Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat / Crypto Miner

Crypto Miner

Pengguna Antivirus Avira 500M Dikenalkan ke Cryptomining

by

Banyak pembaca terkejut mengetahui baru-baru ini bahwa suite antivirus Norton 360 yang populer sekarang dikirimkan dengan program yang memungkinkan pelanggan menghasilkan uang dengan menambang mata uang virtual. Tetapi Norton 360 tidak sendirian dalam upaya yang meragukan ini: Antivirus Avira – yang telah membangun basis 500 juta pengguna di seluruh dunia sebagian besar dengan membuat produk gratis – baru-baru ini dibeli oleh perusahaan yang sama yang memiliki Norton 360 dan memperkenalkan pelanggannya ke layanan yang disebut Avira Crypto.

Didirikan pada tahun 2006, Avira Operations GmbH &Co. KG adalah perusahaan perangkat lunak multinasional Jerman yang terkenal dengan Avira Free Security (alias Avira Free Antivirus). Pada Januari 2021, Avira diakuisisi oleh Tempe, NortonLifeLock Inc. yang berbasis di Ariz., perusahaan yang sama yang sekarang memiliki Norton 360.

Pada 2017, perusahaan perlindungan pencurian identitas LifeLock diakuisisi oleh Symantec Corp., yang berganti nama menjadi NortonLifeLock pada 2019. LifeLock sekarang termasuk dalam layanan Norton 360; Avira menawarkan pengguna layanan serupa yang disebut Breach Monitor.

Seperti Norton 360, Avira hadir dengan cryptominer yang sudah diinstal, tetapi pelanggan harus memilih untuk menggunakan layanan yang memberi daya padanya. FAQ Avira pada layanan cryptomining-nya agak jarang. Misalnya, itu tidak menentukan berapa banyak NortonLifeLock keluar dari kesepakatan (NortonLifeLock menyimpan 15 persen dari cryptocurrency yang ditambang oleh Norton Crypto).

“Avira Crypto memungkinkan Anda menggunakan waktu idle komputer Anda untuk menambang cryptocurrency Ethereum (ETH),” FAQ menjelaskan. “Karena cryptomining membutuhkan tingkat kekuatan pemrosesan yang tinggi, itu tidak cocok untuk pengguna dengan komputer rata-rata. Bahkan dengan perangkat keras yang kompatibel, menambang cryptocurrency sendiri bisa kurang bermanfaat. Pilihan terbaik Anda adalah bergabung dengan kolam penambangan yang berbagi kekuatan komputer mereka untuk meningkatkan peluang mereka menambang cryptocurrency. Hadiahnya kemudian didistribusikan secara merata kepada semua anggota di kolam renang.”

Tangkapan layar di atas diambil pada Virustotal.com, layanan milik Google yang memindai file yang dikirimkan terhadap puluhan produk antivirus. Laporan deteksi yang digambarkan ditemukan dengan mencari Virustotal untuk “ANvOptimusEnablementCuda,” sebuah fungsi yang termasuk dalam komponen penambangan Norton Crypto “Ncrypt.exe.”

Beberapa pelanggan Norton lama turun ke forum online NortonLifeLock untuk mengekspresikan kengerian pada prospek produk antivirus mereka menginstal perangkat lunak penambangan koin, terlepas dari apakah layanan penambangan dimatikan secara default.

“Norton harus MENDETEKSI dan membunuh pembajakan penambangan crypto, bukan menginstalnya sendiri,” bunyi utas 28 Desember di forum Norton berjudul “Benar-benar marah.”

Yang lain telah menuduh bahwa penawaran crypto akan berakhir dengan biaya pelanggan lebih banyak dalam tagihan listrik daripada yang dapat mereka harapkan dari membiarkan tambang antivirus mereka ETH. Terlebih lagi, ada biaya besar dan kuat yang terlibat dalam memindahkan ETH yang ditambang oleh Norton atau Avira Crypto ke akun yang dapat diuangkan pengguna, dan banyak pengguna tampaknya tidak mengerti bahwa mereka tidak dapat menguangkan sampai mereka setidaknya mendapatkan cukup ETH untuk menutupi biaya.

Sumber: Kresbon Security

File Download ‘Spider-Man: No Way Home’ Menginstal Cryptominer

by

Kehebohan global seputar rilis Spider-Man: No Way Home membuat banyak keributan online – lingkungan yang ideal bagi penjahat dunia maya untuk menyebarkan cryptominer Monero yang menyamar sebagai unduhan film yang baru dirilis tersebut.

Unduhan torrent Spider-Man: No Way Home beredar, terinfeksi dengan cryptominer Monero yang gigih, menurut peringatan baru dari ReasonLabs.

File tersebut ditandai oleh pengguna dan tidak cocok dengan file mencurigakan lainnya yang diketahui di database mereka, kata laporan itu.

Meskipun para peneliti belum menentukan berapa kali penambang telah diunduh, firasat mereka penambang crypto sudah ada untuk sementara waktu, mereka menjelaskan dalam sebuah pernyataan.

“Malware Spiderman sebenarnya adalah ‘edisi’ baru dari malware yang sebelumnya dikenal yang menyamar sebagai berbagai aplikasi populer di masa lalu seperti ‘windows updater’, ‘discord app’, dan sekarang film Spiderman,” tim ReasonLabs menjelaskan dalam laporan. “Ini menunjukkan bahwa itu sudah banyak diunduh.”

Mereka menambahkan bahwa sampai saat ini, belum ada yang mengidentifikasi edisi malware ini.

ReasonLabs melaporkan bahwa nama file penambang diterjemahkan dari bahasa Rusia asli, “spiderman_net_putidomoi.torrent.exe,” menjadi “spiderman_no_wayhome.torrent.exe” dalam bahasa Inggris dan mampu menambahkan pengecualian ke Windows Defender.

Setelah cryptominer diunduh, korban mungkin tidak segera menyadarinya, berjalan di latar belakang, menguras daya dan kapasitas CPU, tambah laporan ReasonLabs.

Selengkapnya: Threat Post

Microsoft memperingatkan malware yang tidak biasa ini yang menargetkan Windows dan Linux

by

Microsoft memperingatkan pelanggan tentang malware penambangan kripto LemonDuck yang menargetkan sistem Windows dan Linux dan menyebar melalui email phishing, eksploitasi, perangkat USB, dan serangan brute force, serta serangan yang menargetkan kerentanan Server Exchange lokal yang kritis yang terungkap pada bulan Maret .

Grup tersebut diketahui menggunakan bug Exchange untuk menambang cryptocurrency pada bulan Mei, dua tahun setelah pertama kali muncul.

Khususnya, grup di belakang LemonDuck memanfaatkan bug keamanan profil tinggi dengan mengeksploitasi kerentanan lama selama periode di mana tim keamanan fokus untuk menambal kelemahan kritis, dan bahkan menghapus malware saingan.

“[LemonDuck] terus menggunakan kerentanan lama, yang menguntungkan penyerang pada saat fokus beralih ke menambal kerentanan populer daripada menyelidiki kompromi,” catatan Microsoft 365 Defender Threat Intelligence Team.

selengkapnya : www.zdnet.com

Game bajakan ini akan menginfeksi PC Anda dengan malware yang sangat sulit untuk dihapus

by

Jika Anda mengunduh dan menginstal game PC bajakan, perangkat lunak antivirus Anda dapat dimatikan, pembaruan keamanan Windows dapat dihentikan dan GPU kesayangan Anda dapat dibajak untuk menambang cryptocurrency.

Jadi memperingatkan laporan baru dari perusahaan antivirus Avast, yang mengatakan bahwa malware penambangan koin baru yang disebut “Crackonosh” telah menginfeksi lebih dari 200.000 PC Windows sejak 2018, penjahat di belakangnya menjaring sekitar $ 2 juta dalam cryptocurrency Monero.

“Crackonosh didistribusikan bersama dengan salinan ilegal dari perangkat lunak populer dan mencari dan menonaktifkan banyak program antivirus populer sebagai bagian dari taktik anti-deteksi dan anti-forensiknya,” tulis peneliti Avast Daniel Benes.

Unduhan terinfeksi yang mengandung Crackonosh termasuk installer “bajakan” dari edisi Fallout 4 Game of the Year, Far Cry 5, Grand Theft Auto V, NBA 2K19, Pro Evolution Soccer 2018 dan The Sims 4 dan The Sims 4 Seasons.

Setelah game bajakan diinstal, malware membuat beberapa perubahan Registry Windows dan menginstal beberapa executable yang memiliki nama yang terdengar seperti layanan Windows biasa: winrmsrv.exe, winscomrssrv.dll dan winlogui.exe. (Yang terakhir adalah bagian penambangan koin.) Malware akan menunggu beberapa saat, dan kemudian pada restart ketujuh atau ke-10 setelah instalasi, malware akan menjalankan PC ke Safe Mode.

Karena perangkat lunak antivirus tidak beroperasi dalam Safe Mode — bahkan Antivirus Microsoft Defender Windows sendiri, alias Windows Defender — memulai PC ke Safe Mode memberi Crackonosh kesempatan untuk menyerang.

Jika mesin Anda tiba-tiba memiliki banyak malware, perangkat lunak antivirus Anda tidak dapat ditemukan di mana pun dan Anda belum menerima pembaruan Windows selama berbulan-bulan, Anda mungkin telah terinfeksi Crackonosh.

Menyingkirkannya tidak mudah — Avast memiliki serangkaian instruksi lengkap dalam laporannya, tetapi cukup teknis dan sebaiknya diserahkan kepada seseorang yang mengetahui seluk-beluk Windows Registry.

Yang terbaik adalah menghindari infeksi dengan tidak menginstal perangkat lunak bajakan. Jika Anda merasa benar-benar harus, maka pindai setiap penginstal perangkat lunak dengan perangkat lunak antivirus sebelum Anda menjalankannya.

Selengkapnya: Tom’s Guide

Repositori open source dapat menjadi vektor untuk kejahatan

by

Seorang peneliti telah menemukan paket palsu yang diunduh sekitar 5.000 kali dari repositori resmi Python berisi kode rahasia yang menginstal perangkat lunak cryptomining pada mesin yang terinfeksi.

Paket berbahaya, yang tersedia di repositori PyPI, dalam banyak kasus menggunakan nama yang meniru paket yang sah dan sering digunakan secara luas yang sudah tersedia di sana, Ax Sharma, seorang peneliti di perusahaan keamanan Sonatype melaporkan. Serangan typosquatting berhasil ketika target secara tidak sengaja salah mengetik nama seperti mengetik “mplatlib” atau “maratlib” alih-alih paket matplotlib yang sah dan populer.

Sharma mengatakan dia menemukan enam paket yang menginstal perangkat lunak cryptomining yang akan menggunakan sumber daya komputer yang terinfeksi untuk menambang cryptocurrency dan menyimpannya di dompet penyerang. Keenamnya diterbitkan oleh seseorang yang menggunakan nama pengguna PyPI nedog123, dalam beberapa kasus pada awal April. Paket dan nomor unduhan adalah:

  • maratlib: 2,371
  • maratlib1: 379
  • matplatlib-plus: 913
  • mllearnlib: 305
  • mplatlib: 318
  • learninglib: 626

Kode berbahaya terkandung dalam file setup.py dari masing-masing paket diatas. Ini menyebabkan komputer yang terinfeksi menggunakan ubqminer atau kriptominer T-Rex untuk menambang koin digital dan menyimpannya di alamat berikut: 0x510aec7f266557b7de753231820571b13eb31b57.

Selengkapnya: Ars Technica

TeamTNT Cloaks Malware Dengan Open-Source Tool

by

Alat penghindaran deteksi, libprocesshider, menyembunyikan malware TeamTNT dari program informasi proses.

Grup ancaman TeamTNT telah menambahkan alat penghindaran deteksi baru ke gudang senjatanya, membantu perangkat lunak perusak cryptomining oleh tim pertahanan.

Grup kejahatan dunia maya TeamTNT dikenal karena serangan berbasis cloud, termasuk menargetkan kredensial Amazon Web Services (AWS) untuk masuk ke cloud dan menggunakannya untuk menambang cryptocurrency Monero. Ini juga sebelumnya menargetkan instance cloud Docker dan Kubernetes.

Alat penghindaran deteksi baru, libprocesshider, disalin dari repositori sumber terbuka. Open-Source Tool, dari tahun 2014 telah ditempatkan di Github, dan dideskripsikan memiliki kemampuan untuk “menyembunyikan proses di Linux menggunakan prapemuat ld.”

Alat baru ini dikirimkan dalam skrip base64-encoded, tersembunyi di biner cryptominer TeamTNT, atau melalui bot Internet Relay Chat (IRC), yang disebut TNTbotinger, yang mampu melakukan serangan distributed denial of service (DDoS).

Dari waktu ke waktu, TeamTNT terlihat menyebarkan berbagai pembaruan pada malware cryptomining, termasuk pemuat memori baru yang ditemukan beberapa minggu yang lalu, yang didasarkan pada Ezuri dan ditulis dalam GOlang.

Pada bulan Agustus, worm cryptomining TeamTNT ditemukan menyebar melalui cloud AWS dan mengumpulkan kredensial. Kemudian, setelah jeda, grup TeamTNT kembali pada bulan September untuk menyerang instance cloud Docker dan Kubernetes dengan menyalahgunakan alat pemantauan cloud yang sah yang disebut Weave Scope.

selengkapnya :ThreatPost

Botnet PgMiner menyerang database PostgreSQL yang tidak diamankan dengan benar

by

Minggu ini, peneliti keamanan telah menemukan operasi botnet yang menargetkan database PostgreSQL untuk menginstal penambang cryptocurrency.

Disebut sebagai PgMiner oleh para peneliti, botnet ini hanyalah yang terbaru dari daftar panjang operasi kejahatan siber baru-baru ini yang menargetkan teknologi web untuk keuntungan moneter.

Menurut para peneliti di Palo Alto Networks ‘Unit 42, botnet beroperasi dengan melakukan serangan brute force terhadap database PostgreSQL yang dapat diakses internet.

Botnet secara acak memilih range jaringan publik (mis., 18.xxx.xxx.xxx) dan kemudian melakukan iterasi melalui semua bagian alamat IP dari rentang itu, mencari sistem yang port PostgreSQL (port 5432) nya terkspos secara online.

Jika PgMiner menemukan sistem PostgreSQL yang aktif, botnet berpindah dari fase pemindaian ke fase brute-force, di mana ia mengacak daftar panjang kata sandi dalam upaya untuk menebak kredensial untuk “postgres,” akun PostgreSQL default.

Jika pemilik database PostgreSQL lupa menonaktifkan user ini atau lupa mengubah kata sandinya, peretas akan mengakses database dan menggunakan fitur COPY PostgreSQL dari PROGRAM untuk meningkatkan akses mereka dari aplikasi database ke server yang mendasarinya dan mengambil alih seluruh OS.

Begitu mereka memiliki pegangan yang lebih kuat pada sistem yang terinfeksi, kru PgMiner menyebarkan aplikasi penambangan koin dan mencoba menambang cryptocurrency Monero sebanyak mungkin sebelum terdeteksi.

Menurut Unit 42, pada laporan mereka, botnet hanya memiliki kemampuan untuk menyebarkan penambang di platform Linux MIPS, ARM, dan x64. Operator Botnet PgMiner juga telah mengendalikan bot yang terinfeksi melalui server perintah dan kontrol (C2) yang dihosting di jaringan Tor dan bahwa basis kode botnet tersebut tampak menyerupai botnet SystemdMiner.

Sumber: Palo Alto Networks

Sumber: ZDNet

Malware Docker menjadi umum, pengembang perlu memperhatikan keamanan Docker dengan serius

by

Menjelang akhir tahun 2017, terjadi perubahan besar dalam dunia malware. Seiring teknologi berbasis cloud menjadi lebih populer, geng kejahatan siber juga mulai menargetkan sistem Docker dan Kubernetes.

Sebagian besar serangan ini mengikuti pola yang sangat sederhana di mana pelaku ancaman memindai sistem yang salah konfigurasi yang antarmuka adminnya terekspos secara online untuk mengambil alih server dan menyebarkan malware penambangan cryptocurrency.

Selama tiga tahun terakhir, serangan ini semakin intensif, dan strain malware baru serta aktor ancaman yang menargetkan Docker (dan Kubernetes) sekarang ditemukan secara teratur.

Namun terlepas dari kenyataan bahwa serangan malware di server Docker sekarang lebih banyak ditemukan, banyak pengembang web dan infrastruktur engineer belum mempelajari pelajaran mereka dan masih salah mengonfigurasi server Docker, membuat mereka rentan akan serangan.

Kesalahan paling umum dari kesalahan ini adalah membiarkan endpoint API administrasi jarak jauh Docker terbuka online tanpa otentikasi.

Strain malware terbaru ini ditemukan minggu lalu oleh firma keamanan China Qihoo 360. Dinamakan Blackrota, ini adalah trojan backdoor sederhana yang pada dasarnya adalah versi sederhana dari CarbonStrike beacon yang diimplementasikan dalam bahasa pemrograman Go.

Perusahaan, pengembang web, dan engineer yang menjalankan sistem Docker bagian dari sistem produksi disarankan untuk meninjau dokumentasi resmi Docker untuk memastikan mereka telah mengamankan kemampuan manajemen jarak jauh Docker dengan mekanisme otentikasi yang tepat, seperti sistem otentikasi berbasis sertifikat.

Sumber: ZDNet