Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for geng ransomware

geng ransomware

Ransomware LockBit Mengklaim Menyerang Porto de Lisboa

by

Serangan dunia maya yang menghantam Port of Lisbon Administration (APL), pelabuhan terbesar ketiga di Portugal, pada hari Natal telah diklaim oleh geng ransomware LockBit.

Pelabuhan Lisbon adalah bagian dari infrastruktur penting di ibu kota Portugal, menjadi salah satu pelabuhan yang paling banyak diakses di Eropa, karena lokasinya yang strategis, dan melayani kapal kontainer, kapal pesiar, dan kapal pesiar.

Menurut pernyataan perusahaan yang dibagikan kepada media lokal pada hari Senin, serangan siber tidak berdampak pada operasi pelabuhan.

LockBit mengancam data leak
APL tidak mengungkapkan sifat serangan dunia maya dalam pengumuman tersebut, tetapi grup ransomware LockBit menambahkan organisasi tersebut ke situs pemerasannya kemarin, sehingga mengklaim serangan tersebut.

Geng ransomware mengklaim telah mencuri laporan keuangan, audit, anggaran, kontrak, informasi kargo, log kapal, detail kru, PII pelanggan (informasi identitas pribadi), dokumentasi pelabuhan, korespondensi email, dan banyak lagi.

Grup telah menerbitkan sampel data yang dicuri tetapi BleepingComputer tidak dapat memverifikasi keabsahannya.

LockBit mengancam akan menerbitkan semua file yang mereka curi selama penyusupan komputer pada 18 Januari 2022, jika tuntutan pembayaran mereka tidak dipenuhi.

Port of Lisbon listed in LockBit 3.0 Tor site (BleepingComputer)

Geng LockBit saat ini berada di versi ketiga dari enkripsi mereka yang menggerakkan proyek RaaS (ransomware sebagai layanan) yang terkenal, dan salah satu geng paling produktif tahun ini.

Serangan penting lainnya baru-baru ini dari LockBit menargetkan Continental, raksasa otomotif multinasional, yang terdaftar di situs Tor geng ransomware pada November 2022.

Minggu ini, media Jepang menyebarkan desas-desus bahwa departemen kejahatan dunia maya dari kepolisian Jepang membantu setidaknya tiga perusahaan domestik memulihkan sistem mereka secara gratis setelah serangan LockBit 3.0.

Sumber : BleepingComputer

Kelompok Ransomware Vice Society Beralih ke Enkripsi Baru

by

Operasi ransomware Vice Society telah beralih menggunakan enkripsi ransomware khusus yang mengimplementasikan skema enkripsi hibrid yang kuat berdasarkan NTRUEncrypt dan ChaCha20-Poly1305.

Vice Society pertama kali muncul pada musim panas 2021, ketika mereka mulai mencuri data dari jaringan perusahaan dan mengenkripsi perangkat. Pelaku ancaman kemudian akan melakukan serangan pemerasan ganda, mengancam akan mempublikasikan data jika uang tebusan tidak dibayarkan.

Encyrptor “PolyVice” Baru
Strain PolyVice baru, begaimanapun, memberikan serangan Vice Society tabda tangan unik, menambahkan ekstensi “.ViceSociety” ke file yang terkunci dan menjatuhkan catatan tebusan bernama AllYFilesAE’.

Vice Society ransom note
Sumber: BleepingComputer

Analisis SentinelOne mengungkapkan bahwa PolyVice memiliki kesamaan kode yang luas dengan rensomware Chilly dan ransomware SunnyDay, engan kecocokan 100% pada fungsi

Similarity between Chilly and PolyVice (SentinelOne)

Perbedaannya terletak pada detail khusus kampanye seperti ekstensi file, nama catatan tebusan, kunci master hardcode, wallpaper, dll., yang mendukung hipotesis vendor umum.

“Ini memungkinkan pembeli untuk menyesuaikan ransomware mereka tanpa mengungkapkan kode sumber apa pun. Tidak seperti pembuat RaaS lain yang dikenal, pembeli dapat membuat muatan bermerek, memungkinkan mereka menjalankan program RaaS mereka sendiri.”

Enkripsi Hybrid
PolyVice menggunakan skema enkripsi hibrid yang menggabungkan enkripsi asimetris dengan algoritme NTRUEncrypt dan enkripsi simetris dengan algoritme ChaCha20-Poly1305.

Saat peluncuran, payload mengimpor kunci publik NTRU 192-bit yang dibuat sebelumnya dan kemudian menghasilkan pasangan kunci pribadi NTRU 112-bit acak pada sistem yang disusupi, yang unik untuk setiap korban.

Enkripsi pasangan kunci privat NTRU (SentinelOne)

PolyVice ransomware adalah biner 64-bit yang menggunakan multi-threading untuk enkripsi data simetris paralel, memanfaatkan prosesor korban secara penuh untuk mempercepat proses enkripsi.

Selain itu, setiap pekerja PolyVice membaca konten file untuk menentukan pengoptimalan kecepatan apa yang dapat diterapkan di setiap kasus. Pengoptimalan ini bergantung pada ukuran file, dengan PolyVice menerapkan enkripsi intermiten secara selektif.

  • File yang lebih kecil dari 5MB sepenuhnya dienkripsi
  • File antara 5MG dan 100MB dienkripsi sbegaian, memecahnya menjadi potongan kedua.
  • File yang lebih bedsar dari 100MB dipecah menjadi sepuluh potongan yang terdistribusi secara merata, dan 2,5MB dari setiap potongan dienkripsi

Kesimpulannya, temuan SentinelOne lebih lanjut menggarisbawahu tren outsourcing di ruang angkasa, dengan geng ransomware membayar spesialis untuk menciptakan alat yang canggih dan berkinerja tinggi.

sumber : BleepingComputer

Kelompok Ransomware Menggunakan Eksploit Microsoft Exchange Baru Untuk Menembus Server

by

Pelaku ancaman ransomware Play menggunakan rantai eksploit baru yang melewati mitigasi penulisan ulang URL ProxyNotShell untuk mendapatkan eksekusi kode jarak jauh (RCE) pada server yang rentan melalui Outlook Web Access (OWA).

Perusahaan cybersecurity CrowdStrike melihat eksploit (dijuluki OWASSRF) saat menyelidiki serangan ransomware Play di mana server Microsoft Exchange yang disusupi digunakan untuk menyusup ke jaringan korban.

Untuk menjalankan perintah sewenang-wenang pada server yang disusupi, operator ransomware memanfaatkan Remote PowerShell untuk menyalahgunakan CVE-2022-41082, bug yang sama yang dieksploitasi oleh ProxyNotShell.

Sementara ProxyNotShell mengeksploitasi target CVE-2022-41040, CrowdStrike menemukan bahwa kelemahan yang disalahgunakan oleh eksploit yang baru ditemukan kemungkinan besar adalah CVE-2022-41080, sebuah kelemahan keamanan yang ditandai oleh Microsoft sebagai kritis dan tidak dieksploitasi secara liar yang memungkinkan eskalasi hak istimewa jarak jauh di server Exchange .

OWASSRF PoC exploit (BleepingComputer)

CVE-2022-41080 ditemukan dan dilaporkan oleh zcgonvh dengan 360 noah lab dan rskvp93, Q5Ca, dan nxhoang99 dengan VcsLab dari Viettel Cyber Security.

OWASSRF PoC exploit leaked online
Sementara peneliti keamanan CrowdStrike bekerja mengembangkan kode proof-of-concept (PoC) mereka sendiri untuk mencocokkan info log yang ditemukan saat menyelidiki serangan ransomware Play baru-baru ini, peneliti ancaman Huntress Labs Dray Agha menemukan dan membocorkan alat pelaku ancaman secara online, pada bulan Desember tanggal 14.

CrowdStrike percaya bahwa eksploitasi proof-of-concept digunakan untuk menjatuhkan alat akses jarak jauh seperti Plink dan AnyDesk di server yang disusupi.

Sejak diluncurkan pada bulan Juni, puluhan korban ransomware Play telah mengunggah sampel atau catatan tebusan ke platform ID Ransomware untuk mengidentifikasi ransomware apa yang digunakan untuk mengenkripsi data mereka.

Aktifitas Play Ransomware (ID Ransomware)

Saat ini, tidak ada kebocoran data yang terkait dengan ransomware ini atau indikasi apa pun bahwa data apa pun dicuri selama serangan.

Korban baru-baru ini yang terkena afiliasi ransomware Play termasuk jaringan hotel Jerman H-Hotels, kota Antwerpen di Belgia, dan Pengadilan Córdoba di Argentina.

sumber : bleeping computer

FBI memperingatkan serangan ransomware Vice Society di distrik sekolah

by

FBI, CISA, dan MS-ISAC hari ini memperingatkan distrik sekolah AS yang semakin menjadi sasaran kelompok ransomware Vice Society, dengan lebih banyak serangan diperkirakan terjadi setelah awal tahun ajaran baru.

Mereka juga “mengantisipasi serangan dapat meningkat saat tahun ajaran 2022/2023 dimulai dan kelompok ransomware kriminal melihat peluang untuk serangan yang berhasil.”

Penasihat memberikan indikator kompromi (IOCs) dan taktik, teknik, dan prosedur (TTPs) yang diamati oleh FBI dalam serangan baru-baru ini pada September 2022.

Serangan terhadap sektor pendidikan, terutama yang menargetkan taman kanak-kanak hingga lembaga K-12, berdampak besar pada operasi mereka, mulai dari akses terbatas ke jaringan dan data, ujian yang tertunda, dan hari-hari sekolah yang dibatalkan hingga pencurian informasi pribadi milik siswa dan sekolah. staf.

Salah satu serangan tersebut diungkapkan hari ini oleh Los Angeles Unified (LAUSD), distrik sekolah terbesar kedua di AS, setelah serangan ransomware menjatuhkan beberapa sistem Teknologi Informasi (TI) selama akhir pekan—LAUSD belum mengaitkan serangan tersebut ke geng ransomware tertentu.

Pembela jaringan disarankan untuk mengambil langkah-langkah untuk mempertahankan dan membatasi dampak serangan ransomware, termasuk memprioritaskan dan memulihkan kerentanan yang diketahui dieksploitasi, melatih pengguna mereka untuk mengenali dan melaporkan upaya phishing yang biasa digunakan sebagai vektor serangan awal, dan mengaktifkan dan menerapkan otentikasi multifaktor.

FBI juga meminta para korban untuk membagikan catatan dan informasi lain yang terkait dengan serangan tersebut.

“FBI mencari informasi apa pun yang dapat dibagikan, untuk memasukkan log batas yang menunjukkan komunikasi ke dan dari alamat IP asing, contoh catatan tebusan, komunikasi dengan aktor Vice Society, informasi dompet Bitcoin, file dekripsi, dan/atau sampel jinak dari file terenkripsi,” kata badan penegak hukum federal.

Vice Society adalah kelompok ancaman yang dikenal menyebarkan beberapa jenis ransomware di jaringan korban mereka, seperti ransomware Hello Kitty/Five Hands dan Zeppelin.

Mereka juga mencuri data sensitif dari sistem yang disusupi sebelum enkripsi dan kemudian menggunakannya untuk pemerasan ganda, mengancam korbannya untuk membocorkan data yang dicuri jika permintaan tebusan mereka tidak dibayar.

Salah satu korban kelompok baru-baru ini adalah Universitas Kedokteran Austria Innsbruck yang terpaksa mengatur ulang semua 3.400 kata sandi akun siswa dan 2.200 karyawan setelah gangguan layanan TI yang parah dan data yang dicuri dalam serangan itu bocor di situs kebocoran data geng.

Analis ancaman Emsisoft Brett Callow mengatakan bahwa serangan ransomware telah mengganggu pendidikan di sekitar 1.000 universitas, perguruan tinggi, dan sekolah selama tahun 2021.

Sumber: Bleeping Computer

Ransomware BlackCat mengklaim serangan terhadap agen energi Italia

by

Geng ransomware BlackCat/ALPHV mengaku bertanggung jawab atas serangan yang menghantam sistem agen energi Italia Gestore dei Servizi Energetici SpA (GSE) selama akhir pekan.

GSE adalah perusahaan milik publik yang mempromosikan dan mendukung sumber energi terbarukan (RES) di seluruh Italia.

GSE mengungkapkan bahwa situs web dan sistemnya diturunkan untuk memblokir penyerang mendapatkan akses ke data setelah mendeteksi serangan pada Minggu malam—situs web GSE masih tidak aktif, hampir seminggu setelah insiden tersebut.

Sebelum pengungkapan GSE, grup ransomware BlackCat menambahkan entri baru ke situs kebocoran data web gelapnya yang mengklaim telah mencuri sekitar 700GB file dari server badan energi Italia.

Para penyerang mengatakan bahwa file yang dicuri berisi data rahasia, termasuk kontrak, laporan, informasi proyek, dokumen akuntansi, dan dokumentasi internal lainnya.

Serangan ini menyusul insiden lain yang melibatkan Eni SpA, perusahaan energi terbesar di Italia, dengan lebih dari 31.000 karyawan yang beroperasi di pasar nasional dan internasional.

Eni SpA juga mengungkapkan bahwa baru-baru ini diretas sebagai bagian dari serangan siber yang menurut perusahaan memiliki konsekuensi kecil pada operasinya.

Awal tahun ini, BlackCat juga mengatakan berada di balik serangan ransomware terhadap Creos Luxembourg S.A., jaringan pipa gas alam dan operator jaringan listrik dari Eropa Tengah, dan perusahaan pemasok bensin Jerman Oiltanking.

Situs GSE masih down (BleepingComputer)

Operasi ransomware BlackCat/ALPHV diluncurkan pada November 2021 dan diyakini sebagai rebrand dari geng DarkSide/BlackMatter.

Geng ransomware pertama kali mendapatkan ketenaran sebagai DarkSide setelah menyerang Colonial Pipeline dan mendarat di garis bidik penegakan hukum internasional.

Meskipun mereka berganti nama menjadi BlackMatter pada Juli 2021, mereka dengan cepat terpaksa ditutup lagi pada November, setelah server geng disita dan Emsisoft menemukan dan mengeksploitasi kelemahan ransomware untuk membuat decryptor.

Grup ini dianggap sebagai salah satu ancaman ransomware paling signifikan yang saat ini menargetkan perusahaan di seluruh dunia.

Sejauh ini, telah dikaitkan dengan serangan terhadap perusahaan seperti penyedia layanan penanganan kargo maskapai Swissport dan grup mode Moncler.

Baru-baru ini, BlackCat juga telah mengembangkan taktik pemerasannya, meluncurkan basis data baru yang dapat dicari dari data curian yang membuat serangan pemerasan ganda kelompok itu semakin merusak korban.

Pada bulan April, FBI memperingatkan bahwa BlackCat memiliki “jaringan dan pengalaman luas dengan operasi ransomware” karena mereka telah melanggar lebih dari 60 entitas di seluruh dunia antara November 2021 dan Maret 2022.

Sumber: Bleeping Computer

Geng ransomware LockBit menjadi agresif dengan taktik pemerasan tiga kali

by

Geng ransomware LockBit mengumumkan bahwa mereka meningkatkan pertahanan terhadap serangan denial-of-service (DDoS) terdistribusi dan bekerja untuk membawa operasi ke tingkat pemerasan tiga kali lipat.

Geng baru-baru ini mengalami serangan DDoS, diduga atas nama raksasa keamanan digital Entrust, yang mencegah akses ke data yang dipublikasikan di situs kebocoran perusahaannya.

Data dari Entrust dicuri oleh ransomware LockBit dalam serangan pada 18 Juni. Perusahaan mengkonfirmasi insiden tersebut dan memberitahu bahwa data telah dicuri.

Entrust tidak membayar uang tebusan dan LockBit mengumumkan bahwa mereka akan mempublikasikan semua data yang dicuri pada 19 Agustus. Namun, ini tidak terjadi, karena situs kebocoran geng tersebut terkena serangan DDoS yang diyakini terhubung ke Entrust.

Awal pekan ini, LockBitSupp, figur publik dari operasi ransomware LockBit, mengumumkan bahwa grup tersebut kembali berbisnis dengan infrastruktur yang lebih besar untuk memberikan akses ke kebocoran yang tidak terpengaruh oleh serangan DDoS.

Serangan DDoS akhir pekan lalu yang menghentikan sementara kebocoran data Entrust dipandang sebagai peluang untuk mengeksplorasi taktik pemerasan rangkap tiga untuk menerapkan lebih banyak tekanan pada korban untuk membayar uang tebusan.

LockBitSupp mengatakan bahwa operator ransomware sekarang ingin menambahkan DDoS sebagai taktik pemerasan selain mengenkripsi data dan membocorkannya.

Geng juga berjanji untuk membagikan lebih dari 300GB data yang dicuri dari Entrust sehingga “seluruh dunia akan tahu rahasia Anda.”

Juru bicara LockBit mengatakan bahwa mereka akan membagikan kebocoran data Entrust secara pribadi dengan siapa pun yang menghubungi mereka sebelum membuatnya tersedia melalui torrent.

Tampaknya LockBit telah menepati janjinya dan merilis torrent akhir pekan ini yang disebut “entrust.com” dengan file 343GB.

Lockbit ransomware bocor Entrust data
sumber: Artie Yamamoto

Operator ingin memastikan bahwa data Entrust tersedia dari berbagai sumber dan, selain mempublikasikannya di situs mereka, mereka juga membagikan torrent melalui setidaknya dua layanan penyimpanan file, dengan salah satunya tidak lagi tersedia.

Salah satu metode yang sudah diterapkan untuk mencegah serangan DDoS lebih lanjut adalah dengan menggunakan tautan unik dalam catatan tebusan untuk para korban.

Mereka juga mengumumkan peningkatan jumlah mirror dan server duplikat, dan rencana untuk meningkatkan ketersediaan data yang dicuri dengan membuatnya dapat diakses melalui clearnet juga, melalui layanan penyimpanan antipeluru.

Lockbit ransomware changes after suffering DDoS attack
source: BleepingComputer

Operasi ransomware LockBit telah aktif selama hampir tiga tahun, sejak September 2019. Pada saat penulisan, situs kebocoran data LockBit aktif dan berjalan.

Geng itu mendaftarkan lebih dari 700 korban dan Entrust adalah salah satunya, dengan data perusahaan bocor pada 27 Agustus.

Sumber: Bleeping Computer

BlackCat Menambahkan Penerbit Elden Ring Sebagai Korban Terbarunya

by

Bandai Namco, penerbit Jepang di balik game Ace Combat, Dragon Ball Z, dan Dark Souls, tampaknya menjadi perusahaan game besar terbaru yang mengalami peretasan besar. Kelompok ransomware BlackCat menambahkan penerbit Elden Ring ke daftar korbannya hari ini, meskipun belum jelas tingkat kerusakan atau berapa banyak uang yang diminta kelompok itu.

Bandai Namco tidak segera menanggapi permintaan komentar. Vx-underground sebelumnya telah melaporkan peretasan lain, termasuk Lapsu$ yang terkenal, sebelum perusahaan itu sendiri mengonfirmasinya.

Grup pengawas ransomware DarkFeed juga membagikan tangkapan layar peretasan yang diklaim BlackCat sebelumnya hari ini. Vx-underground dan DarkFeed juga tidak segera menanggapi permintaan komentar.

BlackCat, yang anggotanya diyakini juga terlibat dalam peretasan Colonial Pipeline tahun lalu, telah meningkatkan serangan ransomware, menurut beberapa analis keamanan komputer serta FBI.

Baru-baru ini, peretasan telah mengakibatkan BlackCat memposting data karyawan pribadi secara online jika para korban menolak untuk membayar. Di masa lalu, kelompok tersebut telah menuntut jutaan, dan menargetkan distrik sekolah dan entitas publik lainnya selain perusahaan nirlaba.

Jika sah, ini akan menjadi yang terbaru dari serangkaian peretasan baru-baru ini di perusahaan game besar. Capcom dipukul pada akhir 2020, dengan beberapa rilis yang tidak diumumkan yang akan datang seperti Dragon’s Dogma 2 bocor pada saat itu.

Peretasan produsen chip grafis Nvidia yang sekarang terkenal akhirnya membocorkan banyak proyek game besar lainnya seperti Kingdom Hearts 4. CD Projekt Red, studio Polandia di belakang The Witcher 3 dan Cyberpunk 2077, memiliki data karyawan dan kode sumber untuk salah satu gamenya dicuri pada awal 2021. Bahkan penerbit FIFA Electronic Arts dipukul, dengan para pelaku yang diduga mencoba membuat outlet media Vice memeras perusahaan atas namanya.

Tidak jelas berapa banyak peningkatan yang tampak dalam pelanggaran keamanan disebabkan oleh teknik baru yang digunakan oleh peretas vs. tantangan yang lebih besar yang dihadapi perusahaan ketika pindah ke bekerja dari rumah selama pandemi global. Capcom menyalahkan sebagian dari kerentanannya pada pekerjaan jarak jauh.

Pada saat yang sama, jaringan blockchain yang menampung raksasa game crypto Axie Infinity mengalami salah satu peretasan paling mahal dalam sejarah awal tahun ini, dilaporkan semua karena seorang karyawan jatuh ke skema phishing yang rumit.

Awal tahun ini, Bandai Namco membuat server untuk Dark Souls I, II, dan III offline setelah eksploitasi eksekusi kode jarak jauh (RCE) yang berbahaya ditemukan.

Sumber: Kotaku

Geng Ransomware sekarang meretas situs web perusahaan untuk menampilkan catatan tebusan

by

Geng ransomware membawa pemerasan ke tingkat yang baru dengan meretas situs web perusahaan secara publik untuk menampilkan catatan tebusan secara publik.

Strategi pemerasan baru ini dilakukan oleh Industrial Spy, geng pemerasan data yang baru-baru ini mulai menggunakan ransomware sebagai bagian dari serangan mereka.

Sebagai bagian dari serangan mereka, Industrial Spy akan menembus jaringan, mencuri data, dan menyebarkan ransomware di perangkat. Pelaku ancaman kemudian mengancam akan menjual data yang dicuri di pasar Tor mereka jika uang tebusan tidak dibayarkan.

Contoh catatan tebusan mata-mata industri
Sumber: BleepingComputer

Hari ini, Industrial Spy mulai menjual data yang mereka klaim dicuri dari perusahaan Prancis bernama SATT Sud-Est seharga $500.000.

Seperti yang pertama kali diketahui oleh peneliti keamanan MalwareHunterTeam, serangan ini menonjol karena pelaku juga meretas situs web perusahaan untuk menampilkan pesan peringatan bahwa 200GB telah dicuri dan akan segera dijual jika korban tidak membayar uang tebusan.

SATT Sud-Est dirusak untuk menunjukkan catatan tebusan
Sumber: BleepingComputer

Ketika geng ransomware memeras korban, mereka biasanya memberi mereka waktu singkat, biasanya beberapa minggu, untuk bernegosiasi dan membayar uang tebusan sebelum mereka mulai membocorkan data.

Selama proses negosiasi ini, pelaku ancaman berjanji untuk merahasiakan serangan, memberikan kunci dekripsi, dan menghapus semua data jika uang tebusan dibayarkan.

Setelah periode ini, pelaku ancaman akan menggunakan berbagai metode untuk meningkatkan tekanan, termasuk serangan DDoS di situs web perusahaan, mengirim email kepada pelanggan dan mitra bisnis, dan menelepon eksekutif dengan ancaman.

Taktik ini semua dilakukan secara pribadi atau dengan eksposur minimal di situs kebocoran data mereka, yang biasanya hanya dikunjungi oleh peneliti keamanan siber dan media.

Sementara taktik ini di luar norma, memungkinkan geng ransomware untuk memberikan tekanan lebih lanjut pada korban, karena mendorong serangan menjadi sorotan di mana pelanggan dan mitra bisnis dapat lebih mudah melihatnya.

Namun, tidak diyakini bahwa taktik baru ini akan digunakan secara luas karena server web biasanya tidak di-host di jaringan perusahaan melainkan dengan penyedia hosting.

Oleh karena itu, pelaku ancaman perlu menemukan kerentanan di situs web atau mendapatkan akses ke kredensial saat mereka mencuri data dari jaringan internal.

Sumber: Bleeping Computer