Ransomware baru ‘Cheerscrypt’ berbasis Linux menargetkan server VMware ESXi

Bentuk baru ransomware berbasis Linux telah ditemukan menargetkan server VMware Inc. menggunakan hypervisor ESXi yang dikembangkannya untuk menyebarkan komputer virtual.

Dirinci pada hari Rabu oleh para peneliti di Trend Micro Inc., bentuk baru ransomware telah dijuluki “Cheerscrypt.” Ransomware mengenkripsi file terkait VMware dan berbagi beberapa kesamaan dengan keluarga ransomware lain seperti LockBit, Hive dan RansomEXX, yang sebelumnya menargetkan server ESXi di masa lalu.

Nama Cheerscrypt berasal dari apa yang dilakukan ransomware. Setelah mendapatkan akses ke server ESXi, Cheersscrypt mencari file dengan ekstensi .log, .vmdk, .vmem, .vswp dan .vmsn yang terhubung ke snapshot ESXi, file log, file swap, file paging, dan disk virtual. Itu kemudian menambahkan .Cheers ke akhir nama file sebelum mengenkripsinya.

Cheerscrypt, seperti yang semakin umum dengan ransomware selama 12 hingga 18 bulan terakhir, adalah ransomware double-tap: Tidak hanya mereka yang berada di belakang ransomware menuntut pembayaran untuk kunci dekripsi, tetapi mereka juga mengancam untuk melepaskan data yang dicuri jika tebusan tidak dibayarkan .

Dalam catatan tebusan yang ditunjukkan oleh peneliti Trend Micro, peretas Cheerscrypt, menindaklanjuti “Cheers!” pesan dengan mengatakan korban harus menghubungi mereka dalam waktu tiga hari, atau mereka akan mengekspos beberapa data yang dicuri dan meningkatkan jumlah uang tebusan yang diminta. Bersamaan dengan peringatan untuk tidak mencoba mendekripsi file, peretas kemudian mengatakan bahwa jika mereka tidak dihubungi, data yang dicuri akan dijual kepada lawan atau penjahat.

Untuk mengurangi risiko serangan, para peneliti menyimpulkan, “sikap proaktif yang memastikan pertahanan keamanan siber yang solid terhadap ancaman ransomware modern sangat penting bagi organisasi untuk berkembang dalam lanskap ancaman yang selalu berubah.” Organisasi, tambah mereka, harus membangun kerangka kerja keamanan dan mengadopsi praktik terbaik.

“Sebagian besar organisasi di dunia berjalan menggunakan mesin virtual dan sebagian besar mesin virtual tersebut adalah milik VMware,” Roger Grimes, penginjil pertahanan berbasis data di perusahaan pelatihan kesadaran keamanan KnowBe4 Inc., mengatakan kepada SiliconANGLE hari ini. “Itu membuat pekerjaan penyerang ransomware jauh lebih mudah karena mereka dapat mengenkripsi satu server — server VMware — dan kemudian mengenkripsi setiap VM tamu yang ada di dalamnya.”

Satu perintah kompromi dan enkripsi dapat dengan mudah mengenkripsi lusinan hingga ratusan komputer lain yang dijalankan secara virtual sekaligus, jelas Grimes. “Kebanyakan ‘toko VM’ menggunakan semacam produk cadangan VM untuk mencadangkan semua server tamu sehingga menemukan dan menghapus atau merusak satu repositori cadangan membunuh gambar cadangan untuk semua server tamu yang dihosting sekaligus,” katanya.

John Gunn, chief executive officer perusahaan otentikasi Tokenize Inc., mencatat bahwa semakin banyak organisasi meningkatkan keamanan mereka dengan mengadopsi otentikasi multifaktor dengan biometrik, mereka secara efektif mengunci pintu depan yang telah menjadi pilihan kerentanan bagi peretas. “Itu tidak berarti aktor jahat akan pergi, mereka malah akan mengalihkan metode mereka ke serangan seperti ini,” tambahnya.

Foto: Stocksnap