Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat / Ransomware

Ransomware

Peneliti keamanan menemukan ransomware LockBit dapat menargetkan perangkat macOS

by

Salah satu geng ransomware paling terkenal tampaknya baru-baru ini mulai menargetkan komputer Mac untuk pertama kalinya. Dalam serangkaian tweet yang ditemukan oleh 9to5Mac, sekelompok peneliti keamanan yang dikenal sebagai MalwareHunterTeam mengatakan pada hari Sabtu bahwa mereka baru-baru ini menemukan bukti build ransomware Lockbit yang dirancang untuk mengkompromikan perangkat macOS.

Sejauh yang diketahui grup, pengumuman hari Sabtu menandai pemberitahuan publik pertama bahwa ransomware Lockbit dapat digunakan untuk melawan komputer Apple, meskipun tampaknya geng tersebut telah menawarkan kemampuan itu sejak musim gugur yang lalu.

“Saya pikir ini adalah pertama kalinya salah satu pemain ransomware utama membidik OS Apple,” kata analis keamanan Brett Callow, menunjuk pada pentingnya pengungkapan tersebut. Sebagai catatan 9to5Mac, geng LockBit secara historis berfokus pada Windows, Linux, dan mesin host virtual. Alasannya karena sistem operasi tersebut banyak digunakan oleh bisnis yang menjadi target mitra grup.

Bagi mereka yang tidak tahu, geng Lockbit menjalankan apa yang dikenal sebagai operasi “ransomware-as-a-service”. Grup tersebut tidak secara langsung melibatkan diri dalam bisnis pengambilan uang tebusan dari bisnis. Apa yang dilakukannya adalah membangun dan mempertahankan afiliasi malware yang dapat membayar untuk digunakan melawan organisasi.

Menurut dakwaan Departemen Kehakiman AS yang dibuka pada musim gugur lalu, LockBit adalah “salah satu varian ransomware paling aktif dan merusak di dunia.” Hingga akhir 2022, perangkat lunak tersebut telah menginfeksi sistem komputer dari setidaknya 1.000 korban, termasuk Hotel Holiday Inn di Turki.Diyakini mitra geng tersebut telah mengklaim puluhan juta dolar dari para korban.

Selengkapnya: engadget

Ransomware Vice Society menggunakan alat pencurian data PowerShell baru dalam serangan

by

Alat pencurian data baru ditemukan oleh Palo Alto Networks Unit 42 selama respons insiden pada awal 2023, saat responden memulihkan file bernama “w1.ps1” dari jaringan korban dan, lebih khusus lagi, direferensikan dalam ID Peristiwa 4104: Script Blokir acara Logging.

Skrip menggunakan PowerShell untuk mengotomatiskan eksfiltrasi data dan terdiri dari beberapa fungsi, termasuk Work(), Show(), CreateJobLocal(), dan fill().

Keempat fungsi ini digunakan untuk mengidentifikasi direktori potensial untuk eksfiltrasi, memproses grup direktori, dan akhirnya mengekstraksi data melalui permintaan HTTP POST ke server Vice Society.

Meskipun tampaknya ada beberapa fungsi otomatis dalam skrip untuk menentukan file apa yang dicuri, masih ada daftar pengecualian dan penyertaan master untuk membantu menyempurnakan file apa yang dicuri.

Misalnya, skrip tidak akan mencuri data dari folder yang namanya menyertakan string umum untuk cadangan, folder instalasi program, dan folder sistem operasi Windows.

Namun, ini secara khusus akan menargetkan folder yang berisi lebih dari 433 string dalam bahasa Inggris, Ceko, Jerman, Lituania, Luksemburg, Portugis, dan Polandia, menekankan bahasa Jerman dan Inggris.

Pada bulan Desember 2022, SentinelOne memperingatkan tentnag VIce Society yang telah beralih ke enkripsi file baru yang canggih yang dijuluki “PolyVice”, yang mungkin dipasok oleh pengembang kontrak yang juga menjual malware-nya ke ransomware Chilly dan SunnyDay.

Sayangnya,dengan pengadopsian alat yang canggih, Vice Society telah menjadi ancaman yang lebih besar bagi organisasi di seluruh dunia, memberikan lebih sedikit kesempatan bagi para pembela HAM untuk mendeteksi dan menghentikan serangan.

selengkapnya : bleepingcomputer.com

KFC, pemilik Pizza Hut mengungkapkan Pelanggaran Data setelah Serangan Ransomware

by

Nyam! Brands, pemilik merek dari rantai makanan cepat saji KFC, Pizza Hut, dan Taco Bell, mengirimkan surat pemberitahuan pelanggaran data ke sejumlah individu yang informasi pribadinya dicuri dalam serangan ransomware 13 Januari.

Yum! Brands mengungkapkan bahwa penyerang telah mencuri informasi pribadi beberapa individu, termasuk nama, nomor SIM, dan nomor kartu identitas lainnya. Sementara penyelidikan yang sedang berlangsung belum menemukan bukti bahwa data yang dicuri telah digunakan untuk pencurian atau penipuan identitas.

Ini terjadi setelah perusahaan mengatakan bahwa meskipun beberapa data dicuri dari jaringannya, tidak ada bukti bahwa penyerang mengeksfiltrasi informasi pelanggan apa pun.

Sebagai akibat langsung dari serangan ransomware bulan Januari, Yum! Brands terpaksa menutup sekitar 300 restoran di Inggris Raya karena berdampak pada sistem TI tertentu yang mengakibatkan penutupan kurang dari 300 restoran di satu pasar selama satu hari.

Nyam! Merek dan anak perusahaannya mengoperasikan atau mewaralabakan lebih dari 55.000 restoran di 155 negara dan wilayah dengan bantuan sekitar 36.000 karyawan di seluruh dunia.

Klarifikasi Yum! mengatakan bahwa perusahaan tidak menemukan bukti bahwa pelanggan terpengaruh oleh pelanggaran data ini.

Perusahaan juga belum mengungkapkan jumlah total karyawan yang datanya dicuri selama serangan ransomware.

Selengkapnya: BleepingComputer

MSI mengonfirmasi serangan cyber setelah permintaan masalah grup ransomware baru

by

Taiwanese hardware maker Micro-Star International (MSI) confirmed Friday that it was the victim of a cyberattack following reports that said a new ransomware group targeted the company.

In its statement, MSI did not specify when the attack occurred but said the incident was reported to law enforcement agencies “promptly” and recovery measures have been initiated.

This week, the Money Message ransomware group added the company to its list of victims, claiming to have stolen source code, firmware, frameworks and more. Cybersecurity researchers said the group only emerged this week.

MSI, based in New Taipei City, brought in more than $6.6 billion in revenue in 2021 through its work designing and developing computer hardware, including laptops, desktops, motherboards and graphics cards.

“Currently, the affected systems have gradually resumed normal operations, with no significant impact on financial business. MSI urges users to obtain firmware/BIOS updates only from its official website, and not to use files from sources other than the official website,” the company explained.

Perusahaan juga mengajukan pengajuan peraturan ke The Taiwan Stock Exchange pada hari Jumat, menulis bahwa mereka tidak memperkirakan adanya kerugian atau dampak dari serangan siber.

Grup Pesan Uang membagikan beberapa pesannya dengan BleepingComputer, mengklaim telah mengambil 1,5TB data dan mengeluarkan permintaan uang tebusan sebesar $4 juta. Geng ransomware tampaknya baru muncul dalam seminggu terakhir, dengan setidaknya satu korban muncul di forum situs berita teknologi pada 28 Maret.

ThreatLabz dari Zscaler juga menulis pada 29 Maret di Twitter bahwa mereka menyaksikan grup tersebut “melakukan serangan pemerasan ganda” — di mana grup tersebut meminta uang tebusan tidak hanya untuk membuka kunci data terenkripsi tetapi juga untuk tidak membocorkan apa yang telah dicuri.

Para peneliti di Cyble mengatakan pada hari Kamis bahwa grup tersebut “dapat mengenkripsi pembagian jaringan dan menargetkan sistem operasi Windows dan Linux.”

Beberapa vendor perangkat keras Taiwan menghadapi serangan ransomware selama tiga tahun terakhir, termasuk QNAP, Delta Electronics, GIGABYTE, Acer, Quanta, dan lainnya.

Bahan Terapan perusahaan bernilai miliaran dolar, yang menyediakan teknologi untuk industri semikonduktor, juga dipengaruhi oleh serangan ransomware pada pemasok yang mereka perkirakan akan menelan biaya $250 juta pada kuartal berikutnya.

selengkapnya:therecord.com

Cara lama: BabLock, ransomware baru yang diam-diam menjelajahi Eropa, Timur Tengah, dan Asia

by

Pada pertengahan Januari 2023, tim Digital Forensics and Incident Response Group-IB yang berbasis di Amsterdam dipanggil untuk menyelidiki salah satu serangan pasca-liburan Tahun Baru terhadap perusahaan sektor industri di Eropa.

Selama penyelidikan, para ahli Group-IB menetapkan bahwa korban telah dienkripsi dengan jenis ransomware yang sebelumnya tidak dikenal. Ketegangan, pertama kali ditemukan oleh peneliti Group-IB pada Januari 2023, diberi nama kode BabLock, karena versinya untuk Linux dan ESXi memiliki kesamaan dengan ransomware Babuk yang bocor.

Terlepas dari kesamaan kecil ini, grup ini memiliki modus operandi yang sangat berbeda dan ransomware canggih khusus untuk Windows. Selain itu, geng BabLock (juga dilacak dengan nama “Rorschach” oleh CheckPoint), tidak seperti kebanyakan “rekan industri”, tidak menggunakan Situs Kebocoran Data (DLS) dan berkomunikasi dengan korbannya melalui email.

Tidak adanya DLS, bersama dengan permintaan tebusan yang relatif sederhana mulai dari 50.000 hingga 1.000.000 USD, memungkinkan grup untuk beroperasi secara diam-diam dan tetap berada di bawah radar peneliti keamanan siber. Strain tersebut telah aktif setidaknya sejak Juni 2022, ketika versi ESXi yang paling awal diketahui dirilis. Menariknya, semua modul ransomware BabLock untuk Windows yang ditemukan oleh peneliti Group-IB dikompilasi pada tahun 2021, menurut stempel waktu.

Selain Eropa, kelompok tersebut diduga melakukan serangan di Asia dan Timur Tengah, berdasarkan sampel BabLock yang diserahkan ke VirusTotal. Khususnya, grup tersebut tidak mengenkripsi perangkat yang menggunakan bahasa Rusia dan bahasa lain yang digunakan di ruang pasca-Soviet.

Artefak yang dikumpulkan selama keterlibatan respons insiden di Eropa menyarankan BabLock menggunakan taktik canggih seperti eksploitasi CVE, pemuatan samping DLL serta anti-analisis kompleks dan teknik penghindaran deteksi.

Selengkapnya: Group IB

Korban Baru Muncul setelah Serangan Ransomware Massal

by

Clop mengklaim meretas 130 organisasi secara massal. Jumlah korban terserang ransomware massal, yang disebabkan oleh bug pada alat transfer data populer yang digunakan oleh bisnis di seluruh dunia, terus bertambah berdasarkan keterangan organisasi lain yang juga teretas pada TechCrunch.

Raksasa pembiayaan Kanada Investissement Québec, mengonfirmasi bahwa beberapa informasi pribadi karyawan baru-baru ini dicuri oleh grup ransomware yang mengklaim telah melanggar lusinan perusahaan lain. Juru bicara Isabelle Fontaine mengatakan insiden itu terjadi di Fortra, sebelumnya dikenal sebagai HelpSystems, yang mengembangkan alat transfer file GoAnywhere yang rentan.

Hitachi Energy juga mengkonfirmasi bahwa beberapa data karyawannya telah dicuri dalam insiden serupa yang melibatkan sistem GoAnywhere-nya, tetapi mengatakan bahwa insiden tersebut terjadi di Fortra.

Beberapa hari terakhir, geng Clop yang terkait dengan Rusia telah menambahkan beberapa organisasi lain ke situs kebocoran web gelapnya untuk memeras perusahaan lebih lanjut dengan mengancam akan menerbitkan file yang dicuri kecuali jika permintaan uang tebusan dibayarkan.

Sementara jumlah korban peretasan massal meningkat, dampak yang diketahui paling tidak jelas.

Sejak serangan pada akhir Januari atau awal Februari, Clop mengungkapkan kurang dari setengah dari 130 organisasi yang diklaim telah disusupi melalui GoAnywhere, sebuah sistem yang dapat dihosting di cloud atau di jaringan organisasi yang memungkinkan perusahaan untuk mentransfer set besar data dan file besar lainnya dengan aman.

Detail baru terungkap pada 2 Februari setelah reporter keamanan independen Brian Krebs pertama kali melaporkan detail bug tersebut, yang disembunyikan Fortra di balik layar login di situs webnya. Fortra merilis perbaikan keamanan untuk GoAnywhere lima hari kemudian.

Pengguna GoAnywhere lain yang teridentifikasi tidak menanggapi beberapa permintaan komentar, termasuk penyedia rehabilitasi dan kesehatan mental Kanada Homewood Health, penyedia perumahan terjangkau yang berbasis di Inggris Guinness Partnership, perusahaan perbankan ritel Avidia Bank, Medex Healthcare, Cornerstone Home Lending dan raksasa energi Kolombia Grupo Vanti.

Selengkapnya: TechCrunch+

Ferrari Menolak Permintaan Tebusan setelah Serangan Siber

by

Pembuat mobil Italia Ferrari menolak membayar uang tebusan setelah pelaku ancaman yang tidak ditentukan masuk ke sistem TI dan mencuri data pelanggan.

Produsen supercar Ferrari telah memperingatkan pelanggan bahwa data pribadi mereka mungkin berisiko setelah sejumlah sistem TI mereka disusupi dan informasi diekstraksi oleh aktor ancaman yang belum ditentukan.

Perusahaan yang berbasis di Maranello, Italia menghubungi mereka yang terlibat pada Senin 20 Maret. Dalam sebuah surat kepada pelanggan, kepala eksekutif Benedetto Vigna mengatakan data yang terungkap termasuk nama, alamat, alamat email, dan nomor telepon.

Vigna meyakinkan pelanggan bahwa berdasarkan keadaan penyelidikan saat ini, organisasi meyakini tidak ada data keuangan pelanggan, atau data kendaraan merek yang telah disusupi.

Dalam pernyataan publik, juru bicara Ferrari mengatakan organisasi tersebut telah dihubungi oleh aktor ancaman dengan permintaan uang tebusan terkait dengan rincian kontak klien tertentu. Organisasi tidak mengidentifikasi aktor ancaman yang terlibat.

Juru bicara Ferrari percaya bahwa tindakan terbaik adalah memberitahu kliennya tentang potensi paparan data dan sifat insiden tersebut.

Organisasi itu mengatakan menjaga kerahasiaan kliennya dengan sangat serius dan akan bekerja sama dengan pakar keamanan untuk memperkuat sistemnya.

Insiden itu tidak berdampak pada operasi sehari-hari dan tampaknya juga tidak mempengaruhi jalannya tim juara Formula Satu, yang memiliki awal buruk di musim 2023, saat ini mendekam di klasemen konstruktor.

Selengkapnya: ComputerWeekly.com

Geng Ransomware BianLian Mengalihkan Fokus ke Pemerasan Data Murni

by

Laporan yang disunting bahwa operator BianLian tetap mempertahankan akses awal dan teknik gerakan lateral yang sama dan terus menerapkan backdoor berbasis Go kustom yang memberi mereka akses jarak jauh pada perangkat yang disusupi, meskipun versinya sedikit lebih baik.

Pelaku ancaman memposting korban mereka dalam bentuk topeng secepat 48 jam setelah pelanggaran di situs pemerasan mereka, memberi mereka kira-kira sepuluh hari untuk membayar uang tebusan.

Pada 13 Maret 2023, BianLian telah mendaftarkan total 118 organisasi korban di portal pemerasan mereka, dengan sebagian besar (71%) adalah perusahaan yang berbasis di A.S.

Pada 13 Maret 2023, BianLian telah mendaftarkan total 118 organisasi korban di portal pemerasan mereka, dengan sebagian besar (71%) adalah perusahaan yang berbasis di A.S.

Korban BianLian sejak Juli 2022

Perbedaan utama yang terlihat dalam serangan baru-baru ini adalah bahwa BianLian berupaya memonetisasi pelanggarannya tanpa mengenkripsi file korban. Sebaliknya, sekarang hanya mengandalkan ancaman untuk membocorkan data yang dicuri.

“Grup berjanji bahwa setelah mereka dibayar, mereka tidak akan membocorkan data yang dicuri atau mengungkap fakta bahwa organisasi korban telah mengalami pelanggaran. BianLian menawarkan jaminan ini berdasarkan fakta bahwa “bisnis” mereka bergantung pada reputasi mereka,” sebut Disunting dalam laporan.

Tidak diketahui apakah BianLian mengabaikan taktik enkripsi karena Avast merusak enkripsi mereka atau karena peristiwa ini membantu mereka menyadari bahwa mereka tidak memerlukan bagian rantai serangan itu untuk memeras korban agar membayar uang tebusan.

Perlu disebutkan bahwa ketika Avast merilis decryptor gratisnya, BianLian meremehkan pentingnya, mengatakan itu hanya akan bekerja pada versi awal “musim panas 2022” dari ransomware dan akan merusak file yang dienkripsi oleh semua build berikutnya.

selengkapnya : bleepingcomputer