Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for News

Hot Patch Log4Shell AWS Rentan Terhadap Pelarian Kontainer dan Eskalasi Hak Istimewa

by

Setelah Log4Shell, AWS merilis beberapa solusi hot patch yang memantau aplikasi Java yang rentan dan kontainer Java dan menambalnya dengan cepat. Setiap solusi sesuai dengan lingkungan yang berbeda, meliputi server mandiri, kluster Kubernetes, kluster Elastic Container Service (ECS) dan Fargate. Hot patch tidak eksklusif untuk lingkungan AWS dan dapat diinstal ke cloud atau lingkungan lokal apa pun.

Peneliti Unit 42 mengidentifikasi masalah keamanan yang parah dalam solusi patching ini dan bermitra dengan AWS untuk memulihkannya. Setelah menginstal layanan patch ke server atau cluster, setiap kontainer di lingkungan itu dapat memanfaatkannya untuk mengambil alih host yang mendasarinya. Misalnya, jika Anda menginstal hot patch ke kluster Kubernetes, setiap kontainer di kluster Anda sekarang dapat melarikan diri sampai Anda menonaktifkan hot patch-nya atau meningkatkan ke versi tetap. Selain kontainer, proses yang unprivilege juga dapat mengeksploitasi patch untuk meningkatkan hak istimewa dan mendapatkan eksekusi kode root.

Kontainer dapat lolos terlepas mereka menjalankan aplikasi Java atau host menjalankan Bottlerocket, distribusi Linux AWS yang mengeras untuk kontainer. Kontainer yang berjalan dengan nama pengguna atau sebagai pengguna non-root juga terpengaruh. Unit 42 menugaskan CVE-2021-3100, CVE-2021-3101, CVE-2022-0070 dan CVE-2022-0071 untuk melacak kerentanan.

AWS merilis versi tetap untuk setiap solusi patch panas pada 19 April:

  • Versi 1.1-16 dari paket log4j-cve-2021-44228-hotpatch, yang menggabungkan layanan hot patch.
  • Versi 1.1-16 dari kubernetes-log4j-cve-2021-44228-node-agent Daemonset, yang menginstal paket yang diperbarui.
  • Versi 1.02 dari Hotdog, solusi hot patch untuk host Bottlerocket berdasarkan kait Open Container Initiative (OCI).

Unit 42 menyarankan siapa saja yang menginstal salah satu hot patch ini untuk meningkatkan ke versi tetap. Perhatikan bahwa mulai dari 17 Desember 2021, paket JDK (instalasi Java) di Amazon Linux secara otomatis menginstal paket log4j-cve-2021-44228-hotpatch. Atau, pengguna yang yakin aplikasi mereka ditambal terhadap Log4Shell dapat menonaktifkan layanan hot patch mengikuti instruksi di bagian mitigasi di bawah ini.

Prisma Cloud mendeteksi paket patch panas dan akan memperingatkan host yang menjalankan versi rentan.

Selengkapnya: Paloalto Networks

CISA memperingatkan penyerang yang sekarang mengeksploitasi bug Windows Print Spooler

by

Cybersecurity and Infrastructure Security Agency (CISA) telah menambahkan tiga kelemahan keamanan baru ke daftar bug yang dieksploitasi secara aktif, termasuk bug eskalasi hak istimewa lokal di Windows Print Spooler.

Kerentanan tingkat keparahan tinggi ini (dilacak sebagai CVE-2022-22718) berdampak pada semua versi Windows sesuai dengan saran Microsoft dan telah ditambal selama Patch Februari 2022 pada hari Selasa.

Satu-satunya informasi yang dibagikan Microsoft tentang kelemahan keamanan ini adalah bahwa pelaku ancaman dapat mengeksploitasinya secara lokal dalam serangan dengan kompleksitas rendah tanpa interaksi pengguna.

Redmond menambal beberapa bug Windows Print Spooler lainnya dalam 12 bulan terakhir, termasuk kerentanan eksekusi kode jarak jauh PrintNightmare yang kritis.

Setelah detail teknis dan eksploitasi proof-of-concept (POC) untuk PrintNightmare secara tidak sengaja bocor, CISA memperingatkan admin untuk menonaktifkan layanan Windows Print Spooler pada Pengontrol Domain dan sistem yang tidak digunakan untuk mencetak untuk memblokir kemungkinan serangan masuk.

Minggu lalu, CISA menambahkan bug eskalasi hak istimewa lainnya di Driver Sistem File Log Umum Windows ke daftar kelemahan yang dieksploitasi di alam liar, bug yang dilaporkan oleh CrowdStrike dan Badan Keamanan Nasional AS (NSA) dan ditambal oleh Microsoft selama Patch Selasa bulan ini. .

Menurut arahan operasional yang mengikat November (BOD 22-01), semua lembaga Federal Civilian Executive Branch Agencies (FCEB) harus mengamankan sistem mereka dari kelemahan keamanan yang ditambahkan ke katalog CISA tentang Kerentanan Tereksploitasi yang Diketahui (KEV).

CISA telah memberikan waktu tiga minggu kepada agensi, hingga 10 Mei, untuk menambal kerentanan CVE-2022-22718 yang sekarang aktif dieksploitasi dan memblokir upaya eksploitasi yang sedang berlangsung.

Meskipun arahan ini hanya berlaku untuk agen federal AS, CISA juga sangat mendesak semua organisasi AS untuk memperbaiki elevasi bug hak istimewa Windows Print Spooler ini untuk menggagalkan upaya untuk meningkatkan hak istimewa pada sistem Windows mereka.

Badan keamanan siber AS menambahkan dua kerentanan keamanan lama ke katalog KEV-nya hari ini, juga disalahgunakan dalam serangan yang sedang berlangsung.

Nama Kerentanan CVE Tanggal Ditambahkan

  • CVE-2022-22718 Microsoft Windows Print Spooler Privilege Eskalasi Kerentanan 2022-04-19
  • CVE-2018-6882 Zimbra Collaboration Suite (ZCS) Skrip Lintas Situs (XSS) 2022-04-19
  • CVE-2019-3568 WhatsApp VOIP Stack Buffer Overflow Kerentanan 2022-04-19

Sejak BOD 22-01 binding directive dikeluarkan, CISA telah menambahkan ratusan bug keamanan ke dalam daftar kerentanan yang dieksploitasi secara aktif, memerintahkan agen federal AS untuk menambalnya sesegera mungkin untuk mencegah pelanggaran.

Sumber : Bleeping Computer

Botnet emotet beralih ke modul 64-bit, meningkatkan aktivitas

by

Malware Emotet mengalami ledakan distribusi dan kemungkinan akan segera beralih ke muatan baru yang saat ini terdeteksi oleh lebih sedikit mesin antivirus.

Peneliti keamanan yang memantau botnet mengamati bahwa email yang membawa muatan berbahaya bulan lalu telah meningkat sepuluh kali lipat.

Emotet adalah trojan modular yang menyebar sendiri yang dapat mempertahankan kegigihan pada host. Ini digunakan untuk mencuri data pengguna, melakukan pengintaian jaringan, bergerak secara lateral, atau menjatuhkan muatan tambahan seperti Cobalt Strike dan ransomware pada khususnya.

Menurut laporan yang dirilis Kaspersky hari ini, aktivitas Emotet mengalami peningkatan tajam dari Februari hingga Maret, dari 3.000 menjadi 30.000 email.

Bahasa yang digunakan dalam pesan ini termasuk Inggris, Prancis, Hongaria, Italia, Norwegia, Polandia, Rusia, Slovenia, Spanyol, dan Cina.

Untuk tema, distributor Emotet dikenal sering mengganti topik untuk memanfaatkan kecepatan minat musiman. Kali ini perayaan Paskah yang mereka manfaatkan.

Check Point juga merilis sebuah laporan, yang menempatkan Emotet sebagai malware nomor satu paling umum dan aktif pada Maret 2022.

Email emotet menggunakan umpan Paskah dalam banyak bahasa
(Check Point)

Kaspersky menyebutkan bahwa kampanye distribusi email Emotet yang sedang berlangsung juga menggunakan trik pembajakan utas diskusi, terlihat dalam kampanye Qbot yang ditautkan ke operator yang sama.

Karena pelaku ancaman memiliki akses ke korespondensi sebelumnya, cukup mudah bagi mereka untuk menunjukkan lampiran sebagai sesuatu yang diharapkan penerima sebagai kelanjutan dari diskusi dengan rekan kerja.

Kelompok peneliti keamanan Cryptolaemus, yang mengawasi aktivitas botnet Emotet, mengatakan bahwa operator malware juga telah beralih ke modul pemuat dan pencuri 64-bit pada Epoch 4, salah satu subkelompok botnet yang berjalan pada infrastruktur terpisah. Sebelumnya, itu mengandalkan kode 32-bit.

#Emotet Update – Sekitar pukul 14:00 UTC hari ini 2022/04/18 – Emotet di Epoch 4 telah beralih menggunakan modul pemuat dan pencuri 64-bit. Sebelumnya semuanya 32-bit kecuali untuk kesalahan loader sesekali. 1/x— Cryptolaemus (@Cryptolaemus1) 19 April 2022
Peralihan tidak terlihat pada Epoch 5 tetapi penundaan diperkirakan terjadi, karena Epoch 4 biasanya berfungsi sebagai test-bed pengembangan untuk operator Emotet, kata peneliti dari Cryptolaemus.

Sumber : Bleeping Computer

Microsoft menonaktifkan SMB1 secara default untuk Windows 11 Home Insiders

by

Microsoft hari ini mengumumkan bahwa protokol berbagi file SMBv1 yang berusia 30 tahun sekarang dinonaktifkan secara default pada sistem Windows yang menjalankan build saluran Windows 11 Home Dev terbaru, edisi terakhir Windows atau Windows Server yang masih datang dengan SMBv1 diaktifkan.

Redmond pertama kali mengumumkan rencana untuk menonaktifkan SMBv1 di sebagian besar versi sistem operasi Windows pada Juni 2017 setelah terlebih dahulu menonaktifkannya untuk build internal Windows 10 Enterprise dan Windows Server 2016.

SMBv1 tidak lagi diinstal di OS Microsoft secara default sejak Windows 10 versi 1709 dan Windows Server versi 1709, dengan versi Windows yang lebih baru menggunakan SMBv3.

SMBv1 dinonaktifkan di Windows 11 Home edition Dev build
“Saya memiliki pengumuman yang cukup besar: kami telah memulai fase terakhir penonaktifan SMB1 di Windows,” kata Ned Pyle, Manajer Program Utama di grup Ketersediaan dan Penyimpanan Tinggi Microsoft Windows Server.

Ini juga akan menjadi perilaku default di rilis utama Windows 11 berikutnya setelah Windows Insiders dapat menguji dan memberikan umpan balik tentang perubahan baru,

Namun, seperti yang dijelaskan lebih lanjut oleh pakar Microsoft, perubahan ini tidak akan memengaruhi perangkat yang menggunakan SMBv1 setelah pemutakhiran di tempat, dengan admin masih diizinkan untuk menginstalnya kembali.

Pyle juga membagikan daftar vendor dan produk yang memerlukan SMBv1 sehingga pengguna dapat menghindarinya dan tidak terhalang untuk beralih ke versi protokol SMB yang lebih baru dan lebih aman.

Mereka yang tertarik untuk menonaktifkan SMBv1 di server mereka dapat memeriksa halaman dukungan Microsoft ini untuk instruksi terperinci.

Microsoft telah merekomendasikan admin untuk menghapus dukungan untuk SMBv1 di jaringan mereka sejak 2016 karena tidak menampilkan peningkatan keamanan tambahan yang ditambahkan ke versi protokol SMB yang lebih baru.

Penyempurnaan ini mencakup pemeriksaan integritas pra-otentikasi untuk mencegah serangan man-in-the-middle (MiTM), enkripsi, pemblokiran otentikasi tamu yang tidak aman, perlindungan terhadap serangan penurunan versi keamanan, dan banyak lagi.

Dua tahun lalu, Tim Microsoft Exchange juga mendesak admin untuk menonaktifkan SMBv1 untuk melindungi server dari serangan malware.

Peringatan ini muncul setelah kebocoran beberapa eksploitasi NSA tahun 2017 yang dirancang untuk mengeksploitasi kelemahan dalam protokol SMBv1 untuk menjalankan perintah pada server yang rentan dengan hak administratif.

Beberapa dari eksploitasi ini, seperti EternalBlue dan EternalRomance, kemudian disebarkan secara liar oleh malware TrickBot, Emotet, WannaCry, Retefe, NotPetya, dan Olympic Destroyer untuk menginfeksi lebih banyak perangkat dan meluncurkan serangan yang merusak atau mencuri kredensial pengguna.

Sumber : Bleeping Computer

Bug driver firmware Lenovo UEFI memengaruhi lebih dari 100 model laptop

by

Lenovo telah menerbitkan nasihat keamanan tentang kerentanan yang berdampak pada Unified Extensible Firmware Interface (UEFI) yang dimuat pada setidaknya 100 model laptopnya.

Total tiga masalah keamanan ditemukan, dua di antaranya memungkinkan penyerang untuk menonaktifkan perlindungan untuk chip memori flash SPI tempat firmware UEFI disimpan dan untuk mematikan fitur UEFI Secure Boot, yang memastikan sistem dimuat hanya saat boot. kode yang dipercaya oleh Original Equipment Manufacturer (OEM).

Eksploitasi yang berhasil dari yang ketiga, yang diidentifikasi sebagai CVE-2021-3970, dapat memungkinkan penyerang lokal untuk mengeksekusi kode arbitrer dengan hak istimewa yang lebih tinggi.

Ketiga kerentanan ditemukan oleh peneliti ESET dan dilaporkan secara bertanggung jawab kepada Lenovo pada Oktober tahun lalu. Mereka memengaruhi lebih dari 100 model laptop konsumen, termasuk IdeaPad 3, Legion 5 Pro-16ACH6 H, dan Yoga Slim 9-14ITL05, yang kemungkinan berarti jutaan pengguna dengan perangkat yang rentan.

Para peneliti di ESET memperingatkan bahwa dua kerentanan terkait UEFI (CVE-2021-3971 dan CVE-2021-3972) dapat digunakan oleh penyerang untuk “menyebarkan dan berhasil mengeksekusi flash SPI atau implan ESP.”

Kedua masalah keamanan terkait UEFI dalam produk Lenovo dihasilkan dari pengenalan dua driver firmware UEFI ke dalam produksi bernama SecureBackDoor dan SecureBackDoorPeim – yang hanya digunakan selama proses manufaktur. Penasihat keamanan dari Lenovo menjelaskan kerentanan seperti ini:

  • CVE-2021-3971: Potensi kerentanan oleh driver yang digunakan selama proses manufaktur lama pada beberapa perangkat Notebook Lenovo konsumen yang secara keliru disertakan dalam gambar BIOS dapat memungkinkan penyerang dengan hak yang lebih tinggi untuk memodifikasi wilayah perlindungan firmware dengan memodifikasi variabel NVRAM.
  • CVE-2021-3972: Potensi kerentanan oleh driver yang digunakan selama proses manufaktur pada beberapa perangkat Notebook Lenovo konsumen yang secara keliru tidak dinonaktifkan dapat memungkinkan penyerang dengan hak istimewa yang lebih tinggi untuk memodifikasi pengaturan boot aman dengan memodifikasi variabel NVRAM.

ESET telah memberikan analisis teknis terperinci dari tiga kerentanan yang ditemukan dengan mencatat bahwa “ancaman UEFI bisa sangat tersembunyi dan berbahaya” karena mereka mengeksekusi “di awal proses boot, sebelum mentransfer kontrol ke sistem operasi.”

Ini berarti bahwa sebagian besar mitigasi dan solusi keamanan yang aktif di tingkat OS tidak berguna dan eksekusi muatan hampir tidak dapat dihindari dan tidak terdeteksi.

Perusahaan keamanan siber telah menemukan dua implan seperti itu di masa lalu, keduanya digunakan di alam liar oleh pelaku ancaman:

  • Lojax – ditemukan pada tahun 2018 dan digunakan oleh aktor yang didukung negara Rusia dilacak sebagai APT28, Fancy Bear, Sednit, Strontium, dan Sofacy
  • ESPecter – diidentifikasi pada tahun 2021 dan aktif sejak 2012 (sebagai bootkit untuk sistem berbasis BIOS) untuk kegigihan pada Partisi Sistem EFI (ESP)

Ini bukan satu-satunya ancaman UEFI yang ditemukan. Kaspersky menerbitkan laporan tentang MosaicRegressor pada tahun 2020, tentang FinSpy pada tahun 2021, dan MoonBounce pada bulan Januari tahun ini.

Untuk melindungi dari serangan yang berasal dari kerentanan di atas, Lenovo merekomendasikan pengguna perangkat yang terpengaruh untuk memperbarui versi firmware sistem ke versi terbaru yang tersedia.

Ini dapat dilakukan dengan menginstal pembaruan secara manual dari halaman dukungan perangkat atau dengan bantuan utilitas untuk memperbarui driver sistem yang disediakan oleh perusahaan.

LinkedIn paling banyak ditiru dalam serangan phishing

by

Peneliti keamanan memperingatkan bahwa LinkedIn telah menjadi merek yang paling dipalsukan dalam serangan phishing, terhitung lebih dari 52% dari semua insiden semacam itu di tingkat global.

Data tersebut berasal dari perusahaan keamanan siber Check Point, yang mencatat peningkatan dramatis dalam penyalahgunaan merek LinkedIn dalam insiden phishing pada kuartal pertama tahun ini.

Menurut perusahaan, pada kuartal terakhir tahun 2021, LinkedIn menempati posisi kelima dalam daftar, jumlah serangan meniru menjadi jauh lebih rendah 8%.

Statistik peniruan identitas phishing untuk Q1 2022 (Check Point)

Menggabungkan DHL dengan FedEx, Maersk, dan Ali Express, pesan phishing terkait pengiriman menyumbang 21,8% dalam tiga bulan pertama tahun 2022, masih memegang porsi yang signifikan.

Dalam sampel peniruan identitas LinkedIn yang disediakan oleh Check Point, email phishing yang mencapai kotak masuk target menampilkan logo LinkedIn dan gaya khusus perusahaan, dengan permintaan palsu untuk terhubung dengan perusahaan buatan.

Pesan phishing yang menampilkan branding LinkedIn
(Titik Periksa)

Mengklik tombol “Terima” akan membawa korban ke situs web phishing yang terlihat seperti halaman login LinkedIn yang sebenarnya yang dihosting di URL tidak resmi – carriermasr.com/public/linkedin.com/linkedin.com/login.php

Situs phishing bertema LinkedIn (Check Point)

Phishing media sosial sedang meningkat, seperti juga dilaporkan perusahaan cybersecurity Vade baru-baru ini. Ini karena pengambilalihan akun pada platform ini membuka sejumlah kemungkinan praktis bagi para pelaku ancaman.

Misalnya, peretas dapat menggunakan akun media sosial yang disusupi untuk melakukan serangan spear-phishing yang sangat efektif, mengeposkan tautan ke situs hosting malware, atau mengirim spyware langsung ke pengguna yang memercayainya.

Dalam kasus LinkedIn, yang merupakan platform media sosial yang berfokus pada profesional, pelaku ancaman kemungkinan besar bertujuan untuk melakukan serangan spear-phishing pada target dengan minat tinggi, karyawan dari perusahaan dan organisasi tertentu.

Skenario eksploitasi potensial lainnya adalah mengirim dokumen yang disamarkan sebagai tawaran pekerjaan ke target tertentu, meyakinkan mereka untuk membuka file dan mengaktifkan kode makro berbahaya.

Sumber : Bleeping Computer

AS memperingatkan peretas Lazarus yang menggunakan aplikasi cryptocurrency berbahaya

by

CISA, FBI, dan Departemen Keuangan AS hari ini memperingatkan bahwa kelompok peretasan Lazarus Korea Utara menargetkan organisasi di industri cryptocurrency dan blockchain dengan aplikasi cryptocurrency tertrojan.

Penyerang menggunakan rekayasa sosial untuk mengelabui karyawan perusahaan cryptocurrency agar mengunduh dan menjalankan aplikasi cryptocurrency Windows dan macOS yang berbahaya.

Operator Lazarus kemudian menggunakan alat trojan ini untuk mendapatkan akses ke komputer target, menyebarkan malware ke seluruh jaringan mereka, dan mencuri kunci pribadi yang memungkinkan memulai transaksi blockchain palsu dan mencuri aset kripto korban dari dompet mereka.

“Penyusupan dimulai dengan sejumlah besar pesan spearphishing yang dikirim ke karyawan perusahaan cryptocurrency—seringkali bekerja di administrasi sistem atau pengembangan perangkat lunak/operasi TI (DevOps)—pada berbagai platform komunikasi,” demikian bunyi penasihat bersama yang diterbitkan pada hari Senin.

Aplikasi TraderTraitor yang tertrojan adalah utilitas berbasis Elektron dan lintas platform yang dikembangkan menggunakan JavaScript dan lingkungan runtime Node.js.

Aplikasi TraderTraitor hampir selalu didorong melalui situs web yang menampilkan desain modern yang mengiklankan fitur dugaan aplikasi kripto palsu.

Situs web CryptAIS (CISA)

“Muatan yang diamati termasuk macOS dan Windows varian Manuscrypt yang diperbarui, trojan akses jarak jauh khusus (RAT), yang mengumpulkan informasi sistem dan memiliki kemampuan untuk menjalankan perintah sewenang-wenang dan mengunduh muatan tambahan,” tambah agen federal.

Di antara aplikasi cryptocurrency TraderTraitor berbahaya yang digunakan dalam kampanye ini, saran bersama menyoroti:

DAFOM: “aplikasi portofolio cryptocurrency” (macOS)
TokenAIS: mengklaim membantu “membangun portofolio perdagangan berbasis AI” untuk cryptocurrency (macOS)
CryptAIS: mengklaim membantu “membangun portofolio perdagangan berbasis AI” (macOS)
AlticGO: mengklaim menawarkan harga cryptocurrency langsung dan prediksi harga (Windows)
Esilet: mengklaim menawarkan harga cryptocurrency langsung dan prediksi harga (macOS)
CreAI Deck: mengklaim sebagai platform untuk “kecerdasan buatan dan pembelajaran mendalam” (Windows dan macOS)

Tahun lalu, FBI, CISA, dan Departemen Keuangan AS juga berbagi informasi tentang aplikasi perdagangan crypto jahat dan palsu yang disuntik dengan malware AppleJeus yang digunakan oleh Lazarus untuk mencuri cryptocurrency dari individu dan perusahaan di seluruh dunia.

Daftar aplikasi yang di-trojan menggunakan AppleJeus termasuk Celas Trade Pro, JMT Trading, Union Crypto, Kupay Wallet, CoinGoTrade, Dorusio, dan Ants2Whale.

Departemen Kehakiman A.S. mendakwa tiga anggota Lazarus Group karena mencuri $1,3 miliar uang dan cryptocurrency dalam beberapa serangan terhadap bank, industri hiburan, perusahaan cryptocurrency, dan organisasi lain di seluruh dunia.

Departemen Keuangan AS memberikan sanksi kepada tiga kelompok peretas Korea Utara (Lazarus Group, Bluenoroff, dan Andariel) karena menyalurkan aset keuangan yang mereka curi dalam serangan siber kepada pemerintah Korea Utara.

Sumber : Bleeping Computer

Decryptor gratis dirilis untuk korban ransomware Yanluowang

by

Kaspersky hari ini mengungkapkan menemukan kerentanan dalam algoritma enkripsi ransomware Yanluowang, yang memungkinkan untuk memulihkan file yang dienkripsi.

Perusahaan keamanan siber Rusia telah menambahkan dukungan untuk mendekripsi file yang dikunci oleh jenis ransomware Yanluowang ke utilitas RannohDecryptor-nya.

Strain ransomware ini mengenkripsi file yang lebih besar dari 3GB dan yang lebih kecil dari 3GB menggunakan metode yang berbeda: yang lebih besar sebagian dienkripsi dalam strip 5MB setelah setiap 200MB, sementara yang lebih kecil sepenuhnya dienkripsi dari awal hingga akhir.

Karena itu, “jika file asli lebih besar dari 3 GB, dimungkinkan untuk mendekripsi semua file pada sistem yang terinfeksi, baik besar maupun kecil. Tetapi jika ada file asli yang lebih kecil dari 3 GB, maka hanya file kecil yang dapat didekripsi.”

Untuk mendekripsi file Anda, Anda memerlukan setidaknya satu file asli:

  • Untuk mendekripsi file kecil (kurang dari atau sama dengan 3 GB), Anda memerlukan sepasang file dengan ukuran 1024 byte atau lebih. Ini cukup untuk mendekripsi semua file kecil lainnya.
  • Untuk mendekripsi file besar (lebih dari 3 GB), Anda memerlukan sepasang file (terenkripsi dan asli) dengan ukuran masing-masing tidak kurang dari 3 GB. Ini akan cukup untuk mendekripsi file besar dan kecil.

Untuk mendekripsi file yang dienkripsi oleh ransomware Yanluowang, Anda harus menggunakan alat dekripsi Rannoh yang tersedia untuk diunduh dari server Kaspersky.

Kaspersky RannohDecryptor (BleepingComputer)

Ransomware Yanluowang, pertama kali terlihat pada Oktober 2021, telah digunakan dalam serangan yang dioperasikan manusia dan sangat ditargetkan terhadap entitas perusahaan.

Satu bulan kemudian, salah satu afiliasinya diamati menyerang organisasi AS di sektor keuangan setidaknya sejak Agustus, menggunakan malware BazarLoader untuk pengintaian.

Berdasarkan taktik, teknik, dan prosedur (TTP) yang digunakan dalam serangan ini, afiliasi Yanluowang ini terkait dengan operasi ransomware Thieflock yang dikembangkan oleh grup Fivehands (dilacak oleh Mandiant sebagai UNC2447).

Setelah digunakan pada jaringan yang disusupi, Yanluowang menghentikan mesin virtual hypervisor, mengakhiri semua proses, dan mengenkripsi file yang menambahkan ekstensi .yanluowang.

Itu juga menjatuhkan catatan tebusan bernama README.txt yang memperingatkan korban untuk tidak menghubungi penegak hukum atau meminta bantuan perusahaan negosiasi ransomware.

Jika permintaan penyerang tidak dipenuhi, operator ransomware mengancam untuk meluncurkan serangan penolakan layanan (DDoS) terdistribusi terhadap jaringan korban dan memberi tahu karyawan dan mitra bisnis mereka bahwa mereka telah dilanggar.

Sumber : Bleeping Computer