Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat / Botnet

Botnet

Operasi Ransomware Yanluowang Tumbuh Dengan Afiliasi Berpengalaman

by

Afiliasi dari operasi ransomware Yanluowang yang baru-baru ini ditemukan memfokuskan serangannya pada organisasi AS di sektor keuangan menggunakan malware BazarLoader dalam tahap pengintaian.

Berdasarkan taktik, teknik, dan prosedur yang diamati, aktor ancaman berpengalaman dengan operasi ransomware-as-a-service (RaaS) dan dapat dikaitkan dengan kelompok Fivehands.

Koneksi ransomware Fivehands

Para peneliti di Symantec, sebuah divisi dari Broadcom Software, mencatat bahwa aktor tersebut telah mencapai target profil yang lebih tinggi di AS setidaknya sejak Agustus.

Selain lembaga keuangan, afiliasi ransomware Yanluowang juga menargetkan perusahaan di sektor manufaktur, layanan TI, konsultasi, dan teknik.

Melihat taktik, teknik, dan prosedur (TTP), para peneliti melihat kemungkinan hubungan dengan serangan yang lebih tua dengan Thieflock, operasi ransomware yang dikembangkan oleh kelompok Fivehands.

Fivehands ransomware sendiri relatif baru di skena ini, dikenal pada bulan April – pertama kali dalam laporan dari Mandiant, yang melacak pengembangnya sebagai UNC2447, dan kemudian saat dapat peringatan dari CISA.

Pada saat itu, Mandiant mengatakan bahwa UNC2447 menunjukkan “kemampuan canggih untuk menghindari deteksi dan meminimalkan forensik pasca-intrusi,” dan bahwa afiliasinya telah menyebarkan ransomware RagnarLocker.

Alat perdagangan

Setelah mendapatkan akses ke jaringan target, penyerang menggunakan PowerShell untuk mengunduh alat, seperti malware BazarLoader untuk membantu bergerak secara lateral.

BazarLoader dikirim ke target perusahaan oleh botnet TrickBot, yang juga menyebarkan ransomware Conti. Baru-baru ini, operator TrickBot mulai membantu membangun kembali botnet Emotet.

Aktor ancaman Yanluowang memungkinkan layanan desktop jarak jauh (RDP) dari registri dan menginstal alat ConnectWise untuk akses jarak jauh.

Para peneliti mengatakan bahwa afiliasi menemukan sistem yang menarik dengan alat AdFind – untuk query Active Directory, dan SoftPerfect Network Scanner – untuk menemukan nama host dan layanan jaringan.

Beberapa alat digunakan untuk mencuri kredensial dari browser (Firefox, Chrome, Internet Explorer) dari mesin yang dikompromikan: GrabFF, GrabChrome, BrowserPassView.

Peneliti Symantec juga memperhatikan bahwa penyerang menggunakan KeeThief untuk mencuri kunci utama untuk pengelola kata sandi KeePass, alat tangkapan layar, dan utilitas exfiltrasi data Filegrab.

Dalam laporan sebelumnya tentang serangan Yanluowang, perusahaan mengatakan bahwa peretas mengancam dengan serangan denial-of-service (DDoS) dan data wiping jika korban tidak memenuhi tuntutan.

Sumber: Bleepingcomputer

Botnet EwDoor menargetkan perangkat tepi jaringan AT&T di perusahaan AS

by

Botnet yang baru-baru ini ditemukan menyerang perangkat tepi jaringan perusahaan AT&T yang belum ditambal menggunakan eksploitasi untuk kelemahan keamanan Blind Command Injection.

Botnet yang dijuluki EwDoor oleh peneliti di Lab Penelitian Keamanan Jaringan Qihoo 360 (360 Netlab), menargetkan pelanggan AT&T yang menggunakan perangkat edge EdgeMarc Enterprise Session Border Controller (ESBC).

Peralatan EdgeMarc mendukung VoIP dan lingkungan data berkapasitas tinggi, menjembatani kesenjangan antara jaringan perusahaan dan penyedia layanan mereka, dalam hal ini, operator AT&T.

Namun, ini juga mengharuskan perangkat untuk terbuka secara publik ke Internet, meningkatkan keterpaparan mereka terhadap serangan jarak jauh.

360 Netlab melihat botnet pada 27 Oktober ketika serangan pertama yang menargetkan perangkat Edgewater Networks yang terpapar Internet yang belum ditambal terhadap kerentanan kritis CVE-2017-6079 dimulai.

Para peneliti dapat melihat sekilas ukuran botnet dengan mendaftarkan salah satu domain command-and-control (C2) cadangannya dan memantau permintaan yang dibuat dari perangkat yang terinfeksi.

Selama tiga jam sebelum operator botnet beralih ke model komunikasi jaringan C2 yang berbeda, 360 Netlab dapat melihat sekitar 5.700 perangkat yang terinfeksi.

“Dengan memeriksa kembali sertifikat SSL yang digunakan oleh perangkat ini, kami menemukan bahwa ada sekitar 100 ribu IP yang menggunakan sertifikat SSL yang sama. Kami tidak yakin berapa banyak perangkat yang sesuai dengan IP ini yang dapat terinfeksi, tetapi kami dapat berspekulasi bahwa itu milik mereka. untuk kelas perangkat yang sama, kemungkinan dampaknya adalah nyata.”

360 Netlab mengatakan botnet kemungkinan digunakan untuk meluncurkan serangan penolakan layanan (DDoS) terdistribusi dan sebagai pintu belakang untuk mendapatkan akses ke jaringan target.

Saat ini botnet memiliki enam fitur utama: pembaruan sendiri, pemindaian port, manajemen file, serangan DDoS, shell terbalik, dan eksekusi perintah sewenang-wenang pada server yang disusupi.

“Berdasarkan perangkat yang diserang terkait komunikasi telepon, kami menganggap bahwa tujuan utamanya adalah serangan DDoS, dan pengumpulan informasi sensitif, seperti log panggilan.”

EwDoor botnet (360 Netlab)

EwDoor menggunakan enkripsi TLS untuk memblokir upaya intersepsi lalu lintas jaringan dan mengenkripsi sumber daya untuk memblokir analisis malware.

Detail teknis tambahan tentang botnet EwDoor dan indikator kompromi (IOC), termasuk domain C2 dan hash sampel malware, dapat ditemukan di laporan 360 Netlab.

Bleeping Computer

Malware Emotet Balik Lagi dan Membuat Botnet dengan TrickBot

by Leave a Comment

Malware Emotet dianggap sebagai malware yang paling banyak menyebar di masa lalu, menggunakan kampanye spam dan lampiran berbahaya untuk mendistribusikan malware.

Emotet kemudian akan menggunakan perangkat yang terinfeksi untuk melakukan kampanye spam lainnya dan menginstal muatan lain, seperti malware QakBot (Qbot) dan Trickbot. Muatan ini kemudian akan digunakan untuk memberikan akses awal ke aktor ancaman untuk menyebarkan ransomware, termasuk Ryuk, Conti, ProLock, Egregor, dan banyak lainnya.

Hari ini, para peneliti dari Cryptolaemus, GData, dan Advanced Intel telah melihat malware TrickBot menjatuhkan loader untuk Emotet pada perangkat yang terinfeksi.

Pakar emotet dan peneliti Cryptolaemus Joseph Roosen mengatakan kepada BleepingComputer bahwa mereka belum melihat tanda-tanda botnet Emotet melakukan aktivitas spamming atau menemukan dokumen berbahaya menjatuhkan malware.

Kurangnya aktivitas spamming ini kemungkinan disebabkan oleh pembangunan kembali infrastruktur Emotet dari awal dan email rantai balasan baru yang dicuri dari korban dalam kampanye spam di masa depan.

Kelompok riset Emotet Cryptolaemus telah mulai menganalisis loader Emotet baru dan mengatakan kepada BleepingComputer bahwa itu termasuk perubahan baru dibandingkan dengan varian sebelumnya.

“Ini adalah tanda awal dari kemungkinan adanya aktivitas Emotet malware yang terjadi menyebabkan operasi ransomware penting secara global mengurangi kekurangan ekosistem komoditas,” Kremez mengatakan pada BleepingComputer dalam percakapan.

“Ini juga memberitahu kita bahwa takedown tak mencegah musuh mendapatkan malware builder dan mendirikan sistem backend yang baru.”

Upaya Perlindungan dari Emotet botnet

Organisasi nirlaba pelacakan malware Abuse.ch telah merilis daftar server perintah dan kontrol yang digunakan oleh botnet Emotet baru dan sangat menyarankan administrator jaringan memblokir alamat IP terkait untuk mencegah perangkat mereka direkrut ke dalam botnet Emotet yang baru direformasi.

Selengkapnya: Bleepingcomputer

PERINGATAN ANCAMAN: Serangan penambang Crypto – Sysrv-Hello Botnet menargetkan pod WordPress

by

Tim Riset Keamanan Sysdig telah mengidentifikasi serangan Cryptominer yang menyerang pod Kubernetes yang menjalankan WordPress, terkait dengan Botnet Sysrv-Hello baru-baru ini.

Tujuan serangan itu adalah untuk mengontrol pod, menambang cryptocurrency, dan mereplikasi dirinya dari sistem yang disusupi.

Secara khusus, penyerang menargetkan WordPress yang salah dikonfigurasi untuk melakukan akses awal. Mereka kemudian mencoba menghentikan malware potensial lainnya, menginstal dan mengeksekusi cryptominer, dan akhirnya, mencoba mereplikasi dirinya sendiri (dalam infrastruktur honeypot Sysdig dan di internet).

Yang perlu diperhatikan tentang serangan ini adalah bahwa hash biner dari skrip serangan dan cryptominer sangat baru, dan pendaftar pada basis data malware menunjukkan bahwa sangat sedikit orang yang mendeteksinya. Jadi, sebagian besar perangkat lunak keamanan tidak akan dapat mendeteksi serangan tersebut, dan Anda harus bergantung pada pendeteksian perilakunya untuk mendapatkan peringatan.

Apa itu Botnet Sysrv-Hello?

Botnet Sysrv-hello adalah infeksi Windows dan Linux yang pertama kali diidentifikasi pada akhir Desember 2020, yang mengeksploitasi banyak kerentanan dan disebarkan melalui skrip shell.

sejak identifikasi pertama, penyerang melakukan beberapa perubahan dalam skrip shell yang menginstal implan Sysrv-hello, yang merupakan cara malware executable disebarkan pada sistem host.

Dalam perubahan terbaru mereka, botnet memiliki fitur dan eksploitasi baru untuk replikasi. Fitur baru yang paling penting adalah kemampuan untuk mengunduh penambang seperti Monero dan mulai menambang cryptocurrency.

Selengkapnya: Sysdig

Botnet Menghasilkan Salah Satu Serangan DDoS Terbesar dalam Catatan

by

Bulan lalu, seseorang mencoba meluncurkan salah satu serangan Distributed Denial of Service (DDoS) terbesar yang pernah tercatat untuk menghapus situs keuangan, menurut Cloudflare, penyedia infrastruktur internet.

Serangan itu melibatkan menghasilkan banjir lalu lintas internet melalui permintaan berbasis browser HTTP. Pada puncaknya, pengeboman mencapai 17,2 juta permintaan per detik.

“Untuk perspektif tentang seberapa besar serangan ini: Cloudflare melayani rata-rata lebih dari 25 juta permintaan HTTP per detik,” tulis perusahaan itu dalam sebuah posting blog pada hari Kamis. “Jadi memuncak pada 17,2 juta rps, serangan ini mencapai 68% dari rata-rata rps rata-rata Q2 kami dari lalu lintas HTTP yang sah.”

Secara total, serangan itu membombardir server perusahaan dengan 330 juta permintaan dalam waktu kurang dari satu menit. Namun, Cloudflare mengatakan sistem otomatisnya dapat secara otomatis mendeteksi dan mengurangi banjir lalu lintas.

​​Menurut Cloudflare, insiden tersebut merupakan serangan DDoS berbasis lapisan aplikasi terbesar yang diketahui publik. Pemegang rekor sebelumnya adalah serangan 6 juta permintaan per detik yang terdeteksi Google tahun lalu.

Cloudflare melihat sumber serangan 17,2 juta rps ke botnet 20.000 mesin, yang merupakan pasukan komputer yang dikendalikan malware. “Berdasarkan alamat IP sumber bot, hampir 15% serangan berasal dari Indonesia dan 17% lainnya dari India dan Brasil digabungkan, menunjukkan bahwa mungkin ada banyak perangkat yang terinfeksi malware di negara-negara tersebut,” kata perusahaan tersebut.

Sumber: PC Mag

Selengkapnya: PC Mag

Bug yang dieksploitasi secara aktif melewati otentikasi pada jutaan router

by

Pelaku ancaman secara aktif mengeksploitasi kerentanan bypass otentikasi kritis yang memengaruhi router rumah dengan firmware Arcadyan untuk mengambil alih dan menyebarkan muatan berbahaya botnet Mirai.

Kerentanan yang dilacak sebagai CVE-2021-20090 adalah kerentanan traversal jalur kritis (diberi peringkat 9.9/10) di antarmuka web router dengan firmware Arcadyan yang dapat memungkinkan penyerang jarak jauh yang tidak diautentikasi untuk mem-bypass otentikasi.

Serangan yang sedang berlangsung ditemukan oleh peneliti Juniper Threat Labs saat memantau aktivitas aktor ancaman yang dikenal menargetkan jaringan dan perangkat IoT sejak Februari.

Perangkat yang rentan termasuk lusinan model router dari beberapa vendor dan ISP, termasuk Asus, British Telecom, Deutsche Telekom, Orange, O2 (Telefonica), Verizon, Vodafone, Telstra, dan Telus.

Berdasarkan jumlah model router dan daftar panjang vendor yang terkena dampak bug ini, jumlah total perangkat yang terkena serangan kemungkinan mencapai jutaan router.

Cacat keamanan ditemukan oleh Tenable, yang menerbitkan penasihat keamanan pada 26 April dan menambahkan bukti konsep kode eksploitasi pada Selasa, 3 Agustus.

Sejak Kamis, Juniper Threat Labs “mengidentifikasi beberapa pola serangan yang mencoba mengeksploitasi kerentanan ini di alam liar yang berasal dari alamat IP yang terletak di Wuhan, provinsi Hubei, Cina.”

Pelaku ancaman di balik aktivitas eksploitasi yang sedang berlangsung ini menggunakan alat berbahaya untuk menyebarkan varian botnet Mirai, serupa dengan yang digunakan dalam kampanye Mirai yang menargetkan perangkat IoT dan keamanan jaringan, yang ditemukan oleh peneliti Unit 42 pada bulan Maret.

Selengkapnya: Bleeping Computer

TrickBot Botnet Ditemukan Menyebarkan Ransomware Baru yang Disebut Diavol

by

Pelaku ancaman di balik malware TrickBot yang terkenal telah dikaitkan dengan jenis ransomware baru bernama “Diavol,” menurut penelitian terbaru.

Muatan ransomware Diavol dan Conti dikerahkan pada sistem yang berbeda dalam kasus serangan yang gagal menargetkan salah satu pelanggannya awal bulan ini, kata peneliti dari FortiGuard Labs Fortinet minggu lalu.

TrickBot, Trojan perbankan yang pertama kali terdeteksi pada tahun 2016, secara tradisional merupakan solusi crimeware berbasis Windows, menggunakan modul yang berbeda untuk melakukan berbagai aktivitas berbahaya di jaringan target, termasuk pencurian kredensial dan melakukan serangan ransomware.

Terlepas dari upaya penegakan hukum untuk menetralisir jaringan bot, malware yang terus berkembang telah terbukti menjadi ancaman yang tangguh, dengan operator yang berbasis di Rusia – dijuluki “Wizard Spider” – dengan cepat mengadaptasi alat baru untuk melakukan serangan lebih lanjut.

Diavol dikatakan telah dikerahkan di alam liar dalam satu insiden hingga saat ini. Sumber intrusi masih belum diketahui. Yang jelas, bagaimanapun, adalah bahwa kode sumber payload memiliki kesamaan dengan Conti, meskipun catatan tebusan telah ditemukan untuk menggunakan kembali beberapa bahasa dari ransomware Egregor.

Aspek lain dari ransomware yang menonjol adalah ketergantungannya pada teknik anti-analisis untuk mengaburkan kodenya dalam bentuk gambar bitmap, dari mana rutinitas dimuat ke dalam buffer dengan izin eksekusi.

Selengkapnya: The Hacker News

Botnet backdoors server Microsoft Exchange, menambang cryptocurrency

by

Server Microsoft Exchange yang tidak ditambal sedang ditargetkan oleh botnet Prometei dan ditambahkan ke pasukan penambangan mata uang kripto Monero (XMR) operatornya.

Malware modular ini dapat menginfeksi sistem Windows dan Linux, dan pertama kali terlihat tahun lalu saat menggunakan eksploitasi EternalBlue untuk menyebar ke seluruh jaringan yang disusupi dan memperbudak komputer Windows yang rentan.

Tim Nocturnus Cybereason baru-baru ini menemukan bahwa botnet kemungkinan besar telah aktif selama hampir setengah dekade, menurut artefak Prometei yang dikirimkan ke VirusTotal pada Mei 2016.

Berdasarkan sampel malware baru yang baru-baru ini ditemukan oleh Cybereason selama respons insiden baru-baru ini, botnet juga telah diperbarui untuk mengeksploitasi kerentanan Exchange Server yang ditambal oleh Microsoft pada bulan Maret.

Fokus utama serangan Prometei pada server Exchange adalah untuk menyebarkan muatan cryptomining, mulai menghasilkan uang untuk operatornya, dan menyebar ke perangkat lain di jaringan menggunakan eksploitasi EternalBlue dan BlueKeep, mengambil kredensial, dan modul penyebar SSH atau SQL.

“Ketika penyerang mengendalikan mesin yang terinfeksi, mereka tidak hanya mampu menambang bitcoin dengan mencuri kekuatan pemrosesan, tetapi juga dapat mengekstraks informasi sensitif,” kata Assaf Dahan, direktur senior Cybereason dan kepala penelitian ancaman.

Sumber: Cybereason

Selengkapnya: Bleeping Computer