Phobos Ransomware Agresif Targetkan Infrastruktur Kritis AS
Cyberthreat.id - Badan keamanan siber dan intelijen AS memperingatkan serangan ransomware Phobos yang menargetkan pemerintah dan entitas infrastruktur penting, serta menguraikan berbagai taktik dan teknik yang telah diadopsi oleh pelaku ancaman untuk menyebarkan malware enkripsi file tersebut.
“Terstruktur sebagai model ransomware-as-a-service (RaaS), pelaku ransomware Phobos telah menargetkan entitas termasuk pemerintah kota dan kabupaten, layanan darurat, pendidikan, layanan kesehatan publik, dan infrastruktur penting agar berhasil memberikan tebusan beberapa juta dolar AS,” kata pemerintah sebagaimana dikutip The Hacker News.
Saran tersebut berasal dari Badan Keamanan Siber dan Infrastruktur AS (CISA), Biro Investigasi Federal (FBI), dan Pusat Pembagian dan Analisis Informasi Multi-Negara (MS-ISAC).
Aktif sejak Mei 2019, hingga saat ini beberapa varian ransomware Phobos telah teridentifikasi, yaitu Eking, Eight, Elbie, Devos, Faust, dan Backmydata. Akhir tahun lalu, Cisco Talos mengungkapkan bahwa pelaku ancaman di balik ransomware 8Base memanfaatkan varian ransomware Phobos untuk melakukan serangan yang bermotif finansial.
Ada bukti yang menunjukkan bahwa Phobos kemungkinan besar dikelola secara ketat oleh otoritas pusat, yang mengontrol kunci dekripsi pribadi ransomware.
Rantai serangan yang melibatkan jenis ransomware biasanya memanfaatkan phishing sebagai vektor akses awal untuk menjatuhkan muatan tersembunyi seperti SmokeLoader. Alternatifnya, jaringan yang rentan dibobol dengan memburu layanan RDP yang terekspos dan mengeksploitasinya melalui serangan brute force.
Pembobolan digital yang sukses diikuti oleh pelaku ancaman yang menghapus alat akses jarak jauh tambahan, memanfaatkan teknik injeksi proses untuk mengeksekusi kode berbahaya dan menghindari deteksi, dan melakukan modifikasi Windows Registry untuk mempertahankan persistensi dalam lingkungan yang disusupi.
“Selain itu, pelaku Phobos telah diamati menggunakan fungsi API Windows bawaan untuk mencuri token, melewati kontrol akses, dan membuat proses baru untuk meningkatkan hak istimewa dengan memanfaatkan proses SeDebugPrivilege,” kata agensi tersebut.
“Pelaku Phobos mencoba mengautentikasi menggunakan hash kata sandi yang di-cache pada mesin korban hingga mereka mencapai akses administrator domain.”
Kelompok kejahatan elektronik juga diketahui menggunakan alat sumber terbuka seperti Bloodhound dan Sharphound untuk menghitung direktori aktif. Eksfiltrasi file dilakukan melalui WinSCP dan Mega.io, setelah itu salinan bayangan volume dihapus dalam upaya mempersulit pemulihan.
Pengungkapan ini terjadi ketika Bitdefender merinci serangan ransomware yang terkoordinasi dengan cermat yang berdampak pada dua perusahaan terpisah pada saat yang bersamaan.
Serangan tersebut, yang digambarkan sebagai serangan tersinkronisasi dan multifaset, telah dikaitkan dengan aktor ransomware yang disebut CACTUS.
“CACTUS terus menyusup ke jaringan satu organisasi, menanamkan berbagai jenis alat akses jarak jauh dan terowongan di server yang berbeda,” Martin Zugec, direktur solusi teknis di Bitdefender, mengatakan dalam sebuah laporan yang diterbitkan minggu lalu.
“Ketika mereka mengidentifikasi peluang untuk pindah ke perusahaan lain, mereka menghentikan sejenak operasi mereka untuk menyusup ke jaringan lain. Kedua perusahaan adalah bagian dari grup yang sama, namun beroperasi secara independen, mempertahankan jaringan dan domain terpisah tanpa hubungan kepercayaan yang terjalin.”
Serangan ini juga penting karena menargetkan infrastruktur virtualisasi perusahaan yang tidak disebutkan namanya, yang menunjukkan bahwa pelaku CACTUS telah memperluas fokus mereka di luar host Windows untuk menyerang host Hyper-V dan VMware ESXi.
Ini juga memanfaatkan kelemahan keamanan kritis (CVE-2023-38035, skor CVSS: 9.8) di server Ivanti Sentry yang terekspos internet kurang dari 24 jam setelah pengungkapan awalnya pada Agustus 2023, sekali lagi menyoroti persenjataan oportunistik dan cepat dari kerentanan yang baru dipublikasikan.
Ransomware terus menjadi penghasil uang utama bagi pelaku ancaman yang bermotif finansial, dengan permintaan awal ransomware mencapai rata-rata $600.000 pada tahun 2023, melonjak 20% dari tahun sebelumnya, menurut Arctic Wolf. Pada Q4 2023, rata-rata pembayaran tebusan mencapai $568,705 per korban.
Terlebih lagi, membayar permintaan uang tebusan tidak berarti perlindungan di masa depan. Tidak ada jaminan bahwa data dan sistem korban akan dipulihkan dengan aman dan penyerang tidak akan menjual data yang dicuri di forum bawah tanah atau menyerang mereka lagi.
Data yang dibagikan oleh perusahaan keamanan siber Cybereason menunjukkan bahwa "78% [organisasi] diserang lagi setelah membayar uang tebusan – 82% di antaranya dalam waktu satu tahun," dalam beberapa kasus oleh pelaku ancaman yang sama. Dari para korban ini, 63% “diminta membayar lebih untuk kedua kalinya”.[]
