Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Conti Ransomware

Conti Ransomware

Conti ransomware menutup operasi, mengubah citra menjadi unit yang lebih kecil

by

Geng Conti ransomware yang terkenal telah secara resmi menutup operasi mereka, dengan infrastruktur dimatikan dan para pemimpin tim diberitahu bahwa merek tersebut tidak ada lagi.

Berita ini datang dari Intel Lanjutan Yelisey Boguslavskiy, yang men-tweet sore ini bahwa infrastruktur internal geng dimatikan.

Boguslavskiy mengatakan bahwa infrastruktur yang diambil offline termasuk situs web Tor yang digunakan oleh anggota untuk melakukan negosiasi dan mempublikasikan “berita” di situs kebocoran data mereka. Selain itu, layanan internal lainnya, seperti server obrolan roket mereka, sedang dinonaktifkan.

Meskipun mungkin aneh bagi Conti untuk menutup di tengah perang informasi mereka dengan Kosta Rika, Boguslavskiy memberi tahu kita bahwa Conti melakukan serangan yang sangat umum ini untuk membuat fasad operasi langsung sementara anggota Conti perlahan-lahan bermigrasi ke ransomware lain yang lebih kecil operasi.

Conti mengancam pemerintah Kosta Rika
Sumber: BleepingComputer

Sementara merek ransomware Conti tidak ada lagi, sindikat kejahatan dunia maya akan terus memainkan peran penting dalam industri ransomware untuk waktu yang lama.

Boguslavskiy mengatakan alih-alih mengubah citra sebagai operasi ransomware besar lainnya, kepemimpinan Conti malah bermitra dengan geng ransomware kecil lainnya untuk melakukan serangan.

Di bawah kemitraan ini, geng ransomware yang lebih kecil mendapatkan masuknya Conti pentester, negosiator, dan operator yang berpengalaman. Sindikat kejahatan dunia maya Conti memperoleh mobilitas dan penghindaran yang lebih besar dari penegakan hukum dengan memecah menjadi “sel-sel” yang lebih kecil, semuanya dikelola oleh kepemimpinan pusat.

Laporan Advanced Intel menjelaskan bahwa Conti telah bermitra dengan banyak operasi ransomware terkenal, termasuk HelloKitty, AvosLocker, Hive, BlackCat, BlackByte, dan banyak lagi.

Anggota Conti yang ada, termasuk negosiator, analis intel, pentester, dan pengembang, tersebar di seluruh operasi ransomware lainnya. Sementara para anggota ini sekarang akan menggunakan enkripsi dan situs negosiasi operasi ransomware lainnya, mereka masih menjadi bagian dari sindikat kejahatan dunia maya Conti yang lebih besar.

Pecahnya kelompok semi-otonom dan otonom yang lebih kecil ini diilustrasikan pada gambar di bawah yang dibagikan oleh Intel Lanjutan.

Anggota Conti menyebar ke operasi ransomware lainnya
Sumber: Intel Tingkat Lanjut

Advanced Intel juga menyatakan bahwa grup otonom baru dari anggota Conti telah dibuat yang berfokus sepenuhnya pada eksfiltrasi data dan bukan enkripsi data. Beberapa dari grup ini termasuk Karakurt, BlackByte, dan kolektif Bazarcall.

Inisiatif ini memungkinkan sindikat kejahatan dunia maya yang ada untuk terus beroperasi tetapi tidak lagi dengan nama Conti.

Rebranding Conti tidak mengejutkan para peneliti dan jurnalis yang telah mengikuti mereka selama beberapa bulan terakhir, jika bukan beberapa tahun terakhir.

Operasi ransomware Conti diluncurkan pada musim panas 2020, setelah menggantikan ransomware Ryuk.

Seperti Ryuk, Conti didistribusikan melalui kemitraan dengan infeksi malware lainnya, seperti TrickBot dan BazarLoader, yang menyediakan akses awal ke geng ransomware.

Seiring waktu, Conti tumbuh menjadi operasi ransomware terbesar, perlahan berubah menjadi sindikat kejahatan dunia maya saat mereka mengambil alih operasi TrickBot, BazarLoader, dan Emotet.

Conti bertanggung jawab atas banyak serangan selama masa mereka, termasuk serangan terhadap Kota Tulsa, Sekolah Umum Kabupaten Broward, dan Advantech.

Mereka mendapat perhatian media yang luas setelah mereka menyerang Eksekutif Layanan Kesehatan Irlandia (HSE) dan Departemen Kesehatan (DoH), mematikan sistem TI negara itu selama berminggu-minggu.

Pada akhirnya, geng ransomware menyediakan decryptor gratis untuk HSE Irlandia, tetapi pada saat itu, mereka berada di garis bidik penegakan hukum di seluruh dunia.

Namun, tidak sampai Conti memihak invasi Rusia ke Ukraina bahwa merek Conti menjadi sangat beracun dan nasib mereka disegel.

Conti berpihak pada Rusia atas invasi ke Ukraina
Sumber: BleepingComputer

Setelah memihak Rusia, seorang peneliti keamanan Ukraina mulai membocorkan lebih dari 170.000 percakapan obrolan internal antara anggota geng ransomware Conti dan kode sumber untuk enkripsi ransomware Conti.

Setelah kode sumber ini menjadi publik, pelaku ancaman lain mulai menggunakannya dalam serangan mereka sendiri, dengan satu kelompok peretas menggunakan encryptor Conti dalam serangan terhadap entitas Rusia.

Pemerintah AS menganggap Conti sebagai salah satu jenis ransomware paling mahal yang pernah dibuat, dengan ribuan korban dan pembayaran tebusan lebih dari $150 juta.

Eksploitasi geng ransomware Conti telah membuat pemerintah AS menawarkan hadiah hingga $15.000.000 untuk identifikasi dan lokasi anggota Conti dalam peran kepemimpinan.

Sumber: Bleeping Computer

Peneliti Ukraina Bocorkan Data Geng Conti Ransomware

by

Peneliti, yang memiliki akses ke sistem Conti, merilis data setelah geng ransomware terkenal menyatakan dukungan untuk Rusia sejak invasi ke Ukraina, kata Alex Holden, CTO Hold Security, sebuah konsultan yang mempelajari ransomware dan kejahatan dunia maya. Nama peneliti keamanan tidak dapat dirilis.

Data, yang dalam format JSON, termasuk log obrolan Jabber, alamat bitcoin, dan negosiasi antara korban ransomware dan penyerang Conti. Sebagian besar data adalah obrolan internal antara anggota dan afiliasi Conti, termasuk detail pribadi, konflik, dan tuduhan. Ada juga log yang terkait dengan TrickBot, botnet yang kadang-kadang digunakan untuk mendistribusikan Conti, kata Holden. Data tersebut mencakup periode dari Januari 2021 hingga awal bulan ini (lihat: Gerakan Kejahatan Dunia Maya: Conti Ransomware Menyerap TrickBot Malware).

Data Conti “harus dibaca oleh semua profesional keamanan karena memberikan Anda wawasan tentang cara kerja ransomware sebenarnya,” kata Holden. VX-Underground, sekelompok peneliti malware, juga telah memeriksa data dan membagikannya secara publik.

Pesan ini menyertai data Conti. (Sumber: VX-Underground via Twitter)

Ada sekitar 150 alamat bitcoin, pegangan obrolan, alamat IP, panel kontrol, dan data infrastruktur lainnya yang akan sangat berguna untuk melacak geng serta afiliasi yang menggunakan malware-nya, kata Liska. Conti adalah apa yang disebut grup ransomware-as-a-service. Afiliasi mendaftar untuk mendistribusikan ransomware, dan keuntungan dari serangan yang berhasil dibagikan.

“Banyak grup ransomware tidak memiliki opsec [keamanan operasional] sebaik yang mereka kira,” kata Liska. “Ini pasti cara untuk belajar dan memahami bagaimana mereka beroperasi dan apa yang mereka lakukan.”

Conti adalah salah satu jenis ransomware yang paling umum. Ini dikembangkan oleh kelompok kejahatan dunia maya Rusia yang sudah lama berjalan yang dikenal sebagai Wizard Spider, menurut CrowdStrike. Kelompok ini diyakini bertanggung jawab atas malware/kode botnet TrickBot serta ransomware jenis Ryuk dan BazarLoader.

Conti agresif dan memusuhi korbannya. Jika korban menolak untuk membayar uang tebusan, perlahan-lahan data sensitif mereka bocor di situs webnya. Itu berarti bahwa meskipun suatu organisasi memiliki cadangan yang baik dan rencana pemulihan bencana, mereka masih menghadapi kesulitan dari data yang bocor.

Meneriakkan dukungan untuk Rusia di tengah kecaman global atas serangan negara itu terhadap Ukraina adalah langkah yang berisiko. Pada hari Jumat, geng Conti menerbitkan posting singkat di situs web yang digunakannya untuk membocorkan data organisasi yang telah dikompromikan.

Ia menulis bahwa mereka sepenuhnya mendukung pemerintah Rusia dan bahwa jika ada yang mengorganisir serangan siber terhadap Rusia, ia akan menggunakan semua sumber dayanya untuk menyerang balik “infrastruktur penting musuh.”

Pada hari Senin, posting itu tampaknya telah dihapus. Posting lain yang pada dasarnya mengungkapkan sentimen yang sama telah diterbitkan tetapi dengan tambahan baru yang mencoba meredam posisinya: “Kami tidak bersekutu dengan pemerintah mana pun dan kami mengutuk perang yang sedang berlangsung.”

Risiko terbesar yang datang dari kebocoran ini adalah bahwa afiliasi dan penjahat dunia maya lainnya mungkin tidak ingin bekerja dengan geng yang infrastrukturnya telah disusupi oleh peneliti keamanan dunia maya.

Kebocoran akan menyulitkan Conti untuk melanjutkan, kata Brett Callow, analis ancaman di Emsisoft, sebuah perusahaan keamanan yang berkantor pusat di Selandia Baru yang membantu organisasi pulih dari ransomware.

Sumber : Data Breach Today

Pelanggaran simultan: berurusan dengan dua kelompok ransomware pada hari yang sama

by

Meskipun umum bagi kelompok ransomware untuk menerapkan taktik pemerasan ganda dan tiga kali lipat terhadap korban mereka, sangat jarang beberapa kelompok berbeda menyerang target yang sama pada waktu yang sama.

Menurut Sean Gallagher, Peneliti Ancaman Senior di Sophos, pada awal Desember, penyedia layanan kesehatan di Kanada dihantam oleh dua pelaku ransomware menggunakan taktik yang berbeda.

Sementara kelompok ransomware Karma mengekstrak data tetapi memilih untuk tidak mengenkripsi data karena korban berada dalam perawatan kesehatan, Conti, secara mengejutkan, tidak menahan diri seperti itu.

Menurut laporan itu, kedua penyerang memperoleh akses melalui eksploitasi ProxyShell. ProxyShell adalah rantai serangan yang dirancang untuk mengeksploitasi tiga kerentanan terpisah (CVE-2021-34473, CVE-2021-34523, dan CVE-2021-31207) pada platform Exchange Server Microsoft.

Sementara menurut Gallagher, tidak jarang geng ransomware menggunakan eksploitasi ProxyShell untuk menembus jaringan korban, sangat jarang terlihat beberapa kelompok yang fokus pada target yang sama.

Sophos percaya bahwa broker akses awal kemungkinan menembus jaringan pada 10 Agustus. Tiga bulan kemudian, pada 30 November, Karma muncul dan mengekstrak 52 gigabyte data.

Meskipun geng Karma menjatuhkan catatan ransomware pada 3 Desember, kelompok itu tidak mengenkripsi data milik penyedia layanan kesehatan. Pada saat yang sama, Conti ransomware sedang mengekstrak data. Pada tanggal 4 Desember, grup tersebut menyebarkan ransomware dari server yang disusupi dan data organisasi yang dienkripsi.

18 bulan terakhir penuh dengan serangan siber besar-besaran, seperti peretasan SolarWinds, serangan terhadap Colonial Pipeline, perusahaan pemrosesan daging JBS, dan perusahaan perangkat lunak Kaseya.

Sementara para pakar berbicara tentang demam emas ransomware, penelitian menunjukkan bahwa 74% yang mengejutkan dari semua pendapatan ransomware masuk ke pelaku ancaman yang berafiliasi dengan Rusia tahun lalu.

Dengan kata lain, cryptocurrency senilai sekitar $400 juta akhirnya mengisi kantong penjahat dunia maya yang terhubung ke Rusia dalam beberapa bentuk.

Conti juga merupakan geng ransomware yang terkait dengan Rusia. Setelah Rusia menginvasi Ukraina, kelompok tersebut menyatakan dukungan penuhnya kepada pemerintah Rusia.

Ternyata, tidak semua orang senang dengan pengumuman tersebut. Seorang peretas tak dikenal merilis bocoran komunikasi selama 13 bulan dari anggota grup Conti dan afiliasinya.

“Isi dump [informasi] pertama berisi komunikasi obrolan saat ini, mulai hari ini dari geng ransomware Conti. Kami berjanji itu sangat menarik,” kata pernyataan tentang kebocoran itu.

Sumber : Cybernews

Obrolan internal Conti ransomware bocor setelah berpihak pada Rusia

by

Seorang peneliti keamanan Ukraina telah membocorkan lebih dari 60.000 pesan internal milik operasi ransomware Conti setelah geng tersebut memihak Rusia atas invasi ke Ukraina.

CEO AdvIntel Vitali Kremez, yang telah melacak operasi Conti/TrickBot selama beberapa tahun terakhir, juga mengkonfirmasi kepada bahwa pesan yang bocor itu valid dan diambil dari server log untuk sistem komunikasi Jabber yang digunakan oleh geng ransomware.

Kremez mengatakan bahwa data tersebut dibocorkan oleh seorang peneliti yang memiliki akses ke backend “database ejabberd” untuk server obrolan XMPP Conti. Ini juga dikonfirmasi oleh perusahaan keamanan siber Hold Security.

Total ada 393 file JSON bocor yang berisi total 60.694 pesan sejak 21 Januari 2021 hingga hari ini.

Percakapan Conti yang bocor

Percakapan ini berisi berbagai informasi tentang aktivitas geng, termasuk korban yang sebelumnya tidak dilaporkan, URL kebocoran data pribadi, alamat bitcoin, dan diskusi tentang operasi mereka.

Misalnya, percakapan di bawah ini adalah anggota Conti bertanya-tanya bagaimana BleepingComputer mengetahui serangan mereka terhadap Shutterfly pada bulan Desember.

Percakapan yang dibagikan dengan BleepingComputer tentang Shutterfly

Kremez juga membagikan cuplikan percakapan yang dia temukan membahas bagaimana operasi TrickBot ditutup.

Diskusi tentang penutupan TrickBot

Ada juga percakapan tentang operasi ransomware Diavol Conti/TrickBot dan 239 alamat bitcoin yang berisi pembayaran $13 juta, yang ditambahkan ke situs Ransomwhere.

Kebocoran pesan-pesan ini merupakan pukulan telak bagi operasi ransomware, yang memberikan intelijen sensitif kepada para peneliti dan penegak hukum tentang proses internal mereka.

Awal pekan ini, operasi ransomware Conti menerbitkan sebuah posting blog yang mengumumkan dukungan penuh mereka untuk serangan pemerintah Rusia di Ukraina. Mereka juga memperingatkan bahwa jika ada yang mengorganisir serangan siber terhadap Rusia, geng Conti akan menyerang kembali infrastruktur penting.

Setelah afiliasi Conti Ukraina menjadi marah karena berpihak pada Rusia, geng Conti mengganti pesan mereka dengan yang lain, menyatakan bahwa mereka “tidak bersekutu dengan pemerintah mana pun” dan bahwa mereka “mengutuk perang yang sedang berlangsung.”

Namun, perubahan hati mereka datang terlambat, dan seorang peneliti keamanan Ukraina yang dilaporkan memiliki akses ke server XMPP backend Conti mengirim email ke BleepingComputer dan jurnalis lain malam ini dengan tautan ke data yang bocor.

Di sisi lain, Ukraina telah meminta peneliti sukarelawan dan peretas untuk bergabung dengan “Tentara TI” mereka untuk melakukan serangan siber terhadap target Rusia, dengan banyak yang mendukung seruan tersebut.

Adapun Conti, meskipun kebocoran ini memalukan dan memberikan wawasan luas tentang operasi mereka, kami tidak akan melihat mereka pergi dalam waktu dekat. Dengan mereka baru-baru ini mengambil alih malware BazarBackdoor yang tersembunyi dan menjadi sindikat kejahatan yang sebenarnya, sayangnya, mereka akan terus menjadi ancaman.

Sumber :

Kontraktor Apple dan Tesla Taiwan terkena ransomware Conti

by

Delta Electronics, perusahaan elektronik Taiwan dan penyedia Apple, Tesla, HP, dan Dell, mengungkapkan bahwa mereka adalah korban serangan siber yang ditemukan pada Jumat pagi.

Pada 22 Januari 2022, perusahaan mengatakan insiden itu hanya berdampak pada sistem yang tidak kritis, yang tidak berdampak signifikan pada operasinya. Platform AdvIntel “Andariel” mendeteksi serangan pada 18 Januari.

Saat ini Delta bekerja untuk memulihkan sistem yang rusak selama serangan dan mengatakan telah menyewa jasa pakar keamanan pihak ketiga untuk membantu penyelidikan dan proses pemulihan.

Sementara pernyataan Delta tidak mengatakan siapa yang berada di balik serangan itu, sebuah perusahaan keamanan informasi yang dirahasiakan menemukan sampel ransomware Conti yang disebarkan di jaringan perusahaan, seperti yang dilaporkan pertama kali oleh CTWANT.

Catatan tebusan Delta Electronics Conti (BleepingComputer)

Menurut negosiasi antara Conti dan Delta, operator Conti mengklaim telah mengenkripsi 1.500 server dan 12.000 komputer dari sekitar 65.000 perangkat di jaringan Delta.

Geng ransomware Conti meminta Delta untuk membayar tebusan $15 juta untuk decryptor dan berhenti membocorkan file yang dicuri dari jaringannya. Juga dijanjikan diskon jika perusahaan mau membayar dengan cepat.

Sementara Delta dilaporkan masih bekerja dengan Trend dan tim keamanan Microsoft untuk menyelidiki insiden tersebut dan mengklaim bahwa produksinya tidak terpengaruh, situs webnya masih tidak aktif satu minggu setelah serangan tersebut.

Pelanggan Delta dapat menggunakan domain alternatif ini saat perusahaan menghidupkan kembali situs web utamanya, yang masih down setelah serangan ransomware, seperti yang ditemukan The Record.

“Grup Conti ransomware mengungkapkan bagian pola tertentu dari serangan Delta yang memanfaatkan Cobalt Strike dengan Atera untuk kegigihan seperti yang diungkapkan oleh visibilitas permusuhan platform kami. Tentu saja, serangan ini mengingatkan pada REvil Quanta yang memengaruhi salah satu pemasok Apple,” Vitali Kremez , CEO AdvIntel, mengatakan kepada BleepingComputer.

Conti adalah operasi Ransomware-as-a-Service (RaaS) yang terkait dengan kelompok kejahatan dunia maya Wizard Spider yang berbahasa Rusia.

Sumber : Bleeping Computer

Geng Conti Ransomware Memiliki Rantai Serangan Log4Shell Lengkap

by

Geng Conti ransomware, yang minggu lalu menjadi organisasi crimeware profesional pertama yang mengadopsi dan mempersenjatai kerentanan Log4Shell, kini telah membangun rantai serangan holistik.

Grup Conti yang berbasis di Rusia – yang oleh Palo Alto Networks disebut sebagai “salah satu yang paling kejam” dari lusinan grup ransomware yang saat ini diketahui aktif – berada di tempat yang tepat pada waktu yang tepat dengan alat yang tepat ketika Log4Shell muncul 10 hari yang lalu, kata perusahaan keamanan Advanced Intelligence (AdvIntel) dalam sebuah laporan yang dibagikan kepada Threatpost pada hari Kamis.

Mulai Senin, 20 Desember, rantai serangan telah mengambil bentuk berikut, Yelisey Boguslavskiy dari AdvIntel mengatakan kepada Threatpost: Emotet -> Cobalt Strike -> Human Exploitation -> (tidak ada ADMIN$ share) -> Kerberoast -> vCenter ESXi dengan log4shell memindai vCenter.

Dalam dua hari setelah pengungkapan kerentanan di libraru logging Log4j Apache pada 10 Desember, anggota grup Conti mendiskusikan cara mengeksploitasinya sebagai vektor serangan awal, menurut AdvIntel.

Log4Shell telah menjadi titik fokus bagi pelaku ancaman, termasuk tersangka pelaku negara bangsa yang telah diamati menyelidiki Log4j2, catat para peneliti AdvIntel.

Namun dari semua pelaku ancaman, Conti “memainkan peran khusus dalam lanskap ancaman saat ini, terutama karena skalanya,” jelas mereka. Ini adalah organisasi yang sangat canggih, terdiri dari beberapa tim. AdvIntel memperkirakan bahwa, berdasarkan pemeriksaan log Conti, geng berbahasa Rusia tersebut menghasilkan lebih dari $150 juta selama enam bulan terakhir.

Selengkapnya: Threat Post

TrickBot bekerja sama dengan phisher Shatak untuk serangan ransomware Conti

by

Seorang aktor ancaman yang dilacak sebagai Shatak (TA551) baru-baru ini bermitra dengan geng ITG23 (alias TrickBot dan Wizard Spider) untuk menyebarkan Conti ransomware pada sistem yang ditargetkan.

Operasi Shatak bermitra dengan pengembang malware lain untuk membuat kampanye phishing yang mengunduh dan menginfeksi korban dengan malware.

Para peneliti dari IBM X-Force menemukan bahwa Shatak dan TrickBot mulai bekerja sama pada Juli 2021, dengan hasil yang tampaknya bagus, karena kampanye terus berlanjut hingga hari ini.

Rantai infeksi tipikal dimulai dengan email phishing yang dikirim oleh Shatak, membawa arsip yang dilindungi kata sandi yang berisi dokumen berbahaya.

Menurut laporan bulan Oktober oleh IBM X-Force, Shatak biasanya menggunakan email berantai balasan yang dicuri dari korban sebelumnya dan menambahkan lampiran arsip yang dilindungi kata sandi.

Lampiran ini berisi skrip yang mengeksekusi kode base-64 encoded untuk mengunduh dan menginstal malware TrickBot atau BazarBackdoor dari situs jarak jauh.

Situs distribusi yang digunakan dalam kampanye terbaru berbasis di negara-negara Eropa seperti Jerman, Slovakia, dan Belanda.

Setelah berhasil menerapkan TrickBot dan/atau BazarBackdoor, ITG23 mengambil alih dengan menerapkan suar Cobalt Strike pada sistem yang disusupi, menambahkannya ke task schedule untuk persistance.

Aktor Conti kemudian menggunakan BazarBackdoor yang dijatuhkan untuk pengintaian jaringan, menghitung pengguna, admin domain, komputer bersama, dan sumber daya bersama.

Kemudian mereka mencuri kredensial pengguna, hash kata sandi, dan data Active Directory, dan menyalahgunakan apa yang mereka bisa gunakan untuk menyebar secara lateral melalui jaringan.

Langkah selanjutnya adalah eksfiltrasi data, yang merupakan tahap terakhir sebelum enkripsi file, dengan Conti menggunakan alat ‘Rclone’ untuk mengirim semuanya ke endpoint jarak jauh di bawah kendali mereka.

Setelah mengumpulkan semua data berharga dari jaringan, pelaku ancaman menyebarkan ransomware untuk mengenkripsi perangkat.

Selengkapnya: Bleeping Computer