Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Ransomware

Ransomware

Geng Ransomware Besar Pertama Tahun 2021 Meluncurkan Situs “Leak” yang fanatik.

by

Kelompok di balik ransomware Babyk Locker, malware yang digembar-gemborkan sebagai “ransomware perusahaan” baru pertama tahun 2021, baru-baru ini meluncurkan situs kebocoran data pertamanya — sebuah forum tempat peretas memposting dan mempublikasikan data yang dicuri dari korbannya jika korbannya menolak untuk membayar mereka. Grup tersebut, yang muncul beberapa minggu lalu, telah dijuluki sebagai “Pemburu Game Besar” karena strateginya menargetkan institusi besar untuk pembayaran yang lebih besar. Ini telah menyerang sejumlah entitas besar — ​​tampaknya mengorbankan produsen suku cadang mobil, perusahaan pemanas yang berbasis di AS, dan perusahaan elevator, antara lain.

Menariknya, kelompok tersebut menyatakan bahwa, selain penjahat, mereka juga homofobik dan rasis.

Peneliti Emsisoft Brett Callow membagikan situs baru Babyk kepada kami dan kami menemukan beberapa bahasa yang tidak biasa. Di situs tersebut, grup tersebut telah mencantumkan beberapa parameter untuk operasinya, menguraikan semacam “kode peretas” terkait entitas mana yang akan dan tidak akan mereka serang. Dalam daftar tersebut, kelompok tersebut mencatat bahwa mereka mendukung bisnis kecil (mereka berjanji untuk hanya menyerang perusahaan yang menghasilkan lebih dari $ 4 juta per tahun), mereka mendukung pendidikan (mereka tidak akan menyerang sekolah “kecuali universitas besar”), dan mereka mengatakan mereka akan berhenti menyerang rumah sakit (kecuali tampaknya “klinik bedah plastik swasta” dan beberapa kantor dokter gigi). Sejauh ini mereka terdengar seperti peretas sejati bagi masyarakat.

Hanya dalam beberapa minggu, Babyk telah berhasil membuat heboh. Sebelum peluncuran situs baru mereka, Babyk memposting dump data besar di Raid Forums situs web gelap populer. Callow mengatakan kepada Gizmodo bahwa kelompok itu juga bertanggung jawab atas serangan dunia maya baru-baru ini di Serco, sebuah perusahaan outsourcing multinasional yang telah terlibat dalam upaya pelacakan dan penelusuran Covid-19. Operasi pelacakan dan pelacakan perusahaan dikatakan tidak terpengaruh oleh serangan itu.

Source : Gizmodo

Geng Ransomware Mulai Mengincar Sektor Industri

by

Sebuah laporan baru-baru ini dikeluarkan oleh perusahaan keamanan siber Digital Shadows, meneliti industri mana yang paling menjadi sasaran ransomware selama tahun 2020. Meskipun hampir setiap industri berurusan dengan geng ransomware selama 12 bulan terakhir, barang dan jasa industri adalah yang paling ditargetkan, terhitung 29 % atau hampir satu per tiga serangan ransomware.

Jumlah serangan itu lebih banyak daripada yang terjadi pada tiga sektor berikutnya yang paling ditargetkan – konstruksi, teknologi, dan ritel

Produsen dan infrastruktur dapat menjadi target serangan ransomware karena organisasi di sektor ini harus beroperasi sepanjang waktu, baik itu menjalankan jalur produksi pabrik atau mengoperasikan pabrik utilitas. Jika mereka tidak dapat menyediakan layanan ini, mungkin ada dampak luas di bagian bawah rantai pasokan.

Sistem ini cenderung digunakan terus-menerus, yang dapat menimbulkan masalah lain karena operator mungkin enggan menjadikannya offline untuk menerapkan aliran tambalan perangkat lunak rutin yang diperlukan untuk melindungi dari kerentanan keamanan yang dapat memberikan akses geng ransomware. Itu jika mesin dapat menerima pembaruan keamanan sama sekali karena teknologi usang dan tidak didukung masih umum di banyak lingkungan industri.

Ketergantungan pada sistem yang lebih lama dan kebutuhan untuk waktu kerja yang konstan, oleh karena itu, membuat pabrik industri menggoda korban untuk serangan ransomware. Untuk penjahat dunia maya, ini semua tentang uang dan mereka menargetkan pabrik karena mereka tahu ada uang yang akan dihasilkan, berpotensi melawan sasaran empuk yang bersedia membayar.

Ada beberapa contoh kemungkinan peretas yang disponsori negara yang mengkompromikan pemasok infrastruktur penting dan merusak sistem, seperti Stuxnet, serangan malware yang menyebabkan kerusakan besar pada program nuklir Iran.

Saat ini, ransomware yang menargetkan sistem kontrol industri masih jarang terjadi, bahkan jika lingkungan industri yang lebih luas masih secara teratur menjadi penerima serangan ransomware. Namun dalam kedua kasus tersebut, ada hal-hal yang dapat dilakukan organisasi untuk meminimalkan kemungkinan menjadi korban serangan ransomware.

Kerentanan keamanan yang tidak di patch memungkinkan ransomware dan malware lainnya masuk dan menyebar ke seluruh jaringan, jadi sangat disarankan agar pembaruan keamanan penting segera diterapkan setelah dirilis karena ada untuk melindungi dari kerentanan yang diketahui. Meskipun mungkin ribet untuk untuk memastikan patch diterapkan, namun jauh lebih baik daripada menjadi korban serangan dunia maya.

Sprite Spider muncul sebagai salah satu aktor ancaman ransomware paling merusak

by

Pada KTT Intelijen Ancaman Siber SANS baru-baru ini, dua pimpinan keamanan siber CrowdStrike, Peneliti Keamanan Senior Sergei Frankoff dan Analis Intelijen Senior Eric Loui, memberikan perincian tentang aktor ransomware besar yang muncul yang mereka sebut Sprite Spider.

Seperti banyak penyerang ransomware lainnya, kelompok di balik serangan Sprite Spider telah berkembang pesat dalam kecanggihan dan kapasitas kerusakan sejak 2015.

Sprite Spider mulai menggunakan Trojan perbankan yang disebut Shifu pada tahun 2015, menambahkan pemuat malware bernama Vatet sekitar tahun 2017. Pada tahun 2018, geng tersebut menyebarkan Trojan akses jarak jauh yang disebut PyXie. Pada tahun 2019, grup tersebut berevolusi ke titik di mana ia menyebarkan ransomware yang disebut DEFRAY777.

Pada titik ini, peneliti CrowdStrike menghubungkan Shifu, Vatet, dan PyXie dengan serangan ransomware DEFRAY777. Mereka menyadari bahwa semua aktivitas dari komponen ini terkait dengan satu pelaku ancaman, yang telah terbang di bawah radar.

Geng tersebut seringkali dapat lolos dari deteksi terutama karena kodenya terlihat jinak, bersembunyi di proyek sumber terbuka seperti Notepad++.

Ancaman nyata dari Sprite Spider meningkat pada Juli 2020 ketika mulai menargetkan host ESXi, yang biasanya digunakan oleh organisasi besar yang menggunakan teknologi bare-metal hypervisor yang dikembangkan oleh VMware untuk mengelola beberapa mesin virtual.

Dengan menargetkan mesin EXSi, Sprite Spider tidak harus menerapkan ransomware di seluruh lingkungan organisasi — mereka hanya harus menargetkan beberapa server untuk mengenkripsi sebagian besar infrastruktur TI virtual.

Selengkapnya: CSO Online

Otoritas AS dan Bulgaria mengganggu operasi ransomware NetWalker

by

Badan penegak hukum dari Bulgaria dan AS telah mengganggu infrastruktur NetWalker minggu ini, salah satu geng ransomware paling aktif tahun 2020.

Pejabat Bulgaria menyita server yang digunakan untuk menghosting portal web gelap untuk geng NetWalker, sementara pejabat di AS menuntut seorang warga negara Kanada yang diduga menghasilkan setidaknya $ 27,6 juta dari perusahaan yang menginfeksi dengan ransomware NetWalker.

Server yang disita digunakan untuk menghosting halaman tempat korban serangan NetWalker diarahkan untuk berkomunikasi dengan penyerang dan menegosiasikan tuntutan tebusan.

Server yang sama juga menjadi tuan rumah bagian blog tempat geng NetWalker membocorkan data yang mereka curi dari perusahaan yang diretas, dan yang menolak untuk membayar permintaan tebusan – sebagai bentuk balas dendam dan mempermalukan publik.

Rincian tentang warga negara Kanada yang didakwa hari ini belum tersedia selain nama dan tempat tinggalnya – Sebastien Vachon-Desjardins, dari Gatineau.

Vachon-Desjardins saat ini diyakini sebagai “afiliasi”, seseorang yang menyewa kode ransomware dari pencipta NetWalker.

Jenis bisnis ini disebut Ransomware-as-a-Service, atau RaaS, dan merupakan pengaturan umum yang digunakan oleh banyak geng ransomware saat ini.

Sebelum penghapusan hari ini, NetWalker beroperasi melalui topik yang diposting di beberapa forum bawah tanah oleh pengguna bernama Bugatti. Pengguna ini mengiklankan fitur ransomware dan mencari “mitra” (alias afiliasi) yang akan melanggar jaringan perusahaan, mencuri data untuk digunakan sebagai pengungkit selama negosiasi, dan menginstal ransomware untuk mengenkripsi file.

Jika korban membayar, Bugatti dan afiliasinya akan membagi pembayaran tebusan sesuai dengan perjanjian yang telah dinegosiasikan sebelumnya.

Menurut otoritas AS, NetWalker telah memengaruhi setidaknya 305 korban dari 27 negara berbeda, termasuk 203 di AS.

selengkapnya : ZDNET

Ransomware sekarang menjadi perhatian keamanan siber terbesar untuk CISO

by

Ransomware adalah masalah keamanan siber terbesar yang dihadapi bisnis, menurut mereka yang bertanggung jawab menjaga keamanan organisasi dari peretasan dan serangan siber.

Sebuah survei terhadap kepala petugas keamanan informasi (CISO) dan kepala petugas keamanan (CSO) oleh cybersecurity Proofpoint menemukan bahwa ransomware sekarang dipandang sebagai ancaman keamanan siber utama bagi organisasi mereka selama tahun depan.

Hampir setengah – 46% – CSO dan CISO yang disurvei mengatakan bahwa ransomware atau bentuk pemerasan lainnya oleh pihak luar merupakan ancaman keamanan siber terbesar.

Selain skema pelatihan dan kesadaran, organisasi dapat membantu melindungi dari ransomware dan serangan lainnya dengan menerapkan patch keamanan saat dirilis, mencegah peretas mengeksploitasi kerentanan yang diketahui.

Menggunakan perlindungan tambahan seperti autentikasi dua faktor di seluruh organisasi juga dapat membantu mencegah serangan yang merusak dengan mempersulit peretas untuk bergerak di sekitar jaringan, bahkan jika mereka memiliki kredensial yang benar.

sumber : ZDNET

Forum IObit Diretas Untuk Mendistribusikan DeroHE Ransomware

by

IObit, pembuat perangkat lunak seperti pengoptimal sistem dan anti-malware untuk OS Windows, forumnya telah dilanggar. Ini diketahui setelah anggota forum terinfeksi kampanye jahat bundel IObit gratis, karena menjadi anggota.

Mereka melaporkan menerima email dari IObit tentang paket satu tahun gratis dari bundel mereka, yang memiliki tautan ke situs hxxps: //forums.iobit.com/promo.html dan akhirnya dibawa ke hxxps: //forums.iobit. situs com / free-iobit-license-promo.zip unduh file zip.

Meskipun file zip ini ditandatangani secara digital oleh program IObit License Manager yang sah, file IObitUnlocker.dll diganti oleh file berbahaya yang akan menginstal ransomware DeroHE ke dalam C: \ Program Files (x86) \ IObit \ iobit.dll dan menjalankannya.

Ini terjadi karena pengguna percaya perangkat lunak itu sah, karena memiliki tanda tangan digital dari IObit dan dihosting di situs resmi mereka. Saat membukanya, mereka akan melihat kotak dialog untuk tidak mengunci layar atau sistem saat sedang memproses. Namun di latar belakang, ransomware sedang mengenkripsi file host.

Setelah melakukannya, grup ransomware membuat dua folder di layar desktop, satu untuk memberi tahu korban tentang semua file yang dienkripsi dan yang lainnya adalah catatan tebusan. Anehnya, para peretas meminta pembayaran dalam bentuk koin DeroHE, yang merupakan cryptocurrency seperti Bitcoin.

Ini memberi korban tautan darknet ke halaman pembayaran, di mana ia meminta 200 koin DeroHE, yang diterjemahkan menjadi sekitar $ 100. Selain itu, ia menyalahkan IObit atas peretasannya dan membujuk para korban untuk membuat IObit membayar 100.000 dalam bentuk koin Dero untuk mendekripsi sistem semua orang.

Source : Techdator

Gambaran Umum tentang DoppelPaymer Ransomware

by

Pada awal Desember 2020, FBI mengeluarkan peringatan terkait DoppelPaymer, keluarga ransomware yang pertama kali muncul pada 2019 ketika meluncurkan serangan terhadap organisasi di industri kritis. Aktivitasnya terus berlanjut sepanjang tahun 2020, termasuk serangkaian insiden di paruh kedua tahun ini yang membuat para korbannya kesulitan untuk menjalankan operasi mereka dengan baik.

DoppelPaymer diyakini didasarkan pada ransomware BitPaymer (yang pertama kali muncul pada tahun 2017) karena kesamaan dalam kode, catatan tebusan, dan portal pembayaran mereka. Namun, penting untuk diperhatikan bahwa ada beberapa perbedaan antara DoppelPaymer dan BitPaymer. DoppelPaymer menggunakan 2048-bit RSA + 256-bit AES untuk enkripsi, sedangkan BitPaymer menggunakan 4096-bit RSA + 256-bit AES, Perbedaan lain antara keduanya adalah bahwa sebelum DoppelPaymer mengeksekusi rutinitas jahatnya, ia harus memiliki parameter baris perintah yang benar, teknik ini digunakan untuk menghindari analisis sandbox.

Seperti banyak keluarga ransomware modern, permintaan tebusan DoppelPaymer untuk dekripsi file sangat besar, berkisar antara US $ 25.000 hingga US $ 1,2 juta.

https://www.trendmicro.com/content/dam/trendmicro/global/en/research/21/a/an-overview-of-the-doppelpaymer-ransomware/DoppelPaymer-1.jpg

DoppelPaymer menggunakan rutinitas yang cukup canggih, dimulai dengan infiltrasi jaringan melalui email spam berbahaya yang berisi tautan spear-phishing atau lampiran yang dirancang untuk memikat pengguna yang tidak menaruh curiga agar menjalankan kode berbahaya yang biasanya disamarkan sebagai dokumen asli. Kode ini bertanggung jawab untuk mengunduh malware lain dengan kemampuan yang lebih canggih (seperti Emotet) ke dalam sistem korban.

Setelah Emotet diunduh, Emotet akan berkomunikasi dengan server command-and-control (C&C) untuk menginstal berbagai modul serta mengunduh dan menjalankan malware lainnya. server C&C digunakan untuk mengunduh dan menjalankan keluarga malware Dridex, yang kemudian digunakan untuk mengunduh DoppelPaymer secara langsung atau alat seperti PowerShell Empire, Cobalt Strike, PsExec, dan Mimikatz. Masing-masing alat ini digunakan untuk berbagai aktivitas, seperti mencuri kredensial, bergerak secara lateral di dalam jaringan, dan menjalankan perintah yang berbeda, seperti menonaktifkan perangkat lunak keamanan.

Setelah Dridex memasuki sistem, pelaku jahat tidak segera menyebarkan ransomware. Sebaliknya, ia mencoba untuk berpindah secara lateral dalam jaringan sistem yang terpengaruh untuk menemukan target bernilai tinggi untuk mencuri informasi penting. Setelah target ini ditemukan, Dridex akan melanjutkan menjalankan muatan terakhirnya, DoppelPaymer. DoppelPaymer mengenkripsi file yang ditemukan di jaringan serta drive tetap dan yang dapat dilepas di sistem yang terpengaruh. Terakhir, DoppelPaymer akan mengubah sandi pengguna sebelum memaksa sistem memulai ulang ke mode aman untuk mencegah masuknya pengguna dari sistem. Itu kemudian mengubah teks pemberitahuan yang muncul sebelum Windows melanjutkan ke layar login.

Teks pemberitahuan baru sekarang menjadi catatan tebusan DoppelPaymer, yang memperingatkan pengguna untuk tidak menyetel ulang atau mematikan sistem, serta tidak menghapus, mengganti nama, atau memindahkan file yang dienkripsi. Catatan itu juga berisi ancaman bahwa data sensitif mereka akan dibagikan kepada publik jika mereka tidak membayar tebusan yang diminta dari mereka.

Menurut pemberitahuan FBI, target utama DoppelPaymer adalah organisasi dalam perawatan kesehatan, layanan darurat, dan pendidikan. Ransomware telah terlibat dalam sejumlah serangan pada tahun 2020, termasuk gangguan pada community college serta polisi dan layanan darurat di sebuah kota di AS selama pertengahan tahun.

Agar terhindar dari malware ini, anda dapat melakukan beberapa upaya berikut :
Menahan diri dari membuka email yang tidak diverifikasi dan mengklik link atau lampiran yang disematkan di pesan ini.
Mencadangkan file penting secara teratur menggunakan aturan 3-2-1: Buat tiga salinan cadangan dalam dua format file berbeda, dengan salah satu cadangan di lokasi fisik terpisah.
Memperbarui perangkat lunak dan aplikasi dengan tambalan terbaru sesegera mungkin untuk melindunginya dari kerentanan.
Memastikan bahwa cadangan aman dan terputus dari jaringan pada akhir setiap sesi pencadangan.
Mengaudit akun pengguna secara berkala – khususnya akun yang dapat diakses publik, seperti akun Pemantauan dan Manajemen Jarak Jauh.
Memantau lalu lintas jaringan masuk dan keluar, dengan peringatan untuk eksfiltrasi data.
Menerapkan otentikasi dua faktor (2FA) untuk kredensial login pengguna, karena ini dapat membantu memperkuat keamanan untuk akun pengguna
Menerapkan prinsip hak istimewa paling rendah untuk izin file, direktori, dan jaringan berbagi.

Source : trendmicro