Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cybersecurity / Cyber Attack

Cyber Attack

Peretasan GoDaddy menyebabkan pelanggaran data yang memengaruhi 1,2 juta pelanggan

by

GoDaddy mengatakan bahwa data 1,2 juta pelanggannya terungkap setelah peretas memperoleh akses ke lingkungan hosting WordPress Terkelola perusahaan.

Insiden itu ditemukan oleh GoDaddy Rabu lalu, pada 17 November, namun penyerang memiliki akses ke jaringannya dan data yang terdapat pada sistem yang dilanggar setidaknya sejak 6 September 2021.

    Penyerang dapat mengakses informasi pelanggan GoDaddy berikut menggunakan kata sandi yang disusupi:

  • Hingga 1,2 juta pelanggan WordPress Terkelola aktif dan tidak aktif memiliki alamat email dan nomor pelanggan mereka. Pemaparan alamat email menghadirkan risiko serangan phishing.
  • Kata sandi Admin WordPress asli yang ditetapkan pada saat penyediaan terungkap. Jika kredensial tersebut masih digunakan, kami menyetel ulang kata sandi tersebut.
  • Untuk pelanggan aktif, nama pengguna dan kata sandi sFTP dan database diekspos. Kami mengatur ulang kedua kata sandi.
  • Untuk subset pelanggan aktif, kunci pribadi SSL diekspos. Kami sedang dalam proses menerbitkan dan memasang sertifikat baru untuk pelanggan tersebut.

Perusahaan juga mengungkapkan pelanggaran tahun lalu, pada bulan Mei, ketika memperingatkan beberapa pelanggannya bahwa pihak yang tidak berwenang menggunakan kredensial akun hosting web mereka pada bulan Oktober untuk terhubung ke akun hosting mereka melalui SSH.

Tim keamanan GoDaddy menemukan insiden itu setelah melihat file SSH yang diubah di lingkungan hosting GoDaddy dan aktivitas mencurigakan di subset server GoDaddy.

Pada tahun 2019, scammers juga menggunakan ratusan akun GoDaddy yang disusupi untuk membuat 15.000 subdomain, mencoba meniru situs web populer dan mengarahkan calon korban ke halaman spam yang mendorong produk minyak ular.

Sebelumnya pada tahun 2019, GoDaddy diketahui menyuntikkan JavaScript ke situs pelanggan AS tanpa sepengetahuan mereka, sehingga berpotensi membuat mereka tidak dapat dioperasikan atau memengaruhi kinerja mereka secara keseluruhan.

Sumber : Bleeping Computer

Phishing TikTok Mengancam Terhapusnya Akun Influencer

by

Para peneliti telah mengamati kampanye phishing baru yang terutama menargetkan akun TikTok menarik milik influencer, konsultan merek, studio produksi, dan manajer influencer.

Peneliti Keamanan Abnormal yang melihat serangan itu, mengamati dua puncak aktivitas saat mengamati distribusi email dalam kampanye khusus ini, pada 2 Oktober 2021, dan pada 1 November 2021, sehingga babak baru kemungkinan akan dimulai dalam beberapa minggu.

Surat masuk!

Dalam beberapa kasus yang dilihat oleh Abnormal Security, para aktor meniru karyawan TikTok, mengancam penerima dengan penghapusan akun yang akan segera terjadi karena dugaan pelanggaran persyaratan platform.

Sumber: Abnormal Security

Tema lain yang digunakan dalam email adalah menawarkan lencana ‘Verified’ yang menambah kredibilitas dan keaslian akun.

Lencana ‘Verified’ TikTok memberi bobot pada konten yang diposting oleh akun terverifikasi dan memberi sinyal pada algoritma platform untuk meningkatkan tingkat paparan posting dari akun ini.

Menggunakan umpan ini untuk phishing sangat efektif karena banyak orang akan senang menerima email yang menawarkan mereka kesempatan untuk mendapatkan lencana verifikasi.

Sumber: Abnormal Security

Dalam kedua kasus, penyerang menyediakan target mereka dengan cara untuk memverifikasi akun mereka dengan mengklik tautan yang disematkan.

Namun, mereka malah diarahkan ke ruang obrolan WhatsApp di mana mereka disambut oleh scammer yang berpura-pura menjadi karyawan TikTok yang sudah menunggu.

Sumber: Abnormal Security

Pengambilalihan akun atau pemerasan?

Tidak jelas apa tujuan aktor phishing dalam kampanye ini, tetapi bisa jadi upaya untuk mengambil alih akun target atau memeras pemilik akun dan memaksa mereka untuk membayar uang tebusan demi mendapatkan akum mereka kembali.

Persyaratan layanan TikTok memperjelas bahwa jika akun, terutama yang memiliki banyak pengikut, melanggar layanannya, itu akan ditangguhkan atau dihentikan secara permanen.

Ini berarti bahwa para aktor dapat dengan mudah mengancam untuk memposting sesuatu yang tidak pantas, berujung penghapusan profil yang pemiliknya mungkin telah menghabiskan banyak waktu dan uang untuk membangunnya.

Jika Anda memiliki dan / atau mengelola akun media sosial yang berharga, pastikan untuk mencadangkan semua konten dan data Anda di tempat yang aman.

Selain itu, Anda harus selalu mengamankan akun Anda dengan otentikasi dua faktor (2FA) atau verifikasi 2 langkah, seperti yang disebut TikTok, idealnya dengan kunci keamanan perangkat keras.

Jika Anda hanya dapat menggunakan opsi 2FA berbasis SMS (yang kurang aman), ambil nomor pribadi yang tidak Anda bagikan dengan siapa pun dan gunakan hanya untuk tujuan ini.

Sumber: Bleepingcomputer

Meningkatnya Serangan Iran ke Sektor TI

by Leave a Comment

Aktor ancaman Iran meningkatkan serangan terhadap perusahaan layanan TI sebagai cara untuk mengakses jaringan pelanggan mereka. Kegiatan ini penting karena menargetkan pihak ketiga memiliki potensi untuk mengeksploitasi organisasi yang lebih sensitif dengan memanfaatkan kepercayaan dan akses dalam rantai pasokan. Microsoft telah mengamati beberapa aktor ancaman Iran yang menargetkan sektor layanan TI yang bertujuan untuk mencuri kredensial sign-in ke jaringan pelanggan yang memungkinkan serangan lebih lanjut. Microsoft Threat Intelligence Center (MSTIC) dan Digital Security Unit (DSU) menilai ini adalah bagian dari tujuan spionase yang lebih luas untuk mengkompromikan organisasi yang berkepentingan dengan rezim Iran.

Hingga Juli 2021, Microsoft telah mengamati sejarah yang relatif sedikit tentang aktor Iran yang menyerang target India. Ketika India dan negara-negara lain meningkat sebagai pusat layanan TI utama, lebih banyak aktor negara mengikuti rantai pasokan untuk menargetkan pelanggan sektor publik dan swasta di seluruh dunia yang sesuai dengan kepentingan negara.

Hingga tahun ini, Microsoft telah mengeluarkan lebih dari 1.600 pemberitahuan kepada lebih dari 40 perusahaan TI sebagai tanggapan atas penargetan Iran, dibandingkan dengan 48 pemberitahuan pada tahun 2020, menjadikan ini peningkatan yang signifikan dari tahun-tahun sebelumnya (Gambar 1). Fokus beberapa kelompok ancaman Iran di sektor TI terutama melonjak dalam enam bulan terakhir – sekitar 10-13% dari pemberitahuan kami terkait dengan aktivitas ancaman Iran dalam enam bulan terakhir, dibandingkan dengan dua setengah persen dalam enam bulan sebelumnya (Gambar 2).

Gambar 1: Jumlah pemberitahuan yang dikirim ke Layanan TI terkait penargetan aktor yang berbasis di Iran
Gambar 2: Jumlah pemberitahuan yang dikirim ke Layanan TI terkait penargetan aktor yang berbasis di Iran

Sebagian besar penargetan difokuskan pada perusahaan layanan TI yang berbasis di India, serta beberapa perusahaan yang berbasis di Israel dan Uni Emirat Arab. Meskipun beda teknik dari serangan rantai pasokan baru-baru ini, serangan ini merupakan contoh lain tentang bagaimana aktor negara semakin menargetkan rantai pasokan sebagai vektor tidak langsung untuk mencapai tujuan mereka.

Seengkapnya: Microsoft

Server Microsoft Exchange diretas dalam serangan rantai balasan internal

by

Pelaku ancaman meretas server Microsoft Exchange menggunakan ProxyShell dan eksploitasi ProxyLogon untuk mendistribusikan malware dan melewati deteksi menggunakan email rantai balasan internal yang dicuri.

Peneliti TrendMicro telah menemukan taktik menarik yang digunakan untuk mendistribusikan email berbahaya ke pengguna internal perusahaan menggunakan server pertukaran Microsoft milik korban.

Pelaku di balik serangan ini diyakini sebagai ‘TR’, aktor ancaman terkenal yang mendistribusikan email dengan lampiran berbahaya yang menjatuhkan malware, termasuk Qbot, IcedID, Cobalt Strike, dan muatan SquirrelWaffle.

Aktor tersebut mengelabui target perusahaan agar membuka lampiran berbahaya, mengeksploitasi server Microsoft Exchange menggunakan kerentanan ProxyShell dan ProxyLogon.

Pelaku ancaman kemudian menggunakan server Exchange yang disusupi ini untuk membalas email internal perusahaan dalam serangan berantai balasan yang berisi tautan ke dokumen berbahaya yang menginstal berbagai malware.

Salah satu email Squirrelwaffle ke target
Sumber: TrendMicro

Karena email ini berasal dari jaringan internal yang sama dan tampaknya merupakan kelanjutan dari diskusi sebelumnya antara dua karyawan, ini mengarah pada tingkat kepercayaan yang lebih besar bahwa email tersebut sah dan aman.

Dokumen Microsoft Excel berbahaya yang digunakan oleh SquirrelWaffle

Menurut laporan Trend Micro, para peneliti mengatakan bahwa mereka telah melihat serangan ini mendistribusikan pemuat SquirrelWaffle, yang kemudian menginstal Qbot.

Namun, peneliti Cryptolaemus ‘TheAnalyst’ mengatakan bahwa dokumen berbahaya yang digunakan oleh aktor ancaman ini menjatuhkan kedua malware sebagai muatan terpisah, bukan SquirrelWaffle yang mendistribusikan Qbot.

Microsoft telah memperbaiki kerentanan ProxyLogon pada bulan Maret dan kerentanan ProxyShell pada bulan April dan Mei, menanganinya sebagai zero-day pada saat itu.

Pelaku ancaman telah menyalahgunakan kedua kerentanan untuk menyebarkan ransomware atau menginstal webshell untuk akses pintu belakang nanti. Serangan ProxyLogon menjadi sangat buruk sehingga FBI menghapus web shell dari server Microsoft Exchange yang berbasis di AS tanpa terlebih dahulu memberi tahu pemilik server.

Setelah sekian lama dan media luas kerentanan ini telah diterima, tidak menambal Exchange Server hanyalah undangan terbuka untuk peretas.

Sumber : Bleeping Computer

Web Server Polri Diretas oleh Peretas Brasil

by

Dilansir dari CyberThreat.id, seorang peretas asal Brasil bernama son1x mengklaim bahwa ia telah meretas web server dari subdomain milik Polri. Tidak hanya satu web server namun 3 web server yang berhasil ia retas. Lebih buruknya lagi, basis data yang diduga berasal dari salah satu server, ia bagikan secara gratis di akun Twitter nya.

Peretas ini adalah peretas yang sama yang melakukan deface pada situs web Pusat Malware Nasional milik Badan Siber dan Sandi Negara pada akhir Oktober kemarin. Ia mengklaim sebetulnya bisa masuk lebih dalam lagi ke server BSSN, tapi dirinya takut dipenjara.

Baru-baru ini, ia kembali berulah dengan merusak empat subdomain Badan Pengkajian dan Penerapan Teknologi (BPPT) dan satu subdomain Goverment Certification Authority (GovCA), yaitu otoritas yang mengotentikasi pihak yang akan bertransaksi khususnya di pemerintahan. GovCa dibentuk oleh BPPT.

Ia mengatakan bahwa semenjak ia meretas BSSN, ada beberapa upaya Polri untuk mencari tahu tentang dirinya.

Basis data yang ia bocorkan berisi informasi pribadi dan kredensial pegawai Polri dan orang-orang yang terlibat di dalamnya.

Dari pengamatan CyberThreat.id, basis data tersebut berisi:

  • Nama
  • Tempat tanggal lahir
  • Satker
  • Pangkat
  • Status pernikahan
  • Jabatan
  • Alamat
  • Pangkat terakhir
  • Agama
  • Golongan darah
  • Suku
  • pen_umum_terakhir
  • pen_polri_terakhir
  • pen_jurusan_terakhir
  • pen_jenjang_terakhir
  • rehab_no_putusan
  • rehab_tanggal_putusan_sidang
  • rehab_id_jenis_pelanggaran
  • id_propam
  • s_tgl_hukuman_selesai
  • s_tgl_hukuman_mulai
  • s_tgl_rehab_mulai
  • s_tgl_rehab_selesai
  • s_tgl_binlu_mulai
  • s_tgl_binlu_selesai
  • email
  • no_hp.[]

Sumber: Cyberthreat.id

Malware Emotet Balik Lagi dan Membuat Botnet dengan TrickBot

by Leave a Comment

Malware Emotet dianggap sebagai malware yang paling banyak menyebar di masa lalu, menggunakan kampanye spam dan lampiran berbahaya untuk mendistribusikan malware.

Emotet kemudian akan menggunakan perangkat yang terinfeksi untuk melakukan kampanye spam lainnya dan menginstal muatan lain, seperti malware QakBot (Qbot) dan Trickbot. Muatan ini kemudian akan digunakan untuk memberikan akses awal ke aktor ancaman untuk menyebarkan ransomware, termasuk Ryuk, Conti, ProLock, Egregor, dan banyak lainnya.

Hari ini, para peneliti dari Cryptolaemus, GData, dan Advanced Intel telah melihat malware TrickBot menjatuhkan loader untuk Emotet pada perangkat yang terinfeksi.

Pakar emotet dan peneliti Cryptolaemus Joseph Roosen mengatakan kepada BleepingComputer bahwa mereka belum melihat tanda-tanda botnet Emotet melakukan aktivitas spamming atau menemukan dokumen berbahaya menjatuhkan malware.

Kurangnya aktivitas spamming ini kemungkinan disebabkan oleh pembangunan kembali infrastruktur Emotet dari awal dan email rantai balasan baru yang dicuri dari korban dalam kampanye spam di masa depan.

Kelompok riset Emotet Cryptolaemus telah mulai menganalisis loader Emotet baru dan mengatakan kepada BleepingComputer bahwa itu termasuk perubahan baru dibandingkan dengan varian sebelumnya.

“Ini adalah tanda awal dari kemungkinan adanya aktivitas Emotet malware yang terjadi menyebabkan operasi ransomware penting secara global mengurangi kekurangan ekosistem komoditas,” Kremez mengatakan pada BleepingComputer dalam percakapan.

“Ini juga memberitahu kita bahwa takedown tak mencegah musuh mendapatkan malware builder dan mendirikan sistem backend yang baru.”

Upaya Perlindungan dari Emotet botnet

Organisasi nirlaba pelacakan malware Abuse.ch telah merilis daftar server perintah dan kontrol yang digunakan oleh botnet Emotet baru dan sangat menyarankan administrator jaringan memblokir alamat IP terkait untuk mencegah perangkat mereka direkrut ke dalam botnet Emotet yang baru direformasi.

Selengkapnya: Bleepingcomputer

Peretas Mengakses Sistem Email FBI Dan Mengirim Spam Ke 100.000 Akun

by

Peretas mengakses sistem email FBI dan mengirim spam ke 100.000 akun pada hari Sabtu, menurut Proyek Spamhaus, sebuah kelompok pengawas spam email.

Organisasi tersebut memposting contoh di Twitter dari salah satu email yang dikirim ke ribuan akun.

Email tersebut memuat subjek “Urgent: Threat actor in systems” dan dimaksudkan untuk datang dari divisi keamanan siber dari Departemen Keamanan Dalam Negeri.

Email tersebut dimaksudkan untuk memperingatkan penerima tentang potensi “exfiltration” – yang berarti penarikan data – dari sistem mereka oleh pakar keamanan siber Vinny Troia dan kelompok penjahat siber The Dark Overlord.

Spamhaus memberikan sejumlah kemungkinan motivasi peretas untuk mengirim pesan tersebut.

“Tiga tindakan: Meyakinkan orang untuk menutup semuanya untuk berjaga-jaga, sementara kebenaran ditentukan, pembunuhan karakter Vinny Troia yang disebutkan di dalamnya, dan membanjiri FBI dengan panggilan. Atau, seperti yang orang lain katakan, ‘untuk lulz’. Mungkin semua dari yang disebutkan di atas. Atau mungkin sesuatu yang lain!” kelompok itu menulis sebuah tweet.

Austin Berglas, kepala layanan profesional di perusahaan keamanan siber BlueVoyant dan mantan agen khusus FBI, mengatakan kepada Bloomberg bahwa sistem email yang diretas bukanlah yang digunakan agen untuk mengirim informasi rahasia di FBI.

FBI mengatakan dalam sebuah pernyataan bahwa mereka mengetahui serangan itu tetapi tidak dapat memberikan informasi lebih lanjut.

Selengkapnya: The Hill

Godzilla Webshell Penyebab Kecacatan Zoho Password Manager

by Leave a Comment

Untuk kedua kalinya, para peneliti menemukan gerakan eksploitasi Zoho zero-day di seluruh dunia: melanggar organisasi pertahanan, energi, dan perawatan kesehatan.

Selama akhir pekan, para peneliti mengingatkan bahwa telah ditemukan kerentanan keamanan di pengelola kata sandi (password manager) Zoho ManageEngine ADSelfService Plus. Para pelaku ancaman sejauh ini berhasil mengeksploitasi kelemahan Zoho dan mengekstrak datanya di setidaknya sembilan entitas global di seluruh sektor penting (teknologi, pertahanan, perawatan kesehatan, energi, dan pendidikan) menggunakan Godzilla Webshell.

Zoho menambal (patched) kerentanan pada bulan September, tetapi telah dieksploitasi secara aktif pada awal Agustus saat zero-day, membuka pintu perusahaan bagi penyerang untuk mengendalikan Direktori Aktif pengguna (AD) dan akun cloud secara bebas.

Zoho ManageEngine ADSelfService Plus adalah pengelola kata sandi layanan sendiri dan platform sign-on (SSO) untuk AD (Active Directory) dan cloud, yang berarti setiap oknum penyerang mampu mengambil kendali platform di beberapa titik penting. Dengan kata lain, ini adalah aplikasi istimewa yang dapat bertindak sebagai awal titik masuk ke area perusahaan yang lebih dalam, baik untuk pengguna maupun penyerang.

Cara Godzilla Webshell Bekerja

Unit 42 mengatakan bahwa setelah oknum mengeksploitasi CVE-2021-40539 untuk mendapatkan RCE, mereka bergerak cepat secara lateral untuk menyebarkan beberapa unit malware mengandalkan Godzilla publik yang tersedia di webshell.

Aktor mengupload beberapa variasi Godzilla untuk membahayakan server dan menanam beberapa alat malware baru juga, termasuk sebuah pintu belakang open-source Golang yang dikustom bernama NGLite dan pencuri-kredensial baru yang Unit 42 lacak bernama KdcSponge.

Godzilla dan NGLite ditulis dalam bahasa Cina dan bebas diambil dari GitHub.

Mangsa Siber-spionase: Lembaga Energi dan Kesehatan

Tidak mengejutkan kalau oknum di balik gerakan kedua Zoho ini ternyata menjadi APT (advanced persistent threats Cina. Dave Klein, pemuka siber dan direktur di Cymulate, menunjuk Republik Rakyat Cina (RRC) memiliki data yang terdokumentasi dengan baik.

Dia menunjuk pelanggaran 2015 kantor manajemen personil U.S. (OPM) sebagai contoh. Pelanggaran besar-besaran dikaitkan dengan RRC meliputi informasi yang sangat sensitif seperti jutaan sidik jari karyawan federal, nomor Jaminan Sosial, tanggal lahir, catatan kinerja karyawan, riwayat pekerjaan, resume, transkrip sekolah, dokumen layanan militer dan data psikologis dari wawancara yang diadakan penyelidik.

Dia mengatakan bahwa setelah pelanggaran OPM, beberapa lembaga kesehatan kemudian dilanggar, termasuk serangan yang mempengaruhi 78 juta orang. “Kepentingan dalam data kesehatan secara global tidak hanya terus untuk tujuan Spionase terhadap target – mengumpulkan titik lemah serta mencari data kesehatan untuk melayani industri lokal mereka yang lebih baik,” Klein menginformasikan. “Pada energi, keduanya mencuri informasi spionase industri serta untuk mengatur kompromi dalam infrastruktur kritis untuk potensi penggunaan dalam kasus permusuhan di masa depan.”

Selengkapnya di: Threatpost