CISA dan FBI mengatakan penyerang yang mengerahkan ransomware hantu telah melanggar korban dari berbagai sektor industri di lebih dari 70 negara, termasuk organisasi infrastruktur kritis.
Industri lain yang terkena dampak termasuk perawatan kesehatan, pemerintah, pendidikan, teknologi, manufaktur, dan berbagai bisnis kecil dan menengah.
“Mulai awal 2021, aktor hantu mulai menyerang korban yang internetnya menghadapi layanan menjalankan versi perangkat lunak dan firmware yang sudah ketinggalan zaman,” CISA, FBI, dan Pusat Berbagi Informasi dan Analisis Multi-Negara (MS-ISAC) mengatakan dalam penasihat bersama Dirilis pada hari Rabu.
“Penargetan jaringan yang tidak pandang bulu yang mengandung kerentanan ini telah menyebabkan kompromi organisasi di lebih dari 70 negara, termasuk organisasi di Cina.”
Operator hantu ransomware sering memutar malware mereka yang dapat dieksekusi, mengubah ekstensi file file terenkripsi, mengubah isi catatan tebusan mereka, dan menggunakan beberapa alamat email untuk komunikasi tebusan, yang sering menyebabkan atribusi grup yang berfluktuasi dari waktu ke waktu.
Nama -nama yang terkait dengan grup ini termasuk Ghost, Cring, Crypt3R, Phantom, Strike, Hello, Wickrme, Hsharada, dan Rapture, dengan sampel ransomware yang digunakan dalam serangan mereka termasuk Cring.exe, Ghost.exe, Elysiumo.exe, dan Locker.exe.
Grup ransomware yang termotivasi secara finansial ini memanfaatkan kode yang dapat diakses secara publik untuk mengeksploitasi kelemahan keamanan di server yang rentan. Mereka menargetkan kerentanan yang dibiarkan tidak tertandingi di Fortinet (CVE-2018-13379), Coldfusion (CVE-2010-2861, CVE-2009-3960), dan pertukaran (CVE-2021-34473, CVE-2021-34523, CVE-2021-31207).
Untuk mempertahankan serangan hantu ransomware, pembela jaringan disarankan untuk mengambil langkah -langkah berikut:
- Buat cadangan sistem reguler dan di luar situs yang tidak dapat dienkripsi oleh ransomware,
- Sistem operasi patch, perangkat lunak, dan kerentanan firmware sesegera mungkin,
- Fokus pada kelemahan keamanan yang ditargetkan oleh Ghost Ransomware (IE, CVE-2018-13379, CVE-2010-2861, CVE-2009-3960, CVE-2021-34473, CVE-2021-34523, CVE-2021-31207),
- Jaringan segmen untuk membatasi gerakan lateral dari perangkat yang terinfeksi,
- Menegakkan otentikasi multi-faktor tahan phishing (MFA) untuk semua akun istimewa dan akun layanan email.
Tepat setelahnya Teman_ Dan Tim CSIRT Swisscom Ransomware hantu pertama kali terlihat di awal 2021operator mereka menjatuhkan sampel mimikatz khusus, diikuti oleh suar Cobaltstrike, dan menggunakan muatan ransomware menggunakan Manajer Sertifikat Certutil Windows yang sah ke Bypass Security Software.
Selain dieksploitasi untuk akses awal dalam serangan hantu ransomware, kelompok peretasan yang didukung negara itu dipindai untuk peralatan Fortinet SSL VPN yang rentan juga menargetkan kerentanan CVE-2018-13379.
Penyerang juga menyalahgunakan kerentanan keamanan yang sama untuk melanggar Sistem Pendukung Pemilu AS yang Terkena Internet Dapat dijangkau melalui internet.
Fortinet memperingatkan pelanggan untuk menambal peralatan SSL VPN mereka terhadap CVE-2018-13379 beberapa kali Agustus 2019, Juli 2020, November 2020dan lagi April 2021.
Itu Penasihat Bersama Dikeluarkan oleh CISA, FBI, dan MS-ISAC hari ini juga mencakup indikator kompromi (IOC), taktik, teknik, dan prosedur (TTP), dan metode deteksi yang terkait dengan aktivitas ransomware hantu sebelumnya yang diidentifikasi selama penyelidikan FBI baru-baru ini pada Januari 2025.
