Aktor siber jahat menyerang sistem yang belum ditambal Microsoft Exchange server dengan DearCry ransomware. Ransomware DearCry mengeksploitasi sistem korban.
Perangkat lunak berbahaya ini mengambil alih server yang terekspos oleh kerentanan ProxyLogon, sehingga meningkatkan volume serangan pada vektor ini.
Akhir-akhir ini terjadi peningkatan serangan ransomware. Check Point mendeteksi lonjakan serangan yang menargetkan server Microsoft Exchange yang belum di-patch.
Pada 14 Maret, Microsoft memperkirakan 82,000 server Exchange rentan. Menurut data RiskIQ, jumlah mesin yang terekspos turun menjadi sekitar 30,000 seminggu kemudian.
Namun, Check Point menunjukkan lebih dari 50,000 upaya serangan di berbagai organisasi. Ini termasuk:
- militer
- perbankan, dan
- organisasi manufaktur.
Secara keseluruhan, 49 persen serangan hanya menargetkan organisasi AS.
WannaCry Kembali Menjadi DearCry?
Ransomware DearCry terbaru telah mengungkap perilaku serangan enkripsi yang tidak biasa seperti WannaCry.
Mark Loman, direktur di Sophos, menganalisis sampel yang diperoleh dari serangan yang dibelokkan pada salah satu klien mereka.
Analisis mengungkapkan bahwa ransomware tersebut kasar dan tidak banyak menyembunyikan keberadaannya. Dengan demikian, ransomware tersebut dibuat oleh seseorang dengan keterampilan dasar.
Namun, analisis Loman mengidentifikasi pendekatan enkripsi hibrida yang serupa dengan WannaCry.
Keduanya menghasilkan salinan terenkripsi dari berkas yang diserang, sebuah teknik yang kami sebut enkripsi 'salin'. Kemudian, file asli ditimpa untuk memblokir pemulihan, sebuah teknik yang kami sebut 'enkripsi di tempat'.
Mark Loman, direktur di Sophos
Ia menambahkan bahwa korban ransomware tiruan dapat memulihkan sebagian data mereka. Namun, dengan enkripsi bawaan, pemulihan melalui alat pemulihan data tidak mungkin dilakukan.
BitPaymer, Ryuk, REvil, dan Maze adalah ransomware terkenal yang dioperasikan manusia dengan menggunakan enkripsi internal saja.
Selain kesamaan ini, WannaCry dan DearCry memiliki nama dan header yang mirip yang ditambahkan ke file terenkripsi.
Ia juga menunjukkan bahwa kesamaan-kesamaan ini bukan berarti keduanya berasal dari pencipta yang sama. Lagipula, ia juga menemukan perbedaan inheren antara WannaCry dan DearCry.
Misalnya, DearCry tidak memiliki pengatur waktu atau menggunakan kunci enkripsi RSA tertanam atau server perintah-dan-kontrol (C2).
Hal penting lainnya yang perlu diperhatikan adalah ransomware menyerang satu sistem dalam satu waktu; bukan setiap mesin pada jaringan target.
Fitur DearCry lainnya meliputi;
- menciptakan biner baru untuk korban baru, dan
- pendekatan anti-deteksi yang tidak canggih.
Semua fitur ini menunjukkan bahwa DearCry merupakan pengembangan yang terburu-buru atau masih berupa prototipe.
Apa Jalan Keluarnya?
DearCry menempatkan berkas "readme.txt" di setiap folder sistem dengan kata "desktop". Berkas tersebut juga ditempatkan di folder root disk sistem dan memberi tahu korban apa yang terjadi dan siapa yang harus dihubungi.
Catatan tebusan ini berisi dua alamat email dan sebuah hash. Hash ini berfungsi sebagai pengenal unik bagi penyerang, yang menunjukkan kunci dekripsi mana yang sesuai dengan serangan yang mana.
Karena kerentanan server menyebabkan serangan ransomware, memasang patch adalah langkah logis berikutnya.
Atau, putuskan sambungan server mereka dari internet jika perbaikan tidak memungkinkan. Setidaknya sampai ada solusi yang layak, jelas Loman.
Tentang Microsoft
Microsoft Corporation adalah perusahaan teknologi global yang berkantor pusat di Redmond, Washington, Amerika Serikat. Perusahaan ini memproduksi, menjual, dan memfasilitasi barang elektronik konsumen, perangkat lunak komputer, dan komputer pribadi.
Peramban Microsoft, Microsoft Office Suite, dan lini OS Windows merupakan produk perangkat lunak populernya. Selain itu, Microsoft juga menjalankan lini server untuk perusahaan.
Tapi, jika Anda seorang bisnis kecil pemilik, Anda tidak memerlukan server Microsoft. Kunjungi halaman ulasan kami untuk mengetahui pro dan kontra berbagai solusi web hosting.
