Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Ransomware

Ransomware

Penyedia Jasa Cloud Yang Sukses Menghentikan Serangan Ransomware, Tetap Harus Membayar Tebusan

by

Blackbaud, penyedia solusi perangkat lunak dan cloud hosting, mengatakan telah menghentikan serangan ransomware dari mengenkripsi file mereka pada awal tahun ini, namun tetap membayar permintaan tebusan setelah peretas mencuri data pelanggan dan mengancam akan mempublikasikannya secara online.

Mei 2020, Blackbaud, Perusahaan penyedia jasa cloud hosting mengatakan para peretaas merusak jaringan dan berusaha menginstal ransomware untuk mengunic pelanggan dari data dan server mereka.

Blackbaud berkata, Setelah serangan terjadi, tim Keamanan Cyber mereka dengan dibantu oleh Penegakl hukum dan tim Forensik berhasil mencegah peretas memblokir serta mengekripsi seluruh file. usaha mereka juga sukses mengusir para peretas dari sistem perusahaan.

Namun para peretas berhasil mencuri sebagian internal dimana para pelanggan mereka menyimpan data dan file lainnya. Para peretas bahkan mengancam akan merilis data yang dicuri kecuali pihak Blackbaud membayar permintaaan tebusan (ransom), walaupun serangan diawal sudah berhasil dihentikan.

Untuk menjaga nama dan melindungi pelanggan mereka, pada akhirnya Blackbaud tetap membayarkan sejumlah uang kepada peretas dengan jaminan bahwa salinan data pelanggan mereka  dihapus.

“Berdasarkan hasil insiden, penelitian, dan investigasi pihak ketiga (termasuk penegakan hukum), kami tidak memiliki alasan untuk percaya bahwa data apa pun yang akibat kejahatan cyber, telah atau akan disalahgunakan, atau akan disebarluaskan secara publik, “tambah Blackbaud.

Penyedia cloud, yang terutama bekerja dengan nirlaba, yayasan, pendidikan, dan perawatan kesehatan, mengatakan insiden itu hanya memengaruhi data hanya sebagian kecil dari pelanggannya, mereka juga telah memberi notifikasi pada pelanggan.

Source : ZDnet

Ransomware Mac Baru Ditemukan di Aplikasi Mac Bajakan

by

Peneliti keamanan dari Malwarebytes menemukan adanya Varian baru ransomware Mac ‘EvilQuest’ menyebar melalui aplikasi Mac bajakan. Ransomware baru ini ditemukan dalam unduhan bajakan untuk aplikasi Little Snitch yang ditemukan di forum Rusia.

Tepat dari titik pengunduhan, jelas ada sesuatu yang salah dengan versi ilegal Snitch karena memiliki paket penginstal generik. Memang setelah diunduh akan menginstal versi Little Snitch yang sebenarnya, tetapi juga menginstal file tambahan yang dapat dieksekusi bernama “Patch” ke direktori /Users/Shared dan skrip post-install untuk menginfeksi mesin.

Script instalasi memindahkan file Patch ke lokasi baru dan menamainya CrashReporter, sebuah proses macOS yang sah, menjaganya tetap tersembunyi di Activity Monitor. Dari sana, file Patch menginstal dirinya sendiri di beberapa tempat di Mac.

Ransomware mengenkripsi pengaturan dan file data pada Mac, seperti file Keychain, dan menghasilkan kegagalan ketika mencoba mengakses Keychain iCloud. Finder juga tidak berfungsi setelah instalasi, dan ada masalah dengan dock dan aplikasi lainnya.

Malwarebytes menemukan bahwa ransomware ini berfungsi dengan buruk dan tidak ada instruksi untuk membayar uang tebusan, tetapi tangkapan layar yang ditemukan di forum tempat perangkat lunak berbahaya itu berawal menunjukkan bahwa pengguna dimeminta untuk membayar $50 untuk memulihkan akses ke file mereka.

Catatan: siapa pun yang terinfeksi ransomware ini atau ransomware apa pun tidak boleh membayar biaya, karena itu tidak menghapus malware.

Tangkapan layar pesan enkripsi yang dipost ke forum RUTracker

Bersamaan dengan aktivitas ransomeware, malware juga dapat menginstal keylogger, tetapi apa yang dilakukan malware dengan fungsi ini tidak diketahui.

Ransomware serupa juga ditemukan di aplikasi bajakan lainnya, pengguna Mac dapat menghindarinya dengan tidak mengunduh aplikasi bajakan dari situs web dan forum yang tidak dapat dipercaya.

 

Source: MacRumors

Ransomware Sekarang Menjadi Mimpi Buruk Bagi Kamanan Online Terbesar Anda. Dan Itu Akan Menjadi Lebih Buruk

by

Ransomware dengan cepat membentuk menjadi masalah keamanan online yang menentukan di zaman ini. Sebagian besar kehidupan kita sekarang disimpan secara digital, baik itu foto, video, rencana bisnis atau database pelanggan. Tetapi terlalu banyak dari kita, baik bisnis maupun konsumen, yang malas mengamankan aset-aset vital ini, menciptakan peluang yang dapat dieksploitasi oleh penjahat.

Ide cemerlang mereka adalah bahwa mereka tidak perlu mencuri data itu untuk menghasilkan uang: mereka hanya harus membuat data itu tidak dapat diakses lagi – dengan mengenkripsi data itu – kecuali korban mau membayar tebusan.

Ransomware dulunya merupakan ancaman bagi konsumen, tetapi sekarang ini merupakan ancaman signifikan bagi bisnis. Baru minggu lalu, ada peringatan tentang gelombang baru serangan ransomware terhadap setidaknya 31 organisasi besar dengan tujuan menuntut jutaan dolar tebusan.

Target geng ransomware telah berevolusi juga. Ini bukan hanya tentang PC lagi; geng ini ingin mengejar aset bisnis yang benar-benar tak tergantikan, yang berarti server file, layanan database, mesin virtual, dan lingkungan cloud. Mereka juga akan mencari dan mengenkripsi setiap cadangan yang terhubung ke jaringan. Semua ini mempersulit korban untuk memulihkan data – kecuali tentu saja mereka ingin membayar tebusan itu.

Sangat mungkin ransomware akan membentuk inti dari tipe baru serangan digital, yang digunakan oleh negara-bangsa dan lainnya yang hanya ingin menghancurkan sebuah jaringan. Malware Wiper adalah ransomware yang enkripsinya tidak dapat dibalik, sehingga data yang terkunci hilang selamanya. Beberapa inisiden ini telah terjadi, namun yang ditakutkan adalah mereka bisa menjadi lebih banyak digunakan.

Kekhawatiran lain adalah bahwa, ketika mereka menjadi lebih percaya diri dan didanai lebih baik, kelompok-kelompok kriminal ini akan meningkatkan pandangan mereka lebih tinggi. Satu tren baru yang mengkhawatirkan adalah bahwa geng akan mencuri data serta mengenkripsi jaringan. Mereka kemudian mengancam akan membocorkan data sebagai cara menekan korban agar mau membayar tebusan.

Penjahat cyber ini sering menghabiskan berminggu-minggu untuk mencari-cari di dalam sebuah jaringan sebelum mereka melakukan serangan, yang berarti mereka punya waktu untuk memahami aset digital utama, seperti email CEO misalnya, yang memungkinkan mereka untuk memberikan tekanan lebih besar pada korban mereka.

Tidak ada akhir yang jelas untuk mimpi buruk ransomware yang ini. Memang, kemungkinannya akan semakin buruk.

Source: ZDNet

Bagaimana Peretas Memeras $ 1,14 juta dari University of California, San Francisco

by

Dilaporkan oleh BBC News, sebuah lembaga penelitian medis terkemuka yang bekerja untuk pengobatan Covid-19 mengakui telah membayar tebusan kepada para peretas sebesar $1,14 juta (Rp 16.377.547.725) setelah adanya negosiasi rahasia.

Geng penjahat Netwalker menyerang Universitas California San Francisco (UCSF) pada 1 Juni. Staf TI mencabut komputer dalam perlombaan untuk menghentikan penyebaran malware. Dan tip-off anonim memungkinkan BBC News untuk mengikuti negosiasi tebusan dalam obrolan langsung di dark web.

Pakar keamanan siber mengatakan negosiasi semacam ini sekarang terjadi di seluruh dunia – kadang-kadang dengan jumlah yang lebih besar – bertentangan dengan saran dari lembaga penegak hukum, termasuk FBI, Europol dan National Cyber Security Centre Inggris. Netwalker sendiri telah dikaitkan dengan setidaknya dengan dua serangan ransomware lain terhadap universitas dalam dua bulan terakhir.

Pada percakapan negoisasi yang dipublikasikan oleh BBC News, pihak Universitas awalnya meminta keringan tebusan sebesar $780,000 karena adanya pandemi coronavirus yang telah menghancurkan universitas secara finansial namun ditolak oleh pelaku. Setelah seharian bernegosiasi, UCSF mengatakan telah mengumpulkan semua uang yang tersedia dan dapat membayar $1,02 juta – tetapi para pelaku menolak tebusan di bawah $1,5 juta. Beberapa jam kemudian, universitas kembali dengan perincian tentang bagaimana ia memperoleh lebih banyak uang dan tawaran akhir sebesar $1.140.895. Dan hari berikutnya, 116,4 bitcoin ditransfer ke dompet elektronik Netwalker dan perangkat lunak dekripsi dikirim ke UCSF.

UCSF mengatakan kepada BBC News: “Data yang dienkripsi adalah data penting untuk beberapa pekerjaan akademik yang kami kejar sebagai universitas yang melayani kepentingan publik. Karena itu kami membuat keputusan sulit untuk membayar sebagian tebusan, sekitar $ 1,14 juta, kepada orang-orang di balik serangan malware dengan imbalan sebuah alat untuk membuka kunci data yang dienkripsi dan mengembalikan data yang mereka peroleh.”

Tetapi Jan Op Gen Oorth, dari Europol, yang menjalankan proyek bernama No More Ransom, mengatakan: “Korban tidak boleh membayar tebusan, karena ini membiayai penjahat dan mendorong mereka untuk melanjutkan kegiatan ilegal mereka. Sebaliknya, mereka harus melaporkannya ke polisi sehingga penegakan hukum dapat mengganggu perusahaan kriminal.”

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: BBC News

Ransomware Ini Menyamar Sebagai Decryptor STOP Djvu Ransomware

by

Seorang peneliti keamanan menemukan strain ransomware baru yang disebut “Zorab” yang menyamar sebagai decryptor untuk STOP Djvu ransomware.

Michael Gillespie, kreator layanan ID Ransomware, melihat Zorab didistribusikan sebagai dekripsi untuk keluarga ransomware STOP Djvu.

Strain ransomware yang relatif umum, STOP Djvu terlibat dalam berbagai serangan digital selama sekitar setahun terakhir. Kembali pada Januari 2019, STOP menggunakan installer adware sebagai penyamarannya sebagai metode baru untuk mendistribusikan dirinya kepada pengguna yang tidak menaruh curiga. Itu hanya beberapa bulan sebelum para peneliti melihat varian dari keluarga ransomware STOP yang mengunduh infostealer Azorult ke mesin korban sebagai bagian dari proses infeksi.

Serangan dimulai ketika para korban memasukkan informasi mereka ke dekripsi Djvu STOP palsu dan mengklik tombol “Mulai Pindai”. Dalam prosesnya, program tersebut mengekstrak proses lain yang disebut “crab.exe” dan menyimpannya ke folder% Temp%.

Melansir Bleeping Computer, Crab.exe adalah ransomware lain yang disebut Zorab, yang akan mulai mengenkripsi data di komputer. Saat mengenkripsi file, ransomware akan menambahkan ekstensi .ZRB ke nama file. Ransomware juga akan membuat catatan tebusan bernama ‘–DECRYPT – ZORAB.txt.ZRB’ di setiap folder tempat file dienkripsi. Catatan ini berisi instruksi tentang cara menghubungi operator ransomware untuk melakukan pembayaran.

Zorab Ransomware
Pesan tebusan Zorab (Sumber: Bleeping Computer)

Ransomware ini sedang dianalisis, dan pengguna tidak boleh membayar uang tebusan sampai dipastikan tidak ada kelemahan yang dapat digunakan untuk memulihkan file terenkripsi Zorab secara gratis.

Tidak adanya jaminan untuk memulihkan file pada serangan Ransomware sebenarnya menjadi pendorong bagi seluruh perusahaan untuk melakukan langkah-langkah pencegahan sebelum ransomware menyerang jaringan perusahaan. Salah satunya dengan melakukan pencadangan (back up) data secara teratur dan menyimpannya di suatu tempat yang aman.

Berita selengkapnya dapat dibaca pada tautan di bawah ini:
Source: Tripwire

Honda Telah Mengonfirmasikan Bahwa Jaringannya Dilanda Serangan Cyber

by

Honda, sebuah produsen kendaraan asal Jepang, telah mengkonfirmasi adanya serangan cyber yang menyerang jaringan perusahaan mereka, termasuk sistem produksi di luar Jepang.

Dalam sebuah pernyataan, juru bicara Honda mengatakan “Honda dapat mengkonfirmasi bahwa serangan cyber telah terjadi di jaringan Honda, Kami juga dapat mengonfirmasi bahwa tidak ada pelanggaran data pada saat ini.”

Mereka menambahkan, “Pekerjaan sedang dilakukan untuk meminimalkan dampak dan mengembalikan fungsionalitas kegiatan produksi, penjualan dan pengembangan secara menyeluruh. Pada titik ini, kami melihat dampak bisnis yang rendah”.

Perusahaan mengatakan telah mengalami kesulitan untuk mengakses server, email dan sistem internal dan ada juga dampak pada sistem produksi di luar Jepang. Dikatakan bahwa “server internal” telah diserang secara eksternal dan “virus” telah menyebar – namun mereka tidak akan mengungkap rincian lebih lanjut untuk alasan keamanan.

Perusahaan telah mengkonfirmasi bahwa pekerjaan di pabrik Inggris telah dihentikan bersamaan dengan penangguhan operasi lain di Amerika Utara, Turki, Italia dan Jepang. Namun, ia menambahkan bahwa pihaknya berharap beberapa situs yang terkena dampak akan kembali online hari ini atau akhir minggu ini.

Beberapa pakar keamanan cyber mengatakan serangan cyber yang menimpa Honda seperti serangan ransomware, yang berarti peretas mungkin telah mengenkripsi data atau mengunci Honda dari beberapa sistem TI-nya.

“Sepertinya kasus ransomware Ekans digunakan,” kata Morgan Wright, kepala penasihat keamanan di perusahaan keamanan Sentinel One. ‘Ekans, atau Snake ransomware, dirancang untuk menyerang jaringan sistem kontrol industri. Fakta bahwa Honda menahan produksi dan mengirim pekerja pabrik pulang dapat mengacu pada adanya gangguan sistem manufaktur mereka.’

Tidak diketahui bagaimana para pelaku cyber menyusup ke sistem komputer Honda, tetapi penelitian menunjukkan bahwa serangan ransomware sedang meningkat dengan para peretas yang menggunakan umpan terkait Covid-19 untuk mengelabui para korban agar mengunduh dokumen-dokumen dan file-file yang berbahaya.

Berita selengkapnya dapat dibaca pada tautan di bawah;
Source: BBC

Ransomware Baru Ini Menargetkan PC Windows dan Linux Dengan Serangan ‘Unik’

by

Sebuah bentuk ransomware yang baru terungkap sedang mengejar sistem Windows dan Linux dalam kampanye yang ditargetkan.

Dinamai Tycoon, ransomware ini telah aktif sejak Desember 2019 dan terlihat sebagai ciptaan penjahat cyber yang sangat selektif dalam penargetan mereka. Malware ini juga menggunakan teknik penyebaran yang tidak biasa yang membantu tetap tersembunyi di jaringan yang dikompromikan.

Target utama Tycoon adalah organisasi dalam industri pendidikan dan perangkat lunak.

Tycoon ditemukan dan dirinci oleh para peneliti di BlackBerry yang bekerjasama dengan analis keamanan di KPMG. Ini adalah bentuk ransomware yang tidak biasa karena ditulis menggunakan bahasa pemograman Java, disebarkan sebagai trojanized Java Runtime Environment dan disusun dalam file gambar Java (Imagej) untuk menyembunyikan niat jahatnya.

Para peneliti berpendapat bahwa Tycoon berpotensi dikaitkan dengan bentuk ransomware lain, Dharma – juga dikenal sebagai Crysis – karena kesamaan dalam alamat email, nama file yang dienkripsi, dan teks catatan tebusan.

Tahap pertama serangan ransomware Tycoon adalah dengan intrusi awal yang datang melalui server internet-facing RDP yang tidak aman. Karena RDP adalah salah satu cara yang umum untuk melakukan serangan cyber, organisasi dapat memastikan bahwa satu-satunya port yang menghadap ke luar ke internet adalah yang benar-benar dibutuhkan saja.

Menerapkan patch keamanan saat dirilis juga dapat mencegah banyak serangan ransomware, karena dapat menghentikan penjahat yang mencoba mengeksploitasi kerentanan yang diketahui. Organisasi juga harus memastikan bahwa mereka secara teratur membuat cadangan jaringan mereka – dan bahwa cadangan itu dapat diandalkan – sehingga jika yang terburuk terjadi, jaringan tersebut dapat dipulihkan tanpa menuruti tuntutan para penjahat dunia maya.

Artikel selengkapnya dapat dibaca pada tautan di bawah:
Source: ZDNet

Ransomware Ragnar Locker Menyebar Sebagai Mesin Virtual Untuk Menghindari Deteksi Keamanan

by

Metode serangan ransomware baru membawa penghindaran pertahanan (defense evasion) ke tingkat baru — disebarkan sebagai mesin virtual penuh pada setiap perangkat yang ditargetkan untuk menyembunyikan ransomware dari pandangan.

Dalam serangan yang baru-baru ini terdeteksi, ransomware Ragnar Locker dikerahkan di dalam mesin virtual Oracle VirtualBox Windows XP. Payload serangan adalah sebuah installer 122 MB dengan 282 MB image virtual di dalamnya — semua untuk menyembunyikan ransomware 49 kB yang dapat dieksekusi.

Aktor di belakang Ragnar Locker diketahui mencuri data dari jaringan yang ditargetkan sebelum meluncurkan ransomware, untuk memberi ancaman agar korban membayar.

Pada bulan April, para aktor di belakang Ragnar Locker menyerang jaringan Energias de Portugal (EDP) dan mengklaim telah mencuri 10 terabyte data perusahaan yang sensitif, menuntut pembayaran 1.580 Bitcoin (sekitar $ 11 juta AS) dan mengancam akan merilis data jika tebusan tidak dibayarkan.

Baca berita selengkapnya pada tautan di bawah:
Source: Sophos News | Naked Security Sophos