Kaspersky mengungkap insiden ransomware di Kolombia dan Meksiko, di mana para penyerang mengeksploitasi sistem yang salah konfigurasi.
Kejahatan siber sekarang ini mulai mengambil pendekatan kreatif layaknya film Hollywood, dengan menggunakan printer kantor untuk memberi tahu korban bahwa mereka telah diserang ransomware.
Peneliti keamanan dari Kaspersky melaporkan dua insiden baru-baru ini, satu di Kolombia dan satu di Meksiko, di mana para penyerang memanfaatkan sistem yang tidak terkonfigurasi dengan baik.
Kedua kejadian ini memiliki hasil yang sama: para penyerang mengunci drive penting dengan BitLocker, lalu mencetak catatan tebusan mereka menggunakan printer kantor.
XEntry Team mengklaim bertanggung jawab atas serangan
Di Kolombia, sebuah mesin yang menyimpan delapan terabyte data misi-kritis memiliki Endpoint Protection Platform (EPP) yang dinonaktifkan akibat masalah kompatibilitas. Selain itu, mesin tersebut juga menjalankan Remote Desktop Protocol (RDP) yang terhubung ke internet, sehingga memberi akses yang relatif mudah bagi para penyerang.
Sementara itu, serangan di Meksiko cukup berbeda. Tiga bulan sebelum menyerang, para penyerang menemukan kesalahan konfigurasi dalam layanan MSSQL yang memberi mereka akses istimewa ke lingkungan target. Mereka menghabiskan waktu beberapa bulan untuk menurunkan pengaturan keamanan server, memasang web shell, dan walaupun ada beberapa yang memicu alarm EPP, korban tidak pernah melakukan penyelidikan mendalam.
Dalam kasus Kolombia, para penyerang hanya meminta $3,000, tawaran yang segera diterima oleh korban. Sehingga, tidak ada cukup bukti forensik yang tersisa untuk melakukan penyelidikan yang menyeluruh. Kaspersky tidak mengungkapkan berapa uang tebusan yang diminta dalam kasus Meksiko, atau apakah korban akhirnya membayar atau tidak.
Dalam kedua kasus ini, para penyerang tidak mengeksploitasi celah keamanan, atau bahkan menargetkan karyawan yang tidak menyadari melalui rekayasa sosial. Sebaliknya, mereka memanfaatkan kesalahan konfigurasi, yang terus menjadi salah satu penyebab terbesar kebocoran data dan pelanggaran keamanan.
Kaspersky mengingatkan, “Kami sangat merekomendasikan konfigurasi RDP sesuai dengan praktik terbaik siber untuk mencegah akses tidak sah.” Ini sangat penting: menurut Laporan Global kami: Anatomy of a Cyber World, lebih dari 13% insiden terkait dengan pelanggaran kebijakan dan kesalahan konfigurasi, yang menunjukkan bahwa kesalahan konfigurasi tetap menjadi risiko yang signifikan.”
Serangan ini dilakukan oleh sekelompok orang yang menamakan diri mereka “XEntry Team”. Tidak ada laporan sebelumnya tentang kelompok ini, dan mereka bisa jadi merupakan aktor ancaman yang sebelumnya tidak dikenal, atau sekadar melakukan rebranding.
