Ransomware

MediaMarkt terkena ransomware Hive, tebusan awal $240 juta

November 11, 2021 by Mally

Raksasa ritel elektronik MediaMarkt telah menderita ransomware Hive dengan permintaan tebusan awal sebesar $240 juta, menyebabkan sistem TI ditutup dan operasi toko terganggu di Belanda dan Jerman.

MediaMarkt adalah pengecer elektronik konsumen terbesar di Eropa, dengan lebih dari 1.000 toko di 13 negara. MediaMarkt mempekerjakan sekitar 53.000 karyawan dan memiliki total penjualan €20,8 miliar.

MediaMarkt mengalami serangan ransomware Minggu malam hingga Senin pagi yang mengenkripsi server dan workstation dan menyebabkan penutupan sistem TI untuk mencegah penyebaran serangan.

Sementara penjualan online terus berfungsi seperti yang diharapkan, mesin kasir tidak dapat menerima kartu kredit atau mencetak tanda terima di toko yang terkena dampak. Pemadaman sistem juga mencegah pengembalian barang karena ketidakmampuan untuk mencari pembelian sebelumnya.

Media lokal melaporkan bahwa komunikasi internal MediaMarkt memberi tahu karyawan untuk menghindari sistem terenkripsi dan memutuskan mesin kasir dari jaringan.

BleepingComputer telah mengkonfirmasi bahwa operasi Hive Ransomware berada di balik serangan itu dan awalnya menuntut jumlah uang tebusan yang sangat besar, tetapi tidak realistis, $ 240 juta untuk menerima decryptor untuk file terenkripsi.

Meskipun tidak jelas apakah data yang tidak terenkripsi telah dicuri sebagai bagian dari serangan, ransomware Hive diketahui mencuri file dan mempublikasikannya di situs kebocoran data ‘HiveLeaks’ jika uang tebusan tidak dibayarkan.

Selengkapnya: Bleeping Computer

Perusahaan perangkat lunak medis mendesak pengaturan ulang kata sandi setelah serangan ransomware

November 10, 2021 by Mally

Medatixx, vendor perangkat lunak medis Jerman yang produknya digunakan di lebih dari 21.000 institusi kesehatan, mendesak pelanggan untuk mengubah kata sandi aplikasi mereka setelah serangan ransomware yang telah sangat mengganggu seluruh operasinya.

Perusahaan mengklarifikasi bahwa dampaknya belum mencapai klien dan terbatas pada sistem TI internal mereka dan tidak boleh memengaruhi PVS (sistem manajemen praktik) mereka.

Namun, karena tidak diketahui data apa yang dicuri selama serangan, pelaku ancaman mungkin telah memperoleh kata sandi pelanggan Medatixx.

Oleh karena itu, Medatixx merekomendasikan agar pelanggan melakukan langkah-langkah berikut untuk memastikan perangkat lunak manajemen praktik mereka tetap aman:

Ubah kata sandi pengguna pada perangkat lunak praktik (petunjuk).
Ubah kata sandi masuk Windows di semua workstation dan server (petunjuk).
Ubah kata sandi konektor TI (petunjuk).

Perusahaan menjelaskan bahwa langkah di atas adalah tindakan pencegahan, tetapi mereka harus diterapkan sesegera mungkin.

Serangan ransomware pada Mediatixx terjadi minggu lalu, dan perusahaan masih dalam pemulihan, sejauh ini hanya berhasil memulihkan sistem email dan telepon pusat.

Belum ada perkiraan kapan perusahaan akan kembali beroperasi normal.

Belum diketahui apakah pelaku berhasil melakukan eksfiltrasi data klien, dokter, atau pasien. Namun, perusahaan menyatakan bahwa mereka memberi tahu otoritas perlindungan data Jerman tentang insiden tersebut dan akan mengeluarkan pembaruan setelah penyelidikan selesai.

Selengkapnya: Bleeping Computer

Penangkapan Ransomware REvil, Penyitaan $6 juta dan Hadiah $10 juta

November 10, 2021 by Mally

Departemen Kehakiman AS hari ini mengumumkan penangkapan pria Ukraina yang dituduh menyebarkan ransomware atas nama geng ransomware REvil, sebuah kolektif penjahat dunia maya berbahasa Rusia yang telah memeras ratusan juta dari organisasi korban. DOJ mengatakan telah menyita $6,1 juta dalam cryptocurrency yang dikirim ke afiliasi REvil lainnya, Departemen Luar Negeri AS sekarang menawarkan hingga $10 juta untuk nama atau lokasi setiap pemimpin REvil utama, dan hingga $5 juta untuk informasi tentang REvil afiliasi.

Yaroslav Vasinskyi, warga negara Ukraina berusia 22 tahun yang dituduh sebagai Afiliasi REvil #22. Vasinskyi ditangkap 8 Oktober di Polandia, Jaksa mengatakan Vasinskyi terlibat dalam sejumlah serangan ransomware REvil, termasuk serangan Juli 2021 terhadap Kaseya, sebuah perusahaan yang berbasis di Miami yang produknya membantu administrator sistem mengelola jaringan besar dari jarak jauh.

Vasinskyi menggunakan berbagai nama peretas, termasuk “Profcomserv” nama panggilan di balik layanan online yang membanjiri nomor telepon dengan panggilan sampah dengan biaya tertentu. Jaksa mengatakan Vasinskyi juga menggunakan moniker “Yarik45,” dan “Yaroslav2468.”

Dua nama panggilan terakhir ini sesuai dengan akun di beberapa forum kejahatan dunia maya teratas pada tahun 2013, di mana pengguna bernama “Yaroslav2468” mendaftar menggunakan alamat email yarik45@gmail.com.

Alamat email itu digunakan untuk mendaftarkan akun di Vkontakte (Facebook/Meta versi Rusia) dengan nama profil “Yaroslav ‘jual darah css’ Vasinskyi.” Profil Vkontakte Vasinskyi mengatakan kotanya saat ini pada 3 Oktober adalah Lublin, Polandia. Mungkin mengejek, halaman profil Vasinskyi juga mencantumkan nomor telepon 1-800 FBI sebagai nomor telepon kontaknya. Dia sekarang ditahan di Polandia, menunggu ekstradisi ke Amerika Serikat.

Bukti #2: Yevgeniy Igorevich Polyanin, warga negara Rusia berusia 28 tahun yang diduga sebagai Afiliasi REvil #23. DOJ mengatakan telah menyita $6,1 juta dana yang dapat dilacak ke dugaan pembayaran uang tebusan yang diterima oleh Polyanin, dan bahwa terdakwa telah terlibat dalam serangan ransomware REvil pada beberapa organisasi korban di AS.

Surat dakwaan Polyanin (PDF) mengatakan dia juga menyukai banyak peretas, termasuk LK4D4, Damnating, Damn2life, Noolleds, dan Antunpitre. Beberapa nama panggilan ini sudah ada lebih dari satu dekade di forum kejahatan dunia maya Rusia, banyak di antaranya telah diretas dan dihapus dari basis data pengguna mereka selama bertahun-tahun.

Di antara mereka adalah carder[.]su, dan database forum itu mengatakan seorang pengguna dengan nama “Damnating” terdaftar di forum pada tahun 2008 menggunakan alamat email damnating@yandex.ru. Benar saja, ada profil Vkontakte yang terkait dengan alamat email itu dengan nama “Yevgeniy ‘sialan’ Polyanin” dari Barnaul, sebuah kota di wilayah Siberia selatan Rusia.

Departemen Luar Negeri AS mengatakan pihaknya menawarkan hadiah hingga $10 juta untuk informasi yang mengarah ke identifikasi atau lokasi setiap individu yang memegang posisi kepemimpinan kunci dalam grup ransomware REvil. Departemen tersebut mengatakan bahwa pihaknya juga menawarkan hadiah hingga $5 juta untuk informasi yang mengarah pada penangkapan dan/atau hukuman di negara mana pun dari individu mana pun yang berkonspirasi untuk berpartisipasi atau mencoba berpartisipasi dalam insiden ransomware REvil.

krebsonsecurity

Eksploitasi Microsoft Exchange ProxyShell yang digunakan untuk menyebarkan ransomware Babuk

November 5, 2021 by Mally

Aktor ancaman baru meretas server Microsoft Exchange dan menerobos jaringan perusahaan menggunakan kerentanan ProxyShell untuk menyebarkan Ransomware Babuk.

Serangan ProxyShell terhadap server Microsoft Exchange yang rentan dimulai beberapa bulan yang lalu, dengan LockFile dan Conti menjadi salah satu kelompok ransomware pertama yang mengeksploitasinya.

Menurut sebuah laporan oleh para peneliti di Cisco Talos, afiliasi ransomware Babuk yang dikenal sebagai ‘Tortilla’ telah bergabung dengan klub pada bulan Oktober, ketika aktor tersebut mulai menggunakan web shell ‘China Chopper’ di server Exchange yang dilanggar.

Nama Tortilla didasarkan pada executable berbahaya yang terlihat dalam kampanye menggunakan nama Tortilla.exe.

Dimulai dengan Exchange

Serangan ransomware Babuk dimulai dengan DLL, atau .NET executable yang dijatuhkan di server Exchange menggunakan kerentanan ProxyShell. Proses pekerja Exchange IIS w3wp.exe kemudian mengeksekusi muatan berbahaya ini untuk menjalankan perintah PowerShell yang dikaburkan yang menampilkan perlindungan titik akhir yang melewati, yang akhirnya menjalankan permintaan web untuk mengambil pemuat muatan bernama ‘tortilla.exe.’

Pemuat ini akan terhubung ke ‘pastebin.pl’ dan mengunduh muatan yang dimuat ke dalam memori dan disuntikkan ke dalam proses NET Framework, yang pada akhirnya mengenkripsi perangkat dengan Babuk Ransomware.

Meskipun analis Cisco menemukan bukti eksploitasi kerentanan ProxyShell di sebagian besar merupakan infeksi, terutama web shell ‘China Chopper’, data telemetri mencerminkan spektrum luas dari upaya eksploitasi.

Lebih khusus lagi, Tortilla mengikuti jalur ini untuk menghapus modul DLL dan NET:

Microsoft Exchange menemukan upaya pemalsuan permintaan sisi server secara otomatis
Upaya eksekusi kode jarak jauh injeksi Atlassian Confluence OGNL
Upaya eksekusi kode jarak jauh Apache Struts
Akses wp-config.php WordPress melalui upaya traversal direktori
Upaya bypass otentikasi SolarWinds Orion
Upaya eksekusi perintah jarak jauh Oracle WebLogic Server
Upaya deserialisasi objek Java sewenang-wenang Liferay

Serangan ini bergantung pada kerentanan yang ditambal, maka sangat disarankan agar admin meningkatkan server mereka ke versi terbaru untuk mencegahnya dieksploitasi dalam serangan.

Menggunakan Babuk dalam serangan baru

Babuk Locker adalah operasi ransomware yang diluncurkan pada awal 2021 ketika mulai menargetkan bisnis dan mengenkripsi data mereka dalam serangan pemerasan ganda.

Setelah melakukan serangan terhadap Departemen Kepolisian Metropolitan (MPD) Washinton DC, dan merasakan panas dari penegakan hukum AS, geng ransomware menutup operasi mereka.

Setelah kode sumber untuk versi pertama Babu dan pembuatnya bocor di forum peretasan, pelaku ancaman lainnya mulai memanfaatkan ransomware untuk meluncurkan serangan mereka sendiri.

Tidak jelas apakah Tortilla adalah afiliasi dari Babuk saat RaaS aktif atau apakah mereka hanya mengambil kode sumber strain ketika keluar untuk melakukan serangan baru.

Namun, karena catatan tebusan yang digunakan dalam serangan ini meminta uang $10.000 yang rendah di Monero, kemungkinan itu tidak dilakukan oleh operasi Babuk yang asli, yang menuntut uang tebusan yang jauh lebih besar dalam Bitcoin.

Menargetkan AS

Meskipun peneliti Talos melihat beberapa serangan di Jerman, Thailand, Brasil, dan Inggris, sebagian besar target Tortilla berbasis di AS.

I.P. alamat server unduhan terletak di Moskow, Rusia, yang dapat menunjukkan asal serangan ini, tetapi tidak ada kesimpulan atribusi dalam laporan tersebut. Domain ‘pastebin.pl’ yang digunakan untuk tahap pembongkaran sebelumnya telah disalahgunakan oleh kampanye distribusi AgentTesla dan FormBook.

Meskipun decryptor sebelumnya dirilis untuk ransomware Babuk, ia hanya dapat mendekripsi korban yang kunci pribadinya merupakan bagian dari kebocoran kode sumber.

Oleh karena itu, pelaku ancaman dapat terus menggunakan ransomware Babuk untuk meluncurkan operasi mereka sendiri, seperti ypelaku ancaman Tortilla.

SUMBER : Bleeping Computer

10 Cara Penyerang Ransomware Menekan Anda Untuk Membayar Uang Tebusan

November 4, 2021 by Mally

Di masa lalu, ransomware adalah masalah yang relatif mudah. Seorang penyerang akan melanggar organisasi dan mengenkripsi data penting. Tanpa cadangan yang andal atau terbaru, organisasi itu akan memiliki beberapa pilihan selain membayar uang tebusan dengan harapan data akan didekripsi.

Sekarang, bagaimanapun, organisasi menjadi lebih rajin membuat cadangan data penting, yang berarti mereka cenderung tidak membayar uang tebusan. Akibatnya, penjahat dunia maya telah beralih ke trik yang lebih agresif dan kuat untuk menuntut agar uang tebusan dibayarkan.

1. Bersumpah untuk merilis data secara publik

Bahkan jika korban memiliki cadangan yang andal, mereka mungkin merasakan tekanan untuk membayar uang tebusan daripada mengambil risiko malu dan kemungkinan terlibat hukum jika data bocor.

2. Menghubungi karyawan secara langsung

Untuk lebih menekan organisasi, penyerang akan menghubungi eksekutif senior dan karyawan lain untuk memperingatkan mereka bahwa data pribadi mereka akan bocor jika uang tebusan tidak dibayarkan.

Menghubungi mitra, pelanggan, dan media

Dalam kasus lain, penyerang akan menjangkau mitra bisnis, pelanggan dan bahkan media dan memberitahu mereka untuk mendesak korban untuk membayar.

Memperingatkan korban untuk tidak menghubungi penegak hukum

Banyak organisasi akan menghubungi aparat penegak hukum atau pihak lain untuk meminta bantuan mereka dalam menyelesaikan insiden tersebut. Langkah tersebut dapat membantu korban memulihkan data mereka tanpa membayar uang tebusan. Khawatir karena ini, banyak penjahat akan memperingatkan korban mereka untuk tetap diam.

Memperkerjakan orang dalam

Beberapa penjahat akan mencoba meyakinkan karyawan atau orang dalam untuk membantu mereka menyusup ke organisasi untuk melakukan serangan ransomware. Harapannya adalah mereka akan menemukan beberapa karyawan yang tidak puas atau tidak jujur yang dengan sukarela mengeksploitasi majikan mereka sendiri.

Selengkapnya: Tech Republic

Waspada Ransomware dari Alt List Minecraft Palsu

November 3, 2021 by Mally

Kelompok Chaos Ransomware mengenkripsi perangkat Windows gamer melalui daftar alternatif Minecraft palsu yang dipromosikan di forum game.

Minecraft adalah video game kotak pasir yang sangat populer saat ini dimainkan oleh lebih dari 140 juta orang, dan menurut angka penjualan Nintendo, game ini merupakan gim terlaris di Jepang.

Disamarkan Sebagai File Teks ‘Alt List’
Menurut para peneliti di FortiGuard, varian ransomware Chaos yang baru ditemukan sedang didistribusikan sementara di Jepang, mengenkripsi file pemain Minecraft dan menjatuhkan catatan tebusan.

Iming-iming yang digunakan oleh aktor ancaman adalah file teks ‘Alt List’ yang diduga berisi kredensial akun Minecraft yang dicuri, tetapi pada kenyataannya, Chaos ransomware dapat dieksekusi.

Pemain Minecraft yang ingin menjebak atau membuat sedih pemain lain tanpa risiko akun mereka diblokir terkadang akan menggunakan ‘Alt List’ untuk menemukan akun curian yang dapat mereka gunakan untuk pelanggaran yang dapat diblokir.

Karena popularitasnya, Alt List selalu diminati dan biasanya dibagikan secara gratis atau melalui generator akun otomatis yang memasok komunitas dengan akun “backup”.

Saat mengenkripsi korban, ransomware Chaos akan menambahkan empat karakter atau digit acak sebagai ekstensi ke file terenkripsi.

Ransomware juga akan mengeluarkan catatan tebusan bernama ‘ReadMe.txt,’ di mana pelaku ancaman meminta 2.000 yen (~ $ 17,56) dalam kartu pra-bayar.

Varian khusus dari Chaos Ransomware ini dikonfigurasi untuk mencari sistem yang terinfeksi untuk jenis file berbeda yang lebih kecil dari 2ΜΒ dan mengenkripsinya.

Namun, jika file lebih besar dari 2MB akan menyuntikkan byte acak ke dalam file, membuatnya tidak dapat dipulihkan bahkan jika uang tebusan dibayarkan.

Karena sifat serangan yang merusak, mereka yang membayar uang tebusan hanya dapat memulihkan file yang lebih kecil.

Alasan untuk fungsi ini tidak jelas, dan dapat disebabkan oleh pengkodean yang buruk, konfigurasi yang salah, atau dengan sengaja merusak file pemain.

Dalam kampanye khusus ini, aktor ancaman mempromosikan file teks untuk menciptakan rasa aman yang salah sambil menukarnya pada akhirnya dengan file yang dapat dieksekusi.

Pengguna harus curiga dan tidak mengeksekusi file apa pun yang mereka unduh dari Internet kecuali mereka mempercayai situs tersebut dan telah memindainya dengan alat seperti VirusTotal.

sumber: BLEEPING COMPUTER

Library NPM Berbahaya Memasang Ransomware Pencuri Kata Sandi

October 29, 2021 by Mally

Paket NPM berbahaya yang berpura-pura menjadi library Roblox mengirimkan ransomware dan trojan pencuri kata sandi pada pengguna yang tidak menaruh curiga.

Kedua paket NPM diberi nama noblox.js-proxy dan noblox.js-proxies, dan menggunakan salah ketik untuk berpura-pura menjadi pembungkus Roblox API yang sah yang disebut noblox.js-proksi dengan mengubah satu huruf dalam nama library.

Malicious noblox.js-proxies NPM (sumber: Bleeping Computer)

Dalam laporan baru oleh perusahaan keamanan open source Sonatype dengan analisis lebih lanjut oleh BleepingComputer, NPM berbahaya ini menginfeksi korban dengan ransomware MBRLocker yang meniru ransomware GoldenEye yang terkenal, trollware, dan trojan pencuri kata sandi.

Kedua Library NPM berbahaya telah dihapus dan tidak lagi tersedia.

Kekacauan Aktivitas Malicious
Setelah libraby NPM berbahaya ditambahkan ke proyek dan diluncurkan, library akan menjalankan skrip postinstall.js. Skrip ini biasanya digunakan untuk menjalankan perintah yang sah setelah library diinstal, tetapi dalam kasus ini, skrip ini memulai rantai aktivitas jahat di komputer korban.

Seperti yang Anda lihat di bawah, skrip postinstall.js sangat dikaburkan untuk mencegah analisis oleh peneliti keamanan dan perangkat lunak.

Obfuscated postinstall.js script (sumber: Bleeping Computer)

Saat dieksekusi, skrip akan meluncurkan file batch yang sangat dikaburkan yang disebut ‘nobox.bat,’ yang ditunjukkan di bawah ini.

Obfuscated noblox.bat batch file (sumber: Bleeping Computer)

File batch ini didekodekan oleh peneliti keamanan Sonatype Juan Aguirre dan akan mengunduh berbagai malware dari Discord dan meluncurkannya dengan bantuan bypass UAC fodhelper.exe

File yang diunduh oleh file batch noblox.bat tercantum di bawah ini sesuai urutan penginstalannya, bersama dengan tautan VirusTotal dan deskripsi tindakannya.

exclude.bat – Menambahkan pengecualian Microsoft Defender untuk tidak memindai file di bawah drive C:\.
legion.exe – Menyebarkan trojan pencuri kata sandi yang mencuri riwayat browser, cookie, kata sandi yang disimpan, dan upaya untuk merekam video melalui webcam internal.
000.exe – Trollware yang mengubah nama pengguna saat ini menjadi ‘UR NEXT,’ memutar video, mengubah kata sandi pengguna, dan mencoba menguncinya dari sistem mereka.
tunamor.exe – Menginstal MBRLocker yang disebut ‘Monster Ransomware,’ yang meniru ransomware GoldenEye.

Rakasa Ransomware MBRLocker
Yang menarik adalah executable ‘tunamor.exe’, yang menginstal MBRLocker yang menyebut dirinya ‘Monster Ransomware.’

Ketika dieksekusi, ransomware akan melakukan restart paksa komputer dan kemudian menampilkan CHKDSK palsu dari sistem. Selama proses ini, ransomware diduga mengenkripsi disk di komputer.

Setelah selesai, komputer akan reboot dan menampilkan layar kunci tengkorak dan tulang bersilang yang awalnya ditemukan di keluarga ransomware Petya/GoldenEye.

Setelah menekan enter, korban diperlihatkan layar yang menyatakan bahwa hard disk mereka dienkripsi dan mereka harus mengunjungi situs http://monste3rxfp2f7g3i.onion/ Tor, yang sekarang sedang down, untuk membayar uang tebusan.

BleepingComputer menemukan string ‘qVwaofRW5NbLa8gj’, yang diterima sebagai kunci yang valid untuk mendekripsi komputer. Namun, sementara kuncinya diterima dan ransomware menyatakan itu mendekripsi komputer, Windows akan gagal untuk memulai sesudahnya.

Tidak jelas apakah string tambahan harus ditambahkan ke kunci itu untuk mendekripsi drive hard disk dengan benar atau apakah program ini hanya penghapus yang dirancang untuk menghancurkan sistem.

Ransomware ini tampaknya tidak tersebar luas dan hanya diketahui didistribusikan melalui paket NPM ini.

Berdasarkan aktivitas 000.exe trollware dan perilaku aneh ransomware Monster, kemungkinan paket ini dirancang untuk menghancurkan sistem daripada menghasilkan permintaan tebusan.

NPM berbahaya yang digunakan dalam serangan rantai pasokan, seperti ini, menjadi lebih umum.

Sonatype baru-baru ini menemukan tiga library NPM berbahaya yang digunakan untuk menyebarkan cryptominers di perangkat Linux dan Windows.

Jumat lalu, library UA-Parser-JS NPM yang sangat populer dibajak untuk menginfeksi pengguna dengan penambang dan trojan pencuri kata sandi.

sumber: Bleeping Computer

Gratis! Telah Rilis Babuk Ransomware Decryptor untuk Memulihkan File

October 29, 2021 by Mally

Perusahaan perangkat lunak keamanan siber Ceko, Avast, telah membuat dan merilis alat dekripsi untuk membantu korban ransomware Babuk memulihkan file mereka secara gratis.

Menurut Avast Threat Labs, dekripsi Babuk dibuat menggunakan kode sumber dan kunci dekripsi yang bocor.

Decryptor gratis dapat digunakan oleh korban Babuk yang filenya dienkripsi menggunakan ekstensi berikut: .babuk, .babyk, .doydo.

Korban ransomware Babuk dapat mengunduh alat dekripsi dari server Avast dan mendekripsi seluruh partisi sekaligus menggunakan instruksi yang ditampilkan dalam antarmuka pengguna dekripsi.

Dari pengujian BleepingComputer, decryptor ini kemungkinan hanya akan bekerja untuk korban yang kuncinya bocor sebagai bagian dari dump kode sumber Babuk.

Ransomware dan Kunci Dekripsi Bocor
Kode sumber ransomware lengkap geng Babuk bocor di forum peretasan berbahasa Rusia bulan lalu oleh aktor ancaman yang mengaku sebagai anggota kelompok ransomware.

Keputusan untuk membocorkan kode tersebut dilatarbelakangi oleh dugaan anggota Babu yang mengidap penyakit kanker stadium akhir. Dia mengatakan dalam posting kebocorannya bahwa dia memutuskan untuk merilis kode sumber sementara mereka harus “hidup seperti manusia.”

Arsip bersama berisi berbagai proyek ransomware Visual Studio Babuk untuk VMware ESXi, NAS, dan Windows encryptors, dengan folder Windows berisi kode sumber lengkap untuk Windows encryptor, decryptor, dan apa yang tampak seperti generator kunci pribadi dan publik.

Termasuk dalam kebocoran itu juga encryptors dan decryptors yang dikompilasi untuk korban tertentu dari geng ransomware.

Setelah kebocoran tersebut, CTO Emsisoft dan pakar ransomware Fabian Wosar mengatakan kepada BleepingComputer bahwa kode sumbernya sah dan arsip tersebut mungkin juga berisi kunci dekripsi untuk korban sebelumnya.

Sejarah Babuk yang Bermasalah
Babuk Locker, juga dikenal sebagai Babyk dan Babuk, adalah operasi ransomware yang diluncurkan pada awal 2021 ketika mulai menargetkan bisnis untuk mencuri dan mengenkripsi data mereka sebagai bagian dari serangan pemerasan ganda.

Setelah serangan mereka di Departemen Kepolisian Metropolitan (MPD) Washington DC, mereka mendarat di rambut salib penegak hukum AS dan mengaku telah menutup operasi mereka setelah mulai merasakan panas.

Setelah serangan ini, ‘Admin’ geng tersebut diduga ingin membocorkan data MPD yang dicuri secara online untuk publisitas, sementara anggota lainnya menentangnya.

Setelah ini, anggota Babuk terpecah, dengan admin asli meluncurkan forum kejahatan dunia maya Ramp dan yang lainnya meluncurkan kembali ransomware dengan nama Babuk V2, terus menargetkan dan mengenkripsi korban sejak saat itu.

Tepat setelah peluncuran forum cybercrime Ramp, itu menjadi sasaran serangkaian serangan DDoS yang akhirnya menyebabkan situs menjadi tidak dapat digunakan.

Sementara Admin Babuk menyalahkan mantan rekannya atas insiden ketiga, tim Babuk V2 mengatakan kepada BleepingComputer bahwa mereka tidak berada di balik serangan tersebut.