Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Ransomware

Ransomware

Peretas ransomware Colonial pipeline memiliki senjata rahasia: perusahaan keamanan siber yang mempromosikan diri sendiri

by

Pada 11 Januari, perusahaan antivirus Bitdefender mengatakan “dengan senang hati mengumumkan” terobosan yang mengejutkan. Mereka telah menemukan cacat pada ransomware yang digunakan oleh geng yang dikenal sebagai DarkSide untuk membekukan jaringan komputer dari lusinan bisnis di AS dan Eropa. Perusahaan yang menghadapi tuntutan dari DarkSide dapat mengunduh alat gratis dari Bitdefender dan menghindari membayar jutaan dolar sebagai tebusan kepada para peretas.

Tetapi Bitdefender bukanlah yang pertama mengidentifikasi kekurangan ini. Dua peneliti lain, Fabian Wosar dan Michael Gillespie, telah memperhatikannya sebulan sebelumnya dan diam-diam mulai mencari korban untuk ditolong.

Dengan mempublikasikan alatnya, Bitdefender memberi tahu DarkSide tentang kesalahan tersebut, yang melibatkan penggunaan kembali kunci digital yang sama untuk mengunci dan membuka banyak korban. Keesokan harinya, DarkSide menyatakan bahwa mereka telah memperbaiki masalah, dan bahwa “perusahaan baru tidak memiliki harapan apa pun”.

“Terima kasih kepada BitDefender untuk membantu memperbaiki masalah kami,” kata DarkSide. “Ini akan membuat kami lebih baik.”

DarkSide segera membuktikan bahwa itu bukanlanh gertakan, melepaskan serangkaian serangan. Bulan ini, hal itu melumpuhkan Colonial Pipeline Co., mendorong penutupan pipa sepanjang 5.500 mil yang membawa 45% bahan bakar yang digunakan di East Coast — dengan cepat diikuti oleh kenaikan harga bensin, panik membeli gas di seluruh Tenggara, dan penutupan ribuan pompa bensin.

Insiden tersebut juga menunjukkan bagaimana perusahaan antivirus yang ingin membuat nama untuk dirinya sendiri terkadang melanggar salah satu aturan utama dari permainan kucing-dan-tikus perang dunia maya: Jangan biarkan lawan Anda tahu apa yang Anda ketahui.

Wosar mengatakan bahwa merilis alat secara publik, seperti yang dilakukan Bitdefender, menjadi lebih berisiko karena uang tebusan telah melonjak dan geng-geng tersebut menjadi lebih kaya dan lebih mahir secara teknis.

Pada masa-masa awal ransomware, ketika peretas membekukan komputer rumah untuk beberapa ratus dolar, mereka sering kali tidak dapat menentukan bagaimana kodenya rusak kecuali jika cacat tersebut secara khusus ditunjukkan kepada mereka.

Saat ini, pencipta ransomware “memiliki akses ke reverse engineers dan penetration testers yang sangat mampu,” katanya. “Begitulah cara mereka masuk ke jaringan yang seringkali sangat aman ini.

Mereka mengunduh decryptor, membongkarnya, melakukan reverse-engineer, dan mereka mengetahui dengan tepat mengapa kami dapat mendekripsi file mereka. Dan 24 jam kemudian, semuanya diperbaiki. Bitdefender seharusnya tahu lebih baik.”

Selengkapnya: Technology Review

Bagaimana Peretasan Menjadi Layanan Profesional di Rusia

by

Operasi peretasan paling terkenal dari DarkSide mungkin terbukti menjadi yang terakhir: pada awal Mei, grup tersebut meluncurkan serangan ransomware terhadap Perusahaan Colonial Pipeline, yang menyediakan sebanyak setengah pasokan bahan bakar untuk Pantai Timur Amerika Serikat. DarkSide dilaporkan pergi dengan uang tebusan lima juta dolar, tetapi menerima pembayaran tampaknya harus dibayar mahal.

Pada tanggal 14 Mei, situs DarkSide ditutup, dan grup tersebut mengatakan bahwa mereka telah kehilangan akses ke banyak alat komunikasi dan pembayarannya — sebagai akibat dari pembalasan dari AS atau keputusan oleh anggota yang mendanai organisasi untuk berhenti.

Pada 10 Mei, Biden mengatakan intelijen AS percaya bahwa DarkSide berlokasi di Rusia, meskipun tidak ada “bukti” yang menghubungkannya dengan negara Rusia.

Seperti banyak aliran pendapatan di dunia kejahatan dunia maya, ransomware-as-a-service sebagian besar, meskipun tidak sepenuhnya, didominasi oleh peretas berbahasa Rusia yang berasal dari Rusia dan negara-negara bekas Soviet lainnya.

Alasan untuk situasi ini berasal dari runtuhnya Uni Soviet, pada tahun sembilan belas-sembilan puluhan, ketika engineer, programmer, dan teknisi yang sangat kompeten tiba-tiba terombang-ambing.

Puluhan tahun kemudian, ceritanya tidak banyak berubah: generasi muda Rusia memiliki akses ke pendidikan khusus di bidang fisika, ilmu komputer, dan matematika, tetapi hanya memiliki sedikit saluran untuk mewujudkan bakat tersebut, setidaknya tidak untuk jenis gaji yang tersedia bagi programmer di , katakanlah, Silicon Valley.

“Dan apa yang mereka lihat saat online? Bahwa dengan pengetahuan dan keterampilan mereka dapat menghasilkan jutaan dolar, begitu saja”, kata Sergey Golovanov, kepala pakar keamanan di Kaspersky Lab, sebuah perusahaan keamanan siber yang berbasis di Moskow. “Persentase tertentu dari orang-orang ini memutuskan bahwa ini layak untuk melanggar hukum”.

Karier seperti itu bisa terlihat lebih menarik mengingat risikonya tampak agak kecil, setidaknya jika Anda fokus pada target Barat. Meskipun badan penegak hukum Rusia secara berkala melakukan operasi yang ditujukan untuk penjahat dunia maya domestik, mereka umumnya menutup mata terhadap mereka yang menggunakan Rusia sebagai basis untuk menyusup ke jaringan asing.

Untuk memastikan bahwa mereka tidak mengalami masalah di wilayah asalnya, sebagian besar situs ransomware-as-a-service melarang penargetan perusahaan atau institusi di Rusia atau di dalam wilayah bekas Uni Soviet.

Namun ada juga satu alasan lain yang sangat penting mengapa penjahat dunia maya mungkin merasa relatif bebas untuk beroperasi dari dalam Rusia. Layanan keamanan Rusia tergoda untuk melihat peretas yang menargetkan perusahaan, pemerintah, dan individu Barat bukan sebagai ancaman melainkan sebagai sumber daya.

Selengkapnya: New Yorker

Trik Baru Berbahaya Ransomware Mengenkripsi Ganda Data Anda

by

KELOMPOK RANSOMWARE selalu mengambil pendekatan lebih. Jika korban membayar tebusan dan kemudian kembali ke bisnis seperti biasa — serang mereka lagi. Eskalasi terbaru? Peretas ransomware yang mengenkripsi data korban dua kali pada waktu yang bersamaan.

Serangan enkripsi ganda pernah terjadi sebelumnya, biasanya berasal dari dua geng ransomware terpisah yang membahayakan korban yang sama pada waktu yang sama. Tetapi perusahaan antivirus Emsisoft mengatakan mereka mengetahui lusinan insiden di mana aktor atau grup yang sama secara sengaja melapisi dua jenis ransomware di atas satu sama lain.

“Kelompok-kelompok itu terus-menerus mencoba mencari strategi mana yang terbaik, yang memberi mereka uang paling banyak untuk usaha yang paling sedikit,” kata analis ancaman Emsisoft, Brett Callow.

Beberapa korban mendapatkan dua catatan tebusan sekaligus, kata Callow, yang berarti bahwa peretas ingin korbannya mengetahui tentang serangan enkripsi ganda. Namun, dalam kasus lain, korban hanya melihat satu catatan tebusan dan hanya mengetahui tentang enkripsi lapis kedua setelah mereka membayar untuk menghilangkan yang pertama.

Emsisoft telah mengidentifikasi dua taktik berbeda. Yang pertama, peretas mengenkripsi data dengan ransomware A dan kemudian mengenkripsi ulang data tersebut dengan ransomware B. Jalur lain melibatkan apa yang disebut Emsisoft sebagai serangan “side-by-side encryption”, di mana serangan mengenkripsi beberapa sistem organisasi dengan ransomware A dan lainnya dengan ransomware B.

Para peneliti juga mencatat bahwa dalam skenario side-by-side ini, penyerang mengambil langkah untuk membuat dua jenis ransomware yang berbeda terlihat semirip mungkin, jadi lebih sulit bagi incident responders untuk memilah apa yang terjadi.

Selengkapnya: Wired

Penyerang ransomware sekarang menggunakan taktik pemerasan tiga kali lipat

by

Penjahat dunia maya yang berspesialisasi dalam ransomware telah menggunakan taktik pemerasan ganda di mana mereka tidak hanya mendekripsi data yang dicuri tetapi juga mengancam untuk membocorkannya ke publik kecuali uang tebusan dibayarkan. Sekarang, beberapa penyerang telah mengembangkan taktik pemerasan tiga kali lipat dengan tujuan memeras lebih banyak uang dari aktivitas jahat mereka. Dalam sebuah laporan yang diterbitkan Rabu, penyedia intelijen ancaman dunia maya Check Point Research menjelaskan bagaimana taktik terbaru ini dimainkan.

Taktik pemerasan ganda telah terbukti sangat populer dan menguntungkan di antara geng ransomware. Tahun lalu, lebih dari 1.000 perusahaan menemukan bahwa data mereka telah bocor ke publik setelah mereka menolak untuk memenuhi tuntutan tebusan. Selama waktu itu, pembayaran tebusan rata-rata melonjak 171% menjadi sekitar $ 310.000.

Tapi, taktik yang dimulai menjelang akhir 2020 dan berlanjut hingga 2021, adalah pemerasan tiga kali lipat, kata Check Point. Dalam skenario ini, penjahat mengirimkan permintaan tebusan tidak hanya ke organisasi yang diserang tetapi ke pelanggan, pengguna, atau pihak ketiga lainnya yang akan dirugikan oleh data yang bocor.

Dalam satu insiden dari Oktober lalu, 40.000 pasien klinik psikoterapi Finlandia Vastaamo terkena pelanggaran yang menyebabkan pencurian data pasien dan serangan ransomware. Seperti yang diharapkan, para penyerang menuntut sejumlah uang tebusan yang sehat dari klinik. Mereka juga mengirim email kepada pasien secara langsung, menuntut sejumlah kecil uang atau mereka akan membocorkan catatan sesi terapis mereka. Karena pelanggaran dan kerugian finansial, Vastaamo terpaksa menyatakan kebangkrutan dan akhirnya menutup bisnisnya.

selengkapnya : www.techrepublic.com

Colonial Pipeline Menghabiskan $ 5 Juta dalam Pembayaran Pemerasan, Laporan

by

Colonial Pipeline Co., operator pipa bahan bakar AS terbesar, dilaporkan membayar $ 5 juta kepada penjahat di balik serangan ransomware yang telah membuat harga bahan bakar melonjak naik turun di Pantai Timur.

Sumber yang mengetahui pembayaran tersebut mengatakan kepada Bloomberg bahwa perwakilan dari Colonial Pipeline membayar cybergang yang dikenal sebagai DarkSide tebusan yang diminta sebagai imbalan alat dekripsi yang memungkinkan perusahaan untuk memulihkan jaringan komputernya yang dinonaktifkan dalam serangan minggu lalu.

Pada hari Rabu, perusahaan energi memulai kembali operasi pipanya setelah lima hari ditutup: penutupan dilakukan secara proaktif setelah serangan ransomware.

Berita tentang pembayaran itu bertolak belakang: menurut laporan pada hari Rabu, perusahaan itu tidak berniat membayar tebusan.

“Perusahaan membayar uang tebusan yang lumayan besar dalam cryptocurrency yang sulit dilacak dalam beberapa jam setelah serangan, menggarisbawahi tekanan besar yang dihadapi oleh operator yang berbasis di Georgia untuk mendapatkan bensin dan bahan bakar jet mengalir lagi ke kota-kota besar di sepanjang Pesisir Timur,” wartawan Bloomberg William Turton, Michael Riley dan Jennifer Jacobs menulis.

Colonial Pipeline tidak menjawab pertanyaan Threatpost yang meminta konfirmasi dari laporan Bloomberg.

selengkapnya : threatpost.com

Mengenal Lebih Dalam Geng DarkSide Ransomware

by

FBI mengkonfirmasi minggu ini bahwa kelompok ransomware yang relatif baru yang dikenal sebagai DarkSide bertanggung jawab atas serangan yang menyebabkan Colonial Pipeline menutup pipa sepanjang 5.550 mil, menelantarkan barel bensin, solar dan bahan bakar jet yang tak terhitung jumlahnya di Gulf Coast.

Berikut ini pengamatan lebih dekat pada geng kejahatan siber DarkSide, seperti yang terlihat melalui negosiasi mereka dengan korban baru-baru ini di AS yang menghasilkan $ 15 miliar pendapatan tahunan.

Pertama kali muncul di forum peretasan bahasa Rusia pada Agustus 2020, DarkSide adalah platform ransomware-as-a-service yang dapat digunakan oleh penjahat dunia maya untuk menginfeksi perusahaan dengan ransomware dan melakukan negosiasi serta pembayaran dengan korban.

DarkSide mengatakan mereka hanya menargetkan perusahaan besar, dan melarang afiliasi menjatuhkan ransomware pada organisasi di beberapa industri, termasuk perawatan kesehatan, layanan pemakaman, pendidikan, sektor publik dan nirlaba.

Seperti platform ransomware lainnya, DarkSide menganut praktik pemerasan ganda badguy terbaik saat ini, yang melibatkan tuntutan jumlah terpisah untuk kunci digital yang diperlukan untuk membuka kunci file dan server, dan tebusan terpisah sebagai imbalan untuk janji untuk menghancurkan data yang dicuri dari korban.

Pada peluncurannya, DarkSide berusaha merayu afiliasi dari program ransomware yang bersaing dengan mengiklankan situs kebocoran data korban yang mendapat “kunjungan stabil dan liputan media,” serta kemampuan untuk mempublikasikan data korban secara bertahap.

Selengkapnya mengenai Ransomware DarkSide: Krebs On Security

Serangan Colonial Pipeline meningkatkan permainan ransomware

by

Pada hari Jumat, Perusahaan Colonial Pipeline menemukan bahwa mereka telah terkena serangan ransomware.

Bertanggung jawab untuk mengirimkan gas, minyak pemanas, dan bentuk minyak bumi lainnya ke rumah dan organisasi, perusahaan tersebut menyumbang 45% dari bahan bakar Pantai Timur. Serangan tersebut memaksa Colonial Pipeline untuk mematikan sistem tertentu, menghentikan sementara semua operasi pipeline.

Dalam sebuah pernyataan yang dirilis pada hari Minggu, perusahaan mengatakan bahwa mereka menyewa perusahaan keamanan siber pihak ketiga untuk menyelidiki serangan itu dan menghubungi penegak hukum serta lembaga federal, termasuk Departemen Energi. Selain menangani insiden itu sendiri, Colonial Pipeline juga siap untuk menjalankan operasinya kembali online dengan aman dan terjamin.

James Shank, ketua komite Ransomware Task Force (RTF) untuk skenario terburuk, mengatakan bahwa jenis serangan terhadap infrastruktur atau layanan kritis ini menunjukkan munculnya ransomware sebagai ancaman terhadap keamanan nasional, terutama saat kita terus bergulat dengan COVID-19.

Colonial Pipeline telah mengontrak firma keamanan FireEye Mandiant untuk menyelidiki serangan itu. Seorang juru bicara FireEye mengatakan kepada TechRepublic bahwa perusahaan tidak mengomentari insiden tersebut pada saat ini. Sementara itu, FBI telah menunjuk geng ransomware DarkSide sebagai penyebab di balik serangan ini.

Selengkapnya: Tech Republic

Fasilitas Riset Terkena Ransomware Setelah Siswa Menginstal Software Bajakan

by

Berhati-hatilah saat menggunakan software bajakan. Seorang siswa di sebuah lembaga penelitian bio-molekuler yang tidak disebutkan namanya di Eropa secara tidak sengaja membuka pintu untuk serangan ransomware pada organisasi tersebut setelah menginstal sebuah perangkat lunak yang sudah di “crack”, menurut firma keamanan Sophos.

Lembaga penelitian telah melakukan penelitian COVID-19 dan memiliki kemitraan erat dengan universitas lokal, memungkinkan mahasiswa untuk terhubung ke jaringan internal fasilitas melalui klien akses jarak jauh dari Citrix. Sayangnya, seorang siswa dengan akses ke jaringan mengunduh perangkat lunak bajakan, yang membantu mengekspos fasilitas penelitian ke serangan itu.

Menurut Sophos, siswa yang tidak disebutkan namanya itu “menginginkan salinan pribadi dari perangkat lunak visualisasi data yang telah mereka gunakan untuk bekerja”. Namun, satu lisensi untuk perangkat lunak dapat menghabiskan biaya ratusan dolar per tahun. Hasilnya, siswa tersebut mencari versi “crack” dari produk perangkat lunak untuk digunakan pada laptop Windows.

“Namun, file tersebut sebenarnya adalah malware murni dan upaya penginstalan segera memicu peringatan keamanan dari Windows Defender”, kata Sophos.

Tiga belas hari setelah perangkat lunak bajakan dipasang, sambungan protokol desktop jarak jauh yang misterius dibuat ke lembaga penelitian menggunakan kredensial masuk siswa. “Sepuluh hari setelah koneksi ini dibuat, ransomware Ryuk diluncurkan,” tambah Sophos.

Selengkapnya: PCmag