian, tunjangan karyawan, analitik, dan banyak lagi. Pada tahun 2020, Kronos bergabung dengan Ultimate Software untuk membuat perusahaan baru bernama UKG.

Hari ini, Kronos mengungkapkan bahwa solusi UKG yang menggunakan ‘Kronos Private Cloud’ (KPC) tidak tersedia karena serangan ransomware pada 11 Desember. Solusi UKG yang tidak menggunakan Kronos Private Cloud tidak terpengaruh, termasuk UKG Pro, UKG Ready, dan UKG Dimensions.

Menurut Kronos, KPC diamankan menggunakan firewall, otentikasi multi-faktor, dan transmisi terenkripsi untuk mencegah akses tidak sah ke sistem mereka. Sayangnya, pelaku ancaman dapat menembus sistem ini dan kemungkinan server yang terenkripsi adalah bagian dari serangan.

Karena itu, Kronos mengatakan solusi KPC mereka tidak tersedia dan kemungkinan akan memakan waktu beberapa minggu sebelum sistem tersedia lagi. Selama waktu ini, mereka menyarankan pelanggan “mengevaluasi dan menerapkan protokol kelangsungan bisnis alternatif yang terkait dengan solusi UKG yang terpengaruh.”

Selengkapnya: Bleeping Computer

Diduga Afiliasi Ransomware Ditangkap Karena Serangan Kesehatan

by

Seorang warga negara Kanada berusia 31 tahun telah didakwa sehubungan dengan serangan ransomware terhadap organisasi di Amerika Serikat dan Kanada, sebuah dakwaan federal yang dibuka hari ini menunjukkan.

Investigasi paralel dari Biro Investigasi Federal dan Kepolisian Provinsi Ontario (OPP) mengungkapkan bahwa Matthew Philbert dari Ottawa terlibat dalam berbagai serangan cyber.

Serangan ransomware yang belum selesai

Philbert ditangkap pada 30 November 2021, menyusul penyelidikan yang dimulai pada Januari 2020, ketika FBI menghubungi OPP tentang insiden cyber yang berbasis di Kanada.

Menurut dakwaan, antara April 2018 hingga Mei 2018, Philbert menargetkan setidaknya sepuluh komputer dari sebuah organisasi di sektor perawatan kesehatan dari Distrik Alaska.

Terdakwa tidak berhasil menyebarkan ransomware di komputer korban, dakwaan menunjukkan, yang akan mempengaruhi “pemeriksaan medis, diagnosis, pengobatan dan perawatan” dari beberapa individu.

“Pada atau sekitar 28 April 2018, di dalam Distrik Alaska dan di tempat lain, terdakwa, MATTHEW PHILBERT, dengan sengaja menyebabkan dan berusaha menyebabkan transmisi program, informasi, kode, dan perintah, dan, sebagai akibat dari perilaku tersebut, dengan sengaja menyebabkan dan berusaha menyebabkan kerusakan tanpa otorisasi ke komputer yang dilindungi yang dimiliki oleh Negara Bagian Alaska, dan pelanggaran yang disebabkan dan akan, jika selesai, telah menyebabkan: (a) modifikasi, gangguan, dan modifikasi potensial dan gangguan pemeriksaan medis, diagnosis, pengobatan dan perawatan 1 atau lebih individu; (b) ancaman terhadap kesehatan dan keselamatan masyarakat; dan, (c) kerusakan yang mempengaruhi 10 atau lebih komputer yang dilindungi selama periode 1 tahun.

Mencari laporan serangan cyber yang menghantam organisasi terkait perawatan kesehatan dalam jangka waktu yang diberikan dalam dakwaan dan menemukan pemberitahuan pelanggaran dari Departemen Kesehatan dan Layanan Sosial negara bagian.

Intrusi, yang disematkan hingga 26 April, mengakibatkan pengungkapan informasi pribadi milik lebih dari 500 orang. Biasanya, ransomware digunakan pada tahap terakhir serangan setelah penyusup menentukan komputer apa yang akan dienkripsi.

Terlepas dari rincian yang cocok, BleepingComputer tidak dapat menentukan apakah serangan ransomware yang gagal dalam dakwaan Philbert sama dengan yang ada dalam pemberitahuan pelanggaran dari Departemen Kesehatan dan Layanan Sosial Alaska.

Bahkan jika dakwaan Philbert di AS menyebutkan serangan ransomware yang gagal, penyelidikan dari Polisi Provicial Ontario menetapkan bahwa terdakwa menyebarkan “banyak serangan ransomware” yang berdampak pada bisnis swasta dan lembaga pemerintah di Kanada.

Di AS, Philbert didakwa dengan satu tuduhan konspirasi untuk melakukan penipuan dan aktivitas terkait sehubungan dengan komputer dan satu tuduhan penipuan dan aktivitas terkait sehubungan dengan komputer.

Di Kanada, terdakwa menghadapi dakwaan atas kepemilikan perangkat untuk mendapatkan penggunaan sistem komputer yang tidak sah atau untuk melakukan kerusakan, penipuan, dan penggunaan komputer yang tidak sah.

Pada penangkapan Philbert, polisi di Kanada menyita komputer desktop dan laptop, tablet, beberapa perangkat penyimpanan, ponsel, frase benih untuk dompet Bitcoin, dan kartu kosong dengan strip magnetik.

Selama penyelidikannya, OPP menerima bantuan dari Unit Koordinasi Cybercrime Nasional Kepolisian Royal Canadian Mounted (NC3) dan Europol, yang menunjukkan bahwa Philbert mungkin telah terlibat dalam serangan ransomware di luar AS dan Kanada.

Sumber: Bleepingcomputer

Ransomware Cerber baru menargetkan server Confluence dan GitLab

by

Cerber ransomware kembali, karena keluarga ransomware baru mengadopsi nama lama dan menargetkan server Atlassian Confluence dan GitLab menggunakan kerentanan eksekusi kode jarak jauh.

Ketika ransomware mulai meningkat pada tahun 2016, operasi ransomware Cerber baru muncul dan dengan cepat menjadi salah satu geng paling produktif pada saat itu. Namun, aktivitasnya perlahan mereda hingga menghilang pada akhir tahun 2019.

Mulai bulan lalu, sebuah ransomware bernama Cerber sekali lagi muncul, karena mulai menginfeksi korban di seluruh dunia dengan encryptor Windows dan Linux.

Versi baru Cerber membuat catatan tebusan bernama __$$RECOVERY_README$$__.html dan menambahkan ekstensi .locked ke file terenkripsi.

Cerber Tor payment site
Source: BleepingComputer

CTO Emsisoft dan ahli ransomware Fabian Wosar memeriksa varian baru dan mengatakan itu tidak cocok dengan kode keluarga yang lebih lama. Versi baru menggunakan pustaka Crypto+++, sedangkan varian yang lebih lama menggunakan pustaka Windows CryptoAPI.

Perbedaan kode ini dan fakta bahwa Cerber asli tidak memiliki varian Linux membuktikan bahwa aktor ancaman baru telah mengadopsi nama, catatan tebusan, dan situs pembayaran Tor, dan bukan operasi asli.

Para peneliti dan vendor keamanan telah melihat server peretasan operasi ransomware Cerber yang baru menggunakan kerentanan eksekusi kode jarak jauh di Atlassian Confluence dan GitLab.

Peneliti keamanan BoanBird juga membagikan sampel ransomware Cerber baru yang menunjukkan strain baru ini secara khusus menargetkan folder Atlassian Confluence yang tercantum di bawah ini.

C:\Program Files\Atlassian\Application Data
C:\Program Files\Atlassian\Application Data\Confluence
C:\Program Files\Atlassian\Application Data\Confluence\backups

BoanBird juga membagikan tautan ke forum GitLab di mana admin mengungkapkan bahwa Cerber mengeksploitasi kerentanan yang baru-baru ini diungkapkan dalam komponen ExifTool GitLab.

Kerentanan ini dilacak sebagai CVE-2021-26084 (Confluence) dan CVE-2021-22205 (GitLab) dan dapat dieksploitasi dari jarak jauh tanpa otentikasi. Selain itu, kedua kerentanan telah secara terbuka mengungkapkan eksploitasi proof-of-concept (PoC), memungkinkan penyerang untuk menembus server dengan mudah.

Para peneliti di Tencent menunjukkan bahwa serangan yang menyebarkan ransomware Cerber baru sebagian besar menargetkan Amerika Serikat, Jerman, dan China.

Meskipun versi Cerber sebelumnya mengecualikan target di CIS (Commonwealth of Independent States), data telemetri Tencent dari serangan baru-baru ini menunjukkan sebaliknya.

Saat ini, pendekatan terbaik untuk melindungi dari Cerber adalah dengan menerapkan pembaruan keamanan yang tersedia untuk Atlassian Confluence dan GitLab.

Selengkapnya : Bleeping Computer

STOP Vaksin Ransomware dirilis untuk memblokir enkripsi

by

Perusahaan keamanan perangkat lunak Jerman G DATA merilis vaksin yang akan memblokir STOP Ransomware dari mengenkripsi file korban setelah infeksi.

Analis malware G DATA Karsten Hahn dan John Parol menjelaskan “Alat ini tidak mencegah infeksi itu sendiri. STOP ransomware masih akan menempatkan catatan tebusan dan dapat mengubah pengaturan pada sistem,”

Vaksin ini dapat menyebabkan perangkat lunak keamanan percaya bahwa sistem Anda terinfeksi karena ia bekerja dengan menambahkan file yang biasanya disebarkan malware pada sistem yang terinfeksi untuk mengelabui ransomware yang telah disusupi perangkat.

Sementara decryptor juga dirilis untuk STOP Ransomware pada Oktober 2019 oleh Emsisoft dan Michael Gillespie untuk mendekripsi file yang dienkripsi oleh 148 varian secara gratis, namun tidak lagi berfungsi dengan varian yang lebih baru.

STOP ransomware vaccine (BleepingComputer)

Namun, karena pelaku ancaman biasanya mengabaikan vaksin setelah dirilis, vaksin tersebut mungkin berhenti bekerja untuk versi ransomware ini di masa mendatang.

Karena itu, setelah menerapkan vaksin, Anda harus memastikan bahwa file penting Anda juga dicadangkan.

Dari ribuan pengiriman ID Ransomware per hari selama aktivitas ransomware tinggi, antara 60 dan 70% adalah STOP pengiriman ransomware.

Ini karena ransomware ini terutama menargetkan pengguna rumahan melalui situs teduh dan bundel adware yang mendorong celah perangkat lunak berbahaya atau bundel adware yang disamarkan sebagai program gratis.

Yang terakhir biasanya menginstal berbagai perangkat lunak yang tidak diinginkan ke komputer pengguna, dan, lebih sering daripada tidak, salah satu program yang diinstal adalah malware seperti STOP Ransomware.

Retak yang dilaporkan telah digunakan dalam pengiriman STOP Ransomware termasuk KMSPico, Cubase, Photoshop, dan perangkat lunak antivirus.

Selain menggunakan metode penyebaran ini, STOP hanyalah ransomware biasa, yang mengenkripsi file, menambahkan ekstensi, dan menjatuhkan catatan yang meminta tebusan mulai dari $500 hingga $1000.

Sumber : Bleeping Computer

Sekarang Emotet Menyebar Melalui Paket Adobe Windows App Installer Palsu

by Leave a Comment

Malware Emotet sekarang terdistribusi melalui paket Windows App Installer berbahaya yang berpura-pura menjadi perangkat lunak Adobe PDF.

Emotet adalah infeksi malware terkenal yang menyebar melalui email phishing dan lampiran berbahaya. Setelah terinstal, ia akan mencuri email korban untuk kampanye spam lainnya dan menyebarkan malware, seperti TrickBot dan Qbot, yang biasanya menyebabkan serangan ransomware.

Aktor ancaman di belakang Emotet sekarang menginfeksi sistem dengan menginstal paket berbahaya menggunakan fitur bawaan Windows 10 dan Windows 11 yang disebut App Installer.

Para peneliti sebelumnya melihat metode yang sama digunakan untuk mendistribusikan malware BazarLoader di mana ia menginstal paket berbahaya yang dihosting di Microsoft Azure.

—

Emotet adalah malware yang paling banyak didistribusikan di masa lalu sampai operasi penegakan hukum ditutup dan merebut infrastruktur botnet. Sepuluh bulan kemudian, Emotet bangkit kembali dengan bantuan trojan TrickBot.

Sehari kemudian, kampanye spam Emotet dimulai, dengan email berisi berbagai umpan dan dokumen berbahaya yang menginstal malware.

Kampanye ini telah memungkinkan Emotet untuk membangun kehadirannya dengan cepat, dan sekali lagi, melakukan kampanye phishing skala besar yang menginstal TrickBot dan Qbot.

Kampanye emotet biasanya mengarah pada serangan ransomware. Admin Windows harus tetap berhati-hati dan melatih karyawan untuk melihat kampanye Emotet.

Selengkapnya: Bleepingcomputer