Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat / Ransomware

Ransomware

LockBit Merilis seluruh Riwayat Negosiasi dengan Royal Mail, Tebusan Ditetapkan £65 Juta

by

Kebocoran tersebut menawarkan wawasan yang langka dan unik tentang taktik negosiasi LockBit dan NCSC Inggris, mengungkapkan permintaan uang tebusan sebesar $80 juta (£65,7 juta).

Negosiasi berlangsung pada 12 Januari hingga 9 Februari. Transkrip lengkap negosiasi juga menawarkan jendela ke taktik negosiasi Pusat Keamanan Siber Nasional (NCSC) dan Badan Kejahatan Nasional (NCA), yang keduanya dipastikan terlibat dalam penyelidikan.

Negosiator penjahat siber menyoroti bagaimana ini delapan kali lebih murah daripada biaya denda peraturan di Inggris.

Royal Mail International sejak awal negosiasi mencoba mendapatkan LockBit untuk membuktikan bahwa decryptornya bekerja pada file besar setelah mengatakan bahwa manajemen organisasi tidak yakin akan melakukannya, dan hanya akan mendekripsi file kecil jika akhirnya membayar.

Taktik pertama yang dicobanya adalah meyakinkan LockBit untuk mendekripsi dua file yang bersama-sama akan menjadi ukuran file 6GB.

Royal Mail International mengatakan kedua file tersebut akan memungkinkan untuk melanjutkan pengiriman pasokan medis yang mendesak.

Melalui negosiasi yang panjang, pada akhirnya LockBit mengirimkan pesan terakhirnya “Apakah Anda punya penawaran untuk saya” pada 9 Februari.

Tampaknya Royal Mail International tidak membayar, atau pernah mempertimbangkan untuk membayar uang tebusan, yang ditetapkan oleh LockBit.

LockBit telah dikenal karena ‘aksi PR’ di masa lalu, sebelumnya mengklaim serangan terhadap Mandiant dan Thales, yang keduanya tidak asli.

Mengonfirmasi “insiden siber”, Royal Mail awalnya mengatakan operasi pengiriman internasionalnya sangat terganggu.

Royal Mail tidak pernah mengonfirmasi bahwa insiden siber yang dideritanya bersifat ransomware atau bahkan ‘serangan’, meskipun sumber berbicara ke beberapa outlet berita yang mengonfirmasi bahwa memang demikian.

Pusat Keamanan Siber Nasional (NCSC) dan Badan Kejahatan Nasional (NCA) mengonfirmasi bahwa mereka adalah bagian dari penyelidikan atas serangan tersebut.

Selengkapnya: ITPro.

Dragos: Serangan Ransomware pada Infrastruktur Industri Meningkat 2x Lipat pada Tahun 2022

by

Dragos melacak lebih dari 600 serangan ransomware tahun lalu yang mempengaruhi infrastruktur industri dengan hampir tiga perempatnya menargetkan sektor manufaktur.

Berbagai macam sektor yang terkena Serangan Ransomware
Berbagai macam sektor yang terkena Serangan Ransomware

Terdapat peningkatan 35% dalam upaya ransomware melawan teknologi operasional (OT) dan sistem kontrol industri (ICS) dalam serangan tersebut.

Sejumlah 437 entitas manufaktur terkena ransomware, termasuk 42 serangan terhadap perusahaan produk logam, 37 pada bisnis otomotif dan lebih dari 20 pada plastik, peralatan industri, bahan bangunan dan perusahaan elektronik atau semikonduktor.

Daftar lainnya mencakup serangan terhadap perusahaan yang bergerak di bidang kedirgantaraan, furnitur, kosmetik, bahan kimia, pakaian, peralatan medis, kertas, dan lainnya.
gambar-Serangan Ransomware?

Dominasi LockBit
LockBit menjadi dominan karena merupakan grup RaaS terkemuka yang menyediakan software kepada operator yang meluncurkan serangan sebenarnya dengan imbalan sebagian dari uang tebusan.
gambar

Dragos menilai dengan keyakinan moderat bahwa LockBit 3.0 akan terus menargetkan organisasi industri dan akan menimbulkan ancaman bagi operasi industri hingga tahun 2023.
Grup insiden Ransomware

Terdapat peningkatan tajam dalam jumlah kerentanan dan masalah teknis yang ditemukan oleh perusahaan keamanan seperti Dragos bersamaan dengan evolusinya beberapa grup ransomware.

Menurut Dragos, kemungkinan ransomware akan terus mengganggu operasi industri, baik melalui lingkungan OT yang salah kelola yang memungkinkan ransomware menyebar atau melalui penghentian pencegahan lingkungan tersebut untuk mencegah ransomware mencapai sistem tersebut.

Selengkapnya: The Record

Tonga, Negara Kepulauan Pasifik Terbaru yang terkena Ransomware

by

Tonga Communications Corporation (TCC), salah satu perusahaan telekomunikasi di Tonga terkena Ransomware dan mereka menerbitkan pemberitahuan di Facebook bahwa itu dapat memperlambat operasi administrasi.

Perusahaan itu mengkonfirmasi bahwa serangan ini tidak mempengaruhi pengiriman layanan suara dan internet kepada pelanggan, namun dapat memperlambat proses menghubungkan pelanggan baru, pengiriman tagihan, dan mengelola pertanyaan pelanggan.

Pihaknya bekerja sama dengan perusahaan keamanan untuk mengurangi dampak negatif dari malware ini.

TCC mengontrol semua saluran telepon tetap dan memiliki 70% pangsa pasar dial up dan internet broadband. Dengan lebih dari 300 karyawan, perusahaan mengelola sekitar setengah dari layanan ponsel melalui layanan UCall.

TCC adalah organisasi pemerintah pulau kecil terbaru yang diserang oleh penjahat dunia maya. Pulau Guadeloupe Prancis diserang pada bulan November dan pemerintah Vanuatu dimatikan setelah serangan ransomware.

Serangan itu melumpuhkan operasi parlemen, polisi, dan kantor perdana menteri Vanuatu, dan mematikan hampir semua alat digital yang digunakan oleh sekolah, rumah sakit, dan layanan pemerintah negara itu.

Selengkapnya: The Record

Ransomware AustraliaNewVarian ESXiArgs Baru Muncul Setelah CISA Merilis Alat Decryptor

by

Setelah Cybersecurity and Infrastructure Security Agency (CISA) AS merilis dekripsi untuk korban yang terkena dampak untuk pulih dari serangan ransomware ESXiArgs, pelaku ancaman telah bangkit kembali dengan versi terbaru yang mengenkripsi lebih banyak data.

Dilaporkan oleh administrator sistem di forum online, varian baru ini memiliki file yang lebih besar dari 128MB akan memiliki 50% data terenkripsi, membuat proses pemulihan lebih menantang.

Perubahan penting lainnya adalah penghapusan alamat Bitcoin dari catatan tebusan. Penyerang mendesak korban untuk menghubungi mereka di Tox untuk mendapatkan informasi wallet.

Saatv peneliti sedang melacak pembayaran dan mungkin telah mengetahui sebelum merilis ransomware bahwa proses enkripsi dalam varian asli relatif mudah untuk dielakkan, pelaku ancaman mengetahui itu.

Sebanyak 1.252 server telah terinfeksi oleh versi baru ESXiArgs per 9 Februari 2023, 1.168 di antaranya adalah infeksi ulang. Dan lebih dari 3.800 host unik telah disusupi.

Sebagian besar infeksi berlokasi di Prancis, AS, Jerman, Kanada, Inggris, Belanda, Finlandia, Turki, Polandia, dan Taiwan.

Aspek penting yang membedakan ESXiArgs dari keluarga ransomware lainnya adalah tidak adanya situs kebocoran data, yang menunjukkan bahwa itu tidak berjalan di model ransomware-as-a-service (RaaS).

Total Host ESXiArgs yang Terinfeksi Kembali
Total Host ESXiArgs yang Terinfeksi Kembali, 23 Feb 2023

Perusahaan keamanan siber Rapid7 menemukan 18.581 server ESXi yang terhubung ke internet yang rentan terhadap CVE-2021-21974.

Selengkapnya: The Hacker News

Ransomware ESXiArgs Mencapai Lebih Dari 3.800 Server Saat Hacker Terus Meningkatkan Malware

by

Lebih dari 3.800 server di seluruh dunia telah disusupi dalam serangan ransomware ESXiArgs baru-baru ini, mencakup proses yang ditingkatkan.

Beberapa perkembangan baru dalam kasus serangan tersebut termasuk terkait dengan metode enkripsi yang digunakan oleh malware, korban, dan kerentanan yang dieksploitasi oleh para hacker.

Setelah CISA mengumumkan ketersediaan alat open source tersebut, FBI dan CISA merilis dokumen yang memberikan panduan pemulihan.

Saat ini, mesin pencari Shodan dan Censys menunjukkan 1.600-1.800 server yang diretas dan terdapat indikasi bahwa banyak organisasi yang terkena dampak telah mulai menanggapi serangan tersebut dan membersihkan sistem mereka.

Analisis Reuters menetapkan bahwa para korban termasuk Mahkamah Agung Florida dan universitas di Amerika Serikat dan Eropa.

Analisis malware enkripsi file yang digunakan dalam serangan itu menunjukkan bahwa malware tersebut menargetkan file yang terkait dengan mesin virtual (VM). Para ahli memperhatikan bahwa ransomware lebih menargetkan file konfigurasi VM, tetapi tidak mengenkripsi file datar yang menyimpan data, memungkinkan beberapa pengguna memulihkan data mereka.

Hingga saat ini, ransomware tidak mengenkripsi sebagian besar data dalam file besar, tetapi versi baru malware mengenkripsi data dalam jumlah yang jauh lebih signifikan dalam file besar. Para peneliti juga belum menemukan kekurangan dalam enkripsi yang sebenarnya.

Diasumsikan bahwa serangan ESXiArgs memanfaatkan CVE-2021-21974 untuk akses awal, sebuah kerentanan eksekusi koderemote dengan tingkat keparahan tinggi di VMware ESXi yang ditambal oleh VMware pada Februari 2021.

VMware belum mengonfirmasi eksploitasi itu, tetapi dikatakan bahwa tidak ada bukti kerentanan zero-day yang dimanfaatkan dalam serangan tersebut.

Namun, GreyNoise menunjukkan bahwa beberapa kerentanan terkait OpenSLP telah ditemukan di ESXi dalam beberapa tahun terakhir, dan salah satunya dapat dieksploitasi dalam serangan ESXiArgs, termasuk CVE-2020-3992 dan CVE-2019-5544.

Selengkapnya: Security Week

Panduan Pemulihan Mesin Virtual Menggunakan ESXiArgs-Recover

by

ESXiArgs-Recover merupakan alat untuk memungkinkan organisasi mencoba memulihkan mesin virtual yang terkena serangan ransomware ESXiArgs.

Beberapa organisasi telah melaporkan keberhasilan pemulihan file tanpa membayar uang tebusan. Mengetahui hal tersebut, CISA menyusun alat berdasarkan sumber daya yang tersedia untuk umum, termasuk tutorial oleh Enes Sonmez dan Ahmet Aykac.

ESXiArgs-Recover bekerja dengan merekonstruksi metadata mesin virtual dari disk virtual yang tidak dienkripsi oleh malware.

Berikut Panduan Pemulihan Mesin Virtual ESXiArgs Ransomware CISA.

Peringatan
Skrip ESXiArgs CISA didasarkan pada temuan yang diterbitkan oleh peneliti pihak ketiga. Setiap organisasi harus berhati-hati jika menggunakan skrip pemulihan ESXiArgs CISA.

CISA tidak mendukung produk atau layanan komersial apa pun, termasuk subjek analisis apa pun dan tidak bertanggung jawab atas kerusakan yang disebabkan oleh skrip ini.

Langkah Pemulihan Mesin Virtual
1. Unduh skrip ESXiArgs dan simpan sebagai “/tmp/recover.sh”
2. Beri izin eksekusi skrip “chmod +x /tmp/recover.sh”
3. Arahkan ke folder mesin virtual yang ingin di decrypt
4. Jalankan “ls”, lihat file, dan catat nama VMnya
5. Jalankan skrip pemulihan dengan “/tmp/recover.sh [nama vm]”. Jalankan “/tmp/recover.sh [nama] thin” jika mesin virtual berformat tipis
6. Jika berhasil, skrip decryptor akan menampilkan tanda berhasil dijalankan. Jika, mungkin mesin virtual tidak dapat dipulihkan.
7. Jika skrip berhasil, mendaftarkan ulang mesin virtual.
8. Mendaftarkan ulang mesin virtual.
9. Lakukan langkah berikut jika web ESXi tidak dapat diakses.
– “cd /usr/lib/vmware/hostd/docroot/ui/ && mv index.html ransom.html && mv index1.html index.html”
– “cd /usr/lib/vmware/hostd/docroot && mv index.html ransom.html && rm index.html & mv index1.html index.html”
– Reboot server ESXi.
10. Klik kanan pada VM dan pilih “Batalkan Pendaftaran” jika VM yang dipulihkan sudah ada.
11. Pilih “Buat / Daftarkan VM”.
12. Pilih “Daftarkan mesin virtual yang ada”.
13. Klik “Pilih satu atau lebih mesin virtual, penyimpanan data, atau direktori” untuk menavigasi ke folder VM yang di pulihkan. Pilih file vmx di folder.
14. Pilih “Selanjutnya” dan “Selesai”.

Proyek ini berada dalam domain publik di Amerika Serikat, dan hak cipta serta hak terkait dalam karya di seluruh dunia dibebaskan melalui dedikasi domain publik Universal CC0 1.0.

Selengkapnya: GitHub

Kegunaan ESXiArgs-Recover untuk memulihkan Virtual Machine Terserang Ransomware

by

ESXiArgs-Recover adalah alat untuk memungkinkan organisasi mencoba memulihkan virtual machine yang terkena serangan ransomware ESXiArgs.

CISA mengetahui bahwa beberapa organisasi telah melaporkan keberhasilan memulihkan file tanpa membayar uang tebusan. CISA menyusun alat ini berdasarkan sumber daya yang tersedia untuk umum, termasuk tutorial oleh Enes Sonmez dan Ahmet Aykac. Alat ini bekerja dengan merekonstruksi metadata virtual machine dari disk virtual yang tidak dienkripsi oleh malware. Untuk informasi selengkapnya, lihat Panduan Pemulihan virtual machine ESXiArgs Ransomware CISA.

disclaimer
Skrip ESXiArgs CISA didasarkan pada temuan yang diterbitkan oleh peneliti pihak ketiga yang disebutkan di atas. Setiap organisasi yang ingin menggunakan skrip pemulihan ESXiArgs CISA harus meninjau skrip dengan hati-hati untuk menentukan apakah skrip tersebut sesuai untuk lingkungan mereka sebelum menerapkannya. Skrip ini tidak berusaha untuk menghapus file konfigurasi terenkripsi, melainkan berusaha membuat file konfigurasi baru yang memungkinkan akses ke VM. Meskipun CISA bekerja untuk memastikan bahwa skrip seperti ini aman dan efektif, skrip ini dikirimkan tanpa jaminan, baik implisit maupun eksplisit. Jangan gunakan skrip ini tanpa memahami bagaimana hal itu dapat memengaruhi sistem Anda. CISA tidak bertanggung jawab atas kerusakan yang disebabkan oleh skrip ini.

Skrip ini disediakan “sebagaimana adanya” hanya untuk tujuan informasi. CISA tidak mendukung produk atau layanan komersial apa pun, termasuk subjek analisis apa pun. Referensi apa pun untuk produk, proses, atau layanan komersial tertentu oleh merek layanan, merek dagang, pabrikan, atau lainnya, bukan merupakan atau menyiratkan dukungan, rekomendasi, atau dukungan oleh CISA.

selengkapnya : github

Geng Ransomware LockBit Mengklaim Serangan Cyber Royal Mail

by

Operasi ransomware LockBit telah mengklaim cyberattack pada layanan pengiriman surat terkemuka di Inggris, Royal Mail, yang memaksa perusahaan untuk menghentikan layanan pengiriman internasionalnya karena “gangguan layanan yang parah”

Ini terjadi setelah LockBitSupport, perwakilan publik geng ransomware, sebelumnya memberi tahu BleepingComputer bahwa grup cybercrime LockBit tidak menyerang Royal Mail.

Sebaliknya, mereka menyalahkan pelaku penyerabgan lain yang menggunakan pembuat ransomware LockBit 3.0 yang bocor di Twitter pada September 2022.

LockBitSupp gagal menjelaskan mengapa catatan tebusan Royal Mail yang dicetak yang dilihat oleh BleepingComputer menyertakan tautan ke situs negosiasi Tor dan kebocoran data LockBit daripada yang dioperasikan oleh aktor ancaman lain.

Lockbit Black ransom note printer during the attack on Royal Mail (Daniel Card)

Royal Mail belum mengakui bahwa itu berurusan dengan serangan ransomware yang kemungkinan dapat menyebabkan pelanggaran data karena operator ransomware LockBit dikenal mencuri data dan membocorkannya secara online jika permintaan tebusan mereka tidak dipenuhi.

Untuk saat ini, perusahaan tersebut masih menggambarkan serangan tersebut sebagai “insiden dunia maya” dan mengatakan bahwa mereka telah memulihkan beberapa layanan yang terkena dampak serangan tersebut.

sumber : bleepingcomputer