Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat / Ransomware

Ransomware

Serangan Colonial Pipeline meningkatkan permainan ransomware

by

Pada hari Jumat, Perusahaan Colonial Pipeline menemukan bahwa mereka telah terkena serangan ransomware.

Bertanggung jawab untuk mengirimkan gas, minyak pemanas, dan bentuk minyak bumi lainnya ke rumah dan organisasi, perusahaan tersebut menyumbang 45% dari bahan bakar Pantai Timur. Serangan tersebut memaksa Colonial Pipeline untuk mematikan sistem tertentu, menghentikan sementara semua operasi pipeline.

Dalam sebuah pernyataan yang dirilis pada hari Minggu, perusahaan mengatakan bahwa mereka menyewa perusahaan keamanan siber pihak ketiga untuk menyelidiki serangan itu dan menghubungi penegak hukum serta lembaga federal, termasuk Departemen Energi. Selain menangani insiden itu sendiri, Colonial Pipeline juga siap untuk menjalankan operasinya kembali online dengan aman dan terjamin.

James Shank, ketua komite Ransomware Task Force (RTF) untuk skenario terburuk, mengatakan bahwa jenis serangan terhadap infrastruktur atau layanan kritis ini menunjukkan munculnya ransomware sebagai ancaman terhadap keamanan nasional, terutama saat kita terus bergulat dengan COVID-19.

Colonial Pipeline telah mengontrak firma keamanan FireEye Mandiant untuk menyelidiki serangan itu. Seorang juru bicara FireEye mengatakan kepada TechRepublic bahwa perusahaan tidak mengomentari insiden tersebut pada saat ini. Sementara itu, FBI telah menunjuk geng ransomware DarkSide sebagai penyebab di balik serangan ini.

Selengkapnya: Tech Republic

Fasilitas Riset Terkena Ransomware Setelah Siswa Menginstal Software Bajakan

by

Berhati-hatilah saat menggunakan software bajakan. Seorang siswa di sebuah lembaga penelitian bio-molekuler yang tidak disebutkan namanya di Eropa secara tidak sengaja membuka pintu untuk serangan ransomware pada organisasi tersebut setelah menginstal sebuah perangkat lunak yang sudah di “crack”, menurut firma keamanan Sophos.

Lembaga penelitian telah melakukan penelitian COVID-19 dan memiliki kemitraan erat dengan universitas lokal, memungkinkan mahasiswa untuk terhubung ke jaringan internal fasilitas melalui klien akses jarak jauh dari Citrix. Sayangnya, seorang siswa dengan akses ke jaringan mengunduh perangkat lunak bajakan, yang membantu mengekspos fasilitas penelitian ke serangan itu.

Menurut Sophos, siswa yang tidak disebutkan namanya itu “menginginkan salinan pribadi dari perangkat lunak visualisasi data yang telah mereka gunakan untuk bekerja”. Namun, satu lisensi untuk perangkat lunak dapat menghabiskan biaya ratusan dolar per tahun. Hasilnya, siswa tersebut mencari versi “crack” dari produk perangkat lunak untuk digunakan pada laptop Windows.

“Namun, file tersebut sebenarnya adalah malware murni dan upaya penginstalan segera memicu peringatan keamanan dari Windows Defender”, kata Sophos.

Tiga belas hari setelah perangkat lunak bajakan dipasang, sambungan protokol desktop jarak jauh yang misterius dibuat ke lembaga penelitian menggunakan kredensial masuk siswa. “Sepuluh hari setelah koneksi ini dibuat, ransomware Ryuk diluncurkan,” tambah Sophos.

Selengkapnya: PCmag

Ransomware N3TW0RM muncul dalam gelombang serangan dunia maya di Israel

by

Geng ransomware baru yang dikenal sebagai ‘N3TW0RM’ menargetkan perusahaan Israel dalam gelombang serangan siber yang dimulai minggu lalu.

Media Israel Haaretz melaporkan bahwa setidaknya empat perusahaan Israel dan satu organisasi nirlaba telah berhasil dibobol dalam gelombang serangan ini.

Seperti geng ransomware lainnya, N3TW0RM telah membuat situs kebocoran data di mana mereka mengancam akan membocorkan file curian sebagai cara untuk menakut-nakuti korbannya agar membayar tebusan.

Dua dari bisnis Israel, H&M Israel dan jaringan Veritas Logistic, telah terdaftar dalam kebocoran data geng ransomware, dengan pelaku ancaman telah membocorkan data yang diduga dicuri selama serangan terhadap Veritas.

Serangan N3TW0RM belum dikaitkan dengan grup peretasan mana pun saat ini.

Saat mengenkripsi jaringan, pelaku ancaman biasanya akan mendistribusikan ransomware mandiri yang dapat dieksekusi ke setiap perangkat yang ingin mereka enkripsi.

N3TW0RM melakukannya sedikit berbeda dengan menggunakan model klien-server sebagai gantinya.

Dari sampel [VirusTotal] ransomware yang dilihat oleh BleepingComputer dan diskusi dengan Arik Nachmias, CEO dari firma tanggapan insiden Honey Badger Security, pelaku ancaman N3TW0RM menginstal program di server korban yang akan mendengarkan koneksi dari workstation.

Nachmias menyatakan bahwa pelaku ancaman kemudian menggunakan PAExec untuk menyebarkan dan mengeksekusi klien ‘slave.exe’ yang dapat dieksekusi di setiap perangkat yang akan dienkripsi oleh ransomware. Saat mengenkripsi file, file akan memiliki ekstensi ‘.n3tw0rm’ yang ditambahkan ke namanya.

Selengkapnya: Bleeping Computer

Teknologi AS mendorong ransomware untuk dianggap sebagai ancaman keamanan nasional

by

Perusahaan dan pejabat teknologi besar AS mendesak pemerintah untuk menetapkan ransomware sebagai ancaman keamanan nasional dalam upaya memerangi epidemi peretasan yang merugikan bisnis puluhan juta dolar.

Kelompok teknologi termasuk Microsoft, Cisco dan Amazon, perusahaan keamanan dunia maya seperti FireEye dan pejabat dari FBI dan Departemen Kehakiman AS telah menerbitkan laporan yang menyerukan sejumlah langkah untuk menangani perusahaan kriminal yang menguntungkan tersebut.

Ransomware melibatkan peretas yang mengambil kendali atas sistem komputer atau data organisasi dengan memasang perangkat lunak terlarang, dan mengembalikan aset hanya setelah uang tebusan dibayarkan.

Gugus Tugas Ransomware publik-swasta berpendapat bahwa serangan semacam itu harus dianggap sebagai ancaman keamanan nasional, merujuk pada risiko warga dari serangan tanpa henti terhadap rumah sakit, otoritas lokal, dan infrastruktur penting.

Ini meminta pemerintah untuk menciptakan koalisi internasional untuk mengatasi masalah dan untuk “memberikan tekanan pada negara-negara yang terlibat atau menolak untuk mengambil tindakan”, misalnya melalui sanksi atau dengan menahan bantuan atau visa.

Seruan itu datang dua minggu setelah Departemen Keuangan AS menuduh salah satu badan intelijen Rusia, FSB, “mengembangkan dan mengkooptasi” EvilCorp, salah satu grup ransomware paling terkenal. Banyak penjahat dunia maya beroperasi di luar yurisdiksi otoritas AS.

“Ransomware, khususnya, adalah masalah tindakan kolektif yang luar biasa karena banyak alasan,” kata Michael Phillips, kepala bagian klaim di grup asuransi cyber Resilience dan salah satu ketua gugus tugas.

Dia mengutip “persaingan negara-bangsa yang meningkat di ruang digital, dan negara-negara yang tidak mampu atau tidak mau menegakkan hukum yang mencegah penjahat dunia maya canggih meluncurkan serangan ini atau menciptakan ekosistem yang mendukung mereka”.

selengkapnya : www.ft.com

Grup ransomware baru menggunakan zero-day SonicWall untuk menerobos jaringan

by

Aktor ancaman bermotivasi finansial mengeksploitasi bug zero-day di peralatan VPN Sonicwall SMA 100 Series untuk menyebarkan ransomware baru yang dikenal sebagai FiveHands di jaringan target Amerika Utara dan Eropa.

Grup tersebut, dilacak oleh analis ancaman Mandiant sebagai UNC2447, mengeksploitasi kerentanan CVE-2021-20016 Sonicwall untuk menembus jaringan dan menyebarkan muatan ransomware FiveHands sebelum patch dirilis pada akhir Februari 2021.

Sebelum menerapkan muatan ransomware, UNC2447 juga diamati menggunakan implan Cobalt Strike untuk mendapatkan ketekunan dan memasang varian backdoor SombRAT, malware yang pertama kali terlihat dalam kampanye CostaRicto yang dikoordinasikan oleh sekelompok peretas bayaran.

Zero-day juga dimanfaatkan dalam serangan yang menargetkan sistem internal SonicWall pada bulan Januari dan kemudian disalahgunakan tanpa pandang bulu di alam liar.

Ransomware FiveHands yang digunakan dalam serangan UNC2447 pertama kali diamati di alam liar selama Oktober 2020.

Ini juga sangat mirip dengan ransomware HelloKitty, keduanya menulis ulang ransomware DeathRansom.

Selengkapnya: Bleeping Computer

QNAP memperingatkan serangan ransomware AgeLocker pada perangkat NAS

by

Pelanggan QNAP sekali lagi didesak untuk mengamankan perangkat Network Attached Storage (NAS) mereka untuk bertahan dari serangan ransomware Agelocker yang menargetkan data mereka.

Dalam nasihat keamanan yang diterbitkan sebelumnya, perusahaan mengatakan bahwa tim keamanannya telah menemukan sampel ransomware AgeLocker di alam liar, dengan “potensi untuk memengaruhi perangkat QNAP NAS”.

“Untuk mengamankan perangkat Anda, kami sangat menyarankan memperbarui QTS atau QuTS hero dan semua aplikasi yang diinstal ke versi terbaru mereka secara teratur untuk mendapatkan keuntungan dari perbaikan kerentanan,” kata QNAP. “Anda dapat memeriksa status dukungan produk untuk melihat pembaruan terbaru yang tersedia untuk model NAS Anda”.

Pelanggan juga diperingatkan untuk tidak mengekspos perangkat NAS mereka di Internet karena akan memungkinkan penyerang potensial untuk menemukannya dan mendapatkan akses ke data pengguna.

Seorang juru bicara QNAP PSIRT mengatakan kepada BleepingComputer bahwa perangkat NAS yang baru-baru ini dikompromikan oleh ransomware AgeLocker menjalankan firmware yang sudah ketinggalan zaman.

Ransomware AgeLocker pertama kali terlihat di alam liar pada Juli 2020 dan, sejak itu, telah menargetkan perangkat QNAP NAS di seluruh dunia dalam kampanye September 2020.

Jenis ransomware ini menggunakan algoritma enkripsi yang dikenal sebagai Age (kependekan dari Actually Good Encryption), yang dirancang sebagai pengganti GPG untuk mengenkripsi file, backup, dan streaming.

Selengkapnya: Bleeping Computer

Ransomware Babuk bersiap untuk ‘shut down’ dan berencana untuk membuka malware sumber

by

Setelah beberapa bulan beraktivitas, para operator ransomware Babuk secara singkat memposting pesan singkat tentang niat mereka untuk keluar dari bisnis pemerasan setelah mencapai tujuan mereka.

Tidak seperti geng lain yang memilih untuk melepaskan kunci dekripsi atau bahkan mengembalikan uang tebusan yang dikumpulkan, gerakan terakhir Babuk adalah memberikan obor kepada orang lain.

Geng ransomware Babuk mengatakan dalam sebuah pesan berjudul “Hello World 2” di situs kebocoran mereka bahwa mereka telah mencapai tujuan mereka dan memutuskan untuk menghentikan operasi tersebut.

Namun, mereka tidak akan meninggalkan panggung tanpa warisan: kode sumber untuk malware pengenkripsi file Babuk akan tersedia untuk umum setelah mereka menghentikan “proyek”.

Pada pengunguman itu mereka mengatakan bahwa kapan pun geng ransomware Babuk memutuskan untuk berhenti, setidaknya dengan nama Babuk, mereka akan “melakukan sesuatu seperti RaaS Sumber Terbuka, setiap orang dapat membuat produk mereka sendiri berdasarkan produk kami dan menyelesaikannya dengan RaaS lainnya”.

Korban terakhir Babuk adalah Metropolitan Police Department (MPD), badan penegakan hukum utama di Washington, DC, yang mengonfirmasi pelanggaran ke BleepingComputer.

Selengkapnya: Bleeping Computer

Geng ransomware kini memperingatkan mereka akan membocorkan logo baru Apple

by

Kelompok ransomware REvil secara misterius menghapus skema Apple dari situs kebocoran data mereka setelah secara pribadi memperingatkan Quanta bahwa mereka akan membocorkan gambar untuk iPad baru dan logo baru Apple.

Awal bulan ini, geng ransomware melakukan serangan terhadap Quanta, produsen desain asli (ODM) yang berbasis di Taiwan yang membantu pembuatan Apple Watch, Apple Macbook Air, dan Apple Macbook Pro.

Sebagai bagian dari serangan ini, pelaku ancaman mencuri data milik perusahaan, termasuk gambar dan skema untuk produk Apple.

Setelah tidak menerima pembayaran tebusan dari Quanta, yang memiliki harga awal $50 juta, REvil mulai memposting skema untuk Apple Macbooks di situs kebocoran data mereka.

Sebagai bagian dari kebocoran ini, REvil memperingatkan Apple bahwa mereka harus membeli kembali data paling lambat 1 Mei atau lebih banyak data akan bocor.

REvil telah memperingatkan Quanta bahwa mereka akan mulai menerbitkan gambar untuk “iPad baru, logo Apple baru” jika mereka tidak menerima tanggapan dari Quanta.

Tidak diketahui apakah Quanta sedang berkomunikasi dengan REvil dalam obrolan lain atau jika negosiasi terhenti.

Selengkapnya: Bleeping Computer