Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Region / China

China

Cyberspies China Tertangkap Mengeksploitasi VMware ESXi Zero-Day

by

UNC3886 telah menggunakan vSphere Installation Bundles (VIB) berbahaya – paket yang biasanya digunakan untuk memelihara sistem dan menyebarkan pembaruan – untuk menginstal backdoors pada ESXi hypervisors dan mendapatkan eksekusi perintah, manipulasi file, dan kemampuan reverse shell.

Tindakan jahat grup tersebut akan berdampak pada host VMware ESXi, server vCenter, dan mesin virtual Windows (VM).

Dalam serangan baru-baru ini, mata-mata dunia maya terlihat mengambil kredensial dari vCenter Server untuk semua host ESXi yang terhubung, menerapkan pintu belakang menggunakan soket VMCI untuk pergerakan dan persistensi lateral, serta memodifikasi dan menonaktifkan layanan logging pada sistem yang disusupi.

Selain itu, grup tersebut telah mengeksploitasi kerentanan zero-day di VMware Tools untuk melewati otentikasi dan menjalankan perintah istimewa di VM tamu Windows, Linux, dan PhotonOS (vCenter).

Dilacak sebagai CVE-2023-20867, kerentanan tersebut memiliki peringkat ‘keparahan rendah’, karena eksploitasinya mengharuskan penyerang memiliki akses root ke server ESXi.

“Host ESXi yang sepenuhnya dikompromikan dapat memaksa VMware Tools untuk gagal mengautentikasi operasi host-ke-tamu, yang berdampak pada kerahasiaan dan integritas mesin virtual tamu,” VMware menjelaskan dalam sebuah nasihat. VMware Tools versi 12.2.5 mengatasi kekurangan tersebut.

Menurut Mandiant, UNC3886 terlihat menggunakan skrip untuk mengambil kredensial dari server vCenter yang dikompromikan melalui database vPostgreSQL yang terhubung, menghitung semua host ESXi dan VM tamu mereka, dan mengubah daftar IP yang diizinkan di semua host ESXi yang terhubung.

Cyberspies juga menggunakan skrip instalasi untuk menyebarkan VIB berbahaya ke host, dan mengeksploitasi CVE-2023-20867 untuk menjalankan perintah dan mentransfer file dari host ESXi yang disusupi ke dan dari VM tamu, tanpa autentikasi dan tanpa jejak.

Malware memberi penyerang tingkat kegigihan baru (akses ke host ESXi yang terinfeksi diperoleh kembali dengan mengakses VM) yang juga memungkinkan untuk memotong segmentasi jaringan dan menghindari tinjauan keamanan untuk port mendengarkan terbuka.

UNC3886 dikenal karena mengeksploitasi bug zero-day dalam solusi firewall dan virtualisasi dalam serangan yang menargetkan organisasi pertahanan, teknologi, dan telekomunikasi di AS dan di kawasan Asia-Pasifik.

sumber : securityweek.com

Cyberspies China Tertangkap Mengeksploitasi VMware ESXi Zero-Day

by

Mandiant telah mengamati kelompok cyberespionage China yang mengeksploitasi kerentanan zero-day VMware ESXi untuk eskalasi hak istimewa

Dilacak sebagai UNC3886, grup spionase siber China diamati telah mengeksploitasi kerentanan zero-day VMware ESXi untuk meningkatkan hak istimewa pada mesin virtual guest.

Diawali pada bulan September 2022, grup spionase tersebut menggunakan vSphere Installation Bundles (VIB) berbahaya, digunakan untuk menginstal pintu belakang pada hypervisor ESXi dan mendapatkan eksekusi perintah, manipulasi file, dan membalikkan kemampuan shell.

Mata-mata siber dalam serangan baru-baru ini terlihat mengambil kredensial vCenter Server untuk semua host ESXi yang terhubung, menerapkan backdoor menggunakan soket VMCI untuk pergerakan dan persistensi lateral, serta memodifikasi dan menonaktifkan layanan logging pada sistem yang disusupi.

UNC3886 dikenal karena mengeksploitasi bug zero-day dalam solusi firewall dan virtualisasi dalam serangan yang menargetkan organisasi pertahanan, teknologi, dan telekomunikasi di AS dan di kawasan Asia-Pasifik.

Menurut Mandiant, UNC3886 terlihat menggunakan skrip untuk mengambil kredensial dari server vCenter yang dikompromikan melalui database vPostgreSQL yang terhubung, menghitung semua host ESXi dan VM tamu mereka, dan mengubah daftar IP yang diizinkan di semua host ESXi yang terhubung.

Dilacak sebagai CVE-2023-20867, kerentanan itu memiliki peringkat ‘keparahan rendah’, karena eksploitasinya mengharuskan penyerang memiliki akses root ke server ESXi.

Cyberspies juga menggunakan skrip instalasi untuk menyebarkan VIB berbahaya ke host, dan mengeksploitasi CVE-2023-20867 untuk menjalankan perintah dan mentransfer file dari host ESXi yang disusupi ke dan dari VM tamu, tanpa autentikasi dan tanpa jejak.

Mandiant menuturkan sehubungan dengan CVE-2023-20867, akses kembali ke host ESXi memungkinkan penyerang untuk melakukan tindakan yang tidak diautentikasi dengan akun dengan hak istimewa tertinggi di semua mesin virtual yang berjalan di bawah host ESXi tersebut.

Selengkapnya: SecurityWeek

Peretas negara China menginfeksi infrastruktur penting di seluruh AS dan GUAM

by

Sebuah grup peretasan pemerintah China telah memperoleh pijakan yang signifikan di dalam lingkungan infrastruktur kritis di seluruh AS dan Guam dan mencuri kredensial jaringan dan data sensitif sementara sebagian besar tetap tidak terdeteksi, Microsoft dan pemerintah dari AS dan empat negara lainnya mengatakan pada hari Rabu.

Grup tersebut, dilacak oleh Microsoft dengan nama Volt Typhoon, telah aktif setidaknya selama dua tahun dengan fokus pada spionase dan pengumpulan informasi untuk Republik Rakyat China, kata Microsoft. Untuk tetap diam-diam, para peretas menggunakan alat yang sudah terpasang atau dibangun ke dalam perangkat yang terinfeksi yang dikendalikan secara manual oleh penyerang daripada diotomatisasi, sebuah teknik yang dikenal sebagai “living off the land.”

Di antara industri yang terpengaruh adalah komunikasi, manufaktur, utilitas, transportasi, konstruksi, maritim, pemerintahan, teknologi informasi, dan pendidikan. Nasihat memberikan panduan untuk mendisinfeksi setiap jaringan yang telah disusupi.

selengkapnya : arstechnica.com

Microsoft memperingatkan bahwa peretas China menyerang infrastruktur AS

by

Microsoft memperingatkan pada hari Rabu bahwa peretas yang disponsori negara China telah mengkompromikan infrastruktur dunia maya AS yang “kritis” di berbagai industri dengan fokus pada pengumpulan intelijen.

Grup peretas China, dengan nama sandi “Volt Typhoon,” telah beroperasi sejak pertengahan 2021, kata Microsoft dalam sebuah penasehat. Organisasi tersebut tampaknya bekerja untuk mengganggu “infrastruktur komunikasi penting antara Amerika Serikat dan Asia,” kata Microsoft, untuk menghalangi upaya selama “krisis di masa depan”.

Serangan itu tampaknya sedang berlangsung. Dalam sebuah nasihat, Microsoft mendesak pelanggan yang terkena dampak untuk “menutup atau mengubah kredensial untuk semua akun yang disusupi.”

Badan-badan intelijen AS mengetahui serangan itu pada bulan Februari, sekitar waktu yang sama ketika balon mata-mata China jatuh, lapor New York Times.

Infiltrasi difokuskan pada infrastruktur komunikasi di Guam dan bagian lain AS, Times melaporkan, dan sangat mengkhawatirkan intelijen AS karena Guam berada di jantung respons militer Amerika jika terjadi invasi Taiwan.

kata Microsoft. Sebaliknya, “pelaku ancaman bermaksud untuk melakukan spionase dan mempertahankan akses tanpa terdeteksi selama mungkin.”

Infrastruktur di hampir setiap sektor penting telah terpengaruh, kata Microsoft, termasuk industri komunikasi, transportasi, dan maritim. Organisasi pemerintah juga menjadi sasaran.

Peretas yang didukung pemerintah China telah menargetkan informasi penting dan sensitif dari perusahaan AS sebelumnya. Covington and Burling, sebuah firma hukum terkemuka, diretas oleh tersangka peretas yang disponsori negara Tiongkok pada tahun 2020.

sumber : cnbc.com

Malware China Memukul Sistem di Guam. Apakah Taiwan Target Sebenarnya?

by

Sekitar waktu F.B.I. sedang memeriksa peralatan yang ditemukan dari balon mata-mata China yang ditembak jatuh di lepas pantai Carolina Selatan pada bulan Februari, badan intelijen Amerika dan Microsoft mendeteksi apa yang mereka khawatirkan sebagai penyusup yang lebih mengkhawatirkan: kode komputer misterius muncul dalam sistem telekomunikasi di Guam dan tempat lain di Amerika Serikat .

Kode tersebut, yang menurut Microsoft dipasang oleh kelompok peretasan pemerintah China, menimbulkan kekhawatiran karena Guam, dengan pelabuhan Pasifik dan pangkalan udara Amerika yang luas, akan menjadi pusat tanggapan militer Amerika terhadap invasi atau blokade Taiwan. Operasi itu dilakukan dengan sangat sembunyi-sembunyi, terkadang mengalir melalui router rumah dan perangkat konsumen umum lainnya yang terhubung ke internet, untuk membuat penyusupan lebih sulit dilacak.

Kode tersebut disebut “web shell”, dalam hal ini skrip berbahaya yang memungkinkan akses jarak jauh ke server. Router rumah sangat rentan, terutama model lama yang belum memiliki perangkat lunak dan perlindungan yang diperbarui.

Berbeda dengan balon yang membuat orang Amerika terpesona saat melakukan putaran di atas situs nuklir yang sensitif, kode komputer tidak dapat ditembak jatuh di televisi langsung. Jadi sebagai gantinya, Microsoft pada hari Rabu menerbitkan rincian kode yang memungkinkan pengguna korporat, produsen, dan lainnya untuk mendeteksi dan menghapusnya.

selengkapnya : nytimes.com

Pembatasan Data Terbaru China Dapat Menakuti Investor

by

Perluasan undang-undang anti-spionase mengkhawatirkan bisnis asing.

Presiden China Xi Jinping dan Presiden Ukraina Volodymyr Zelensky terhubung melalui panggilan yang telah lama ditunggu-tunggu, dan Penasihat Keamanan Nasional AS Jake Sullivan menjabarkan dan diversifikasi” terhadap kebijakan China.

Dalam rangka memperdalam pembatasan data, China telah mendorong basis data utama informasi keuangannya untuk sebagian besar menghentikan perusahaan asing. Langkah ini mengikuti pola terbaru Beijing yang memblokir akses ke data bisnis penting, dari paten hingga buku tahunan lokal, serta serangkaian penggerebekan terhadap perusahaan asing.

Amandemen minggu lalu juga memperluas jangkauan alasan hukum yang tersedia untuk menangkap orang asing di negara tersebut.

Sementara itu, China telah meningkatkan penggunaan larangan keluar, yang diterapkan terutama terhadap warga negara China tetapi terkadang terhadap pengusaha asing.

Pembatasan database adalah bagian dari kampanye yang lebih luas untuk menghapus data pemerintah yang pernah tersedia dari internet. China telah memutus akses ke sumber online termasuk keputusan dari kasus pengadilan dan dokumen pengadaan.

Selengkapnya: Foreign Policy

Peretas Cina menggunakan varian malware Linux baru untuk spionase

by

Peretas menyebarkan varian malware Linux baru dalam serangan cyberespionage, seperti varian PingPull baru dan backdoor yang sebelumnya tidak berdokumen yang dilacak sebagai ‘Sword2033.’

PingPull adalah RAT (trojan akses jarak jauh) yang pertama kali didokumentasikan oleh Unit 42 musim panas lalu dalam serangan spionase yang dilakukan oleh grup Gallium yang disponsori negara China, juga dikenal sebagai Alloy Taurus. Serangan tersebut menargetkan pemerintah dan organisasi keuangan di Australia, Rusia, Belgia, Malaysia, Vietnam, dan Filipina.

Unit 42 terus memantau kampanye spionase ini dan hari ini melaporkan bahwa pelaku ancaman China menggunakan varian malware baru terhadap target di Afrika Selatan dan Nepal.

Unit 42 juga menemukan pintu belakang ELF baru yang berkomunikasi dengan server perintah dan kontrol yang sama (C2) dengan PingPull.

Ini adalah alat yang lebih sederhana dengan fungsi yang lebih mendasar seperti mengunggah file pada sistem yang dilanggar, mengekstraksi file, dan menjalankan perintah dengan “; echo \n” ditambahkan padanya.

Perintah gema menambahkan data acak pada log eksekusi, mungkin untuk membuat analisis lebih menantang atau mengaburkan aktivitasnya.

Unit 42 menemukan sampel Sword2023 kedua yang terkait dengan alamat C2 berbeda yang menyamar sebagai militer Afrika Selatan.

Sampel yang sama ditautkan ke alamat Soft Ether VPN, produk yang diketahui digunakan oleh Gallium dalam operasinya.

Peta C2 Gallium berdasarkan komunikasi malware (Unit 42)

Sebagai kesimpulan, Gallium terus menyempurnakan persenjataannya dan memperluas jangkauan targetnya menggunakan varian Linux baru dari PingPull dan backdoor Sword2023 yang baru ditemukan.

Organisasi harus mengadopsi strategi keamanan yang komprehensif untuk melawan ancaman canggih ini secara efektif daripada hanya mengandalkan metode deteksi statis.

selengkapnya : bleepingcomputer

DOJ Menagih 34 dengan Mengoperasikan Pertanian Troll Pemerintah Tiongkok yang Melecehkan para Pembangkang

by

Departemen Kehakiman mengumumkan dakwaan terhadap 34 orang yang terlibat dalam satuan tugas yang digunakan untuk menyebarkan disinformasi dan melecehkan para pembangkang China pada Senin lalu.

Diduga 34 orang tersebut terkait dengan kampanye disinformasi dan pelecehan diduga bagian dari satuan tugas “Kelompok Kerja Proyek Khusus 912” dengan menggunakan akun Facebook dan Twitter untuk menyebarkan pesan, dan didakwa dengan konspirasi untuk mengirimkan ancaman asing dan konspirasi untuk melakukan pelecehan antar negara.

Pejabat dari Kantor Kejaksaan AS untuk Distrik Timur New York mengumumkan selama konferensi pers tiga kasus berbeda yang berpusat pada upaya pemerintah China untuk menargetkan orang-orang di AS yang kritis terhadap Partai Komunis China.

Salah satu keluhan yang terungkap menunjukkan bahwa 34 pejabat MPS dituduh melakukan kampanye besar-besaran dalam menggunakan media sosial untuk melecehkan dan mengancam para pembangkang China, memperkuat perpecahan dan melemahkan kepercayaan proses demokrasi Amerika.

Peace mencatat bahwa di antara beberapa metode berbeda yang digunakan, para aktor akan mengganggu pertemuan virtual yang diadakan oleh para pembangkang Tiongkok dengan mengganggu platform teknologinya.

Gugus tugas menggunakan beberapa metode untuk mengganggu aktivitas pembangkang, termasuk menenggelamkan acara konferensi video dengan musik keras dan teriakan vulgar.

Salah satu pejabat DOJ lainnya, David Newman, menyiratkan bahwa grup tersebut berkonspirasi dengan seorang karyawan perusahaan teknologi yang berbasis di AS untuk mengkompromikan privasi pertemuan virtual online yang digunakan peserta sebagai sarana protes publik modern dan pelaksanaan kebebasan. perakitan.

Sementara Departemen Kehakiman menolak mengatakan apakah salah satu dari 34 orang yang terlibat dalam peternakan troll ditahan, setidaknya dua orang ditangkap setelah dituduh mendirikan kantor polisi China di New York dan melecehkan seorang penduduk California.

Kasus-kasus yang diumumkan pada hari Senin adalah bagian dari tanggapan yang lebih besar akibat meningkatnya kemarahan atas upaya pemerintah China untuk mengawasi diaspora China di seluruh dunia.

Selengkapnya: The Record