Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Ransomware

Ransomware

Malware SOVA menambahkan fitur ransomware untuk mengenkripsi perangkat Android

by

Trojan perbankan Android SOVA terus berkembang dengan fitur baru, peningkatan kode, dan penambahan fitur ransomware baru yang mengenkripsi file di perangkat seluler.

Dengan rilis terbaru, malware SOVA sekarang menargetkan lebih dari 200 aplikasi perbankan, pertukaran cryptocurrency, dan dompet digital, mencoba mencuri data pengguna dan cookie sensitif dari mereka.

Selain itu, fitur refactored dan kode yang ditingkatkan yang membantunya beroperasi lebih tersembunyi pada perangkat yang disusupi, sementara versi terbarunya, 5.0, menambahkan modul ransomware.

Analis ancaman di perusahaan keamanan seluler Cleafy telah mengikuti evolusi SOVA sejak pengumuman proyek pada September 2021 dan melaporkan bahwa perkembangannya meningkat pesat pada 2022.

Pada Maret 2022, SOVA merilis versi 3, menambahkan intersepsi 2FA, pencurian cookie, dan suntikan baru untuk banyak bank di seluruh dunia. Suntikan adalah hamparan yang ditampilkan di atas permintaan masuk yang sah yang digunakan untuk mencuri kredensial, seperti untuk aplikasi bank online.

Pada Juli 2022, tim pengembangan SOVA merilis versi 4, yang mengambil hingga 200 aplikasi yang ditargetkan, dan menambahkan kemampuan VNC (komputasi jaringan virtual) untuk penipuan di perangkat.

Aplikasi bank yang ditargetkan oleh SOVA v3 (kiri) dan SOVA v4 (kanan) (Cleafy)

Malware mengirimkan daftar aplikasi yang diinstal ke C2 dan menerima XML yang berisi daftar alamat yang mengarah ke overlay yang benar untuk dimuat saat korban membuka aplikasi yang ditargetkan.

Versi utama keempat juga menambahkan dukungan untuk perintah seperti mengambil tangkapan layar, melakukan klik dan gesekan, menyalin dan menempel file, dan menyajikan layar overlay sesuka hati.

Rilis ini juga melihat pemfaktoran ulang kode yang signifikan dalam mekanisme pencuri cookie, sekarang menargetkan Gmail, GPay, dan Google Password Manager.

Kode pencuri cookie yang difaktorkan ulang (Cleafy)

SOVA v4 menambahkan beberapa perlindungan terhadap tindakan defensif, menyalahgunakan izin Aksesibilitas untuk mendorong pengguna kembali ke layar beranda jika mereka mencoba mencopot pemasangan aplikasi secara manual.

Terakhir, versi keempat berfokus pada Binance dan aplikasi ‘Trust Wallet’ platform, menggunakan modul khusus yang dibuat untuk mencuri frase benih rahasia pengguna.

Baru-baru ini, Cleafy mengambil sampel rilis awal SOVA v5, yang dilengkapi dengan banyak perbaikan kode dan penambahan fitur baru seperti modul ransomware.

Modul ransomware baru SOVA (Cleafy)

Modul ini menggunakan enkripsi AES untuk mengunci semua file di perangkat yang terinfeksi dan menambahkan ekstensi “.enc” pada file yang telah diubah namanya dan dienkripsi.

Versi kelima belum diedarkan secara luas, dan modul VNC-nya hilang dari sampel awal, jadi kemungkinan versi ini masih dalam pengembangan.

Bahkan dalam bentuknya yang belum selesai saat ini, SOVA v5 siap untuk penyebaran massal, menurut Cleafy, jadi kewaspadaan disarankan untuk semua pengguna Android.

Hal ini membuat SOVA menjadi ancaman dengan intensitas yang semakin meningkat, karena trojan perbankan sekarang menetapkan dirinya sebagai salah satu pelopor ruang ransomware seluler yang masih belum dijelajahi.

Sumber: Bleeping Computer

GwisinLocker ransomware secara eksklusif menargetkan Korea Selatan

by

Para peneliti memperingatkan ransomware baru yang disebut GwisinLocker yang mampu mengenkripsi server ESXi Windows dan Linux. Ransomware menargetkan perusahaan perawatan kesehatan, industri, dan farmasi Korea Selatan, namanya berasal dari nama penulis ‘Gwisin’ (hantu dalam bahasa Korea).

Ransomware didistribusikan melalui serangan yang ditargetkan terhadap organisasi tertentu.

Para ahli juga melaporkan bahwa nama-nama entitas Korea Selatan, seperti polisi Korea, Badan Intelijen Nasional, dan KISA, tercantum dalam catatan tebusan.

Aktor ancaman Gwisin memukul perusahaan Korea pada hari libur dan dini hari menurut media lokal.

Rantai serangan pada sistem Windows memanfaatkan penginstal MSI dan memerlukan nilai khusus sebagai argumen untuk menjalankan file DLL yang disertakan dalam MSI.

“Ini mirip dengan Magniber karena beroperasi dalam bentuk penginstal MSI. Namun tidak seperti Magniber yang menargetkan individu acak, Gwisin tidak melakukan perilaku jahat sendiri, membutuhkan nilai khusus untuk argumen eksekusi. Nilai tersebut digunakan sebagai informasi kunci untuk menjalankan file DLL yang disertakan dalam MSI.”

“Dengan demikian, file itu sendiri tidak melakukan aktivitas ransomware pada produk keamanan dari berbagai lingkungan sandbox, sehingga sulit untuk mendeteksi Gwisin. DLL internal ransomware beroperasi dengan disuntikkan ke dalam proses Windows normal. Prosesnya berbeda untuk setiap perusahaan yang terinfeksi.”

Ransomware GwisinLocker dapat beroperasi dalam mode aman, pertama-tama menyalin dirinya sendiri ke jalur ProgramData tertentu dan kemudian terdaftar sebagai layanan sebelum memaksa sistem reboot.

Sumber Ahnlab

Peneliti dari Reversinglabs menganalisis versi Linux dari ransomware, mereka menunjukkan bahwa itu adalah malware canggih dengan fitur yang dirancang khusus untuk mengelola host Linux dan menargetkan mesin virtual VMWare ESXI. GwisinLocker menggabungkan enkripsi kunci simetris AES dengan hashing SHA256, yang menghasilkan kunci unik untuk setiap file.

Para korban varian GwisinLocker Linux diharuskan masuk ke portal yang dioperasikan oleh grup untuk menghubungi para penjahat.

“Analisis dan pelaporan publik dari kampanye GwisinLocker yang lebih besar menunjukkan bahwa ransomware ada di tangan aktor ancaman canggih yang mendapatkan akses ke dan kontrol atas lingkungan target sebelum penyebaran ransomware. Itu termasuk mengidentifikasi dan mencuri data sensitif untuk digunakan dalam apa yang disebut kampanye “pemerasan ganda”. menyimpulkan laporan yang diterbitkan oleh Reversinglabs.

“Rincian dalam contoh catatan tebusan kelompok menunjukkan keakraban dengan bahasa Korea serta pemerintah Korea Selatan dan penegak hukum. Hal ini menimbulkan spekulasi bahwa Gwisin mungkin adalah kelompok ancaman persisten lanjutan (APT) yang terkait dengan Korea Utara”

Sumber : Security Affairs

Ransomware BlackCat mengklaim serangan terhadap Creos Luxembourg S.A.

by

Geng ransomware ALPHV, alias BlackCat, mengaku bertanggung jawab atas serangan siber terhadap Creos Luxembourg S.A. pekan lalu, operator jaringan pipa gas alam dan listrik di negara Eropa tengah itu.

Pemilik Creos, Encevo, yang beroperasi sebagai pemasok energi di lima negara Uni Eropa, mengumumkan pada 25 Juli bahwa mereka telah mengalami serangan siber pada akhir pekan sebelumnya, antara 22 dan 23 Juli.

Sementara serangan siber telah mengakibatkan portal pelanggan Encevo dan Creos menjadi tidak tersedia, tidak ada gangguan dalam layanan yang disediakan.

Pada tanggal 28 Juli, perusahaan memposting pembaruan tentang serangan siber, dengan hasil awal penyelidikan mereka menunjukkan bahwa penyusup jaringan telah mengekstrak “sejumlah data” dari sistem yang diakses.

Pada saat itu, Encevo tidak dalam posisi untuk memperkirakan cakupan dampak dan dengan ramah meminta pelanggan untuk bersabar sampai penyelidikan selesai, di mana setiap orang akan menerima pemberitahuan yang dipersonalisasi.

Karena tidak ada pembaruan lebih lanjut yang diposting di portal media Encevo, prosedur ini kemungkinan masih berlangsung. Encevo mengatakan bahwa ketika lebih banyak informasi tersedia, itu akan diposting di halaman web khusus untuk serangan siber.

Untuk saat ini, semua pelanggan disarankan untuk mengatur ulang kredensial akun online mereka, yang mereka gunakan untuk berinteraksi dengan layanan Encevo dan Creos. Selanjutnya, jika kata sandi tersebut sama di situs lain, pelanggan juga harus mengubah kata sandi mereka di situs tersebut.

Grup ransomware ALPHV/BlackCat menambahkan Creos ke situs pemerasannya pada hari Sabtu, mengancam akan menerbitkan 180.000 file curian dengan ukuran total 150 GB, termasuk kontrak, perjanjian, paspor, tagihan, dan email.

Meskipun tidak ada waktu pasti yang diumumkan untuk pemenuhan ancaman ini, para peretas berjanji pengungkapan akan terjadi hari ini (Senin).

ALPHV ransomware adding Creos on extortion site

ALPHV/BlackCat baru-baru ini meluncurkan platform pemerasan baru di mana mereka membuat data yang dicuri dapat dicari oleh pengunjung, dengan tujuan untuk meningkatkan tekanan pada korban mereka agar mereka membayar uang tebusan.

Sementara BlackCat terus berinovasi pemerasan data, mereka tampaknya tidak pernah belajar dari kesalahan mereka dan terus menargetkan perusahaan-perusahaan terkenal yang kemungkinan akan menempatkan mereka di persimpangan lembaga penegak hukum internasional.

BlackCat diyakini sebagai operasi rebranding DarkSide, yang ditutup di bawah tekanan dari penegak hukum setelah serangan ransomware yang dipublikasikan di Colonial Pipeline.

Setelah menutup DarkSide, mereka berganti nama menjadi BlackMatter untuk menghindari penegakan hukum, tetapi tekanan berlanjut dengan geng ditutup lagi.

Sejak November 2021, ketika pelaku ancaman diluncurkan kembali sebagai BlackCat/ALPHV, pelaku ancaman cenderung menghindari target besar Amerika dan malah menargetkan entitas Eropa, seperti negara bagian Austria, rantai mode Italia, dan penyedia layanan bandara Swiss.

Namun, tampaknya mereka belum belajar dari kesalahan mereka dan terus menyerang infrastruktur penting, seperti perusahaan pemasok bensin Jerman Oiltanking pada Februari dan sekarang Creos Luxembourg.

Sumber: Bleeping Computer

Ransomware 0mega baru menargetkan bisnis dalam serangan pemerasan ganda

by

Operasi ransomware baru bernama ‘0mega’ menargetkan organisasi di seluruh dunia dalam serangan pemerasan ganda dan menuntut uang tebusan jutaan dolar.

0mega adalah operasi ransomware baru yang diluncurkan pada Mei 2022 dan telah menyerang banyak korban sejak saat itu.

Sampel ransomware untuk operasi 0mega belum ditemukan, oleh karena itu tidak banyak informasi tentang bagaimana file dienkripsi.

Namun, kita tahu bahwa ransomware menambahkan ekstensi .0mega ke nama file terenkripsi dan membuat catatan tebusan bernama DECRYPT-FILES.txt.

Catatan tebusan ini disesuaikan per korban, biasanya berisi nama perusahaan dan menjelaskan berbagai jenis data yang dicuri dalam serangan. Selain itu, beberapa catatan termasuk ancaman tentang bagaimana geng 0mega akan mengungkapkan serangan kepada mitra bisnis dan asosiasi perdagangan jika uang tebusan tidak dibayarkan.

Catatan tebusan ini mencakup tautan ke situs negosiasi pembayaran Tor dengan obrolan “dukungan” yang dapat digunakan korban untuk menghubungi geng ransomware.

Untuk masuk ke situs ini, korban harus mengunggah catatan tebusan mereka yang menyertakan gumpalan unik yang disandikan Base64 yang digunakan oleh situs untuk mengidentifikasi korban.

Situs negosiasi tebusan 0mega
Sumber: BleepingComputer

Seperti hampir semua operasi ransomware penargetan perusahaan, 0mega menjalankan situs kebocoran data khusus yang digunakan pelaku ancaman untuk mempublikasikan data curian jika uang tebusan tidak dibayarkan.

Situs kebocoran 0mega saat ini menampung 152 GB data yang dicuri dari perusahaan perbaikan elektronik dalam serangan Mei.

Situs kebocoran data 0mega
Situs: BleepingComputer

Namun, minggu lalu ada korban tambahan yang telah dihapus, menunjukkan bahwa perusahaan mungkin telah membayar uang tebusan.

Sumber: Bleeping Computer

Decryptor gratis dirilis untuk AstraLocker, korban ransomware Yashma

by

Perusahaan keamanan siber yang berbasis di Selandia Baru Emsisoft telah merilis alat dekripsi gratis untuk membantu korban ransomware AstraLocker dan Yashma memulihkan file mereka tanpa membayar uang tebusan.

Alat gratis ini tersedia untuk diunduh dari server Emsisoft, dan memungkinkan Anda memulihkan file terenkripsi menggunakan instruksi yang mudah diikuti yang tersedia dalam panduan penggunaan ini [PDF].

“Pastikan untuk mengkarantina malware dari sistem Anda terlebih dahulu, atau mungkin berulang kali mengunci sistem Anda atau mengenkripsi file,” Emsisoft memperingatkan.

Decryptor ransomware akan memungkinkan Anda untuk menyimpan file yang dienkripsi dalam serangan sebagai failsafe jika file yang didekripsi tidak identik dengan dokumen asli.

Emsisoft juga menyarankan korban AstraLocker dan Yashma yang sistemnya disusupi melalui Windows Remote Desktop untuk mengubah kata sandi untuk semua akun pengguna yang memiliki izin untuk masuk dari jarak jauh dan untuk mencari akun lokal lain yang mungkin telah ditambahkan oleh operator ransomware.

Dekripsi AstraLocker (Emsisoft)

Decryptor dirilis setelah aktor ancaman di balik ransomware AstraLocker mengatakan bahwa mereka menutup operasi dengan rencana untuk beralih ke cryptomining.

Pengembang ransomware membagikan arsip ZIP dengan dekripsi AstraLocker dan Yashma yang mereka kirimkan ke platform analisis malware VirusTotal.

Meskipun mereka tidak mengungkapkan alasan di balik penutupan AstraLocker, penyebab yang paling mungkin adalah publisitas tiba-tiba yang dibawa oleh laporan baru-baru ini yang akan membuat operasi tersebut menjadi sasaran penegakan hukum.

AstraLocker didasarkan pada ransomware Babuk Locker (Babyk), jenis buggy namun masih berbahaya yang kode sumbernya bocor pada bulan September di forum peretas.

Sumber: Bleeping Computer

Ransomware, kelompok peretas berpindah dari Cobalt Strike ke Brute Rate

by

Grup peretasan dan operasi ransomware beralih dari Cobalt Strike ke toolkit pasca-eksploitasi Brute Ratel yang lebih baru untuk menghindari deteksi oleh solusi EDR dan antivirus.

Tim keamanan siber perusahaan biasanya terdiri dari karyawan yang berusaha menembus jaringan perusahaan (tim merah) dan mereka yang secara aktif membela mereka (tim biru). Kedua tim kemudian berbagi catatan setelah pertemuan untuk memperkuat pertahanan keamanan siber jaringan.

Selama bertahun-tahun, salah satu alat paling populer dalam keterlibatan tim merah adalah Cobalt Strike, alat yang memungkinkan penyerang untuk menyebarkan “suar” pada perangkat yang disusupi untuk melakukan pengawasan jaringan jarak jauh atau menjalankan perintah.

Sementara Cobalt Strike adalah perangkat lunak yang sah, para pelaku ancaman telah membagikan versi crack secara online, menjadikannya salah satu alat paling populer yang digunakan oleh peretas dan operasi ransomware untuk menyebar secara lateral melalui jaringan perusahaan yang dilanggar.

Pada tahun 2020, Chetan Nayak, mantan tim merah di Mandiant dan CrowdStrike, merilis Pusat Komando dan Kontrol Brute Ratel (BRc4) sebagai alternatif Cobalt Strike untuk keterlibatan pengujian penetrasi tim merah.

Seperti Cobalt Strike, Brute Ratel adalah alat simulasi serangan permusuhan yang memungkinkan tim merah untuk menyebarkan ‘Badgers’ (mirip dengan suar di Cobalt Strike) pada host jarak jauh. Badger ini terhubung kembali ke server Command and Control penyerang untuk menerima perintah untuk mengeksekusi atau mengirimkan output dari perintah yang dijalankan sebelumnya.

Dalam laporan baru oleh Palo Alto Unit 42, para peneliti telah melihat aktor ancaman pindah dari Cobalt Strike menggunakan Brute Ratel sebagai toolkit pilihan pasca-eksploitasi mereka.

Perubahan taktik ini signifikan karena BRc4 dirancang untuk menghindari deteksi oleh EDR dan solusi antivirus, dengan hampir semua perangkat lunak keamanan tidak mendeteksinya sebagai berbahaya saat pertama kali terlihat di alam liar.

Dalam serangan yang diduga terkait dengan kelompok peretas yang disponsori negara Rusia APT29 (alias CozyBear and Dukes), pelaku ancaman mendistribusikan ISO berbahaya yang diduga berisi resume (CV) yang dikirimkan.

Isi file ISO berbahaya
Sumber: BleepingComputer

Namun, file resume ‘Roshan-Bandara_CV_Dialog’ sebenarnya adalah pintasan Windows yang akan meluncurkan file OneDriveUpdater.exe yang dibundel, seperti yang ditunjukkan pada properti file di bawah ini.

Pintasan Windows menyamar sebagai CV untuk meluncurkan program
Sumber: BleepingComputer

Sementara OneDriveUpdater.exe adalah sah Microsoft executable, termasuk version.dll yang dimuat oleh program telah dimodifikasi untuk bertindak sebagai loader untuk Brute Ratel badger, yang dimuat ke dalam proses RuntimeBroker.exe.

Setelah badger Brute Ratel dimuat, pelaku ancaman dapat mengakses perangkat yang disusupi dari jarak jauh untuk menjalankan perintah dan menyebar lebih jauh di jaringan yang sekarang dilanggar.

Brute Rate saat ini berharga $2.500 per pengguna untuk lisensi satu tahun, dengan pelanggan diharuskan memberikan alamat email bisnis dan diverifikasi sebelum lisensi diterbitkan.

Karena ini adalah proses verifikasi manual, ini menimbulkan pertanyaan tentang bagaimana pelaku ancaman menerima lisensi perangkat lunak.

Pengembang Brute Ratel Chetan Nayak mengatakan bahwa lisensi yang digunakan dalam serangan yang dilaporkan oleh Unit 42 dibocorkan oleh karyawan yang tidak puas dari salah satu pelanggannya.

Karena muatan memungkinkan Nayak untuk melihat kepada siapa mereka dilisensikan, dia dapat mengidentifikasi dan mencabut lisensi tersebut.

Namun, menurut CEO AdvIntel Vitali Kremez, mantan anggota ransomware Conti juga mulai memperoleh lisensi dengan membuat perusahaan AS palsu untuk melewati sistem verifikasi lisensi.

Sumber: Bleeping Computer

Ransomware AstraLocker dimatikan dan melepaskan decryptors

by

Pelaku ancaman di balik ransomware AstraLocker yang kurang dikenal mengatakan kepada BleepingComputer bahwa mereka menghentikan operasi dan berencana untuk beralih ke cryptojacking.

Pengembang ransomware mengirimkan arsip ZIP dengan dekripsi AstraLocker ke platform analisis malware VirusTotal.

BleepingComputer mengunduh arsip dan mengonfirmasi bahwa decryptor itu sah dan berfungsi setelah menguji salah satunya terhadap file yang dienkripsi dalam kampanye AstroLocker baru-baru ini.

Meskipun kami hanya menguji satu decryptor yang berhasil mendekripsi file yang dikunci dalam satu kampanye, decryptor lain dalam arsip kemungkinan dirancang untuk mendekripsi file yang dienkripsi dalam kampanye sebelumnya.

Dekripsi AstraLocker (BleepingComputer)

Sementara pengembang tidak mengungkapkan alasan di balik penutupan AstraLocker, kemungkinan karena publisitas tiba-tiba yang dibawa oleh laporan baru-baru ini yang akan mendaratkan operasi di garis bidik penegakan hukum.

Decryptor universal untuk ransomware AstraLocker saat ini sedang dalam pengerjaan, yang akan dirilis di masa mendatang oleh Emsisoft, sebuah perusahaan perangkat lunak yang dikenal membantu korban ransomware dengan dekripsi data.

Meskipun tidak terjadi sesering yang kami inginkan, grup ransomware lain telah merilis kunci dekripsi dan dekripsi ke BleepingComputer dan peneliti keamanan sebagai isyarat niat baik saat mematikan atau merilis versi baru.

Seperti yang baru-baru ini diungkapkan oleh firma intelijen ancaman ReversingLabs, AstraLocker menggunakan metode yang agak tidak lazim untuk mengenkripsi perangkat korbannya dibandingkan dengan jenis ransomware lainnya.

Alih-alih mengkompromikan perangkat terlebih dahulu (baik dengan meretasnya atau membeli akses dari pelaku ancaman lainnya), operator AstraLocker akan langsung menyebarkan muatan dari lampiran email menggunakan dokumen Microsoft Word yang berbahaya.

Umpan yang digunakan dalam serangan AstroLocker adalah dokumen yang menyembunyikan objek OLE dengan muatan ransomware yang akan disebarkan setelah target mengklik Jalankan dalam dialog peringatan yang ditampilkan saat membuka dokumen.

Catatan tebusan AstraLocker (ReversingLabs)

Sebelum mengenkripsi file pada perangkat yang sekarang disusupi, ransomware akan memeriksa apakah itu berjalan di mesin virtual, mematikan proses dan menghentikan pencadangan dan layanan AV yang akan menghambat proses enkripsi.

Berdasarkan analisis ReversingLabs, AstraLocker didasarkan pada kode sumber ransomware Babuk Locker (Babyk) yang bocor, jenis buggy tetapi masih berbahaya yang keluar dari ruang angkasa pada September 2021.

Selain itu, salah satu alamat dompet Monero dalam catatan tebusan AstraLocker juga terkait dengan operator ransomware Chaos.

Sumber: Bleeping Computer

Peretas yang Didukung Negara Menggunakan Ransomware sebagai Umpan untuk Serangan Spionase

by

Sebuah kelompok ancaman persisten tingkat lanjut (APT) yang berbasis di China mungkin menyebarkan keluarga ransomware berumur pendek sebagai umpan untuk menutupi tujuan operasional dan taktis yang sebenarnya di balik kampanyenya.

Cluster aktivitas, yang dikaitkan dengan grup peretasan yang dijuluki Bronze Starlight oleh Secureworks, melibatkan penyebaran ransomware pasca-intrusi seperti LockFile, Atom Silo, Rook, Night Sky, Pandora, dan LockBit 2.0.

“Ransomware dapat mengalihkan perhatian responden insiden dari mengidentifikasi maksud sebenarnya dari pelaku ancaman dan mengurangi kemungkinan mengaitkan aktivitas jahat dengan kelompok ancaman China yang disponsori pemerintah,” kata para peneliti dalam sebuah laporan baru. “Dalam setiap kasus, ransomware menargetkan sejumlah kecil korban selama periode waktu yang relatif singkat sebelum berhenti beroperasi, tampaknya secara permanen.”

Bronze Starlight, aktif sejak pertengahan 2021, juga dilacak oleh Microsoft di bawah klaster ancaman yang muncul DEV-0401, dengan raksasa teknologi itu menekankan keterlibatannya dalam semua tahap siklus serangan ransomware langsung dari akses awal hingga penyebaran muatan.

Tidak seperti grup RaaS lain yang membeli akses dari broker akses awal (IAB) untuk memasuki jaringan, serangan yang dipasang oleh aktor ditandai dengan penggunaan kerentanan yang belum ditambal yang memengaruhi Exchange Server, Zoho ManageEngine ADSelfService Plus, Atlassian Confluence (termasuk kelemahan yang baru diungkapkan), dan Apache Log4j.

Dalam waktu kurang dari satu tahun, kelompok tersebut dikatakan telah melewati sebanyak enam jenis ransomware yang berbeda seperti LockFile (Agustus 2021), Atom Silo (Oktober), Rook (November), Night Sky (Desember), Pandora (Februari 2022 ), dan yang terbaru LockBit 2.0 (April).

Terlebih lagi, kesamaan telah ditemukan antara LockFile dan Atom Silo serta antara Rook, Night Sky, dan Pandora — tiga yang terakhir berasal dari ransomware Babuk, yang kode sumbernya bocor pada September 2021 — menunjukkan pekerjaan aktor yang sama.

“Karena DEV-0401 memelihara dan sering mengubah nama muatan ransomware mereka sendiri, mereka dapat muncul sebagai kelompok yang berbeda dalam pelaporan berbasis muatan dan menghindari deteksi dan tindakan terhadap mereka,” Microsoft mencatat bulan lalu.

Setelah mendapatkan pijakan di dalam jaringan, Bronze Starlight diketahui mengandalkan teknik seperti menggunakan Cobalt Strike dan Windows Management Instrumentation (WMI) untuk gerakan lateral, meskipun mulai bulan ini, grup tersebut mulai mengganti Cobalt Strike dengan kerangka Sliver dalam serangan mereka. .

Tradecraft lain yang diamati terkait dengan penggunaan HUI Loader untuk meluncurkan payload terenkripsi tahap berikutnya seperti PlugX dan Cobalt Strike Beacons, yang terakhir digunakan untuk mengirimkan ransomware, tetapi tidak sebelum mendapatkan kredensial Administrator Domain istimewa.

“Penggunaan HUI Loader untuk memuat Cobalt Strike Beacon, informasi konfigurasi Cobalt Strike Beacon, infrastruktur C2, dan kode yang tumpang tindih menunjukkan bahwa kelompok ancaman yang sama dikaitkan dengan lima keluarga ransomware ini,” jelas para peneliti.

Perlu ditunjukkan bahwa baik HUI Loader dan PlugX, bersama ShadowPad, adalah malware yang secara historis digunakan oleh kolektif musuh negara-bangsa China, memberikan kepercayaan pada kemungkinan bahwa Bronze Starlight lebih diarahkan untuk spionase daripada keuntungan moneter langsung.

Selain itu, pola viktimologi yang mencakup berbagai jenis ransomware menunjukkan bahwa sebagian besar target cenderung lebih menarik bagi kelompok yang disponsori pemerintah China yang berfokus pada pengumpulan intelijen jangka panjang.

Korban utama mencakup perusahaan farmasi di Brasil dan AS, organisasi media yang berbasis di AS dengan kantor di China dan Hong Kong, perancang dan produsen komponen elektronik di Lituania dan Jepang, firma hukum di AS, dan divisi kedirgantaraan dan pertahanan dari seorang konglomerat India.

Untuk itu, operasi ransomware, selain menyediakan sarana untuk mengekstrak data sebagai bagian dari skema pemerasan ganda “nama-dan-malu”, juga menawarkan keuntungan ganda karena memungkinkan pelaku ancaman untuk menghancurkan bukti forensik dari aktivitas jahat mereka dan bertindak sebagai pengalih perhatian dari pencurian data.

“Masuk akal bahwa Bronze Starlight menyebarkan ransomware sebagai tabir asap daripada untuk keuntungan finansial, dengan motivasi yang mendasari mencuri kekayaan intelektual atau melakukan spionase,” kata para peneliti.

Sumber: The Hacker News