Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat / Ransomware

Ransomware

Exagrid membayar $2,6 juta untuk penyerang ransomware Conti

by

Uang tebusan dibayarkan dalam bentuk 50,75 bitcoin pada 13 Mei, menurut informasi yang diperoleh oleh publikasi saudara Prancis ComputerWeekly.com, LeMagIT.

Aksesi ke tuntutan penyerang ransomware menjadi lebih memalukan ketika pemasok alat cadangan – yang memanfaatkan kekuatannya melawan ransomware – secara tidak sengaja menghapus alat dekripsi dan harus memintanya lagi.

Penyerahan ke serangan ransomware datang pada bulan yang sama ketika operator pipa AS Colonial Pipeline membayar $4,5 juta setelah terkena ransomware Darkside dan layanan kesehatan Irlandia menjadi sasaran, juga oleh ransomware Conti.

Negosiasi, yang dapat diakses oleh LeMagIT, dimulai pada tanggal 4 Mei dengan seseorang dengan judul “Teknisi utama TI dengan Sistem ExaGrid”.

Penjahat dunia maya langsung ke intinya, dan berkata: “Seperti yang sudah Anda ketahui, kami menyusup ke jaringan Anda dan tinggal di dalamnya selama lebih dari sebulan (cukup untuk mempelajari semua dokumentasi Anda), mengenkripsi server file Anda, server SQL, mengunduh semua informasi penting dengan berat total lebih dari 800GB.”

Mereka kemudian menjelaskan bagaimana mereka mendapatkan data pribadi klien dan karyawan, kontrak komersial, formulir NDA, data keuangan, pengembalian pajak, dan kode sumber. Uang tebusan awal yang diminta adalah $7.480.000.

selengkapnya : www.computerweekly.com

Ransomware Epsilon Red baru memburu server Microsoft Exchange yang belum ditambal

by

Ancaman ransomware baru yang menamakan dirinya Epsilon Red telah terlihat memanfaatkan kerentanan server Microsoft Exchange untuk mengenkripsi mesin di seluruh jaringan.

Serangan ransomware Epsilon Red mengandalkan lebih dari selusin skrip sebelum mencapai tahap enkripsi dan juga menggunakan utilitas desktop jarak jauh komersial.

Penanggap insiden di perusahaan keamanan siber Sophos menemukan ransomware Epsilon Red baru selama seminggu terakhir saat menyelidiki serangan di perusahaan AS yang cukup besar di sektor perhotelan.

Para peneliti menemukan bahwa pelaku ancaman melanggar jaringan perusahaan dengan mengeksploitasi kerentanan yang belum ditambal di server Microsoft Exchange lokal.

Andrew Brandt, peneliti utama di Sophos, mengatakan dalam sebuah laporan hari ini bahwa penyerang mungkin telah memanfaatkan rangkaian kerentanan ProxyLogon untuk menjangkau mesin di jaringan.

Epsilon Red ditulis dalam Golang (Go) dan didahului oleh serangkaian skrip PowerShell unik yang mempersiapkan dasar untuk rutinitas enkripsi file, masing-masing memiliki tujuan tertentu:

  • menghentikan proses dan layanan untuk alat keamanan, database, program cadangan, aplikasi Office, klien email
  • menghapus Volume Shadow Copies
  • mencuri file Pengelola Akun Keamanan (SAM) yang berisi potongan sandi
  • menghapus Windows Event Logs
  • menonaktifkan Windows Defender
  • menangguhkan proses
  • menghapus instalan alat keamanan (Sophos, Trend Micro, Cylance, MalwareBytes, Sentinel One, Vipre, Webroot)
  • memperluas izin pada sistem

Selengkapnya: Bleeping Computer

Itu ransomware, atau mungkin disk wiper, dan itu menyerang target di Israel

by

Para peneliti mengatakan mereka telah menemukan malware disk wiper yang belum pernah terlihat sebelumnya yang menyamar sebagai ransomware saat meluncurkan serangan destruktif terhadap target Israel.

Apostle, seperti para peneliti di firma keamanan SentinelOne menyebut malware tersebut, pada awalnya digunakan dalam upaya untuk menghapus data tetapi gagal melakukannya, kemungkinan karena kesalahan logika dalam kodenya.

Nama internal yang diberikan oleh pengembangnya adalah “wiper-action.” Dalam versi yang lebih baru, bug telah diperbaiki dan malware mendapatkan perilaku ransomware lengkap, termasuk kemampuan untuk meninggalkan catatan yang menuntut korban membayar tebusan sebagai ganti kunci dekripsi.

Dalam sebuah posting yang diterbitkan hari Selasa, peneliti SentinelOne mengatakan mereka menilai dengan keyakinan tinggi bahwa berdasarkan kode dan server yang dilaporkan Apostle, malware itu digunakan oleh kelompok yang baru ditemukan yang memiliki hubungan dengan pemerintah Iran.

Sementara catatan ransomware yang ditemukan para peneliti menunjukkan bahwa Apostle telah digunakan terhadap fasilitas penting di Uni Emirat Arab, target utamanya adalah Israel.

Para peneliti telah menjuluki kelompok peretasan baru tersebut Agrius. SentinelOne melihat grup pertama kali menggunakan Apostle sebagai disk wiper, meskipun cacat pada malware mencegahnya melakukannya, kemungkinan besar karena kesalahan logika dalam kodenya. Agrius kemudian menggunakan Deadwood, wiper yang telah digunakan terhadap target di Arab Saudi pada tahun 2019.

Selengkapnya: Ars Technica

Toyota berakhir dengan serangan siber kembar yang meninggalkan penyok berbentuk ransomware

by

Toyota telah mengakui sepasang serangan dunia maya.

Yang pertama menghantam operasi Eropa anak perusahaannya Daihatsu Diesel Company, entitas perusahaan milik Toyota yang merancang mesin. Dalam pernyataan tertanggal 16 Mei, Daihatsu mengatakan “mengalami masalah dalam mengakses server filenya di sistem internal pada 14 Mei 2021.”

“Setelah penyelidikan singkat, serangan dunia maya oleh akses tidak sah dari pihak ketiga dikonfirmasi sebagai penyebab masalah ini,” tambah pernyataan itu. Daihatsu menghentikan apa pun yang menyebar ke kantor lain, memulai penyelidikan dan menjanjikan pembaruan. Tidak ada yang keluar pada saat penulisan.

Toyota Jepang telah meminta maaf atas masalah produksi, tetapi juga menunjukkan bahwa mereka memiliki 29 lini produksi di 14 pabrik, jadi perlambatan ini bukanlah pengurangan besar dalam produksi.

Selengkapnya: The Register

Evolusi ransomware JSWorm

by

Keluarga JSWorm telah berkembang selama dua tahun dan selama waktu ini telah mengubah model distribusi dan Trojan telah mengalami beberapa pengembangan ulang lengkap.

Sejak kemunculan awal pada tahun 2019, ini telah berubah dari ancaman ransomware skala massal yang memengaruhi sebagian besar pengguna individu menjadi ancaman ransomware pemburu game besar yang menyerang target profil tinggi dan menuntut pembayaran tebusan besar-besaran.

Seperti ancaman ransomware bertarget lainnya saat ini, kunci untuk mencegah insiden infeksi JSWorm adalah pendekatan kompleks untuk mengamankan jaringan organisasi. Kelemahan apa pun dapat menjadi titik masuk bagi pelaku ancaman, baik itu versi perangkat lunak sisi server yang rentan, karyawan yang mengklik tautan berbahaya, kata sandi yang lemah untuk sistem kendali jarak jauh, dan sebagainya.

Untuk meningkatkan pertahanan terhadap ransomware pemburu game besar, sebaiknya lakukan audit keamanan jaringan Anda untuk menemukan dan secara proaktif memperbaiki kelemahan keamanan apa pun.

Rekomendasi lain untuk memaksimalkan keamanan organisasi Anda:

  • Jangan memaparkan layanan desktop jarak jauh (seperti RDP) ke jaringan publik kecuali benar-benar diperlukan dan selalu gunakan kata sandi yang kuat untuk mereka.
  • Pastikan solusi VPN komersial dan perangkat lunak sisi server lainnya selalu diperbarui karena eksploitasi perangkat lunak jenis ini adalah vektor infeksi umum untuk ransomware. Selalu perbarui aplikasi sisi klien.
  • Fokuskan strategi pertahanan Anda untuk mendeteksi pergerakan lateral dan eksfiltrasi data ke internet. Berikan perhatian khusus pada lalu lintas keluar untuk mendeteksi koneksi penjahat dunia maya. Cadangkan data secara teratur. Pastikan Anda dapat mengaksesnya dengan cepat dalam keadaan darurat saat dibutuhkan. Gunakan informasi Threat Intelligence terbaru untuk tetap mengetahui TTP aktual yang digunakan oleh pelaku ancaman.

Selengkapnya : Secure List Kaspersky

Ransomware: Haruskah membayar uang tebusan peretas itu ilegal?

by

Serangan ransomware mencegah korban mengakses sistem atau data komputer sampai uang tebusan dibayarkan.

Lembaga penegak hukum di seluruh dunia semakin mendesak para korban untuk tidak membayar. Tapi membayar tebusan bukanlah suatu hal yang ilegal. Dan banyak organisasi membayar secara rahasia.

Sekarang, koalisi global Ransomware Task Force (RTF) pakar dunia maya melobi pemerintah untuk mengambil tindakan. Ini telah membuat hampir 50 rekomendasi untuk mengekang kejahatan, tetapi tidak dapat menyetujui apakah negara harus melarang pembayaran uang tebusan.

Dan BBC bertanya kepada dua anggota mengapa.

“Larangan pembayaran akan menghasilkan permainan ‘ayam’ yang cukup mengerikan”

Wakil presiden komunitas dan urusan publik Rapid7 Jen Ellis mengatakan: “Kebanyakan orang setuju, dalam dunia yang ideal, pemerintah akan melarang pembayaran uang tebusan. Karena ransomware adalah kejahatan yang dimotivasi oleh keuntungan, ini diharapkan dapat mencegah kejahatan. Masalahnya adalah, kita tidak hidup di dunia yang ideal.”

“Di dunia tempat kita tinggal, pelarangan pembayaran hampir pasti akan menghasilkan permainan ‘ayam’ yang cukup mengerikan, di mana penjahat akan mengalihkan semua fokus mereka ke organisasi yang paling tidak mungkin dapat menangani waktu henti – misalnya rumah sakit, instalasi pengolahan air, penyedia energi, dan sekolah.”

“Larangan pembayaran akan mengurangi beban organisasi”

Presiden dan CEO Cyber Threat Alliance Michael Daniel mengatakan: “Kasus pelarangan pembayaran uang tebusan sudah jelas. Serangan ransomware terutama dimotivasi oleh keuntungan. Dan tanpa keuntungan, penyerang akan beralih dari taktik ini.”

“Selanjutnya, keuntungan tebusan digunakan untuk mendanai kejahatan lain yang bahkan lebih berbahaya, seperti perdagangan manusia, eksploitasi anak, dan terorisme. Akhirnya, pembayaran menghasilkan lebih banyak serangan, memperkuat kegunaan taktik itu. Tidak ada organisasi yang mau membayar tebusan.”

“Sebaliknya, mereka merasa tidak punya pilihan, apakah itu karena ancaman kebangkrutan, kerusakan reputasi yang diakibatkan oleh gangguan layanan, atau potensi hilangnya nyawa atau gangguan ekonomi skala luas.”

“Memang, dari sudut pandang organisasi yang murni berjangka pendek, membayar uang tebusan sering kali merupakan keputusan yang rasional secara ekonomi.”

“Kita perlu memutus siklus ini dan menghilangkan ‘bahan bakar’ ekosistem ransomware.”

Selengkapnya: BBC

Peretas ransomware Colonial pipeline memiliki senjata rahasia: perusahaan keamanan siber yang mempromosikan diri sendiri

by

Pada 11 Januari, perusahaan antivirus Bitdefender mengatakan “dengan senang hati mengumumkan” terobosan yang mengejutkan. Mereka telah menemukan cacat pada ransomware yang digunakan oleh geng yang dikenal sebagai DarkSide untuk membekukan jaringan komputer dari lusinan bisnis di AS dan Eropa. Perusahaan yang menghadapi tuntutan dari DarkSide dapat mengunduh alat gratis dari Bitdefender dan menghindari membayar jutaan dolar sebagai tebusan kepada para peretas.

Tetapi Bitdefender bukanlah yang pertama mengidentifikasi kekurangan ini. Dua peneliti lain, Fabian Wosar dan Michael Gillespie, telah memperhatikannya sebulan sebelumnya dan diam-diam mulai mencari korban untuk ditolong.

Dengan mempublikasikan alatnya, Bitdefender memberi tahu DarkSide tentang kesalahan tersebut, yang melibatkan penggunaan kembali kunci digital yang sama untuk mengunci dan membuka banyak korban. Keesokan harinya, DarkSide menyatakan bahwa mereka telah memperbaiki masalah, dan bahwa “perusahaan baru tidak memiliki harapan apa pun”.

“Terima kasih kepada BitDefender untuk membantu memperbaiki masalah kami,” kata DarkSide. “Ini akan membuat kami lebih baik.”

DarkSide segera membuktikan bahwa itu bukanlanh gertakan, melepaskan serangkaian serangan. Bulan ini, hal itu melumpuhkan Colonial Pipeline Co., mendorong penutupan pipa sepanjang 5.500 mil yang membawa 45% bahan bakar yang digunakan di East Coast — dengan cepat diikuti oleh kenaikan harga bensin, panik membeli gas di seluruh Tenggara, dan penutupan ribuan pompa bensin.

Insiden tersebut juga menunjukkan bagaimana perusahaan antivirus yang ingin membuat nama untuk dirinya sendiri terkadang melanggar salah satu aturan utama dari permainan kucing-dan-tikus perang dunia maya: Jangan biarkan lawan Anda tahu apa yang Anda ketahui.

Wosar mengatakan bahwa merilis alat secara publik, seperti yang dilakukan Bitdefender, menjadi lebih berisiko karena uang tebusan telah melonjak dan geng-geng tersebut menjadi lebih kaya dan lebih mahir secara teknis.

Pada masa-masa awal ransomware, ketika peretas membekukan komputer rumah untuk beberapa ratus dolar, mereka sering kali tidak dapat menentukan bagaimana kodenya rusak kecuali jika cacat tersebut secara khusus ditunjukkan kepada mereka.

Saat ini, pencipta ransomware “memiliki akses ke reverse engineers dan penetration testers yang sangat mampu,” katanya. “Begitulah cara mereka masuk ke jaringan yang seringkali sangat aman ini.

Mereka mengunduh decryptor, membongkarnya, melakukan reverse-engineer, dan mereka mengetahui dengan tepat mengapa kami dapat mendekripsi file mereka. Dan 24 jam kemudian, semuanya diperbaiki. Bitdefender seharusnya tahu lebih baik.”

Selengkapnya: Technology Review

Bagaimana Peretasan Menjadi Layanan Profesional di Rusia

by

Operasi peretasan paling terkenal dari DarkSide mungkin terbukti menjadi yang terakhir: pada awal Mei, grup tersebut meluncurkan serangan ransomware terhadap Perusahaan Colonial Pipeline, yang menyediakan sebanyak setengah pasokan bahan bakar untuk Pantai Timur Amerika Serikat. DarkSide dilaporkan pergi dengan uang tebusan lima juta dolar, tetapi menerima pembayaran tampaknya harus dibayar mahal.

Pada tanggal 14 Mei, situs DarkSide ditutup, dan grup tersebut mengatakan bahwa mereka telah kehilangan akses ke banyak alat komunikasi dan pembayarannya — sebagai akibat dari pembalasan dari AS atau keputusan oleh anggota yang mendanai organisasi untuk berhenti.

Pada 10 Mei, Biden mengatakan intelijen AS percaya bahwa DarkSide berlokasi di Rusia, meskipun tidak ada “bukti” yang menghubungkannya dengan negara Rusia.

Seperti banyak aliran pendapatan di dunia kejahatan dunia maya, ransomware-as-a-service sebagian besar, meskipun tidak sepenuhnya, didominasi oleh peretas berbahasa Rusia yang berasal dari Rusia dan negara-negara bekas Soviet lainnya.

Alasan untuk situasi ini berasal dari runtuhnya Uni Soviet, pada tahun sembilan belas-sembilan puluhan, ketika engineer, programmer, dan teknisi yang sangat kompeten tiba-tiba terombang-ambing.

Puluhan tahun kemudian, ceritanya tidak banyak berubah: generasi muda Rusia memiliki akses ke pendidikan khusus di bidang fisika, ilmu komputer, dan matematika, tetapi hanya memiliki sedikit saluran untuk mewujudkan bakat tersebut, setidaknya tidak untuk jenis gaji yang tersedia bagi programmer di , katakanlah, Silicon Valley.

“Dan apa yang mereka lihat saat online? Bahwa dengan pengetahuan dan keterampilan mereka dapat menghasilkan jutaan dolar, begitu saja”, kata Sergey Golovanov, kepala pakar keamanan di Kaspersky Lab, sebuah perusahaan keamanan siber yang berbasis di Moskow. “Persentase tertentu dari orang-orang ini memutuskan bahwa ini layak untuk melanggar hukum”.

Karier seperti itu bisa terlihat lebih menarik mengingat risikonya tampak agak kecil, setidaknya jika Anda fokus pada target Barat. Meskipun badan penegak hukum Rusia secara berkala melakukan operasi yang ditujukan untuk penjahat dunia maya domestik, mereka umumnya menutup mata terhadap mereka yang menggunakan Rusia sebagai basis untuk menyusup ke jaringan asing.

Untuk memastikan bahwa mereka tidak mengalami masalah di wilayah asalnya, sebagian besar situs ransomware-as-a-service melarang penargetan perusahaan atau institusi di Rusia atau di dalam wilayah bekas Uni Soviet.

Namun ada juga satu alasan lain yang sangat penting mengapa penjahat dunia maya mungkin merasa relatif bebas untuk beroperasi dari dalam Rusia. Layanan keamanan Rusia tergoda untuk melihat peretas yang menargetkan perusahaan, pemerintah, dan individu Barat bukan sebagai ancaman melainkan sebagai sumber daya.

Selengkapnya: New Yorker