Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat / Ransomware

Ransomware

Ransomware RegretLocker baru menargetkan mesin virtual Windows

by

Ransomware baru bernama RegretLocker menggunakan berbagai fitur canggih yang memungkinkannya mengenkripsi hard drive virtual dan menutup file yang terbuka untuk enkripsi. RegretLocker ditemukan pada bulan Oktober dan merupakan ransomware sederhana dalam hal tampilan karena tidak berisi catatan tebusan bertele-tele dan menggunakan email untuk komunikasi daripada situs pembayaran Tor. Saat mengenkripsi file, itu akan menambahkan ekstensi .mouse yang terdengar tidak berbahaya ke nama file yang dienkripsi.

Apa yang kurang dalam penampilannya, bagaimanapun, itu menggantikan fitur-fitur canggih yang biasanya tidak kita lihat dalam infeksi ransomware, seperti di bawah ini.

RegretLocker memasang hard disk virtual. Saat membuat mesin virtual Windows Hyper-V, hard disk virtual dibuat dan disimpan dalam file VHD atau VHDX. File hard disk virtual ini berisi image disk mentah, termasuk tabel partisi dan partisi drive, dan seperti drive disk biasa, ukurannya dapat berkisar dari beberapa gigabyte hingga terabyte. Ketika ransomware mengenkripsi file di komputer, tidak efisien untuk mengenkripsi file besar karena memperlambat kecepatan seluruh proses enkripsi.

Dalam sampel ransomware yang ditemukan oleh MalwareHunterTeam dan dianalisis oleh Vitali Kremez dari Intel Canggih, RegretLocker menggunakan teknik menarik untuk memasang file disk virtual sehingga setiap filenya dapat dienkripsi secara individual. Setelah drive virtual dipasang sebagai disk fisik di Windows, ransomware dapat mengenkripsi masing-masing satu per satu, yang meningkatkan kecepatan enkripsi. Selain menggunakan Virtual Storage API, RegretLocker juga menggunakan Windows Restart Manager API untuk menghentikan proses atau layanan Windows yang membuat file tetap terbuka selama enkripsi. Saat menggunakan API ini, Kremez memberi tahu BleepingComputer jika nama suatu proses berisi ‘vnc’, ‘ssh’, ‘mstsc’, ‘System’, atau ‘svchost.exe’, ransomware tidak akan menghentikannya. Daftar pengecualian ini kemungkinan besar digunakan untuk mencegah penghentian program kritis atau yang digunakan oleh pelaku ancaman untuk mengakses sistem yang dikompromikan.

Fitur Windows Restart Manager hanya digunakan oleh beberapa ransomware seperti REvil (Sodinokibi), Ryuk, Conti, ThunderX / Ako, Medusa Locker, SamSam, dan LockerGoga. RegretLocker tidak terlalu aktif saat ini, tetapi ini adalah keluarga baru yang perlu kita awasi.

sumber : BleepingComputer

Geng ransomware sekarang menjadi korban panggilan dingin jika mereka memulihkan dari cadangan tanpa membayar

by

Dalam upaya untuk menekan korban, beberapa geng ransomware sekarang menelepon korban di ponsel mereka jika mereka curiga bahwa perusahaan yang diretas mungkin mencoba memulihkan dari cadangan dan menghindari membayar tuntutan tebusan.

Kelompok ransomware yang telah terlihat memanggil korban di masa lalu termasuk Sekhmet (sekarang sudah tidak berfungsi), Maze (sekarang tidak berfungsi), Conti, dan Ryuk, juru bicara perusahaan keamanan cyber Emsisoft mengatakan kepada ZDNet pada hari Kamis. Arete IR dan Emsisoft mengatakan bahwa mereka juga telah melihat template dengan skrip dalam panggilan telepon yang diterima oleh pelanggan mereka. Menurut rekaman panggilan yang dilakukan atas nama geng ransomware Maze, dan dibagikan dengan ZDNet, penelepon tersebut memiliki aksen yang berat, menunjukkan bahwa mereka bukan penutur asli bahasa Inggris.

Di bawah ini adalah transkrip panggilan yang telah disunting, yang disediakan oleh salah satu firma keamanan sebagai contoh, dengan nama korban dihapus:

“Kami mengetahui adanya perusahaan IT pihak ketiga yang bekerja di jaringan Anda. Kami terus memantau dan mengetahui bahwa Anda menginstal antivirus SentinelOne di semua komputer Anda. Tetapi Anda harus tahu bahwa itu tidak akan membantu. Jika Anda ingin berhenti membuang-buang waktu dan memulihkan data Anda minggu ini, kami menganjurkan agar Anda mendiskusikan situasi ini dengan kami dalam obrolan atau masalah dengan jaringan Anda tidak akan pernah berakhir.”

sumber : ZDNET

Ransomware Menjadi Bisnis Serius dan Menguntungkan – Semua yang Perlu Kamu Ketahui

by

Apa itu Ransomware?

Penjahat siber menggunakan encrypted ransomware yang menjadi jenis paling umum karena sulit untuk memecahkan enkripsi dan menghapus malware.

Ransomware mengenkripsi file seolah-olah mereka secara aktif dienkripsi, tetapi sebenarnya, mereka disembunyikan dalam file terpisah, yang menunggu serangkaian kondisi yang ditentukan untuk dibuka sebelum mereka didekripsi.

Dalam kasus ransomware, virus dapat mengenkripsi file tanpa sepengetahuan atau persetujuan pengguna.

Kunci enkripsi dibuat secara offline dan disematkan di malware sebelum dikirim untuk menyerang Anda, atau tertanam di malware yang dikirim selama serangan.

Setelah file Anda dienkripsi, virus akan membuat tutorial tentang cara mendapatkan kunci dekripsi yang tersedia untuk Anda jika Anda membayar uang tebusan. Anda akan diperlihatkan tautan untuk mengunduh decoder yang diperlukan.

Jenis-jenis Ransomware

  • Encryption Ransomware
  • Screen-locking Ransomware
  • Master Boot Record (MBR) Ransomware
  • Web Servers Encrypting Ransomware
  • Mobile Ransomware

Timeline Ransomware

Vektor Serangan Ransomware

Ketika perusahaan yang telah diserang oleh ransomware selama bertahun-tahun diperiksa, serangan phishing email, remote desktop protocol (RDP), dan kerentanan keamanan adalah 3 alasan utama.

Aktor ancaman seperti REvil (Sodinokibi), Ragnarok, DoppelPaymer, Maze, CLOP, dan Nefilim telah menggunakan sistem Citrix yang rentan terhadap CVE-2019–19781 sebagai titik masuk untuk serangan ransomware.

Vektor Serangan Lainnya;

  • Penggunaan perangkat media berbahaya
  • Situs web yang disusupi
  • Download file yang terinfeksi
  • Aplikasi seluler berbahaya
  • Aplikasi pesan berbahaya
  • Penggunaan kata sandi yang lemah
  • Kebijakan keamanan yang buruk

Bagaimana Melindungi Diri Anda?

  • Tentukan inventaris aset digital kamu.
  • Sesuaikan pengaturan anti-spam kamu dengan benar dan gunakan filter spam yang kuat.
  • Jangan membuka email yang mencurigakan dan lampirannya.
  • Hindari memberikan informasi pribadi.
  • Gunakan fitur Show File Extensions.
  • Tambal perangkat lunak kamu dan perbarui terus

Dan ingat, jangan pernah membayar tebusan yang diminta oleh pelaku. Perusahaan penegak hukum dan Keamanan TI telah bergabung untuk mengganggu bisnis penjahat siber dengan koneksi ransomware. Dengan tidak membayar tebusan, kamu telah membantu mereka untuk menghentikan adanya serangan ransomware lainnya. Karena sebagian besar pelaku termotivasi secara finansial untuk menyebarkan ransomware dan mendapatkan uang secara mudah dari sana.

Sumber: Medium The Startup

Pengecer nasional Kmart mengalami serangan ransomware

by

Diberitakan oleh BleepingComputer, department store AS Kmart telah mengalami serangan ransomware yang berdampak pada layanan back-end di perusahaan tersebut.

Kmart mengalami serangan siber oleh operasi ransomware Egregor minggu ini yang mengakibatkan perangkat dan server di jaringan mereka terinkripsi.

Catatan tebusan yang dibagikan dengan BleepingComputer menunjukkan bahwa domain Windows ‘KMART’ disusupi dalam serangan itu.

Sementara toko online terus beroperasi, ‘Situs Sumber Daya Manusia Transformco,’ 88sears.com, saat ini sedang offline. Karyawan mengatakan bahwa pemadaman ini disebabkan oleh serangan ransomware baru-baru ini.

Egregor dikenal karena mencuri file yang tidak dienkripsi sebelum menyebarkan ransomware mereka. Operasi ransomware kemudian mengancam untuk memposting data di situs kebocoran data ransomware jika uang tebusan tidak dibayarkan.

Tidak diketahui apakah penyerang mencuri data, berapa banyak perangkat yang dienkripsi, atau jumlah tebusan yang diminta oleh kelompok kejahatan siber Egregor.

Sumber: Bleeping Computer

Ransomware: Varian baru ini bisa menjadi ancaman malware besar berikutnya bagi bisnis Anda

by

Bentuk baru ransomware menjadi semakin produktif karena penjahat dunia maya menggunakannya sebagai cara yang disukai untuk mengenkripsi jaringan yang rentan dalam upaya mengeksploitasi bitcoin dari para korban. Egregor ransomware pertama kali muncul pada bulan September tetapi telah menjadi terkenal setelah beberapa insiden terkenal, termasuk serangan terhadap penjual buku Barnes & Noble, serta perusahaan video game Ubisoft dan Crytek.

Seperti semua geng ransomware, motif utama di balik Egregor adalah uang dan untuk mendapatkan kesempatan terbaik untuk memeras pembayaran, geng tersebut menggunakan taktik umum yang umum terjadi setelah serangan ransomware – mengancam untuk merilis informasi pribadi yang dicuri dari sekian korban jika mereka tidak membayar. Dalam beberapa kasus, penyerang akan merilis potongan informasi dengan catatan tebusan, sebagai bukti kesungguhan mereka.

Salah satu alasan Egregor tiba-tiba melonjak jumlahnya tampaknya karena itu mengisi celah yang dibiarkan terbuka oleh pengunduran diri geng ransomware Maze. Egregor ransomware masih baru, jadi belum sepenuhnya jelas bagaimana operatornya menyusupi jaringan korban. Para peneliti mencatat bahwa kode tersebut sangat dikaburkan dengan cara yang tampaknya dirancang secara khusus untuk menghindari tim keamanan informasi dapat menganalisis malware.

Organisasi dapat melindungi diri mereka sendiri dari ransomware Egregor dan serangan malware lainnya dengan menggunakan protokol keamanan informasi seperti otentikasi multi-faktor, jadi jika nama pengguna dan kata sandi disusupi oleh penyerang, ada penghalang tambahan yang mencegah mereka untuk mengeksploitasinya. Dan untuk lapisan perlindungan ekstra terhadap serangan ransomware, organisasi harus secara teratur membuat cadangan jaringan mereka dan menyimpannya secara offline, jadi jika yang terburuk terjadi dan jaringan dienkripsi, itu dapat dipulihkan secara relatif tanpa menyerah pada tuntutan pemerasan dari peretas.

sumber : ZDNET

Egregor ransomware membombardir printer korban dengan catatam tebusan

by

Ransomware Egregor menggunakan pendekatan baru untuk menarik perhatian korban setelah serangan – ambil catatan tebusan dari semua printer yang tersedia.

Geng ransomware tahu bahwa banyak bisnis lebih suka menyembunyikan serangan ransomware daripada mempublikasikannya, termasuk kepada karyawan, karena takut akan berita yang memengaruhi harga saham dan reputasi mereka.

Untuk meningkatkan kesadaran publik atas serangan tersebut dan menekan korban agar membayar, operasi Egregor diketahui berulang kali mencetak catatan tebusan dari semua jaringan dan printer lokal yang tersedia setelah serangan terjadi.

Menurut BleepingComputer, mereka dapat mengonfirmasi bahwa itu bukan ransomware yang dapat menjalankan pencetakan catatan tebusan.

Sebaliknya, diyakini bahwa penyerang ransomware menggunakan skrip di akhir serangan untuk mencetak catatan tebusan ke semua printer yang tersedia.

Skrip ini belum ditemukan pada saat penulisan.

Sumber: Bleeping Computer

‘Pay2Key’ Bisa Menjadi Ancaman Ransomware Besar Berikutnya

by

Peneliti dari Check Point mengatakan aktor ancaman yang berbasis di Iran telah berhasil menyerang beberapa perusahaan Israel yang dapat segera go global. Jenis ransomware baru yang berkembang pesat selama dua minggu terakhir telah memengaruhi banyak perusahaan besar di Israel dan beberapa di Eropa dalam waktu dekat dapat menjadi ancaman besar bagi organisasi di seluruh dunia.

Check Point Software Technologies, yang menerbitkan laporan hari ini tentang apa yang disebut Pay2Key ransomware strain, mengatakan itu hampir pasti berasal dari Iran dan mampu mengenkripsi seluruh jaringan dalam satu jam atau kurang.

Para peneliti fokus pada dompet bitcoin dalam uang tebusan yang dikirim ke perusahaan yang benar-benar membayar pelaku ancaman: mereka kemudian dapat melacak transaksi ke pertukaran mata uang kripto Iran yang disebut Excoino yang tampaknya terbuka hanya untuk warga Iran, berdasarkan fakta bahwa pendaftaran memerlukan kartu identitas nasional.

sumber : DarkReading

Manufaktur menjadi target utama serangan ransomware

by

Ransomware telah menjadi ancaman utama bagi industri manufaktur karena kelompok penjahat dunia maya semakin tertarik untuk menargetkan sistem kontrol industri (ICS) yang mengelola operasi. Menurut analisis para peneliti keamanan siber di perusahaan keamanan Dragos, jumlah serangan ransomware yang tercatat secara publik terhadap manufaktur telah meningkat tiga kali lipat pada tahun lalu saja.

Sementara banyak manufaktur bergantung pada TI tradisional, beberapa elemen manufaktur bergantung pada ICS saat memproduksi produk secara massal – dan itu adalah area yang secara aktif ingin ditargetkan oleh beberapa grup peretasan.

Untuk penjahat dunia maya, manufaktur membuat target yang sangat strategis karena dalam banyak kasus ini adalah operasi yang tidak dapat dihentikan untuk jangka waktu yang lama, sehingga mereka lebih cenderung untuk menyerah pada tuntutan penyerang dan membayar ratusan ribu dolar dalam bitcoin sebagai imbalan untuk mendapatkan jaringan kembali.

sumber : ZDNET