Mengenal Ransomware Akira yang Jago Ngumpet di Akun Cisco VPN

WASHINGTON - Peredaran ransomware semakin mengkhawatirkan. Terbaru dilaporkan kehadiran ransomware bernama Akira yang menargetkan produk Cisco VPN sebagai vektor serangan untuk menembus jaringan dan mengenkripsi data korban.

Dikutip dari laman Bleeping Computer, Kamis (24/8/2023), Akira adalah ransomware yang relatif baru diluncurkan pada Maret 2023. Akira bekerja dengan menambahkan enkripsi Linux untuk menargetkan mesin virtual VMware ESXi.

Akira telah menggunakan akun Cisco VPN yang telah disusupi untuk menembus jaringan perusahaan tanpa perlu membuka back door tambahan. Termasuk menyiapkan mekanisme persistensi yang dapat membocorkannya.



Dengan begitu, solusi Cisco VPN yang secara luas diadopsi untuk menyediakan transmisi data terenkripsi yang aman antara pengguna dan jaringan Perusahaan. Data yang biasanya digunakan oleh karyawan untuk kerja jarak jauh, kini menjadi berbahaya.

Sophos pertama kali mencatat penyalahgunaan akun VPN oleh Akira pada bulan Mei. Ketika itu para peneliti menyatakan geng ransomware menerobos jaringan menggunakan akses VPN menggunakan otentikasi Faktor Tunggal.

Namun, seorang yang dikenal sebagai 'Aura,' membagikan informasi lebih lanjut di Twitter tentang bagaimana cara merespons beberapa insiden Akira. Biasanya dilakukan menggunakan akun Cisco VPN yang tidak dilindungi oleh autentikasi multi-faktor.

Aura menyatakan bahwa karena kurangnya login di Cisco ASA, masih belum jelas apakah Akira memaksakan kredensial akun VPN atau apakah mereka membelinya di pasar web gelap. Laporan SentimentalOne menemukan bukti Akira menggunakan gateway Cisco VPN dalam kebocoran data yang diposting di halaman pemerasan grup.



Selain itu, analis SentinelOne WatchTower mengamati Akira menggunakan alat akses jarak jauh sumber terbuka RustDesk untuk menavigasi jaringan yang disusupi. Kemampuan ini menjadikan mereka kelompok ransomware pertama yang diketahui menyalahgunakan perangkat lunak tersebut.