Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Ransomware

Ransomware

Itu ransomware, atau mungkin disk wiper, dan itu menyerang target di Israel

by

Para peneliti mengatakan mereka telah menemukan malware disk wiper yang belum pernah terlihat sebelumnya yang menyamar sebagai ransomware saat meluncurkan serangan destruktif terhadap target Israel.

Apostle, seperti para peneliti di firma keamanan SentinelOne menyebut malware tersebut, pada awalnya digunakan dalam upaya untuk menghapus data tetapi gagal melakukannya, kemungkinan karena kesalahan logika dalam kodenya.

Nama internal yang diberikan oleh pengembangnya adalah “wiper-action.” Dalam versi yang lebih baru, bug telah diperbaiki dan malware mendapatkan perilaku ransomware lengkap, termasuk kemampuan untuk meninggalkan catatan yang menuntut korban membayar tebusan sebagai ganti kunci dekripsi.

Dalam sebuah posting yang diterbitkan hari Selasa, peneliti SentinelOne mengatakan mereka menilai dengan keyakinan tinggi bahwa berdasarkan kode dan server yang dilaporkan Apostle, malware itu digunakan oleh kelompok yang baru ditemukan yang memiliki hubungan dengan pemerintah Iran.

Sementara catatan ransomware yang ditemukan para peneliti menunjukkan bahwa Apostle telah digunakan terhadap fasilitas penting di Uni Emirat Arab, target utamanya adalah Israel.

Para peneliti telah menjuluki kelompok peretasan baru tersebut Agrius. SentinelOne melihat grup pertama kali menggunakan Apostle sebagai disk wiper, meskipun cacat pada malware mencegahnya melakukannya, kemungkinan besar karena kesalahan logika dalam kodenya. Agrius kemudian menggunakan Deadwood, wiper yang telah digunakan terhadap target di Arab Saudi pada tahun 2019.

Selengkapnya: Ars Technica

Toyota berakhir dengan serangan siber kembar yang meninggalkan penyok berbentuk ransomware

by

Toyota telah mengakui sepasang serangan dunia maya.

Yang pertama menghantam operasi Eropa anak perusahaannya Daihatsu Diesel Company, entitas perusahaan milik Toyota yang merancang mesin. Dalam pernyataan tertanggal 16 Mei, Daihatsu mengatakan “mengalami masalah dalam mengakses server filenya di sistem internal pada 14 Mei 2021.”

“Setelah penyelidikan singkat, serangan dunia maya oleh akses tidak sah dari pihak ketiga dikonfirmasi sebagai penyebab masalah ini,” tambah pernyataan itu. Daihatsu menghentikan apa pun yang menyebar ke kantor lain, memulai penyelidikan dan menjanjikan pembaruan. Tidak ada yang keluar pada saat penulisan.

Toyota Jepang telah meminta maaf atas masalah produksi, tetapi juga menunjukkan bahwa mereka memiliki 29 lini produksi di 14 pabrik, jadi perlambatan ini bukanlah pengurangan besar dalam produksi.

Selengkapnya: The Register

Evolusi ransomware JSWorm

by

Keluarga JSWorm telah berkembang selama dua tahun dan selama waktu ini telah mengubah model distribusi dan Trojan telah mengalami beberapa pengembangan ulang lengkap.

Sejak kemunculan awal pada tahun 2019, ini telah berubah dari ancaman ransomware skala massal yang memengaruhi sebagian besar pengguna individu menjadi ancaman ransomware pemburu game besar yang menyerang target profil tinggi dan menuntut pembayaran tebusan besar-besaran.

Seperti ancaman ransomware bertarget lainnya saat ini, kunci untuk mencegah insiden infeksi JSWorm adalah pendekatan kompleks untuk mengamankan jaringan organisasi. Kelemahan apa pun dapat menjadi titik masuk bagi pelaku ancaman, baik itu versi perangkat lunak sisi server yang rentan, karyawan yang mengklik tautan berbahaya, kata sandi yang lemah untuk sistem kendali jarak jauh, dan sebagainya.

Untuk meningkatkan pertahanan terhadap ransomware pemburu game besar, sebaiknya lakukan audit keamanan jaringan Anda untuk menemukan dan secara proaktif memperbaiki kelemahan keamanan apa pun.

Rekomendasi lain untuk memaksimalkan keamanan organisasi Anda:

  • Jangan memaparkan layanan desktop jarak jauh (seperti RDP) ke jaringan publik kecuali benar-benar diperlukan dan selalu gunakan kata sandi yang kuat untuk mereka.
  • Pastikan solusi VPN komersial dan perangkat lunak sisi server lainnya selalu diperbarui karena eksploitasi perangkat lunak jenis ini adalah vektor infeksi umum untuk ransomware. Selalu perbarui aplikasi sisi klien.
  • Fokuskan strategi pertahanan Anda untuk mendeteksi pergerakan lateral dan eksfiltrasi data ke internet. Berikan perhatian khusus pada lalu lintas keluar untuk mendeteksi koneksi penjahat dunia maya. Cadangkan data secara teratur. Pastikan Anda dapat mengaksesnya dengan cepat dalam keadaan darurat saat dibutuhkan. Gunakan informasi Threat Intelligence terbaru untuk tetap mengetahui TTP aktual yang digunakan oleh pelaku ancaman.

Selengkapnya : Secure List Kaspersky

Ransomware: Haruskah membayar uang tebusan peretas itu ilegal?

by

Serangan ransomware mencegah korban mengakses sistem atau data komputer sampai uang tebusan dibayarkan.

Lembaga penegak hukum di seluruh dunia semakin mendesak para korban untuk tidak membayar. Tapi membayar tebusan bukanlah suatu hal yang ilegal. Dan banyak organisasi membayar secara rahasia.

Sekarang, koalisi global Ransomware Task Force (RTF) pakar dunia maya melobi pemerintah untuk mengambil tindakan. Ini telah membuat hampir 50 rekomendasi untuk mengekang kejahatan, tetapi tidak dapat menyetujui apakah negara harus melarang pembayaran uang tebusan.

Dan BBC bertanya kepada dua anggota mengapa.

“Larangan pembayaran akan menghasilkan permainan ‘ayam’ yang cukup mengerikan”

Wakil presiden komunitas dan urusan publik Rapid7 Jen Ellis mengatakan: “Kebanyakan orang setuju, dalam dunia yang ideal, pemerintah akan melarang pembayaran uang tebusan. Karena ransomware adalah kejahatan yang dimotivasi oleh keuntungan, ini diharapkan dapat mencegah kejahatan. Masalahnya adalah, kita tidak hidup di dunia yang ideal.”

“Di dunia tempat kita tinggal, pelarangan pembayaran hampir pasti akan menghasilkan permainan ‘ayam’ yang cukup mengerikan, di mana penjahat akan mengalihkan semua fokus mereka ke organisasi yang paling tidak mungkin dapat menangani waktu henti – misalnya rumah sakit, instalasi pengolahan air, penyedia energi, dan sekolah.”

“Larangan pembayaran akan mengurangi beban organisasi”

Presiden dan CEO Cyber Threat Alliance Michael Daniel mengatakan: “Kasus pelarangan pembayaran uang tebusan sudah jelas. Serangan ransomware terutama dimotivasi oleh keuntungan. Dan tanpa keuntungan, penyerang akan beralih dari taktik ini.”

“Selanjutnya, keuntungan tebusan digunakan untuk mendanai kejahatan lain yang bahkan lebih berbahaya, seperti perdagangan manusia, eksploitasi anak, dan terorisme. Akhirnya, pembayaran menghasilkan lebih banyak serangan, memperkuat kegunaan taktik itu. Tidak ada organisasi yang mau membayar tebusan.”

“Sebaliknya, mereka merasa tidak punya pilihan, apakah itu karena ancaman kebangkrutan, kerusakan reputasi yang diakibatkan oleh gangguan layanan, atau potensi hilangnya nyawa atau gangguan ekonomi skala luas.”

“Memang, dari sudut pandang organisasi yang murni berjangka pendek, membayar uang tebusan sering kali merupakan keputusan yang rasional secara ekonomi.”

“Kita perlu memutus siklus ini dan menghilangkan ‘bahan bakar’ ekosistem ransomware.”

Selengkapnya: BBC

Peretas ransomware Colonial pipeline memiliki senjata rahasia: perusahaan keamanan siber yang mempromosikan diri sendiri

by

Pada 11 Januari, perusahaan antivirus Bitdefender mengatakan “dengan senang hati mengumumkan” terobosan yang mengejutkan. Mereka telah menemukan cacat pada ransomware yang digunakan oleh geng yang dikenal sebagai DarkSide untuk membekukan jaringan komputer dari lusinan bisnis di AS dan Eropa. Perusahaan yang menghadapi tuntutan dari DarkSide dapat mengunduh alat gratis dari Bitdefender dan menghindari membayar jutaan dolar sebagai tebusan kepada para peretas.

Tetapi Bitdefender bukanlah yang pertama mengidentifikasi kekurangan ini. Dua peneliti lain, Fabian Wosar dan Michael Gillespie, telah memperhatikannya sebulan sebelumnya dan diam-diam mulai mencari korban untuk ditolong.

Dengan mempublikasikan alatnya, Bitdefender memberi tahu DarkSide tentang kesalahan tersebut, yang melibatkan penggunaan kembali kunci digital yang sama untuk mengunci dan membuka banyak korban. Keesokan harinya, DarkSide menyatakan bahwa mereka telah memperbaiki masalah, dan bahwa “perusahaan baru tidak memiliki harapan apa pun”.

“Terima kasih kepada BitDefender untuk membantu memperbaiki masalah kami,” kata DarkSide. “Ini akan membuat kami lebih baik.”

DarkSide segera membuktikan bahwa itu bukanlanh gertakan, melepaskan serangkaian serangan. Bulan ini, hal itu melumpuhkan Colonial Pipeline Co., mendorong penutupan pipa sepanjang 5.500 mil yang membawa 45% bahan bakar yang digunakan di East Coast — dengan cepat diikuti oleh kenaikan harga bensin, panik membeli gas di seluruh Tenggara, dan penutupan ribuan pompa bensin.

Insiden tersebut juga menunjukkan bagaimana perusahaan antivirus yang ingin membuat nama untuk dirinya sendiri terkadang melanggar salah satu aturan utama dari permainan kucing-dan-tikus perang dunia maya: Jangan biarkan lawan Anda tahu apa yang Anda ketahui.

Wosar mengatakan bahwa merilis alat secara publik, seperti yang dilakukan Bitdefender, menjadi lebih berisiko karena uang tebusan telah melonjak dan geng-geng tersebut menjadi lebih kaya dan lebih mahir secara teknis.

Pada masa-masa awal ransomware, ketika peretas membekukan komputer rumah untuk beberapa ratus dolar, mereka sering kali tidak dapat menentukan bagaimana kodenya rusak kecuali jika cacat tersebut secara khusus ditunjukkan kepada mereka.

Saat ini, pencipta ransomware “memiliki akses ke reverse engineers dan penetration testers yang sangat mampu,” katanya. “Begitulah cara mereka masuk ke jaringan yang seringkali sangat aman ini.

Mereka mengunduh decryptor, membongkarnya, melakukan reverse-engineer, dan mereka mengetahui dengan tepat mengapa kami dapat mendekripsi file mereka. Dan 24 jam kemudian, semuanya diperbaiki. Bitdefender seharusnya tahu lebih baik.”

Selengkapnya: Technology Review

Bagaimana Peretasan Menjadi Layanan Profesional di Rusia

by

Operasi peretasan paling terkenal dari DarkSide mungkin terbukti menjadi yang terakhir: pada awal Mei, grup tersebut meluncurkan serangan ransomware terhadap Perusahaan Colonial Pipeline, yang menyediakan sebanyak setengah pasokan bahan bakar untuk Pantai Timur Amerika Serikat. DarkSide dilaporkan pergi dengan uang tebusan lima juta dolar, tetapi menerima pembayaran tampaknya harus dibayar mahal.

Pada tanggal 14 Mei, situs DarkSide ditutup, dan grup tersebut mengatakan bahwa mereka telah kehilangan akses ke banyak alat komunikasi dan pembayarannya — sebagai akibat dari pembalasan dari AS atau keputusan oleh anggota yang mendanai organisasi untuk berhenti.

Pada 10 Mei, Biden mengatakan intelijen AS percaya bahwa DarkSide berlokasi di Rusia, meskipun tidak ada “bukti” yang menghubungkannya dengan negara Rusia.

Seperti banyak aliran pendapatan di dunia kejahatan dunia maya, ransomware-as-a-service sebagian besar, meskipun tidak sepenuhnya, didominasi oleh peretas berbahasa Rusia yang berasal dari Rusia dan negara-negara bekas Soviet lainnya.

Alasan untuk situasi ini berasal dari runtuhnya Uni Soviet, pada tahun sembilan belas-sembilan puluhan, ketika engineer, programmer, dan teknisi yang sangat kompeten tiba-tiba terombang-ambing.

Puluhan tahun kemudian, ceritanya tidak banyak berubah: generasi muda Rusia memiliki akses ke pendidikan khusus di bidang fisika, ilmu komputer, dan matematika, tetapi hanya memiliki sedikit saluran untuk mewujudkan bakat tersebut, setidaknya tidak untuk jenis gaji yang tersedia bagi programmer di , katakanlah, Silicon Valley.

“Dan apa yang mereka lihat saat online? Bahwa dengan pengetahuan dan keterampilan mereka dapat menghasilkan jutaan dolar, begitu saja”, kata Sergey Golovanov, kepala pakar keamanan di Kaspersky Lab, sebuah perusahaan keamanan siber yang berbasis di Moskow. “Persentase tertentu dari orang-orang ini memutuskan bahwa ini layak untuk melanggar hukum”.

Karier seperti itu bisa terlihat lebih menarik mengingat risikonya tampak agak kecil, setidaknya jika Anda fokus pada target Barat. Meskipun badan penegak hukum Rusia secara berkala melakukan operasi yang ditujukan untuk penjahat dunia maya domestik, mereka umumnya menutup mata terhadap mereka yang menggunakan Rusia sebagai basis untuk menyusup ke jaringan asing.

Untuk memastikan bahwa mereka tidak mengalami masalah di wilayah asalnya, sebagian besar situs ransomware-as-a-service melarang penargetan perusahaan atau institusi di Rusia atau di dalam wilayah bekas Uni Soviet.

Namun ada juga satu alasan lain yang sangat penting mengapa penjahat dunia maya mungkin merasa relatif bebas untuk beroperasi dari dalam Rusia. Layanan keamanan Rusia tergoda untuk melihat peretas yang menargetkan perusahaan, pemerintah, dan individu Barat bukan sebagai ancaman melainkan sebagai sumber daya.

Selengkapnya: New Yorker

Trik Baru Berbahaya Ransomware Mengenkripsi Ganda Data Anda

by

KELOMPOK RANSOMWARE selalu mengambil pendekatan lebih. Jika korban membayar tebusan dan kemudian kembali ke bisnis seperti biasa — serang mereka lagi. Eskalasi terbaru? Peretas ransomware yang mengenkripsi data korban dua kali pada waktu yang bersamaan.

Serangan enkripsi ganda pernah terjadi sebelumnya, biasanya berasal dari dua geng ransomware terpisah yang membahayakan korban yang sama pada waktu yang sama. Tetapi perusahaan antivirus Emsisoft mengatakan mereka mengetahui lusinan insiden di mana aktor atau grup yang sama secara sengaja melapisi dua jenis ransomware di atas satu sama lain.

“Kelompok-kelompok itu terus-menerus mencoba mencari strategi mana yang terbaik, yang memberi mereka uang paling banyak untuk usaha yang paling sedikit,” kata analis ancaman Emsisoft, Brett Callow.

Beberapa korban mendapatkan dua catatan tebusan sekaligus, kata Callow, yang berarti bahwa peretas ingin korbannya mengetahui tentang serangan enkripsi ganda. Namun, dalam kasus lain, korban hanya melihat satu catatan tebusan dan hanya mengetahui tentang enkripsi lapis kedua setelah mereka membayar untuk menghilangkan yang pertama.

Emsisoft telah mengidentifikasi dua taktik berbeda. Yang pertama, peretas mengenkripsi data dengan ransomware A dan kemudian mengenkripsi ulang data tersebut dengan ransomware B. Jalur lain melibatkan apa yang disebut Emsisoft sebagai serangan “side-by-side encryption”, di mana serangan mengenkripsi beberapa sistem organisasi dengan ransomware A dan lainnya dengan ransomware B.

Para peneliti juga mencatat bahwa dalam skenario side-by-side ini, penyerang mengambil langkah untuk membuat dua jenis ransomware yang berbeda terlihat semirip mungkin, jadi lebih sulit bagi incident responders untuk memilah apa yang terjadi.

Selengkapnya: Wired

Penyerang ransomware sekarang menggunakan taktik pemerasan tiga kali lipat

by

Penjahat dunia maya yang berspesialisasi dalam ransomware telah menggunakan taktik pemerasan ganda di mana mereka tidak hanya mendekripsi data yang dicuri tetapi juga mengancam untuk membocorkannya ke publik kecuali uang tebusan dibayarkan. Sekarang, beberapa penyerang telah mengembangkan taktik pemerasan tiga kali lipat dengan tujuan memeras lebih banyak uang dari aktivitas jahat mereka. Dalam sebuah laporan yang diterbitkan Rabu, penyedia intelijen ancaman dunia maya Check Point Research menjelaskan bagaimana taktik terbaru ini dimainkan.

Taktik pemerasan ganda telah terbukti sangat populer dan menguntungkan di antara geng ransomware. Tahun lalu, lebih dari 1.000 perusahaan menemukan bahwa data mereka telah bocor ke publik setelah mereka menolak untuk memenuhi tuntutan tebusan. Selama waktu itu, pembayaran tebusan rata-rata melonjak 171% menjadi sekitar $ 310.000.

Tapi, taktik yang dimulai menjelang akhir 2020 dan berlanjut hingga 2021, adalah pemerasan tiga kali lipat, kata Check Point. Dalam skenario ini, penjahat mengirimkan permintaan tebusan tidak hanya ke organisasi yang diserang tetapi ke pelanggan, pengguna, atau pihak ketiga lainnya yang akan dirugikan oleh data yang bocor.

Dalam satu insiden dari Oktober lalu, 40.000 pasien klinik psikoterapi Finlandia Vastaamo terkena pelanggaran yang menyebabkan pencurian data pasien dan serangan ransomware. Seperti yang diharapkan, para penyerang menuntut sejumlah uang tebusan yang sehat dari klinik. Mereka juga mengirim email kepada pasien secara langsung, menuntut sejumlah kecil uang atau mereka akan membocorkan catatan sesi terapis mereka. Karena pelanggaran dan kerugian finansial, Vastaamo terpaksa menyatakan kebangkrutan dan akhirnya menutup bisnisnya.

selengkapnya : www.techrepublic.com