Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Egregor

Egregor

Pengembang Ransomware merilis Egregor, kunci dekripsi master Maze

by

Ransomware Maze mulai beroperasi pada Mei 2019 dan dengan cepat menjadi terkenal karena mereka bertanggung jawab atas penggunaan pencurian data dan taktik pemerasan ganda yang sekarang digunakan oleh banyak operasi ransomware.

Setelah Maze mengumumkan penutupannya pada Oktober 2020, mereka berganti nama pada September sebagai Egregor, yang kemudian menghilang setelah anggotanya ditangkap di Ukraina.

Maju cepat 14 bulan kemudian, dan kunci dekripsi untuk operasi ini sekarang telah bocor di forum BleepingComputer oleh pengguna bernama ‘Topleak’ yang mengaku sebagai pengembang untuk ketiga operasi tersebut.

Poster tersebut mengatakan bahwa ini adalah kebocoran yang direncanakan dan tidak terkait dengan operasi penegakan hukum baru-baru ini yang telah menyebabkan penyitaan server dan penangkapan afiliasi ransomware.

Mereka lebih lanjut menyatakan bahwa tidak ada anggota tim mereka yang akan kembali ke ransomware dan bahwa mereka menghancurkan semua kode sumber untuk ransomware mereka.

Forum post leaking Maze, Egregor, and Sekhmet decryption keys
Source: BleepingComputer

Postingan tersebut menyertakan tautan unduhan untuk file 7zip dengan empat arsip yang berisi kunci dekripsi Maze, Egregor, dan Sekhmet, dan kode sumber untuk malware ‘M0yv’ yang digunakan oleh geng ransomware.

Arsip yang berisi kunci dekripsi yang bocor
Sumber: BleepingComputer

Masing-masing arsip ini berisi kunci enkripsi master publik dan kunci dekripsi master pribadi yang terkait dengan “iklan” tertentu, atau afiliasi dari operasi ransomware.

Michael Gillespie dan Fabian Wosar dari Emsisoft telah meninjau kunci dekripsi dan mengonfirmasi ke BleepingComputer bahwa kunci tersebut sah dan dapat digunakan untuk mendekripsi file yang dienkripsi oleh tiga keluarga ransomware.

Gillespie memberi tahu kami bahwa kunci tersebut digunakan untuk mendekripsi kunci terenkripsi korban yang disematkan dalam catatan tebusan.

Encrypted key in Maze ransom note
Source: BleepingComputer

Emsisoft telah merilis decryptor untuk memungkinkan korban Maze, Egregor, dan Sekhmet yang telah menunggu untuk memulihkan file mereka secara gratis.

Emsisoft decryptor for Maze, Egregor, and Sekhmet

Untuk menggunakan dekripsi, korban akan memerlukan catatan tebusan yang dibuat selama serangan karena berisi kunci dekripsi terenkripsi.

Arsip juga menyertakan kode sumber untuk ‘modular x86/x64 file infector’ M0yv yang dikembangkan oleh operasi ransomware Maze dan digunakan sebelumnya dalam serangan.

“Juga ada sedikit kode sumber yang tidak berbahaya dari file infector file EPO polimorfik x86/x64 modular m0yv yang terdeteksi di alam liar sebagai virus Win64/Expiro, tetapi sebenarnya bukan expiro, tetapi mesin AV mendeteksinya seperti ini, jadi tidak ada satu hal pun di dalamnya. sama dengan gazavat,” kata pengembang ransomware dalam posting forum.

Cuplikan kode sumber untuk malware M0yv
Sumber: BleepingComputer

File todo.txt menunjukkan kode sumber untuk malware ini terakhir diperbarui pada 19 Januari 2022.

Selengkapnya : Bleeping Computer

FBI mengirimkan peringatan pertamanya tentang ‘afiliasi ransomware’

by

Biro Investigasi Federal AS hari ini telah menerbitkan nasihat publik pertamanya yang merinci modus operandi “afiliasi ransomware.”

Istilah yang relatif baru, afiliasi ransomware mengacu pada orang atau kelompok yang menyewa akses ke platform Ransomware-as-a-Service (RaaS), mengatur intrusi ke dalam jaringan perusahaan, mengenkripsi file dengan “ransomware sewaan”, dan kemudian mendapatkan komisi dari pemerasan yang berhasil.

Dengan nama OnePercent Group, FBI mengatakan hari ini aktor ancaman ini telah aktif setidaknya sejak November 2020.

Menurut laporan FBI, secara historis, kelompok tersebut terutama mengandalkan taktik berikut untuk serangannya:

  • Menggunakan kampanye email phishing untuk menginfeksi korban dengan trojan IcedID.
  • Menggunakan trojan IcedID untuk menyebarkan muatan tambahan pada jaringan yang terinfeksi.
  • Menggunakan penetration testing framework Cobalt Strike untuk bergerak secara lateral melintasi jaringan korban.
  • Menggunakan RClone untuk mengekstrak data sensitif dari server korban.
  • Data terenkripsi dan meminta tebusan.
  • Menelepon atau mengirim email kepada korban untuk mengancam akan menjual data curian mereka di web gelap jika mereka tidak membayar tepat waktu.

Meskipun FBI tidak secara spesifik menyebut grup tersebut sebagai afiliasi ransomware, sumber di industri keamanan siber mengatakan kepada The Record bahwa OnePercent telah lama berkolaborasi dengan pencipta dan operator ransomware REvil (Sodinokibi) dan juga bekerja dengan operasi Maze dan Egregor.

Selengkapnya: The Record

Operator ransomware Egregor ditangkap di Ukraina

by

Anggota dari ransomware Egregor telah ditangkap minggu ini di Ukraina, stasiun radio Prancis France Inter melaporkan pada hari Jumat, mengutip sumber penegakan hukum.

Penangkapan tersebut, yang belum diumumkan secara resmi, merupakan hasil penyelidikan bersama antara polisi Prancis dan Ukraina.

Nama-nama tersangka belum dirilis. France Inter mengatakan tersangka yang ditangkap memberikan dukungan hacking, logistik, dan keuangan untuk geng Egregor.

Geng Egregor, yang mulai beroperasi pada September 2020, beroperasi berdasarkan model Ransomware-as-a-Service (RaaS). Mereka menyewakan akses ke jenis ransomware yang sebenarnya, tetapi mereka mengandalkan geng kejahatan siber lain untuk mengatur intrusi ke jaringan perusahaan dan menyebarkan ransomware.

Para korban yang menolak membayar biaya pemerasan sering kali terdaftar di situs yang disebut “situs kebocoran”, dengan harapan mempermalukan mereka agar membayar permintaan tebusan. Para korban yang tidak membayar seringkali memiliki dokumen dan file internal yang dibagikan di situs kebocoran Egregor sebagai hukuman.

Menurut laporan France Inter, para tersangka yang ditangkap dipercayai beberapa “afiliasi” (atau mitra) dari geng Egregor, yang membantu menopang operasinya.

France Inter mengatakan pihak berwenang Prancis terlibat dalam penyelidikan setelah beberapa perusahaan besar Prancis dilanda Egregor tahun lalu, seperti studio game Ubisoft dan perusahaan logistik Gefco.

Selengkapnya: ZDNet

Transaksi blockchain mengonfirmasi pemandangan ransomware yang suram dan saling berhubungan

by

Sebuah laporan yang diterbitkan oleh firma investigasi blockchain Chainalysis mengonfirmasi bahwa kelompok kejahatan siber yang terlibat dalam serangan ransomware tidak beroperasi dalam gelembung mereka sendiri tetapi sering mengganti pemasok ransomware (layanan RaaS) untuk mencari keuntungan yang lebih baik.

Laporan tersebut menganalisis bagaimana dana Bitcoin ditransfer dari korban ke kelompok kriminal, dan bagaimana uang itu dibagi di antara berbagai pihak yang terlibat dalam serangan ransomware, dan bagaimana uang itu akhirnya dicuci.

Lanskap ransomware telah berevolusi dari tahun-tahun sebelumnya dan sekarang menjadi kumpulan dari berbagai kelompok kriminal, masing-masing menyediakan layanannya sendiri yang sangat terspesialisasi satu sama lain, seringkali di berbagai penyedia RaaS (Ransomware-as-a-Service) yang berbeda.

Laporan Chainalysis mengkonfirmasi teori informal ini dengan bukti kriptografi yang tak terbantahkan yang ditinggalkan oleh transaksi Bitcoin yang telah terjadi di antara beberapa kelompok ini.

Misalnya, berdasarkan grafik di bawah ini, Chainalysis mengatakan menemukan bukti yang menunjukkan bahwa afiliasi untuk Maze RaaS yang sekarang sudah tidak berfungsi juga terlibat dengan SunCrypt RaaS.

Sumber: Chainalysis

Temuan serupa juga menunjukkan hubungan antara operasi Egregor dan DoppelPaymer.

Sumber: Chainalysis

Dan yang tak kalah pentingnya, peneliti Chainalysis juga menemukan bukti bahwa operator operasi Maze dan Egregor juga menggunakan layanan pencucian uang dan broker over-the-counter yang sama untuk mengubah dana curian menjadi mata uang fiat.

Sumber: Chainalysis

Sumber: ZDNet

FBI memperingatkan Egregor ransomware yang memeras bisnis di seluruh dunia

by

Biro Investigasi Federal AS (FBI) telah mengirimkan peringatan peringatan keamanan kepada perusahaan sektor swasta bahwa operasi ransomware Egregor secara aktif menargetkan dan memeras bisnis di seluruh dunia.

FBI mengatakan dalam TLP: WHITE Private Industry Notification (PIN) yang dibagikan pada hari Rabu bahwa Egregor mengklaim telah menyerang dan membahayakan lebih dari 150 korban sejak agensi tersebut pertama kali mengamati aktivitas jahat ini pada September 2020.

Email phishing dengan lampiran berbahaya dan Remote Desktop Protocol (RDP) yang tidak aman atau Virtual Private Networks adalah beberapa vektor serangan yang digunakan oleh aktor Egregor untuk mendapatkan akses dan bergerak secara lateral dalam jaringan korban mereka.

Egregor menggunakan Cobalt Strike, Qakbot / Qbot, Advanced IP Scanner, dan AdFind untuk eskalasi hak istimewa dan pergerakan jaringan lateral.

FBI juga membagikan daftar langkah-langkah mitigasi yang direkomendasikan yang akan membantu mempertahankan diri dari serangan Egregor:

  • Cadangkan data penting secara offline.
  • Pastikan salinan data penting ada di cloud atau di hard drive eksternal atau perangkat penyimpanan.
  • Amankan cadangan Anda dan pastikan data tidak dapat diakses untuk modifikasi atau penghapusan dari sistem tempat data berada.
  • Instal dan perbarui perangkat lunak anti-virus atau anti-malware secara teratur di semua host.
  • Hanya gunakan jaringan yang aman dan hindari menggunakan jaringan Wi-Fi publik.
  • Gunakan otentikasi dua faktor dan jangan klik pada lampiran atau tautan yang tidak diminta dalam email.
  • Prioritaskan penambalan produk dan aplikasi akses jarak jauh yang dapat diakses publik, termasuk kerentanan RDP terbaru (CVE-2020-0609, CVE-2020-0610, CVE-2020-16896, CVE-2019-1489, CVE-2019-1225, CVE-2019 -1224, CVE-2019-1108).
  • Tinjau file .bat dan .dll yang mencurigakan, file dengan data pengintaian (seperti file .log), dan alat eksfiltrasi.
  • Konfigurasikan RDP secara aman dengan membatasi akses, menggunakan otentikasi multi-faktor atau kata sandi yang kuat.

Sumber: Bleeping Computer

Pengecer nasional Kmart mengalami serangan ransomware

by

Diberitakan oleh BleepingComputer, department store AS Kmart telah mengalami serangan ransomware yang berdampak pada layanan back-end di perusahaan tersebut.

Kmart mengalami serangan siber oleh operasi ransomware Egregor minggu ini yang mengakibatkan perangkat dan server di jaringan mereka terinkripsi.

Catatan tebusan yang dibagikan dengan BleepingComputer menunjukkan bahwa domain Windows ‘KMART’ disusupi dalam serangan itu.

Sementara toko online terus beroperasi, ‘Situs Sumber Daya Manusia Transformco,’ 88sears.com, saat ini sedang offline. Karyawan mengatakan bahwa pemadaman ini disebabkan oleh serangan ransomware baru-baru ini.

Egregor dikenal karena mencuri file yang tidak dienkripsi sebelum menyebarkan ransomware mereka. Operasi ransomware kemudian mengancam untuk memposting data di situs kebocoran data ransomware jika uang tebusan tidak dibayarkan.

Tidak diketahui apakah penyerang mencuri data, berapa banyak perangkat yang dienkripsi, atau jumlah tebusan yang diminta oleh kelompok kejahatan siber Egregor.

Sumber: Bleeping Computer

Ransomware: Varian baru ini bisa menjadi ancaman malware besar berikutnya bagi bisnis Anda

by

Bentuk baru ransomware menjadi semakin produktif karena penjahat dunia maya menggunakannya sebagai cara yang disukai untuk mengenkripsi jaringan yang rentan dalam upaya mengeksploitasi bitcoin dari para korban. Egregor ransomware pertama kali muncul pada bulan September tetapi telah menjadi terkenal setelah beberapa insiden terkenal, termasuk serangan terhadap penjual buku Barnes & Noble, serta perusahaan video game Ubisoft dan Crytek.

Seperti semua geng ransomware, motif utama di balik Egregor adalah uang dan untuk mendapatkan kesempatan terbaik untuk memeras pembayaran, geng tersebut menggunakan taktik umum yang umum terjadi setelah serangan ransomware – mengancam untuk merilis informasi pribadi yang dicuri dari sekian korban jika mereka tidak membayar. Dalam beberapa kasus, penyerang akan merilis potongan informasi dengan catatan tebusan, sebagai bukti kesungguhan mereka.

Salah satu alasan Egregor tiba-tiba melonjak jumlahnya tampaknya karena itu mengisi celah yang dibiarkan terbuka oleh pengunduran diri geng ransomware Maze. Egregor ransomware masih baru, jadi belum sepenuhnya jelas bagaimana operatornya menyusupi jaringan korban. Para peneliti mencatat bahwa kode tersebut sangat dikaburkan dengan cara yang tampaknya dirancang secara khusus untuk menghindari tim keamanan informasi dapat menganalisis malware.

Organisasi dapat melindungi diri mereka sendiri dari ransomware Egregor dan serangan malware lainnya dengan menggunakan protokol keamanan informasi seperti otentikasi multi-faktor, jadi jika nama pengguna dan kata sandi disusupi oleh penyerang, ada penghalang tambahan yang mencegah mereka untuk mengeksploitasinya. Dan untuk lapisan perlindungan ekstra terhadap serangan ransomware, organisasi harus secara teratur membuat cadangan jaringan mereka dan menyimpannya secara offline, jadi jika yang terburuk terjadi dan jaringan dienkripsi, itu dapat dipulihkan secara relatif tanpa menyerah pada tuntutan pemerasan dari peretas.

sumber : ZDNET

Egregor ransomware membombardir printer korban dengan catatam tebusan

by

Ransomware Egregor menggunakan pendekatan baru untuk menarik perhatian korban setelah serangan – ambil catatan tebusan dari semua printer yang tersedia.

Geng ransomware tahu bahwa banyak bisnis lebih suka menyembunyikan serangan ransomware daripada mempublikasikannya, termasuk kepada karyawan, karena takut akan berita yang memengaruhi harga saham dan reputasi mereka.

Untuk meningkatkan kesadaran publik atas serangan tersebut dan menekan korban agar membayar, operasi Egregor diketahui berulang kali mencetak catatan tebusan dari semua jaringan dan printer lokal yang tersedia setelah serangan terjadi.

Menurut BleepingComputer, mereka dapat mengonfirmasi bahwa itu bukan ransomware yang dapat menjalankan pencetakan catatan tebusan.

Sebaliknya, diyakini bahwa penyerang ransomware menggunakan skrip di akhir serangan untuk mencetak catatan tebusan ke semua printer yang tersedia.

Skrip ini belum ditemukan pada saat penulisan.

Sumber: Bleeping Computer