Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat / Ransomware

Ransomware

Penangkapan Ransomware REvil, Penyitaan $6 juta dan Hadiah $10 juta

by

Departemen Kehakiman AS hari ini mengumumkan penangkapan pria Ukraina yang dituduh menyebarkan ransomware atas nama geng ransomware REvil, sebuah kolektif penjahat dunia maya berbahasa Rusia yang telah memeras ratusan juta dari organisasi korban. DOJ mengatakan telah menyita $6,1 juta dalam cryptocurrency yang dikirim ke afiliasi REvil lainnya, Departemen Luar Negeri AS sekarang menawarkan hingga $10 juta untuk nama atau lokasi setiap pemimpin REvil utama, dan hingga $5 juta untuk informasi tentang REvil afiliasi.

Yaroslav Vasinskyi, warga negara Ukraina berusia 22 tahun yang dituduh sebagai Afiliasi REvil #22. Vasinskyi ditangkap 8 Oktober di Polandia, Jaksa mengatakan Vasinskyi terlibat dalam sejumlah serangan ransomware REvil, termasuk serangan Juli 2021 terhadap Kaseya, sebuah perusahaan yang berbasis di Miami yang produknya membantu administrator sistem mengelola jaringan besar dari jarak jauh.

Vasinskyi menggunakan berbagai nama peretas, termasuk “Profcomserv” nama panggilan di balik layanan online yang membanjiri nomor telepon dengan panggilan sampah dengan biaya tertentu. Jaksa mengatakan Vasinskyi juga menggunakan moniker “Yarik45,” dan “Yaroslav2468.”

Dua nama panggilan terakhir ini sesuai dengan akun di beberapa forum kejahatan dunia maya teratas pada tahun 2013, di mana pengguna bernama “Yaroslav2468” mendaftar menggunakan alamat email yarik45@gmail.com.

Alamat email itu digunakan untuk mendaftarkan akun di Vkontakte (Facebook/Meta versi Rusia) dengan nama profil “Yaroslav ‘jual darah css’ Vasinskyi.” Profil Vkontakte Vasinskyi mengatakan kotanya saat ini pada 3 Oktober adalah Lublin, Polandia. Mungkin mengejek, halaman profil Vasinskyi juga mencantumkan nomor telepon 1-800 FBI sebagai nomor telepon kontaknya. Dia sekarang ditahan di Polandia, menunggu ekstradisi ke Amerika Serikat.

Bukti #2: Yevgeniy Igorevich Polyanin, warga negara Rusia berusia 28 tahun yang diduga sebagai Afiliasi REvil #23. DOJ mengatakan telah menyita $6,1 juta dana yang dapat dilacak ke dugaan pembayaran uang tebusan yang diterima oleh Polyanin, dan bahwa terdakwa telah terlibat dalam serangan ransomware REvil pada beberapa organisasi korban di AS.

The FBI’s wanted poster for Polyanin.

Surat dakwaan Polyanin (PDF) mengatakan dia juga menyukai banyak peretas, termasuk LK4D4, Damnating, Damn2life, Noolleds, dan Antunpitre. Beberapa nama panggilan ini sudah ada lebih dari satu dekade di forum kejahatan dunia maya Rusia, banyak di antaranya telah diretas dan dihapus dari basis data pengguna mereka selama bertahun-tahun.

Di antara mereka adalah carder[.]su, dan database forum itu mengatakan seorang pengguna dengan nama “Damnating” terdaftar di forum pada tahun 2008 menggunakan alamat email damnating@yandex.ru. Benar saja, ada profil Vkontakte yang terkait dengan alamat email itu dengan nama “Yevgeniy ‘sialan’ Polyanin” dari Barnaul, sebuah kota di wilayah Siberia selatan Rusia.

Departemen Luar Negeri AS mengatakan pihaknya menawarkan hadiah hingga $10 juta untuk informasi yang mengarah ke identifikasi atau lokasi setiap individu yang memegang posisi kepemimpinan kunci dalam grup ransomware REvil. Departemen tersebut mengatakan bahwa pihaknya juga menawarkan hadiah hingga $5 juta untuk informasi yang mengarah pada penangkapan dan/atau hukuman di negara mana pun dari individu mana pun yang berkonspirasi untuk berpartisipasi atau mencoba berpartisipasi dalam insiden ransomware REvil.

krebsonsecurity

Usai Tutup: BlackMatter Ransomware Giring Korban ke Lockbit

by

Dengan ditutupnya operasi ransomware BlackMatter, afiliasi yang ada memindahkan korban mereka ke situs ransomware LockBit yang bersaing untuk pemerasan lanjutan.

Pagi ini, tersiar kabar bahwa geng ransomware BlackMatter ditutup setelah anggotanya hilang dan ditekan lebih kuat oleh penegak hukum.

Sebagai bagian dari penutupan ini, operator ransomware mengizinkan afiliasi menerima dekripsi untuk negosiasi yang ada sehingga mereka dapat terus memeras korban.

Sementara infrastruktur BlackMatter masih aktif, BleepingCompuer telah mengetahui bahwa afiliasi memindahkan korban yang ada ke situs negosiasi ransomware LockBit.

Dalam obrolan negosiasi BlackMatter yang ada, afiliasi menyediakan tautan korban ke situs Tor LockBit di mana halaman negosiasi baru telah disiapkan untuk mereka.

Sumber: Bleepingcomputer

Di halaman negosiasi LockBit ini, afiliasi BlackMatter terus bernegosiasi dengan korban untuk menerima pembayaran uang tebusan.

Adapun BlackMatter, mereka melanjutkan penutupan mereka. Agenda hari ini adalah menghapus kehadiran mereka dari forum peretasan berbahasa Rusia.

Peneliti keamanan pancak3lullz telah mengikuti aktivitas pembersihan BlackMatter, menunjukkan bahwa geng tersebut menarik 4 Bitcoin (~$250.000) hari ini dari forum peretasan Exploit dan menonaktifkan akun mereka.

Sumber: pancak3lullz

Mereka juga telah mengedit postingan-postingan sebelumnya dan meminta moderator untuk menghapusnya.

Sumber: pancak3lullz

Dengan REvil dan BlackMatter sekarang ditutup, LockBit telah menjadi salah satu operasi ransomware terbesar dan tersukses yang berjalan saat ini.

Perwakilan LockBit yang dikenal sebagai ‘LockbitSupp’ terbukti sebagai aktor yang cerdas yang terus-menerus menyesuaikan taktik untuk merekrut afiliasi baru, terutama saat operasi yang sudah mapan ditutup.

Sementara BlackMatter kemungkinan akan mengubah citra dan kembali sebagai operasi ransomware baru, kemitraan mereka dengan LockBit dapat merugikan mereka dalam jangka panjang karena mereka kehilangan afiliasi yang berpengalaman.

Sumber: Bleepingcomputer

BlackMatter Ransomware Diduga Tutup karena Desakan Polisi

by

Ransomware BlackMatter diduga menghentikan operasinya karena tekanan dari pihak berwenang dan operasi penegakan hukum baru-baru ini.

BlackMatter mengoperasikan situs web ransomware-as-a-service (RaaS) pribadi yang dapat digunakan afiliasi untuk berkomunikasi dengan operator inti, membuka tiket dukungan, dan menerima ransomware baru.

Hari ini, tim riset keamanan VX-Underground mengirim screenshot pesan yang diduga diposting oleh operator BlackMatter pada 1 November di situs webnya. Postingan ini mengingatkan para afiliasi bahwa operasi ransomware ditutup dalam 48 jam.

Source: VX-Underground

Kasarnya, artinya sebagai berikut:

Karena keadaan tertentu yang tidak dapat diselesaikan terkait dengan tekanan dari pihak berwenang (sebagian dari tim tidak lagi tersedia, setelah berita terbaru) – proyek ditutup.

Setelah 48 jam, seluruh infrastruktur akan dimatikan, sehingga:

  • Kirim surat ke perusahaan untuk informasi lebih lanjut.
  • Kasih decryptor di roomchat perusahaan, jika perlu.

Sukses selalu. Senang bekerja dengan kalian.

Jika postingan ini resmi dan BlackMatter berhenti beroperasi, bukan berarti oknum-oknum berhenti memeras korban yang ada.

Berdasarkan postingan tersebut, situs RaaS mengijinkan afiliasi untuk menerima decryptor untuk korban yang ada sehingga mereka dapat terus memeras korban.

Kemungkinan kembali sebagai ransomeware baru

Namun, kalau pun BlackMatter menghentikan operasinya, kemungkinan kita akan melihat mereka kembali sebagai grup yang berbeda di masa mendatang.

Ketika geng ransomware dapat tekanan dari penegak hukum, biasanya mereka menutup operasi dan balik lagi dengan nama baru.

BlackMatter sebenarnya adalah citra baru dari operasi DarkSide, yang ditutup setelah menyerang Colonial Pipeline dan ditekan penuh dari penegakan hukum internasional.

Operasi ransomware lain yang telah berganti nama di masa lalu meliputi:

  • REvil ke GandCrab
  • Labirin ke Egregor
  • Bitpaymer ke DoppelPaymer ke Duka
  • Nemty ke Nefilim ke Karma

Ini tinggal masalah waktu saja sampai operator BlackMatter rilis kembali dengan nama yang berbeda.

CyberDict

Afiliasi: Metode pemasaran/bisnis di mana seseorang mendapatkan sejumlah komisi karena berhasil menjual produk perusahaan. Dalam konteks RaaS, oknum memakai jasa BlackMatter sebagai sumber malware untuk disebar, lalu mendapatkan komisi dari korban yang menebus decryptor.

Decyrptor: Kunci untuk membuka data yang telah dienkripsi sehingga bisa diakses si pemilik data.

Sumber: Bleepingcomputer, Hostinger

Penawaran Hadiah Bagi Pembawa Informasi Co-Conspirator Variant Ransomware DarkSide ke Pengadilan

by

Departemen Luar Negeri AS mengumumkan tawaran hadiah hingga $10.000.000 untuk informasi yang mengarah ke identifikasi atau lokasi setiap individu yang memegang posisi kepemimpinan kunci dalam kelompok kejahatan terorganisir transnasional varian ransomware DarkSide.

Selain itu, Departemen juga menawarkan tawaran hadiah hingga $5.000.000 untuk informasi yang mengarah pada penangkapan dan/atau hukuman di negara mana pun dari individu mana pun yang berkonspirasi untuk berpartisipasi atau mencoba berpartisipasi dalam insiden ransomware varian DarkSide.

Grup ransomware DarkSide bertanggung jawab atas insiden ransomware Colonial Pipeline Company pada Mei 2021, yang menyebabkan keputusan perusahaan untuk secara proaktif dan sementara menutup pipa sepanjang 5.500 mil yang membawa 45 persen bahan bakar yang digunakan di Pantai Timur Amerika Serikat.

Dalam menawarkan hadiah ini, Amerika Serikat menunjukkan komitmennya untuk melindungi korban ransomware di seluruh dunia dari eksploitasi oleh penjahat cyber.

Amerika Serikat mencari negara-negara yang menampung penjahat ransomware yang bersedia membawa keadilan bagi bisnis dan organisasi korban yang terkena ransomware.

Hadiah ini ditawarkan di bawah Program Hadiah Kejahatan Terorganisir Transnasional (TOCRP) Departemen Luar Negeri.

Departemen mengelola TOCRP dalam koordinasi yang erat dengan mitra penegak hukum federal kami sebagai bagian dari keseluruhan upaya pemerintah untuk mengganggu dan membongkar kejahatan terorganisir transnasional secara global, termasuk kejahatan dunia maya.

Lebih dari 75 penjahat transnasional dan pengedar narkoba utama telah diadili di bawah TOCRP dan Program Hadiah Narkotika (NRP) sejak 1986. Departemen telah membayar hadiah lebih dari $135 juta hingga saat ini.

Selengkapnya: US Departement of State

Geng Ransomware ‘Groove’ Adalah Tipuan

by

Groove pertama kali diumumkan pada 22 Agustus di RAMP, forum cybercrime darknet berbahasa Rusia yang baru dan cukup eksklusif.

“GROOVE adalah yang pertama dan terutama organisasi kriminal agresif bermotivasi finansial yang berurusan dengan spionase industri selama sekitar dua tahun,” tulis administrator RAMP “Oranye” dalam sebuah posting yang meminta anggota forum untuk bersaing dalam kontes merancang situs web untuk grup baru.

Menurut sebuah laporan yang diterbitkan oleh McAfee, Orange meluncurkan RAMP untuk menarik pelaku ancaman terkait ransomware yang dikeluarkan dari forum kejahatan dunia maya utama karena terlalu beracun, atau kepada penjahat dunia maya yang mengeluhkan perubahan singkat atau kaku sama sekali oleh program afiliasi ransomware yang berbeda. .

Laporan itu mengatakan RAMP adalah produk dari perselisihan antara anggota geng ransomware Babuk, dan bahwa anggotanya kemungkinan memiliki koneksi ke grup ransomware lain yang disebut BlackMatter.

“[McAfee] percaya, dengan keyakinan tinggi, bahwa geng Groove adalah mantan afiliasi atau subkelompok geng Babuk, yang bersedia bekerja sama dengan pihak lain, selama ada keuntungan finansial bagi mereka,” kata laporan itu. “Jadi, kemungkinan berafiliasi dengan geng BlackMatter.”

Pada minggu pertama bulan September, Groove memposting di blog darknetnya hampir 500.000 kredensial masuk untuk pelanggan produk Fortinet VPN, nama pengguna, dan kata sandi yang dapat digunakan untuk terhubung dari jarak jauh ke sistem yang rentan. Fortinet mengatakan kredensial dikumpulkan dari sistem yang belum menerapkan tambalan yang dikeluarkan pada Mei 2019.

Beberapa pakar keamanan mengatakan posting nama pengguna dan kata sandi Fortinet VPN ditujukan untuk menarik afiliasi baru ke Groove. Tapi sepertinya kredensial itu diposting untuk menarik perhatian peneliti keamanan dan jurnalis.

Suatu saat dalam seminggu terakhir, blog darknet Groove menghilang. Dalam sebuah posting di forum kejahatan dunia maya Rusia XSS, seorang penjahat dunia maya yang mapan menggunakan pegangan “Boriselcin” menjelaskan bahwa Groove tidak lebih dari sebuah proyek hewan peliharaan untuk mengacaukan industri media dan keamanan.

Selengkapnya: Krebs on Security

Organisasi Diserang oleh Pelaku Ransomware Selama Acara Pembelian dan Penggabungan, FBI Memperingatkan

by

FBI memperingatkan bahwa aktor ancaman di balik kampanye ransomware menyerang organisasi yang mengambil bagian dalam peristiwa keuangan penting seperti penggabungan dan akuisisi perusahaan, untuk memeras target mereka dengan lebih mudah.

Pada hari Senin, FBI mengeluarkan pemberitahuan industri swasta yang memperingatkan bahwa pelaku ancaman ransomware akan memanfaatkan data keuangan yang diperoleh sebelum serangan sebagai pengaruh untuk menekan korban agar membayar uang tebusan yang diminta.

FBI menyatakan: “FBI menilai pelaku ransomware kemungkinan besar menggunakan peristiwa keuangan yang signifikan, seperti merger dan akuisisi, untuk menargetkan dan memanfaatkan perusahaan korban untuk infeksi ransomware.”

“Selama fase pengintaian awal, penjahat dunia maya mengidentifikasi informasi yang tidak tersedia untuk umum, yang mereka ancam untuk dilepaskan atau digunakan sebagai pengungkit selama pemerasan untuk membujuk korban agar mematuhi tuntutan tebusan.”

“Peristiwa yang akan datang yang dapat mempengaruhi nilai saham korban, seperti pengumuman, merger, dan akuisisi, mendorong pelaku ransomware untuk menargetkan jaringan atau menyesuaikan garis waktu mereka untuk pemerasan di mana akses dibuat.”

Selengkapnya: Heimdal Security

Eksploitasi Microsoft Exchange ProxyShell yang digunakan untuk menyebarkan ransomware Babuk

by

Aktor ancaman baru meretas server Microsoft Exchange dan menerobos jaringan perusahaan menggunakan kerentanan ProxyShell untuk menyebarkan Ransomware Babuk.

Serangan ProxyShell terhadap server Microsoft Exchange yang rentan dimulai beberapa bulan yang lalu, dengan LockFile dan Conti menjadi salah satu kelompok ransomware pertama yang mengeksploitasinya.

Menurut sebuah laporan oleh para peneliti di Cisco Talos, afiliasi ransomware Babuk yang dikenal sebagai ‘Tortilla’ telah bergabung dengan klub pada bulan Oktober, ketika aktor tersebut mulai menggunakan web shell ‘China Chopper’ di server Exchange yang dilanggar.

Nama Tortilla didasarkan pada executable berbahaya yang terlihat dalam kampanye menggunakan nama Tortilla.exe.

Dimulai dengan Exchange

Serangan ransomware Babuk dimulai dengan DLL, atau .NET executable yang dijatuhkan di server Exchange menggunakan kerentanan ProxyShell. Proses pekerja Exchange IIS w3wp.exe kemudian mengeksekusi muatan berbahaya ini untuk menjalankan perintah PowerShell yang dikaburkan yang menampilkan perlindungan titik akhir yang melewati, yang akhirnya menjalankan permintaan web untuk mengambil pemuat muatan bernama ‘tortilla.exe.’

Pemuat ini akan terhubung ke ‘pastebin.pl’ dan mengunduh muatan yang dimuat ke dalam memori dan disuntikkan ke dalam proses NET Framework, yang pada akhirnya mengenkripsi perangkat dengan Babuk Ransomware.

Infection chain diagram
Source: Cisco

Meskipun analis Cisco menemukan bukti eksploitasi kerentanan ProxyShell di sebagian besar merupakan infeksi, terutama web shell ‘China Chopper’, data telemetri mencerminkan spektrum luas dari upaya eksploitasi.

Lebih khusus lagi, Tortilla mengikuti jalur ini untuk menghapus modul DLL dan NET:

  • Microsoft Exchange menemukan upaya pemalsuan permintaan sisi server secara otomatis
  • Upaya eksekusi kode jarak jauh injeksi Atlassian Confluence OGNL
  • Upaya eksekusi kode jarak jauh Apache Struts
  • Akses wp-config.php WordPress melalui upaya traversal direktori
  • Upaya bypass otentikasi SolarWinds Orion
  • Upaya eksekusi perintah jarak jauh Oracle WebLogic Server
  • Upaya deserialisasi objek Java sewenang-wenang Liferay

Serangan ini bergantung pada kerentanan yang ditambal, maka sangat disarankan agar admin meningkatkan server mereka ke versi terbaru untuk mencegahnya dieksploitasi dalam serangan.

Menggunakan Babuk dalam serangan baru

Babuk Locker adalah operasi ransomware yang diluncurkan pada awal 2021 ketika mulai menargetkan bisnis dan mengenkripsi data mereka dalam serangan pemerasan ganda.

Setelah melakukan serangan terhadap Departemen Kepolisian Metropolitan (MPD) Washinton DC, dan merasakan panas dari penegakan hukum AS, geng ransomware menutup operasi mereka.

Setelah kode sumber untuk versi pertama Babu dan pembuatnya bocor di forum peretasan, pelaku ancaman lainnya mulai memanfaatkan ransomware untuk meluncurkan serangan mereka sendiri.

Tidak jelas apakah Tortilla adalah afiliasi dari Babuk saat RaaS aktif atau apakah mereka hanya mengambil kode sumber strain ketika keluar untuk melakukan serangan baru.

Namun, karena catatan tebusan yang digunakan dalam serangan ini meminta uang $10.000 yang rendah di Monero, kemungkinan itu tidak dilakukan oleh operasi Babuk yang asli, yang menuntut uang tebusan yang jauh lebih besar dalam Bitcoin.

Tortilla’s ransom note
Source: Cisco

Menargetkan AS

Meskipun peneliti Talos melihat beberapa serangan di Jerman, Thailand, Brasil, dan Inggris, sebagian besar target Tortilla berbasis di AS.

I.P. alamat server unduhan terletak di Moskow, Rusia, yang dapat menunjukkan asal serangan ini, tetapi tidak ada kesimpulan atribusi dalam laporan tersebut. Domain ‘pastebin.pl’ yang digunakan untuk tahap pembongkaran sebelumnya telah disalahgunakan oleh kampanye distribusi AgentTesla dan FormBook.

Victim heatmap
Source: Cisco

Meskipun decryptor sebelumnya dirilis untuk ransomware Babuk, ia hanya dapat mendekripsi korban yang kunci pribadinya merupakan bagian dari kebocoran kode sumber.

Oleh karena itu, pelaku ancaman dapat terus menggunakan ransomware Babuk untuk meluncurkan operasi mereka sendiri, seperti ypelaku ancaman Tortilla.

SUMBER : Bleeping Computer

10 Cara Penyerang Ransomware Menekan Anda Untuk Membayar Uang Tebusan

by

Di masa lalu, ransomware adalah masalah yang relatif mudah. Seorang penyerang akan melanggar organisasi dan mengenkripsi data penting. Tanpa cadangan yang andal atau terbaru, organisasi itu akan memiliki beberapa pilihan selain membayar uang tebusan dengan harapan data akan didekripsi.

Sekarang, bagaimanapun, organisasi menjadi lebih rajin membuat cadangan data penting, yang berarti mereka cenderung tidak membayar uang tebusan. Akibatnya, penjahat dunia maya telah beralih ke trik yang lebih agresif dan kuat untuk menuntut agar uang tebusan dibayarkan.

1. Bersumpah untuk merilis data secara publik

Bahkan jika korban memiliki cadangan yang andal, mereka mungkin merasakan tekanan untuk membayar uang tebusan daripada mengambil risiko malu dan kemungkinan terlibat hukum jika data bocor.

2. Menghubungi karyawan secara langsung

Untuk lebih menekan organisasi, penyerang akan menghubungi eksekutif senior dan karyawan lain untuk memperingatkan mereka bahwa data pribadi mereka akan bocor jika uang tebusan tidak dibayarkan.

Menghubungi mitra, pelanggan, dan media

Dalam kasus lain, penyerang akan menjangkau mitra bisnis, pelanggan dan bahkan media dan memberitahu mereka untuk mendesak korban untuk membayar.

Memperingatkan korban untuk tidak menghubungi penegak hukum

Banyak organisasi akan menghubungi aparat penegak hukum atau pihak lain untuk meminta bantuan mereka dalam menyelesaikan insiden tersebut. Langkah tersebut dapat membantu korban memulihkan data mereka tanpa membayar uang tebusan. Khawatir karena ini, banyak penjahat akan memperingatkan korban mereka untuk tetap diam.

Memperkerjakan orang dalam

Beberapa penjahat akan mencoba meyakinkan karyawan atau orang dalam untuk membantu mereka menyusup ke organisasi untuk melakukan serangan ransomware. Harapannya adalah mereka akan menemukan beberapa karyawan yang tidak puas atau tidak jujur yang dengan sukarela mengeksploitasi majikan mereka sendiri.

Selengkapnya: Tech Republic