Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Ransomware

Ransomware

Serangan ransomware Kaseya memicu perlombaan untuk meretas penyedia layanan -peneliti

by

Serangan ransomware pada bulan Juli yang melumpuhkan sebanyak 1.500 organisasi dengan mengkompromikan perangkat lunak manajemen teknologi dari sebuah perusahaan bernama Kaseya telah memicu perlombaan di antara para penjahat yang mencari kerentanan serupa, kata pakar keamanan siber.

Afiliasi dari geng ransomware top berbahasa Rusia yang dikenal sebagai REvil menggunakan dua kelemahan dalam perangkat lunak dari Kaseya yang berbasis di Florida untuk membobol sekitar 50 penyedia layanan terkelola (MSP) yang menggunakan produknya, kata penyelidik.

Sekarang para penjahat melihat betapa kuatnya serangan MSP, “mereka sudah sibuk, mereka sudah pindah dan kita tidak tahu di mana,” kata Victor Gevers, kepala Institut Pengungkapan Kerentanan Belanda nirlaba, yang memperingatkan Kaseya atas kelemahan sebelum serangan.

Gevers mengatakan para penelitinya telah menemukan kerentanan serupa di lebih banyak MSP. Dia menolak menyebutkan nama perusahaan karena mereka belum memperbaiki semua masalah.

Bisnis MSP telah berkembang pesat selama pandemi coronavirus di samping peningkatan pesat dalam pekerjaan jarak jauh.

“Di situlah Anda menemukan akses tepercaya ke sistem pelanggan,” kata Chris Krebs, pemimpin pertama Badan Keamanan Siber dan Keamanan Infrastruktur (CISA) Departemen Keamanan Dalam Negeri AS, yang telah menjadikan ransomware sebagai prioritas utama. “Ini adalah pendekatan yang jauh lebih ekonomis untuk meluncurkan serangan breakout. Dan sulit bagi pelanggan untuk mempertahankannya.”

Selengkapnya: Reuters

‘Situasinya Sangat Serius’: Peretas Ransomware Mengganggu Vaksinasi Covid-19 di Italia

by

Serangkaian serangan siber telah mengganggu vaksinasi COVID-19 di wilayah Lazio Italia—wilayah luas yang mencakup ibu kota negara, Roma.

Serangan, yang tampaknya diluncurkan oleh peretas yang terhubung dengan geng ransomware, untuk sementara melumpuhkan situs web pemerintah Lazio selama akhir pekan, sementara juga melumpuhkan LAZIOCrea, perusahaan pihak ketiga yang bertanggung jawab atas penjadwalan dan pemesanan janji vaksinasi. Data yang terkait dengan basis data kesehatan masyarakat yang besar juga dienkripsi, meskipun pemerintah memiliki cadangan data tersebut, lapor outlet lokal.

ANSA, layanan kabel terkemuka di negara itu, melaporkan bahwa penjahat siber menyusup ke sistem LAZIOCrea sebagai “administrator” dan mampu menyebarkan “malware yang mengenkripsi data pada sistem.” Dalam sebuah posting Facebook, pemerintah setempat mengakui bahwa “operasi yang berkaitan dengan vaksinasi mungkin tertunda” sebagai akibatnya.

“Saat ini kami membela komunitas kami dari serangan teroris ini,” kata Nicola Zingaretti, gubernur Lazio, pada konferensi pers. “Serangan masih berlangsung. Situasinya sangat serius.”

Manajer kesehatan Lazio, Alessio D’Amato, menambahkan bahwa itu adalah “serangan peretas yang sangat kuat, sangat serius… Seluruh CED regional [database] sedang diserang.”

Selengkapnya: Gizmodo

LockBit ransomware merekrut orang dalam untuk menembus jaringan perusahaan

by

Geng ransomware LockBit 2.0 secara aktif merekrut orang dalam perusahaan untuk membantu mereka menembus dan mengenkripsi jaringan. Sebagai imbalannya, orang dalam itu dijanjikan pembayaran jutaan dolar.

Banyak geng ransomware beroperasi sebagai Ransomware-as-a-Service, yang terdiri dari kelompok inti pengembang, yang memelihara ransomware dan situs pembayaran, dan merekrut afiliasi yang melanggar jaringan korban dan mengenkripsi perangkat.

Setiap pembayaran tebusan yang dilakukan korban kemudian dibagi antara kelompok inti dan afiliasi, dengan afiliasi biasanya menerima 70-80% dari jumlah total.

Dengan LockBit 2.0, geng ransomware mencoba menghapus perantara dan merekrut orang dalam untuk memberi mereka akses ke jaringan perusahaan.

Pada bulan Juni, operasi ransomware LockBit mengumumkan peluncuran ransomware-as-a-service LockBit 2.0 baru mereka.

Peluncuran ulang ini mencakup situs Tor yang didesain ulang dan berbagai fitur lanjutan, termasuk mengenkripsi perangkat secara otomatis di jaringan melalui kebijakan grup.

Dengan peluncuran ulang ini, LockBit juga telah mengubah wallpaper Windows yang ditempatkan pada perangkat terenkripsi untuk menawarkan “jutaan dolar” bagi orang dalam perusahaan yang menyediakan akses ke jaringan tempat mereka memiliki akun.

Sumber: BleepingComputer

Selengkapnya: Bleeping Computer

SonicWall memperingatkan risiko ransomware ‘kritis’ untuk peralatan VPN EOL SMA 100

by

SonicWall telah mengeluarkan “pemberitahuan keamanan mendesak” yang memperingatkan pelanggan tentang serangan ransomware yang menargetkan produk-produk Secure Mobile Access (SMA) 100 series dan Secure Remote Access (SRA) yang belum ditambal di akhir masa pakainya.

“Melalui kolaborasi dengan pihak ketiga tepercaya, SonicWall telah disadarkan akan pelaku ancaman yang secara aktif menargetkan produk Secure Mobile Access (SMA) 100 series dan Secure Remote Access (SRA) yang menjalankan produk tanpa patch dan end-of-life (EOL) 8. x firmware dalam kampanye ransomware yang akan segera terjadi menggunakan kredensial curian,” kata perusahaan itu.

Menurut SonicWall, serangan tersebut menargetkan kerentanan yang diketahui yang ditambal di versi firmware yang lebih baru, dan tidak berdampak pada produk seri SMA 1000.

“Organisasi yang gagal mengambil tindakan yang tepat untuk mengurangi kerentanan ini pada produk seri SRA dan SMA 100 mereka berada pada risiko serangan ransomware yang ditargetkan,” SonicWall memperingatkan.

selengkapnya : www.bleepingcomputer.com

Situs web geng ransomware REvil ditutup secara misterius

by

Infrastruktur dan situs web untuk operasi ransomware REvil secara misterius telah offline sejak 12 Juli, 2021.

Operasi ransomware REvil, alias Sodinokibi, beroperasi melalui banyak situs clear web dan situs dark web yang digunakan sebagai situs negosiasi tebusan, situs kebocoran data ransomware, dan infrastruktur backend.

Mulai 12 Juli 2021, situs web dan infrastruktur yang digunakan oleh operasi ransomware REvil telah ditutup secara misterius.

“Dalam istilah sederhana, kesalahan ini umumnya berarti bahwa situs onion sedang offline atau dinonaktifkan. Untuk mengetahui dengan pasti, Anda perlu menghubungi administrator situs onion,” kata Al Smith dari Tor Project kepada BleepingComputer.

Meskipun tidak pernah terdengar bahwa situs REvil kehilangan konektivitas untuk beberapa waktu, semua situs yang ditutup secara bersamaan adalah hal yang tidak biasa.

Selain itu, situs decoder[.]re clear website tidak lagi dapat diselesaikan oleh kueri DNS, mungkin menunjukkan bahwa catatan DNS untuk domain telah ditarik atau infrastruktur DNS backend telah dimatikan.

Kemarin, perwakilan ransomware LockBit memposting ke forum peretasan berbahasa Rusia XSS bahwa dikabarkan geng REvil menghapus server mereka setelah mengetahui panggilan pengadilan pemerintah.

Segera setelah itu, admin XSS melarang ‘Unknown’ REvil, perwakilan geng ransomware yang menghadap publik, dari forum.

Selengkapnya: Bleeping Computer

Kaseya memperbaiki kerentanan VSA yang digunakan dalam serangan ransomware REvil

by

Kaseya telah merilis pembaruan keamanan untuk kerentanan zero-day VSA yang digunakan oleh geng ransomware REvil untuk menyerang MSP dan pelanggan mereka.

Kaseya VSA adalah solusi manajemen dan pemantauan jarak jauh yang biasa digunakan oleh penyedia layanan terkelola untuk mendukung pelanggan mereka. MSP dapat menerapkan VSA di lokasi menggunakan server mereka atau memanfaatkan solusi SaaS berbasis cloud Kaseya.

Pada bulan April, Dutch Institute for Vulnerability Disclosure (DIVD) mengungkapkan tujuh kerentanan pada Kaseya VSA.

Kaseya telah mengimplementasikan patch untuk sebagian besar kerentanan pada layanan VSA SaaS mereka tetapi belum menyelesaikan patch untuk versi lokal VSA.

Sayangnya, geng ransomware REvil mendahului Kaseya dan memanfaatkan kerentanan ini untuk meluncurkan serangan besar-besaran pada 2 Juli terhadap sekitar 60 MSP menggunakan server VSA lokal dan 1.500 pelanggan bisnis.

Sejak serangan itu, Kaseya telah mendesak pelanggan VSA lokal untuk mematikan server mereka sampai patch rilis.

Hampir sepuluh hari setelah serangan, Kaseya akhirnya merilis pembaruan VSA 9.5.7a (9.5.7.2994) untuk memperbaiki kerentanan yang digunakan dalam serangan ransomware REvil.

Namun, Kaseya mendesak pelanggan untuk mengikuti langkah-langkah ‘Panduan Kesiapan Startup VSA Lokal‘ sebelum menginstal pembaruan untuk mencegah pelanggaran lebih lanjut dan memastikan perangkat belum dikompromikan.

Setelah menginstal tambalan, semua pengguna akan diminta untuk mengubah kata sandi mereka menjadi kata sandi yang menggunakan persyaratan kata sandi baru.

Selengkapnya: Bleeping Computer

Pelacak Pembayaran Ransomware Crowdsourced Ini Menunjukkan Berapa Banyak Penjahat Cyber yang Telah Dicuri

by

Serangan Ransomware sedang meningkat, tetapi mengukur cakupan masalah bisa menjadi rumit ketika hanya kasus paling terkenal yang menjadi berita utama. Masuk ke Ransomwhere, pelacak pembayaran ransomware crowdsourced dengan nama kecil yang berarti menyoroti serangan siber yang semakin mengguncang pemerintah dan bisnis di seluruh dunia. Jack Cable, seorang arsitek keamanan di perusahaan konsultan keamanan siber Krebs Stamos Group, meluncurkan situs tersebut pada hari Kamis.

“Hari ini, tidak ada data publik yang komprehensif tentang jumlah total pembayaran ransomware,” tulis Cable di Twitter. “Tanpa data tersebut, kami tidak dapat mengetahui dampak penuh dari ransomware, dan apakah mengambil tindakan tertentu akan mengubah gambaran. Ransomwhere bertujuan untuk mengisi celah itu…”

Cara kerjanya adalah Ransomwhere terus menghitung uang tebusan yang dibayarkan kepada penjahat dunia maya dalam cryptocurrency bitcoin. Ini sebagian besar dimungkinkan karena sifat bitcoin yang transparan: Semua transaksi yang melibatkan cryptocurrency dicatat di blockchain, basis data terdesentralisasi yang bertindak sebagai buku besar publik, sehingga memungkinkan siapa pun untuk melacak transaksi apa pun yang secara khusus terkait dengan grup ransomware.

selengkapnya : gizmodo.com

Singapura melihat lonjakan serangan ransomware dan botnet

by

Singapore Computer Emergency Response Team (SingCERT) tahun lalu menangani 9.080 kasus, naik dari 8.491 pada tahun sebelumnya dan 4.977 pada 2018, menurut laporan terbaru Singapore Cyber Landscape yang dirilis Kamis oleh Cyber Security Agency of Singapore (CSA). Badan pemerintah mencatat bahwa tahun lalu terjadi peningkatan yang nyata dalam ransomware, penipuan online, dan aktivitas phishing COVID-19.

Secara khusus, jumlah serangan ransomware yang dilaporkan mengalami lonjakan signifikan sebesar 154% pada tahun 2020, dengan 89 insiden, dibandingkan dengan 35 pada tahun 2019. Ini sebagian besar mempengaruhi usaha kecil dan menengah (UKM) di berbagai sektor termasuk manufaktur, ritel, dan perawatan kesehatan.

CSA mengaitkan peningkatan kasus ransomware di Singapura dengan wabah ransomware global, di mana serangan semacam itu berubah dari tidak pandang bulu dan bersifat oportunistik menjadi “Perburuan Besar” yang lebih bertarget. Penjahat dunia maya juga beralih ke taktik ransomware-as-a-service dan “kebocoran dan rasa malu”, kata agensi tersebut.

Disebutkan bahwa jumlah serangan server command-and-control (C&C) berbahaya juga tumbuh 94% menjadi 1.026 insiden yang dilaporkan tahun lalu. Ini sebagian didorong oleh peningkatan server semacam itu yang mendistribusikan malware Emotet dan Cobalt Strike, yang merupakan sepertiga dari malware di server C&C.

Sekitar 6.600 botnet drone dengan alamat IP Singapura diidentifikasi setiap hari tahun lalu, naik dari 2.300 pada 2019. CSA mengungkapkan bahwa varian malware Mirai dan Gamarue lazim di antara botnet yang terinfeksi pada 2020, dengan malware sebelumnya menargetkan terutama perangkat Internet of Things (IoT).

Selengkapnya: ZDNet