Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat / Ransomware

Ransomware

Pasien kanker menggugat rumah sakit setelah geng ransomware membocorkan foto medis bugilnya

by

seorang pasien kanker yang foto dan catatan medis telanjangnya diposting online setelah dicuri oleh geng ransomware, telah menuntut penyedia layanan kesehatan karena membiarkan kebocora yang “dapat dicegah” dan “sangat merusak”.

Gugatan class action yang diusulkan berasal dari intrusi Februari di mana kru malware BlackCat (juga dikenal sebagai ALPHV) masuk ke salah satu jaringan dokter Lehigh Valley Health Network (LVHN), mencuri gambar pasien yang menjalani perawatan onkologi radiasi bersama dengan kesehatan sensitif lainnya. catatan milik lebih dari 75.000 orang, dan kemudian meminta pembayaran uang tebusan untuk mendekripsi file dan mencegahnya memposting data kesehatan secara online.

Grup perawatan kesehatan Pennsylvania, salah satu yang terbesar di negara bagian AS, mengawasi 13 rumah sakit, 28 pusat kesehatan, dan lusinan klinik dokter, apotek, pusat rehabilitasi, layanan pencitraan dan lab lainnya. LVHN menolak untuk membayar uang tebusan, dan awal bulan ini BlackCat mulai membocorkan info pasien, termasuk gambar dari setidaknya dua pasien kanker payudara, telanjang dari pinggang ke atas.

Menurut gugatan tersebut, LaRock juga memberi tahu Doe bahwa alamat fisik dan emailnya, bersama dengan tanggal lahir, nomor jaminan sosial, penyedia asuransi kesehatan, diagnosis medis dan informasi perawatan, serta hasil lab juga kemungkinan dicuri dalam pelanggaran tersebut.

Pengacara Pennsylvania Patrick Howard, yang mewakili Doe dan penggugat lainnya dalam gugatan kelompok yang diusulkan, mengatakan dia memperkirakan jumlah pasien yang terkena dampak pelanggaran tersebut mencapai “ratusan, jika tidak ribuan.”

Menurut para pengacara, ini adalah pelanggaran data kedua yang memengaruhi pasien kelompok perawatan kesehatan Pennsylvania selama beberapa tahun terakhir. Pada tahun 2021, LVHN mengakui bahwa informasi pribadi pasien dicuri dari salah satu vendornya.

selengkapnya : the register

LockBit Membual: Kami akan Membocorkan Ribuan Blueprint SpaceX yang Dicuri dari Pemasok

by

Geng Ransomware Lockbit telah menyombongkannya masuk ke Industri Maksimum, yang membuat suku cadang untuk SpaceX, dan mencuri 3.000 skema berpemilik yang dikembangkan oleh pembuat roket Elon Musk.

Kru kejahatan siber yang produktif juga mengejek supremo SpaceX dan mengancam akan membocorkan atau menjual blueprint mulai 20 Maret jika tuntutan geng untuk membayar tidak dipenuhi. Ini mungkin tagihan yang tidak dapat dihindari Musk.

Klaim SpaceX mengikuti beberapa lainnya oleh penjahat yang berafiliasi dengan LockBit, yang tidak selalu merupakan kelompok paling jujur ​​tentang apa yang telah mereka curi.

Bulan lalu, kelompok penjahat yang sama mengklaim telah menyusup ke perusahaan teknologi keuangan ION dan mengancam akan menerbitkan data curian pada 4 Februari jika penyedia perangkat lunak tidak membayar.

LockBit mengkonfirmasi jika uang tebusan telah dibayarkan, namun mereka tidak memberikan bukti apa pun dan ION menolak berkomentar.

Royal Mail di Inggris, tersangka korban LockBit lainnya, melanjutkan pengiriman internasional pada bulan Februari setelah mengkonfirmasi “insiden siber” sebulan sebelumnya.

Pada akhirnya, pembuat malware tampak menyerah untuk mendapatkan uang tebusan yang mereka minta dari Royal Mail sebelum menerbitkan beberapa file yang mereka klaim berasal dari jarahan yang dicuri.

Selengkapnya: The Register

Grup Ransomware Mengklaim Peretasan Cincin Amazon

by

Geng ransomware mengklaim telah melanggar cincin perusahaan kamera keamanan yang sangat populer, yang dimiliki oleh Amazon. Geng ransomware mengancam akan merilis data Ring. Ring memberi tahu Motherboard bahwa ia tidak memiliki bukti pelanggaran sistemnya sendiri, tetapi mengatakan vendor pihak ketiga telah terkena ransomware.
ALPHV lebih dari sekadar mengunci file korban, dan memiliki situs web yang menamai dan mempermalukan korbannya dalam upaya untuk memeras mereka. Jika target tersebut tidak membayar, ALPHV mengancam akan merilis data yang dicuri dari mereka secara publik. Situs ALPHV menonjol karena bagian situsnya yang menerbitkan data yang diretas, yang disebut “Koleksi”, lebih mudah dicari daripada beberapa situs grup peretasan lainnya.

Motherboard memverifikasi bahwa daftar penamaan Cincin saat ini ada di situs pembuangan data ALPHV. Kolektif keamanan siber VX Underground men-tweet tangkapan layar dari daftar tersebut sebelumnya pada hari Senin.

Setelah publikasi, satu orang membagikan tautan ke artikel ini di saluran internal Amazon Slack, dan menulis “Jangan membahas apa pun tentang ini. Tim keamanan yang tepat dilibatkan.”

Tidak jelas data spesifik apa yang dapat diakses oleh ALPHV. Dalam sebuah pernyataan, Ring memberi tahu Motherboard, “Saat ini kami tidak memiliki indikasi bahwa Ring telah mengalami peristiwa ransomware.” Tetapi perusahaan menambahkan bahwa mereka mengetahui vendor pihak ketiga yang telah mengalami peristiwa ransomware, dan Ring bekerja sama dengan perusahaan tersebut untuk mempelajari lebih lanjut. Ring mengatakan vendor ini tidak memiliki akses ke catatan pelanggan.

Amazon telah bermitra dengan setidaknya dua ribu departemen kepolisian di seluruh negeri untuk memudahkan pengguna berbagi rekaman dengan penegak hukum. Kamera — dan rekaman yang mereka ambil, yang sering diposting online — telah menjadi sangat populer sehingga Amazon meluncurkan acara televisi yang disebut “Ring Nation”, yang merupakan acara ragam yang sebagian besar terdiri dari blooper yang diambil oleh kamera Ring.

Meskipun Ring sendiri tidak dikompromikan selama insiden tersebut, para peretas memang memanfaatkan kelemahan dalam pengaturan keamanan default Ring. Sejak peretasan tersebut, Ring telah mengubah beberapa praktik keamanannya untuk mempermudah dan memperjelas bagi pengguna untuk memeriksa pengaturan keamanan mereka.

selengkapnya : vice

Apa yang terjadi jika Anda ‘menutupi’ infeksi ransomware? Untuk Blackbaud, biaya $3 juta

by

Blackbaud telah setuju untuk membayar $3 juta untuk menyelesaikan tuduhan bahwa ia membuat pengungkapan yang menyesatkan tentang infeksi ransomware tahun 2020 di mana penjahat mencuri lebih dari satu juta file di sekitar 13.000 pelanggan pembuat perangkat lunak cloud.

Menurut pengawas keuangan Amerika, SEC, Blackbaud akan mengeluarkan uang tunai – tanpa mengakui atau menyangkal temuan regulator – dan akan berhenti melakukan pelanggaran lebih lanjut.

“Blackbaud dengan senang hati menyelesaikan masalah ini dengan SEC dan menghargai kolaborasi dan umpan balik konstruktif dari Komisi karena perusahaan terus meningkatkan kebijakan pelaporan dan pengungkapannya,” kata Tony Boor, kepala keuangan perusahaan tersebut, kepada The Register.

“Blackbaud terus memperkuat program keamanan sibernya untuk melindungi pelanggan dan konsumen, serta meminimalkan risiko serangan siber dalam lanskap ancaman yang selalu berubah,” tambah Boor.

Sebagai perspektif: perusahaan yang berbasis di South Carolina – yang menyediakan, antara lain, alat manajemen donor untuk organisasi nirlaba – menghasilkan pendapatan $1,1 miliar pada tahun 2022, yang mengakibatkan kerugian $45,4 juta. Penyelesaian ini adalah yang paling tidak menjadi perhatian bisnis, kami bayangkan.

Inilah yang terjadi: pada bulan Mei 2020, Blackbaud mengalami infeksi ransomware, diam-diam melunasi para penjahat, dan tidak memberi tahu pelanggan tentang pelanggaran keamanan hingga Juli 2020. Dan ketika perusahaan perangkat lunak memberi tahu pelanggan, mereka meyakinkan mereka bahwa ” penjahat dunia maya tidak mengakses…informasi rekening bank, atau nomor jaminan sosial,” menurut perintah SEC.

Namun, pada akhir bulan itu, SEC mengklaim bahwa personel Blackbaud menemukan bahwa penjahat telah mengakses informasi rekening bank donor dan nomor jaminan sosial yang tidak terenkripsi. Tetapi karyawan diduga tidak memberi tahu manajemen senior tentang pencurian data sensitif pelanggan karena Blackbaud “tidak memiliki kebijakan atau prosedur yang dirancang untuk memastikan mereka melakukannya,” kata dokumen pengadilan.

Selengkapnya: The Register

IceFire ransomware sekarang mengenkripsi sistem Linux dan Windows

by

Aktor ancaman yang terkait dengan operasi ransomware IceFire sekarang secara aktif menargetkan sistem Linux di seluruh dunia dengan enkripsi khusus yang baru.

Peneliti keamanan SentinelLabs menemukan bahwa geng tersebut telah menembus jaringan beberapa organisasi media dan hiburan di seluruh dunia dalam beberapa minggu terakhir, mulai pertengahan Februari, menurut sebuah laporan yang dibagikan sebelumnya dengan BleepingComputer.

Begitu berada di dalam jaringan mereka, penyerang menyebarkan varian malware baru mereka untuk mengenkripsi sistem Linux korban.

Ketika dijalankan, ransomware IceFire mengenkripsi file, menambahkan ekstensi ‘.ifire’ ke nama file, dan kemudian menutupi jejaknya dengan menghapus dirinya sendiri dan menghapus biner.

Penting juga untuk dicatat bahwa IceFire tidak mengenkripsi semua file di Linux. Ransomware secara strategis menghindari mengenkripsi jalur tertentu, memungkinkan bagian sistem penting tetap beroperasi.

Pendekatan yang diperhitungkan ini dimaksudkan untuk mencegah penghentian total sistem, yang dapat menyebabkan kerusakan yang tidak dapat diperbaiki dan bahkan gangguan yang lebih signifikan.

Meskipun aktif setidaknya sejak Maret 2022 dan sebagian besar tidak aktif sejak akhir November, ransomware IceFire kembali pada awal Januari dalam serangan baru, seperti yang ditunjukkan oleh pengiriman pada platform ID-Ransomware.

Operator IceFire mengeksploitasi kerentanan deserialisasi dalam perangkat lunak berbagi file IBM Aspera Faspex (dilacak sebagai CVE-2022-47986) untuk meretas sistem target yang rentan dan menyebarkan muatan ransomware mereka.

Kerentanan RCE pra-auth dengan tingkat keparahan tinggi ini ditambal oleh IBM pada bulan Januari dan telah dieksploitasi dalam serangan sejak awal Februari [1, 2] setelah perusahaan manajemen permukaan serangan Assetnote menerbitkan laporan teknis yang berisi kode eksploit.

CISA juga menambahkan kelemahan keamanan ke katalog kerentanannya yang dieksploitasi secara liar pada Februari 2021, memerintahkan agen federal untuk menambal sistem mereka hingga 14 Maret.

Selengkapnya: Bleeping Computer

Polisi Eropa, FBI Menangkap Geng Kejahatan Siber Internasional

by

Pada hari Senin, Polisi Jerman mengatakan telah mengganggu geng kejahatan siber ransomware terkait dengan Rusia yang telah memeras perusahaan dan institusi besar selama bertahun-tahun, meraup jutaan euro.

FBI dan pihak berwenang di Ukraina, bekerja dengan mitra penegak hukum termasuk Europol, polisi di Duesseldorf dapat mengidentifikasi 11 orang yang terkait dengan kelompok yang telah beroperasi dalam berbagai samaran setidaknya sejak 2010.

Geng yang tampaknya berada di belakang ransomware, dikenal sebagai DoppelPaymer, tampaknya terkait dengan Evil Corp, sindikat yang berbasis di Rusia dan terlibat dalam pencurian bank online jauh sebelum ransomware menjadi momok global.

Ransomware adalah kejahatan siber yang paling mengganggu. Geng yang sebagian besar berbasis di Rusia membobol jaringan dan mencuri informasi sensitif sebelum mengaktifkan malware yang mengacak data. Penjahat meminta pembayaran dengan imbalan kunci dekripsi dan janji untuk tidak membuang data yang dicuri secara online.

Polisi Jerman mengidentifikasi para buronan sebagai warga negara Rusia Igor Turashev, 41, dan Irina Zemlyanikina, 36, dan Igor Garshin, 31 tahun, yang lahir di Rusia tetapi kewarganegaraannya tidak segera diketahui.

Selengkapnya: AP News

Medusa Mengklaim Serangan Ransomware PetroChina

by

Perusahaan regulator minyak dan gas PetroChina Indonesia diduga menjadi korban terbaru dari serangan ransomware, menambahkan satu perusahaan lagi ke dalam daftar infrastruktur penting yang menjadi sasaran peretas.

Profil perusahaan minyak dan gas tersebut dibagikan di postingan web gelap yang dipublikasikan di Blog Medusa. Kolektif peretas juga menuntut uang tebusan untuk penghapusan data, menambah tenggat waktu, dengan ancaman untuk menjual data. Peneliti keamanan siber Dominic Alvieri mengkonfirmasi insiden tersebut dengan The Cyber Express.

Detail tentang serangan ransomware PetroChina
Menurut Blog Medusa, batas waktu untuk menanggapi ancaman ransomware adalah 7 hari dan beberapa jam. $10.000 dituntut untuk menambah tenggat waktu sehari, $400.000 untuk menghapus semua data, dan $400.000 untuk mengunduh data.

Cyber Express tidak menerima tanggapan dari perusahaan terkait serangan ransomware PetroChina pada saat penulisan.

Serangan siber terhadap perusahaan minyak dan gas

Ini adalah serangan dunia maya kedua secara berurutan pada perusahaan minyak dan gas setelah LockBit diduga melanggar Grupo Albanesi hanya beberapa jam di belakang PetroChina. Situs web resmi dapat diakses pada saat penulisan.

Menyerang Grupo Albanesi berdampak langsung pada 9 pabrik yang menghasilkan tenaga di Argentina.

Pada tahun 2021, Colonial Pipeline yang berbasis di Georgia, yang menyediakan hampir 45% solar, bahan bakar jet, dan bensin dari Pantai Timur, mengalami serangan ransomware. Keadaan darurat diumumkan oleh Presiden Joe Biden karena dampaknya terhadap perekonomian negara, dan pelakunya ditangkap tepat pada waktunya.

Anggota geng ransomware TrickBot ditangkap oleh Inggris dan AS dalam kampanye yang dipimpin oleh National Crime Agency (NCA), pejabat dari Departemen Keuangan, dan Kantor Pengawasan Aset Asing (OFAC) Departemen Keuangan AS.

Kampanye ini menyaksikan penangkapan 7 anggota TrickBot bersama dengan Ryuk, Wizard Spider atau Darkside, dan anggota geng Conti ransomware.

selengkapnya : thecyberexpress

Pemerintah AS memperingatkan ransomware Royal menargetkan infrastruktur penting

by

The U.S. government is sounding the alarm about the Royal ransomware operation, which it says has targeted numerous critical infrastructure sectors across the United States.

Peringatan tersebut muncul setelah Departemen Kesehatan dan Layanan Kemanusiaan AS memperingatkan pada bulan Desember bahwa ransomware Royal “secara agresif” menargetkan sektor kesehatan AS. Situs kebocoran web gelap Royal saat ini mencantumkan Layanan Kesehatan Michigan Barat Laut dan Konsultan Ortopedi Midwest di antara para korbannya.

Pakar keamanan percaya bahwa Royal terdiri dari aktor ransomware berpengalaman dari operasi sebelumnya, mencatat kesamaan antara Royal dan Conti, grup peretasan terkait Rusia yang produktif yang dibubarkan pada Juni 2022.

Pada November 2022, ransomware Royal dilaporkan sebagai operasi ransomware paling produktif, menyalip Lockbit. Data terbaru menunjukkan bahwa Royal bertanggung jawab atas setidaknya 19 serangan ransomware pada bulan Februari, di balik 51 serangan yang dikaitkan dengan LockBit, dan 22 serangan terkait dengan Vice Society.

Meskipun sebagian besar korban Royal berbasis di Amerika Serikat, salah satu korbannya yang terkenal adalah Sirkuit Silverstone, salah satu sirkuit balap motor terbesar di Inggris Raya. Korban lain yang diklaim oleh geng tersebut termasuk ICS, sebuah organisasi yang menyediakan layanan keamanan siber ke Departemen Pertahanan AS, Distrik Sekolah Dallas, dan lainnya.

Menurut penasehat pemerintah AS, permintaan tebusan yang dibuat oleh Royal bervariasi dari $1 juta sampai $11 juta, tetapi belum jelas berapa banyak operasi yang telah dilakukan dari para korbannya. Penasihat mencatat bahwa aktor Kerajaan juga terlibat dalam taktik pemerasan ganda, di mana mereka mengancam untuk merilis data terenkripsi secara publik jika korban tidak membayar uang tebusan.

selengkapnya : techcrunch