Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat / Ransomware

Ransomware

Seseorang meninggal karena ransomware: Saatnya memberi rumah sakit keamanan IT

by

Teori kini telah menjadi nyata. Ketika perangkat yang terhubung terpotong di seluruh rumah sakit selama beberapa tahun terakhir, para ahli khawatir tentang kemungkinan serangan siber pada jaringan rumah sakit yang merugikan pasien. Itu sekarang telah terjadi. Seorang pasien Jerman meninggal setelah dialihkan dari sebuah rumah sakit di Duesseldorf yang tidak dapat memberikan layanan menyusul serangan ransomware pada jaringannya pada 10 September. Pasien, yang membutuhkan perawatan medis segera, dikirim ke rumah sakit yang berjarak hampir 20 mil. di kota lain, di mana dia meninggal.

Ini dilaporkan sebagai kematian pertama yang terkait dengan serangan dunia maya, dan ini hanyalah salah satu dari banyak serangan ransomware yang menargetkan rumah sakit setiap hari. Faktanya, awal minggu ini Universal Health Services dihantam dengan apa yang tampaknya menjadi salah satu serangan dunia maya terbesar yang pernah ada pada penyedia medis di Amerika Serikat. Akibatnya, rumah sakit harus beralih ke pena dan kertas untuk mencatat informasi pasien dan memberi label obat. Dan sebuah pusat medis di Ohio terkena serangan ransomware pada hari Senin yang membuat mereka menunda operasi.

Kematian di Jerman sangat tragis karena tampaknya serangan ransomware mungkin ditujukan untuk target yang berbeda; catatan ransomware telah dialamatkan ke universitas yang berafiliasi dengan rumah sakit. Setelah mengetahui bahwa sebuah rumah sakit telah diserang, para penyerang dilaporkan menghentikan serangan tersebut dan mengirim kunci untuk mendekripsi data yang disandera – sebuah langkah yang belum pernah terjadi sebelumnya. Otoritas Jerman sedang menyelidiki kasus tersebut sebagai pembunuhan yang lalai.

Peristiwa ini harus menjadi seruan bagi industri perawatan kesehatan dan pemerintah AS untuk segera mengambil tindakan untuk mengatasi masalah serius ini. Kematian di Jerman sangat tragis karena tampaknya serangan ransomware mungkin ditujukan untuk target yang berbeda. ; catatan ransomware telah dialamatkan ke universitas yang berafiliasi dengan rumah sakit. Setelah mengetahui bahwa sebuah rumah sakit telah diserang, para penyerang dilaporkan menghentikan serangan tersebut dan mengirim kunci untuk mendekripsi data yang disandera – sebuah langkah yang belum pernah terjadi sebelumnya. Otoritas Jerman sedang menyelidiki kasus tersebut sebagai pembunuhan yang lalai.

Bahkan jika serangan ransomware itu macet, seseorang meninggal.

Peristiwa ini harus menjadi peringatan bagi industri kesehatan dan pemerintah AS untuk segera mengambil tindakan guna mengatasi masalah serius ini.

Source : Thehill

Peretas membocorkan file yang dicuri dalam serangan ransomware K-Electric Pakistan

by

Minggu ini, Netwalker telah merilis arsip file berukuran 8,5 GB yang diduga dicuri dari K-Electric selama serangan ransomware pada September lalu.

Perusahaan keamanan siber Pakistan, Rewterz, yang memeriksa isi arsip, mengatakan kepada BleepingComputer bahwa arsip itu berisi informasi sensitif seperti data keuangan, informasi pelanggan, laporan teknik, catatan pemeliharaan, dan banyak lagi.
Data yang dibocorkan
Data ini mencakup laporan laba rugi yang tidak diaudit, diagram teknik untuk turbin, dan gambar pernyataan pelanggan yang ditandai dari K-Electric.

Daata Pelanggan K-Electric

Dengan beragam informasi yang diungkapkan sebagai bagian dari serangan ini, pelanggan harus berhati-hati bahwa informasi pribadi mereka mungkin telah tersebar.
Penting juga bagi K-Electric untuk bersikap transparan tentang info yang dibuka sehingga karyawan dan pelanggan dapat melindungi diri mereka sendiri dengan memadai.
BleepingComputer telah menghubungi K-Electric untuk pernyataan lebih lanjut namun belum menerima balasan.

Source : Bleeping Computer

Blackbaud: Geng ransomware yang memiliki akses ke info perbankan dan kata sandi

by

Blackbaud, penyedia software cloud terkemuka, mengonfirmasikan bahwa pelaku ancaman di balik serangan ransomware Mei 2020 memiliki akses ke informasi login dan perbankan yang tidak terenkripsi, serta nomor jaminan sosial.

Insiden keamanan yang dirujuk Blackbaud diungkapkan dalam siaran pers yang dikeluarkan pada 16 Juli 2020, ketika perusahaan mengatakan bahwa para penyerang diblokir sebelum sistem dienkripsi sepenuhnya tetapi tidak sebelum mereka dapat mencuri “salinan subset data” dari lingkungan self-hosted (cloud pribadi).

Sementara Blackbaud awalnya mengatakan bahwa geng ransomware di balik serangan itu tidak dapat “mengakses informasi kartu kredit, informasi rekening bank, atau nomor jaminan sosial,” kemudian ditemukan setelah penyelidikan forensik bahwa pelaku ancaman memiliki akses ke info perbankan yang tidak terenkripsi, kredensial dan SSN.

“Setelah 16 Juli, penyelidikan forensik lebih lanjut menemukan bahwa untuk beberapa pelanggan yang diberitahu, penjahat siber mungkin telah mengakses beberapa bidang tidak terenkripsi yang dimaksudkan untuk informasi rekening bank, nomor jaminan sosial, nama pengguna dan / atau kata sandi,” kata Blackbaud.

“Pelanggan yang kami yakini menggunakan bidang ini untuk informasi semacam itu akan dihubungi minggu tanggal 27 September 2020, dan sedang diberikan dukungan tambahan.”

Tergantung pada geng ransomware yang mencuri data Blackbaud, kesediaannya untuk benar-benar menghancurkannya, dan apa yang akan dilakukannya dengan data tersebut jika tidak benar-benar dihancurkan seperti yang dijanjikan, pelanggan perusahaan mungkin menghadapi berbagai macam risiko keamanan mengingat sifat informasi yang bocor sangat sensitif.

Baca berita selengkapnya pada tautan di bawah ini;
Source: Bleeping Computer

Situs crack software palsu digunakan untuk menyebarkan Exorcist 2.0 Ransomware

by

Menurut peneliti keamanan Nao_Sec, Malvertising PopCash mengarahkan pengguna dari situs resmi ke situs crack software palsu.

Misalnya, pada gambar di bawah, situs tersebut berpura-pura menawarkan ‘Windows 10 Activator 2020’ yang memungkinkan Anda mengaktifkan Windows 10 secara gratis.

sumber: BleepingComputer

File yang diunduh berisi file zip lain yang dilindungi kata sandi dan file teks yang berisi kata sandi arsip.

Arsip yang dilindungi sandi memungkinkan pengunduhan dilakukan tanpa terdeteksi oleh Google Safe Browsing, Microsoft SmartScreen, atau perangkat lunak keamanan yang diinstal.

Jika setup program dijalankan, pengguna akan menemukan bahwa file mereka menjadi terenkripsi dan bukannya menginstal aktivator Windows 10 gratis, seperti yang ditunjukkan di bawah ini.

sumber: BleepingComputer

Di dalam folder terenkripsi akan ada catatan tebusan yang berisi tautan unik ke situs pembayaran Tor di mana korban dapat memperoleh informasi tentang cara membayar tebusan.

Dengan ini sangat dianjurkan bagi pengguna untuk tidak mengunduh sembarang file dari situs yang menyajikan file gratis ilegal.

Baca berita selengkapnya pada tautan di bawah ini;
Source: Bleeping Computer

Ransomware dilaporkan menjadi penyebab pemadaman di jaringan rumah sakit AS

by

Universal Health Services, salah satu penyedia layanan kesehatan terbesar di AS, telah terkena serangan ransomware.

Serangan itu menghantam sistem UHS pada Minggu pagi, menurut dua orang yang mengetahui langsung insiden itu. Serangan itu mengunci komputer dan sistem telepon di beberapa fasilitas UHS di seluruh negeri, termasuk di California dan Florida.

Salah satu orang mengatakan layar komputer berubah dengan teks yang merujuk pada “shadow universe”, ciri khas ransomware Ryuk. “Setiap orang diberitahu untuk mematikan semua komputer dan tidak menyalakannya lagi,” kata orang itu. “Kami diberi tahu bahwa akan membutuhkan beberapa hari sebelum komputer menyala lagi.”

UHS menerbitkan pernyataan pada hari Senin, mengatakan jaringan TI-nya “saat ini sedang offline, karena masalah keamanan TI.”

“Kami menerapkan protokol keamanan TI yang ekstensif dan bekerja dengan rajin dengan mitra keamanan TI kami untuk memulihkan operasi TI secepat mungkin. Sementara itu, fasilitas kami menggunakan proses pencadangan yang sudah mapan termasuk metode dokumentasi offline. Perawatan pasien terus diberikan dengan aman dan efektif, ”kata pernyataan itu.

“Tidak ada data pasien atau karyawan yang tampaknya telah diakses, disalin, atau disusupi,” tambahnya.

Baca berita selengkapnya pada tautan di bawah ini;
Source: Tech Crunch

Geng ransomware menargetkan bisnis Rusia dalam serangan terkoordinasi yang jarang terjadi

by

Perusahaan keamanan Group-IB mengatakan telah mengidentifikasi grup kejahatan siber baru yang, selama enam bulan terakhir, telah berulang kali dan dengan sengaja menargetkan bisnis Rusia dengan serangan malware dan ransomware.

Dinamakan OldGremlin, Group-IB mengatakan para peretas berada di balik serangan yang ditargetkan dengan ransomware strain baru yang disebut TinyCryptor (alias decr1pt).

“Mereka telah mencoba untuk menargetkan hanya perusahaan Rusia sejauh ini,” Oleg Skulkin, analis DFIR senior Grup-IB, mengatakan kepada ZDNet minggu ini.

“Ini sangat tidak biasa bagi geng berbahasa Rusia yang memiliki aturan tak terucapkan tentang tidak menargetkan Rusia dan negara-negara pasca-Soviet.”

Serangan OldGremlin biasanya dimulai dengan email spear-phishing yang membawa file ZIP yang mengandung malware, yang biasanya akan menginfeksi korban dengan trojan backdoor bernama TinyNode.

Ini memberi penyerang pijakan awal di jaringan perusahaan, di mana para peretas menyebar secara lateral ke sistem lain dan kemudian menyebarkan ransomware pada tahap akhir serangan mereka.

Setelah jaringan dienkripsi, kru OldGremlin biasanya meminta pembayaran tebusan sekitar $50.000 menggunakan pesan yang ditinggalkan di sistem yang terinfeksi dan mengarah kembali ke alamat ProtonMail.

Skulkin mengatakan Group-IB telah mengidentifikasi grup OldGremlin pada bulan Agustus, tetapi serangan grup tersebut dimulai pada bulan Maret, dengan email phishing mereka menggunakan berbagai macam umpan, mulai dari menyamar sebagai jurnalis yang mencari wawancara hingga menggunakan demonstrasi anti-pemerintah di Belarusia sebagai pembuka percakapan.

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: ZDNet

Maze Ransomware Mengadopsi Teknik Virtual Machine Ragnar Locker

by

Penjahat Ransomware, Maze, telah menambahkan teknik baru: Mendistribusikan ransomware melalui mesin virtual (VM). Ini adalah pendekatan yang cukup “radikal”, menurut peneliti, hal ini dimaksudkan untuk membantu ransomware melewati pertahanan terakhir.

Menurut peneliti dari Sophos Managed Threat Response (MTR) pelaku baru-baru ini terlihat menyebarkan malware dalam bentuk gambar disk virtual VirtualBox (file VDI). File VDI itu sendiri dikirim di dalam file MSI Windows, yang merupakan format yang digunakan untuk penginstalan, penyimpanan, dan penghapusan program. “penyerang juga menggabungkan salinan VirtualBox hypervisor berusia 11 tahun yang telah dipreteli di dalam file .MSI, yang menjalankan VM sebagai perangkat ‘headless’, tanpa perlu menggunakan UI, ”kata peneliti.

Peneliti Sophos, menambahkan, “Ragnar Locker dipasang di dalam mesin virtual Oracle VirtualBox Windows XP. dengan file installer sebesar 122 MB dan image virtual 282 MB, semuanya untuk menyembunyikan ransomware 49 KB yang dapat dieksekusi.”

Detail Teknis

Dalam insiden ransomware Maze, File installer sebesar 733 MB dengan image virtual Windows 7 sebesar 1,9 GB, kedua file itu untuk menyembunyikan ransomware 494 KB yang dapat dieksekusi.

Sumber dari disk virtual berisi tiga file yang terkait dengan ransomware Maze: preload.bat, vrun.exe (VM itu sendiri) dan file yang bernama payload (tanpa ekstensi), yang merupakan muatan Maze DLL yang sebenarnya.

Untuk persistensi, mereka menambahkan file bernama startup_vrun.bat ke menu Start Windows.

“Skrip ini menyalin tiga file yang sama yang ditemukan di root disk VM (biner vrun.exe dan payload DLL, serta skrip batch preload.bat) ke disk lain, lalu menjalankan perintah untuk segera mematikan komputer,” menurut analisis. “Saat seseorang menyalakan komputer lagi, skrip mengeksekusi vrun.exe.”

Saat file MSI pertama kali dijalankan, VM membuat lokasi folder C:\SDRSMLINK\, yang bertindak sebagai clearinghouse untuk folder tertentu yang ingin dilacak malware – Labirin melakukannya menggunakan tautan simbolis (symlink), yang bertindak sebagai pintasan ke folder di hard drive lokal. Folder ini dibagikan dengan seluruh jaringan.

Pada akhirnya, skrip batch yang disebut starter.bat digunakan untuk meluncurkan muatan ransomware dari dalam VM.

Source : Threatpost

Ransomware Ini Mempunyai Trik Licik Untuk Mengirimkan Malware

by

Salah satu penjahat ransomware yang paling berbahaya merapkan taktik baru untuk membuat serangan tidak terdeteksi hingga, trik ini kemungkinan besar dipinjam dari grup ransomware lain.
Yang membuat Maze sangat berbahaya adalah selain memeras bitcoin berjumlah 6 digit untuk sebuah kunci dekripsi, mereka mengancam akan menerbitkan data internal yang dicuri jika tuntutan pemerasan mereka tidak dipenuhi.

Taktik ini sebelumnya digunakan oleh grup ransomware Ragnar Locker dan tampaknya Maze telah mengambil inspirasi dari mereka sebagai sarana untuk mengirimkan ransomware.
Peneliti keamanan siber di Sophos menemukan kesamaan antara taktik baru Maze dan teknik yang dipelopori oleh Ragnar Locker saat menyelidiki serangan ransomware Maze pada bulan Juli.

Menggunakan akses ke server file, para peretas dapat mengirimkan komponen yang diperlukan untuk serangan di dalam mesin virtual.
Cara mesin virtual diprogram menunjukkan bahwa penyerang sudah memiliki kendali yang kuat pada jaringan korban saat, tetapi dengan menyebarkan ransomware melalui mesin virtual, itu membantu mereka terdeteksi sebagai serangan sampai serangan dimulai dan jaringan dapat ditahan untuk tebusan.

“Mesin virtual memberikan penyerang mesin yang tidak terlindungi untuk menjalankan ransomware secara bebas tanpa takut terdeteksi,” kata Peter McKenzie, manajer respons insiden di Sophos.

Organisasi dapat melindungi dari serangan yang disebarkan dengan cara memblokir penggunaan aplikasi yang tidak perlu pada mesin, sehingga penyerang tidak dapat mengeksploitasinya.

Langkah-langkah lain yang dapat diambil organisasi untuk menghindari menjadi korban serangan ransomware termasuk memastikan bahwa patch keamanan diterapkan sesegera mungkin untuk mencegah peretas mengeksploitasi kerentanan yang diketahui, sorganisasi juga harus menerapkan multi- otentikasi faktor atau MFA

“Perlindungan terhadap serangan ransomware tidak hanya membutuhkan perangkat lunak keamanan canggih, tetapi juga pemburu ancaman dan tim Incident Response yang dapat melihat tanda-tanda penyusup di jaringan mereka dan mengambil tindakan yang sesuai untuk menetralkan ancaman,” kata McKenzie

Source : ZDNet