Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat / Ransomware

Ransomware

Bagaimana operator Ryuk Ransomware menghasilkan $34 juta dari satu korban

by

Satu kelompok peretas yang menargetkan perusahaan berpenghasilan tinggi dengan ransomware Ryuk menerima $34 juta dari satu korban dengan imbalan kunci dekripsi yang membuka kunci komputer mereka.

Aktor ancaman sangat mahir bergerak secara lateral di dalam jaringan yang dikompromikan dan menghapus sebanyak mungkin jejak mereka sebelum meledakkan ransomware Ryuk.

Disebut sebagai grup “satu”, sesuai dengan identifikasi yang diterima dari botnet Trickbot yang memfasilitasi intrusi jaringan untuk malware pengenkripsi file Ryuk, pelaku ancaman ini tidak bermoral dalam hal target.

Menurut Vitali Kremez dari Advanced Intelligence, korban dari kelompok “satu” Ryuk termasuk perusahaan di bidang teknologi, perawatan kesehatan, energi, layanan keuangan, dan sektor pemerintah.

Dalam sebuah terbaru, Kremez mengatakan bahwa aktor ancaman berbahasa Rusia ini tangguh selama negosiasi dan jarang menunjukkan kelonggaran apapun. Pembayaran terkonfirmasi terbesar yang mereka dapatkan adalah 2.200 bitcoin, yang saat ini mendekati $34 juta.

Menganalisis aliran serangan, Kremez mencatat bahwa kelompok “satu” Ryuk menggunakan 15 langkah untuk menemukan host yang tersedia di jaringan, mencuri kredensial tingkat admin, dan menyebarkan ransomware Ryuk.

Rantai serangan dimulai dengan menjalankan perintah “invoke” Cobalt Strike untuk menjalankan skrip “DACheck.ps1” untuk memeriksa apakah pengguna saat ini adalah bagian dari grup Admin Domain.

Dari sana, sandi diambil melalui Mimikatz, jaringan dipetakan, dan host diidentifikasi mengikuti pemindaian port untuk protokol FTP, SSH, SMB, RDP, dan VNC.

Kremez merinci langkah lengkap serangan itu pada tautan di bawah ini:

Bleeping Computer

Pembuat mainan Mattel mengungkapkan serangan ransomware

by

Pembuat mainan AS Mattel hari ini mengungkapkan bahwa mereka mengalami serangan ransomware yang melumpuhkan beberapa fungsi bisnis, tetapi perusahaan mengatakan pulih dari serangan itu tanpa kerugian finansial yang signifikan. Insiden itu terjadi pada 28 Juli, menurut formulir triwulanan 10-Q yang diajukan perusahaan ke Komisi Bursa Efek AS hari ini. Mattel mengatakan bahwa serangan ransomware awalnya berhasil dan menghasilkan enkripsi yang berhasil pada beberapa sistemnya.

Selama lebih dari setahun, geng ransomware telah mencuri data dan terlibat dalam skema pemerasan ganda, mengancam akan mengunggah data perusahaan yang diretas tersebut ke “situs kebocoran” publik kecuali korban membayar permintaan tebusan. Namun, pembuat mainan tersebut mengatakan bahwa penyelidikan forensik berikutnya menyimpulkan bahwa geng ransomware di balik intrusi Juli tidak mencuri “data bisnis sensitif atau data pelanggan ritel, pemasok, konsumen, atau karyawan.”

Secara keseluruhan, Mattel tampaknya telah lolos dari insiden tersebut hanya dengan waktu henti yang singkat dan tanpa kerusakan yang serius.
Sementara perusahaan seperti Cognizant mengatakan mereka memperkirakan akan kehilangan antara $ 50 juta dan $ 70 juta, dan Norsk Hydro melaporkan kerugian setidaknya $ 40 juta setelah insiden ransomware, Mattel mengatakan serangan ransomware yang dideritanya “tidak berdampak material pada operasi atau kondisi keuangannya.”

sumber : ZDNET

Garda Nasional untuk Membantu Jaringan Kesehatan Vermont Setelah Serangan Cyber

by

Gubernur Vermont telah memanggil Garda Nasional untuk membantu Jaringan Kesehatan Universitas Vermont menanggapi serangan dunia maya yang serius. Enam rumah sakit di Jaringan Kesehatan UVM mengalami masalah jaringan yang signifikan menyusul serangan yang melanda sepekan dari tanggal 25 Oktober.
Dampak serangan terhadap layanan bervariasi di berbagai organisasi afiliasi jaringan. Pemadaman listrik di sejumlah sistem sedang dialami di University of Vermont Medical Center di Burlington, di mana beberapa prosedur elektif yang tidak mendesak telah dijadwalkan ulang. Staf tidak dapat mengakses jadwal janji temu dan beberapa atau semua informasi pasien. Studi tidur telah dibatalkan dan pemindaian radiologi rawat jalan ditunda.

Di Vermont, pasien yang mengunjungi Medical Center Porter di Middlebury atau Medical Center Central Vermont di Berlin telah diperingatkan untuk mengharapkan waktu tunggu yang lebih lama. Selain itu, komunikasi elektronik antara Home Health & Hospice di Colchester dan Medical Center UVM telah terganggu oleh pemadaman listrik.
Di New York, portal pasien rumah sakit untuk Medical Center Alice Hyde di Malone saat ini terputus dan komunikasi elektronik antara Medical Center UVM dan Rumah Sakit Komunitas Elizabethtown terputus.

Kemarin, Gubernur Vermont Phil Scott mengerahkan Tim Respons Maya Gabungan Garda Nasional Vermont untuk membantu tim TI Jaringan Kesehatan UVM dalam meninjau ribuan komputer dan perangkat pengguna akhir. Sementara “kemajuan yang stabil” sedang dilakukan untuk pemulihan total, Jaringan Kesehatan UVM tidak dapat mengatakan dengan pasti kapan semua sistem akan dipulihkan. Data pasien tampaknya tidak terungkap oleh insiden keamanan.

sumber : Infosecurity Magazine

Capcom terkena ransomware Ragnar Locker, 1TB diduga dicuri

by

Dilaporkan oleh Bleeping Computer, pengembang game Jepang Capcom telah mengalami serangan ransomware di mana pelaku ancaman mengklaim telah mencuri 1TB data sensitif dari jaringan perusahaan mereka di AS, Jepang, dan Kanada.

Capcom terkenal dengan franchise game ikoniknya, termasuk Street Fighter, Resident Evil, Devil May Cry, Monster Hunter, dan Mega Man.

Kemarin, Capcom mengumumkan bahwa mereka telah terkena serangan siber pada tanggal 2 November 2020, yang menyebabkan penghentian sebagian jaringan perusahaan mereka untuk mencegah penyebaran serangan tersebut.

Sejak serangan itu, Capcom telah menampilkan pemberitahuan di situsnya yang memperingatkan pengunjung bahwa email dan permintaan dokumen tidak akan dijawab karena serangan tersebut memengaruhi sistem email.

Saat itu, Capcom tidak mengungkapkan detail serangan siber tersebut, tetapi dalam sampel ransomware yang ditemukan oleh peneliti keamanan Pancak3, Bleeping Computer melihat bahwa geng ransomware Ragnar Locker yang berada dibalik serangan itu.

Terlampir dalam catatan tebusan adalah tujuh print.sc URL yang menampilkan tangkapan layar dari file yang dicuri, termasuk perjanjian penghentian karyawan, paspor Jepang, laporan penjualan Steam dari Agustus, pernyataan Bank, perjanjian kontraktor, dan tangkapan layar Pengguna Active Directory dan MMC Komputer untuk Capcom Windows domain.

Sumber: BleepingComputer

Pancak3 mengatakan kepada BleepingComputer bahwa Ragnar Locker mengklaim telah mengenkripsi 2.000 perangkat di jaringan Capcom dan menuntut $11.000.000 dalam bentuk bitcoin untuk sebuah decryptor. Tebusan ini juga termasuk janji untuk menghapus data yang dicuri dan laporan keamanan penetrasi jaringan.

Perlu dicatat bahwa layanan negosiasi ransomware Coveware telah melihat operasi ransomware semakin tidak menepati janji mereka untuk menghapus data yang dicuri setelah uang tebusan dibayarkan.

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: Bleeping Computer

Vendor minuman Italia Campari offline setelah serangan ransomware

by

Seperti yang pertama kali dilaporkan oleh ZDNet, Campari merilis pernyataan pers pada hari Senin di mana mereka menyatakan bahwa mereka mengalami serangan siber selama akhir pekan, yang menyebabkan mereka menutup layanan dan jaringan TI mereka.

Serangan itu telah dikaitkan dengan geng ransomware RagnarLocker, menurut salinan catatan tebusan yang dibagikan dengan ZDNet oleh seorang peneliti malware bernama Pancak3.

sumber: ZDNet

Geng RagnarLocker sekarang mencoba memeras perusahaan agar membayar permintaan tebusan untuk mendekripsi file-nya.

Grup ransomware tersebut juga mengancam akan merilis file yang dicurinya dari jaringan Campari jika perusahaan tidak membayar permintaan tebusan dalam seminggu setelah gangguan awal.

Namun, perusahaan Italia tersebut tampaknya telah memilih untuk memulihkan sistem mereka daripada membayar permintaan tebusan, menurut siaran pers singkat yang diterbitkan pada hari Selasa.

Dalam siaran pers yang sama, Campari juga mengatakan pihaknya mendeteksi intrusi segera setelah terjadi dan segera pindah untuk mengisolasi sistem yang terkena dampak, dan bahwa insiden tersebut diperkirakan tidak akan berdampak signifikan pada hasil keuangannya.

Berita selengkapnya:
Source: ZDNet

Maze, sebuah grup ransomware terkenal, mengatakan mengakhiri bisnis mereka

by

Salah satu grup ransomware pencuri data yang paling aktif dan terkenal jahat, Maze, mengatakan “secara resmi ditutup”.

Pengumuman itu datang sebagai pernyataan yang membingungkan, penuh dengan kesalahan ejaan dan diterbitkan di situs webnya di dark web, yang selama setahun terakhir telah menerbitkan banyak dokumen dan file internal curian dari perusahaan yang ditargetkan, termasuk Cognizant, firma asuransi keamanan siber Chubb, raksasa farmasi ExecuPharm, pemasok suku cadang Tesla dan SpaceX Visser dan kontraktor pertahanan Kimchuk.

Maze awalnya menggunakan alat eksploitasi dan spam untuk menginfeksi korbannya, tetapi kemudian mulai menggunakan kerentanan keamanan yang diketahui untuk secara khusus menargetkan perusahaan besar. Maze dikenal menggunakan server jaringan pribadi virtual (VPN) dan desktop jarak jauh (RDP) yang rentan untuk meluncurkan serangan bertarget terhadap jaringan korbannya.

“Mungkin saja kelompok itu merasa telah menghasilkan cukup uang untuk menutup layanan dan berlayar menuju matahari terbenam. Namun, mungkin juga – dan juga lebih mungkin – bahwa mereka telah memutuskan untuk mengubah brand”, kata Brett Callow, pakar ransomware dan analis ancaman di perusahaan keamanan Emsisoft.

Callow mengatakan pembubaran kelompok tersebut menyisakan pertanyaan terbuka tentang hubungan dan keterlibatan kelompok Maze dengan kelompok lain. “Karena Maze adalah operasi afiliasi, mitra mereka dalam kejahatan kemungkinan tidak akan pensiun dan sebaliknya hanya akan menyesuaikan diri dengan grup lain,” katanya.

Maze menyangkal bahwa mereka adalah “kartel” kelompok ransomware dalam pernyataannya, tetapi para ahli tidak setuju. Steve Ragan, seorang peneliti keamanan di Akamai, mengatakan Maze diketahui memposting di situs webnya data dari ransomware lain, seperti Ragnar Locker dan ransomware-for-rent LockBit.

Sumber: TechCrunch

Selengkapnya dapat dibaca pada tautan di bawah ini;
Source: Tech Crunch

Beberapa rumah sakit menjadi sasaran gelombang baru serangan ransomware

by

Beberapa rumah sakit di seluruh Amerika Serikat telah menjadi sasaran serangan ransomware dalam apa yang tampaknya merupakan peningkatan dan perluasan serangan serupa yang sebelumnya diluncurkan di rumah sakit dan fasilitas medis lain.

Badan Keamanan Siber dan Infrastruktur AS merilis peringatan pada Rabu malam mengenai aktivitas ransomware yang menargetkan fasilitas perawatan kesehatan. Di Twitter, CISA mengatakan “ada ancaman kejahatan siber yang akan segera terjadi dan meningkat di rumah sakit dan penyedia layanan kesehatan AS.”

Ransomware dan serangan siber lainnya mengalami peningkatan tajam tahun ini, dan rumah sakit sangat rentan sejak dimulainya pandemi global.

Ransomware dapat memiliki efek yang menghancurkan. Baru-baru ini, ransomware melumpuhkan jaringan TI sebuah rumah sakit Jerman yang mengakibatkan kematian seorang wanita yang mencari perawatan darurat.

Menurut Wakil Presiden Perusahaan Microsoft untuk Keamanan dan Kepercayaan Pelanggan, Tom Burt, Ryuk adalah crypto-ransomware yang canggih karena dapat mengidentifikasi dan mengenkripsi file jaringan dan menonaktifkan Pemulihan Sistem Windows untuk mencegah korbannya melakukan pemulihan dari serangan tanpa cadangan eksternal.

Ryuk telah menyerang organisasi, termasuk pemerintah kota, pengadilan negara bagian, rumah sakit, panti jompo, perusahaan, dan universitas besar.

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: CNN

Ryuk Ransomware Menggunakan Bug Zerologon untuk Serangan Secepat Kilat

by

Pelaku ancaman Ryuk telah menyerang lagi, beralih dari mengirim email phishing ke menyelesaikan enkripsi di seluruh jaringan korban hanya dalam lima jam.

Kecepatan sangat tinggi itu sebagian merupakan hasil dari kelompok yang menggunakan bug eskalasi hak istimewa Zerologon (CVE-2020-1472), kurang dari dua jam setelah phish awal, kata para peneliti.

Kerentanan Zerologon memungkinkan penyerang yang tidak diautentikasi dengan akses jaringan ke domain controller untuk sepenuhnya membahayakan semua layanan identitas Active Directory, menurut Microsoft. Itu telah diperbaiki pada bulan Agustus, tetapi banyak organisasi tetap rentan.

Dalam serangan khusus ini, setelah penyerang meningkatkan hak istimewanya menggunakan Zerologon, mereka menggunakan berbagai alat komoditas seperti Cobalt Strike, AdFind, WMI, dan PowerShell untuk mencapai tujuan mereka, menurut analisis dari para peneliti di Laporan DFIR.

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: The Threat Post