Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat / APT

APT

Temui Geng Ransomware di Balik Salah Satu Peretasan Rantai Pasokan Terbesar yang Pernah Ada

by

Kat Garcia adalah peneliti keamanan siber di Emsisoft, di mana, sebagai bagian dari pekerjaannya, dia melacak geng ransomware bernama Cl0p.

Namun, dia terkejut saat mendapat email di akhir bulan lalu dari para peretas. Dalam pesan tersebut, peretas Cl0p memberitahunya bahwa mereka telah membobol server toko pakaian untuk ibu hamil dan mereka memiliki telepon, email, alamat rumah, informasi kartu kredit, dan nomor Jaminan Sosial.

“Kami memberi tahu Anda bahwa informasi tentang Anda dan pembelian Anda, serta rincian pembayaran Anda, akan dipublikasikan di darknet jika perusahaan tidak menghubungi kami,” tulis para peretas. “Telepon atau kirim surat ke toko ini dan minta untuk melindungi privasi Anda.”

Garcia mengatakan bahwa insiden ini “menunjukkan seberapa jauh pelaku ancaman bersedia untuk menghasilkan uang dari kejahatan mereka.”

Penjahat dunia maya C10p sekarang mencoba merekrut pelanggan dari perusahaan yang dilanggar untuk membantu mereka mendesak perusahaan yang mereka retas. Ini adalah perubahan terbaru dalam upaya kelompok peretas untuk memeras uang dari para korban, dan itulah salah satu alasan mengapa Cl0p telah menjadi salah satu kelompok peretas yang paling menarik — dan menakutkan — di awal tahun 2021.

Cl0p, juga dikenal sebagai TA505 dan FIN11, telah ada setidaknya selama tiga tahun, menurut beberapa perusahaan keamanan yang telah melacak grup tersebut. Namun para peretas baru-baru ini mendapatkan lebih banyak berita utama dan menjadi lebih menonjol setelah mendapatkan akses ke harta karun berupa data sensitif dari lusinan perusahaan — dan semuanya berkat satu peretasan tunggal.

selengkapnya : www.vice.com

APT Charming Kitten Menawan Peneliti Medis

by

Para peneliti mengungkap kampanye pencurian kredensial yang menargetkan para profesional genetika, neurologi, dan onkologi.

Peneliti keamanan telah mengaitkan kampanye phishing akhir tahun 2020 yang bertujuan untuk mencuri kredensial dari 25 profesional senior di organisasi penelitian medis di Amerika Serikat dan Israel ke kelompok ancaman persisten tingkat lanjut dengan tautan ke Iran yang disebut Charming Kitten.

Kampanye tersebut — dijuluki BadBlood karena fokus medisnya dan sejarah ketegangan antara Iran dan Israel — bertujuan untuk mencuri kredensial profesional yang berspesialisasi dalam penelitian genetika, neurologi, dan onkologi, menurut penelitian baru yang diposting online Rabu dari Joshua Miller dan Proofpoint Research dari Proofpoint. Tim.

Jenis penargetan ini mewakili keberangkatan untuk Charming Kitten, (juga dikenal sebagai Fosfor, Ajax atau TA453), yang — karena diyakini sejalan dengan Korps Pengawal Revolusi Islam Iran (IRGC) – di masa lalu terutama menempatkan para pembangkang, akademisi, diplomat dan jurnalis dalam bidikannya, kata para peneliti dalam laporan itu.

“Meskipun kampanye ini mungkin menunjukkan pergeseran dalam penargetan TA453 secara keseluruhan, mungkin juga itu hasil dari persyaratan pengumpulan intelijen jangka pendek tertentu,” tulis Miller dan tim dalam sebuah laporan. “BadBlood sejalan dengan tren penelitian medis yang semakin meningkat yang menjadi sasaran pelaku ancaman.”

selengkapnya : threatpost.com

Microsoft juga mengalami Security Breach dalam peretasan rantai pasokan SolarWinds baru-baru ini, lapor

by

Peretas yang disponsori negara yang melanggar penyedia perangkat lunak AS SolarWinds awal tahun ini memutar ke jaringan internal Microsoft, dan kemudian menggunakan salah satu produk Microsoft sendiri untuk meluncurkan serangan terhadap perusahaan lain, Reuters melaporkan hari ini mengutip sumber yang mengetahui penyelidikan tersebut.

Berita tersebut muncul setelah Badan Keamanan Siber dan Infrastruktur AS (CISA) menerbitkan peringatan hari ini tentang serangan rantai pasokan SolarWinds dan dampaknya terhadap lembaga pemerintah, entitas infrastruktur penting, dan organisasi sektor swasta.

CISA mengatakan mereka memiliki “bukti vektor akses awal tambahan, selain platform SolarWinds Orion.” Dua laporan Reuters tentang dugaan peretasan Microsoft tidak mengatakan produk Microsoft apa yang disalahgunakan oleh peretas setelah melanggar Microsoft.

Seorang juru bicara Microsoft menerima telepon sebelumnya hari ini tetapi tidak memiliki apa pun untuk dibagikan sebelum artikel ini dipublikasikan. Microsoft sekarang bergabung dengan daftar entitas profil tinggi yang telah diretas melalui pembaruan backdoor untuk aplikasi pemantauan jaringan SolarWinds Orion.

Sebagian besar dari korban ini adalah lembaga pemerintah AS, seperti:

  • Departemen Keuangan AS
  • Administrasi Informasi dan Telekomunikasi Nasional (NTIA) Departemen Perdagangan AS
  • National Institutes of Health (NIH) Departemen Kesehatan
  • Badan Keamanan Siber dan Infrastruktur (CISA)
  • Departemen Keamanan Dalam Negeri (DHS)
  • Departemen Luar Negeri AS
  • Administrasi Keamanan Nuklir Nasional (NNSA) (juga diungkapkan hari ini)
  • Departemen Energi AS (DOE) (juga diungkapkan hari ini)
  • Tiga negara bagian AS (juga diungkapkan hari ini)
  • Kota Austin (juga diungkapkan hari ini)

sumber : ZDNET

DeathStalker APT Menambah Keseruan dengan Malware PowerPepper Malware

by

Serangkaian teknik obfuscation memanas untuk hacking-for-hire operation. Kelompok ancaman persisten lanjutan (APT) DeathStalker memiliki senjata baru yang menarik: Backdoor yang sangat tersembunyi yang oleh para peneliti dijuluki PowerPepper, digunakan untuk memata-matai sistem yang ditargetkan.

DeathStalker menawarkan layanan tentara bayaran, spionase untuk disewa yang menargetkan sektor keuangan dan hukum, menurut para peneliti di Kaspersky. Mereka mencatat bahwa grup tersebut telah ada setidaknya sejak 2012 (pertama kali terlihat pada 2018), menggunakan serangkaian teknik, taktik, dan prosedur (TTP) yang relatif dasar dan menjual jasanya kepada penawar tertinggi. Namun, pada November, kelompok itu ditemukan menggunakan implan malware baru, dengan taktik obfuscation yang berbeda.

“DeathStalker telah memanfaatkan beberapa jenis malware dan rantai pengiriman selama bertahun-tahun, dari Python dan Janicab berbasis VisualBasic, hingga Powersing berbasis PowerShell, melewati Evilnum berbasis JavaScript,” kata para peneliti dalam posting Kamis. “DeathStalker juga secara konsisten memanfaatkan teknik anti-deteksi dan penghindaran antivirus, serta rantai pengiriman yang rumit, yang akan menjatuhkan banyak file pada sistem file target.” Malware khusus ini menonjol, karena menaikkan level panas pada taktik obfuscation-nya.

sumber : ThreatPost

Peretasan besar-besaran yang didanai negara China menghantam perusahaan di seluruh dunia, menurut laporan

by

Peneliti telah menemukan kampanye peretasan besar-besaran yang menggunakan alat dan teknik canggih untuk menyusupi jaringan perusahaan di seluruh dunia. Para peretas, kemungkinan besar dari kelompok terkenal yang didanai oleh pemerintah China, dilengkapi dengan alat siap pakai dan alat yang dibuat khusus. Salah satu alat tersebut mengeksploitasi Zerologon, nama yang diberikan untuk kerentanan server Windows, yang ditambal pada bulan Agustus, yang dapat memberi penyerang hak istimewa administrator instan pada sistem yang rentan.

Symantec menggunakan nama kode Cicada untuk grup tersebut, yang diyakini secara luas didanai oleh pemerintah China dan juga membawa nama APT10, Stone Panda, dan Cloud Hopper dari organisasi penelitian lain. Grup, yang tidak memiliki hubungan atau afiliasi dengan perusahaan mana pun yang menggunakan nama Cicada, telah aktif dalam peretasan bergaya spionase setidaknya sejak 2009 dan hampir secara eksklusif menargetkan perusahaan yang terkait dengan Jepang. Meskipun perusahaan yang ditargetkan dalam kampanye baru-baru ini berlokasi di Amerika Serikat dan negara lain, semuanya memiliki hubungan dengan Jepang atau perusahaan Jepang.

Symantec menghubungkan serangan tersebut ke Cicada berdasarkan sidik jari digital yang ditemukan di malware dan kode serangan. Sidik jari termasuk obfuscation techniques dan kode shell yang terlibat dalam pemuatan samping DLL serta ciri-ciri berikut yang dicatat dalam laporan tahun 2019 ini dari perusahaan keamanan Cylance:
1. DLL tahap ketiga memiliki ekspor bernama “FuckYouAnti”
2. DLL tahap ketiga menggunakan teknik CppHostCLR untuk menginjeksi dan menjalankan rakitan loader .NET
3. .NET Loader dikaburkan dengan ConfuserEx v1.0.0
4. Muatan terakhir adalah QuasarRAT — backdoor open source yang digunakan oleh Cicada di masa lalu

sumber : Arstechnica

Grup peretasan mengeksploitasi ZeroLogon di otomotif, gelombang serangan industri

by

Serangan dunia maya aktif dianggap sebagai hasil karya Cicada, juga dilacak sebagai APT10, Stone Panda, dan Cloud Hopper.

Secara historis, kelompok ancaman – pertama kali ditemukan pada 2009 dan yang diyakini AS mungkin disponsori oleh pemerintah China – telah menargetkan organisasi yang terhubung ke Jepang, dan gelombang serangan terbaru ini tampaknya tidak berbeda. Peneliti Symantec telah mendokumentasikan perusahaan dan anak perusahaannya di 17 wilayah, yang terlibat dalam industri otomotif, farmasi, teknik, dan penyedia layanan terkelola (MSP), yang baru-baru ini menjadi sasaran Cicada.

Menurut perusahaan, gelombang serangan terbaru Cicada telah aktif sejak pertengahan Oktober 2019 dan berlanjut hingga setidaknya Oktober tahun ini.

sumber : ZDNET

Korea Utara mencoba meretas 11 pejabat Dewan Keamanan PBB

by

Sebuah kelompok peretas yang sebelumnya terkait dengan pemerintah Korea Utara telah terlihat meluncurkan serangan spear-phishing untuk membahayakan pejabat Dewan Keamanan Perserikatan Bangsa-Bangsa.

Serangan diungkapkan dalam laporan PBB bulan lalu, terjadi tahun ini dan menargetkan setidaknya 28 pejabat PBB, termasuk setidaknya 11 individu yang mewakili enam negara Dewan Keamanan PBB.

Serangan tersebut dikaitkan dengan kelompok hacker Korea Utara yang dikenal dengan nama sandi Kimsuky.

Email tersebut dirancang agar terlihat seperti peringatan keamanan PBB

Source : Member State
atau permintaan wawancara dari wartawan, keduanya dirancang untuk meyakinkan pejabat agar mengakses halaman phishing atau menjalankan file malware di sistem mereka.

Negara yang melaporkan serangan Kimsuky ke Dewan Keamanan PBB itu juga mengatakan bahwa kampanye serupa juga dilakukan terhadap anggota pemerintahannya sendiri, dengan beberapa serangan terjadi melalui WhatsApp, dan bukan hanya email.

Laporan PBB, yang melacak dan merinci tanggapan Korea Utara terhadap sanksi internasional, juga mencatat bahwa kampanye ini telah aktif selama lebih dari setahun.

Dalam laporan serupa yang diterbitkan pada Maret, Dewan Keamanan PBB mengungkapkan dua kampanye Kimsuky lainnya terhadap pejabat.
Yang pertama adalah serangkaian serangan spear-phishing terhadap 38 alamat email yang terkait dengan pejabat Dewan Keamanan – semuanya adalah anggota Dewan Keamanan pada saat serangan itu.

Yang kedua adalah operasi yang dirinci dalam laporan dari Badan Keamanan Siber Nasional Prancis [PDF]. Terhitung sejak Agustus 2019, ini adalah serangan spear-phishing terhadap pejabat dari China, Prancis, Belgia, Peru, dan Afrika Selatan, yang semuanya adalah anggota Dewan Keamanan PBB pada saat itu.

Source : ZDNet

Perusahaan Antivirus Tiongkok Ternyata Bagian dari Serangan ‘Supply Chain’ APT41

by

Departemen Kehakiman AS telah mendakwa tujuh warga negara China sebagai peretasan yang menargetkan lebih dari 100 perusahaan game online dan teknologi tinggi. Pemerintah menuduh orang-orang tersebut menggunakan email phishing yang mengandung malware dan serangan “Supply Chain” untuk mencuri data dari perusahaan dan pelanggan mereka. Salah satu terduga peretas pertama kali diprofilkan pada tahun 2012 sebagai pemilik perusahaan antivirus China.

Kegiatan APT41 berlangsung dari pertengahan 2000 hingga saat ini. Awal tahun ini, grup tersebut terkait dengan kampanye malware yang sangat agresif yang mengeksploitasi kerentanan dalam produk jaringan yang banyak digunakan, termasuk Router Cisco dan D-Link, serta peralatan Citrix dan Pulse VPN. Firma keamanan FireEye menjuluki blitz peretasan itu sebagai “salah satu kampanye terluas yang dilakukan oleh aktor spionase dunia maya China yang kami amati dalam beberapa tahun terakhir”.

Pemerintah menuding kelompok itu memonetisasi akses terlarangnya dengan menyebarkan ransomware dan tools “cryptojacking” (menggunakan sistem yang terkompromi untuk menambang cryptocurrency seperti Bitcoin). Selain itu, geng tersebut menargetkan perusahaan video game dan pelanggan mereka dalam upaya untuk mencuri item digital berharga yang dapat dijual kembali, seperti poin, kekuatan, dan item lain yang dapat digunakan untuk meningkatkan pengalaman bermain game.

APT41 diketahui menyembunyikan malware-nya di dalam resume palsu yang dikirim ke target. Itu juga menyebarkan serangan rantai pasokan yang lebih kompleks, di mana mereka akan meretas perusahaan perangkat lunak dan memodifikasi kode dengan malware.

Anvisoft

Salah satu pria yang didakwa sebagai bagian dari APT41, Tan DaiLin berusia 35 tahun, adalah subjek dari cerita KrebsOnSecurity 2012 yang berusaha menjelaskan produk antivirus China yang dipasarkan sebagai Anvisoft. Pada saat itu, produk tersebut telah masuk dalam “whitelist” atau ditandai sebagai aman oleh vendor antivirus yang lebih mapan, meskipun perusahaan tersebut tampaknya tidak menanggapi keluhan pengguna dan pertanyaan tentang kepemimpinan dan asal-usulnya.

Anvisoft mengklaim berbasis di California dan Kanada, tetapi penelusuran pada nama merek perusahaan menemukan catatan pendaftaran merek dagang yang menempatkan Anvisoft di zona teknologi tinggi Chengdu di Provinsi Sichuan, China.

Tinjauan atas catatan pendaftaran situs web Anvisoft menunjukkan bahwa domain perusahaan awalnya dibuat oleh Tan DaiLin, seorang peretas China terkenal yang menggunakan alias “Wicked Rose” dan “Withered Rose”. Saat itu, DaiLin berusia 28 tahun.

Seperti dicatat oleh TechCrunch, setelah dakwaan diajukan, jaksa penuntut mengatakan bahwa mereka memperoleh surat perintah untuk menyita situs web, domain, dan server yang terkait dengan operasi grup, secara efektif menutupnya dan menghambat operasi mereka.

“Para peretas yang diduga masih diyakini berada di China, tetapi tuduhan tersebut berfungsi sebagai upaya hukuman sosial yang digunakan oleh Departemen Kehakiman dalam beberapa tahun terakhir terhadap penyerang dunia maya yang didukung negara,” tulis Zack Whittaker dari TechCrunch.

Source : KerbsOnSecurity