Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cybersecurity / Cyber Attack

Cyber Attack

Peretas membocorkan 190GB dugaan data Samsung, kode sumber

by

Kelompok pemerasan data Lapsus hari ini membocorkan sejumlah besar data rahasia yang mereka klaim berasal dari Samsung Electronics, perusahaan elektronik konsumen raksasa Korea Selatan.

Kebocoran terjadi kurang dari seminggu setelah Lapsus$ merilis arsip dokumen 20GB dari 1TB data yang dicuri dari desainer GPU Nvidia.

Dalam catatan yang diposting sebelumnya hari ini, geng pemerasan menggoda tentang merilis data Samsung dengan snapshot dari arahan C/C++ dalam perangkat lunak Samsung.

Tak lama setelah menggoda pengikut mereka, Lapsus$ menerbitkan deskripsi kebocoran yang akan datang, mengatakan bahwa itu berisi “kode sumber rahasia Samsung” yang berasal dari pembobolan.

Kode sumber tersebut terdiri dari: kode sumber untuk setiap Trusted Applet (TA) yang dipasang di lingkungan TrustZone Samsung yang digunakan untuk operasi sensitif (misalnya kriptografi perangkat keras, enkripsi biner, kontrol akses); algoritma untuk semua operasi buka kunci biometrik; kode sumber bootloader untuk semua perangkat Samsung terbaru; kode sumber rahasia dari Qualcomm; kode sumber untuk server aktivasi Samsung; kode sumber lengkap untuk teknologi yang digunakan untuk mengesahkan dan mengautentikasi akun Samsung, termasuk API dan layanan.

Jika detail di atas akurat, Samsung telah mengalami pelanggaran data besar yang dapat menyebabkan kerusakan besar pada perusahaan.

Lapsus$ membagi data yang bocor menjadi tiga file terkompresi yang menambah hampir 190GB dan membuatnya tersedia dalam torrent yang tampaknya sangat populer, dengan lebih dari 400 rekan berbagi konten.

Kelompok pemerasan juga mengatakan bahwa mereka akan menyebarkan lebih banyak server untuk meningkatkan kecepatan unduhan.

Selengkapnya: Bleeping Computer

Peretas mengklaim kebocoran besar Samsung, termasuk kunci enkripsi dan kode sumber

by

Kebocoran baru ini dirinci dalam laporan dari Bleeping Computer, yang menyebut Lapsus$ sebagai “geng pemerasan” dan mengatakan kelompok itu awalnya memposting tangkapan layar kode untuk perangkat lunak Samsung, kemudian merinci apa yang telah dieksfiltrasi dari server raksasa elektronik Korea Selatan.

Info yang dicuri tampaknya mencakup informasi penting, termasuk algoritme untuk semua operasi pembukaan kunci biometrik, kode sumber untuk bootloader untuk produk Samsung yang lebih baru, dan semua kode sumber di balik proses otorisasi dan otentikasi akun Samsung.

Ini adalah pelanggaran yang buruk jika semua klaim itu benar. Data tersebut diduga tersedia untuk torrent, dengan Lapsus$ mengemasnya ke dalam file terkompresi yang totalnya hampir 190GB.

Menurut Bleeping Computer, peretasan tersebut bukanlah penculikan seperti halnya Nvidia, karena pada hari Sabtu tidak ada bukti permintaan tebusan.

Ini adalah pertanyaan terbuka tentang bagaimana konsumen akan melihat peretasan ini, tetapi Anda tidak perlu memahami pemrograman atau detail seluk beluk keamanan siber untuk melihat mengapa ini bisa menjadi pukulan bagi salah satu merek elektronik global terbesar.

Samsung mungkin mengetahui nilai dolar sebenarnya dari kerusakan yang terjadi saat pasar dibuka pada hari Senin.

Selengkapnya: Android Police

Situs Ukraina mengalami peningkatan serangan 10x saat invasi dimulai

by

Perusahaan keamanan internet telah mencatat gelombang serangan besar-besaran terhadap situs WordPress Ukraina sejak Rusia menginvasi Ukraina, yang bertujuan untuk menghapus situs web dan menyebabkan demoralisasi.

Firma keamanan siber Wordfence, yang melindungi 8.320 situs WordPress milik universitas, pemerintah, militer, dan entitas penegak hukum di Ukraina, melaporkan telah mencatat 144.000 serangan pada 25 Februari saja.

Fokus serangan tampaknya adalah bagian dari 376 situs web akademik yang menerima 209.624 serangan antara 25 dan 27 Februari.

Gelombang besar serangan terkoordinasi ini telah mengakibatkan kompromi dari 30 situs web universitas Ukraina, yang sebagian besar mengalami kerusakan total dan tidak tersedianya layanan.

Kelompok peretas di balik serangan ini adalah kelompok pro-Rusia yang disebut “theMx0nday,” yang telah memposting bukti peretasan pada agregator defacement Zone-H.

Wordfence telah menemukan bahwa pelaku ancaman berbasis di Brasil tetapi mengarahkan serangan mereka melalui alamat IP Finlandia menggunakan penyedia layanan internet anonim Njalla.

Kelompok aktor tertentu sebelumnya telah menyerang situs Brasil, Indonesia, Spanyol, Argentina, AS, dan Turki, sementara entri pertama mereka di Zone-H dimulai pada April 2019.

Untuk pertama kalinya dalam sejarahnya, Wordfence telah memutuskan untuk menyebarkan real-time threat intelligenc ke semua situs web Ukraina terlepas dari tingkat langganan mereka ke layanannya. Biasanya, fitur ini hanya tersedia untuk pelanggan Premium.

Sumber: Bleeping Computer

Toyota menangguhkan operasi pabrik dalam negeri setelah dugaan serangan dunia maya

by

Toyota Motor Corp (7203.T) mengatakan akan menangguhkan operasi pabrik domestik pada hari Selasa, kehilangan sekitar 13.000 mobil produksi, setelah pemasok suku cadang plastik dan komponen elektronik terkena serangan cyber yang dicurigai.

Tidak ada informasi segera tersedia tentang siapa yang berada di balik kemungkinan serangan atau motifnya. Serangan itu terjadi tepat setelah Jepang bergabung dengan sekutu Barat dalam menekan Rusia setelah menginvasi Ukraina, meskipun tidak jelas apakah serangan itu terkait sama sekali.

Perdana Menteri Jepang Fumio Kishida mengatakan pemerintahnya akan menyelidiki insiden tersebut dan apakah Rusia terlibat.

Kishida pada hari Minggu mengumumkan bahwa Jepang akan bergabung dengan Amerika Serikat dan negara-negara lain dalam memblokir beberapa bank Rusia untuk mengakses sistem pembayaran internasional SWIFT. Dia juga mengatakan Jepang akan memberikan Ukraina $100 juta dalam bentuk bantuan darurat.

Seorang juru bicara pemasok, Kojima Industries Corp, mengatakan tampaknya telah menjadi korban dari beberapa jenis serangan cyber.

Seorang juru bicara dari Toyota menggambarkannya sebagai “kegagalan sistem pemasok.”

Perusahaan belum tahu apakah penghentian di 14 pabriknya di Jepang, yang menyumbang sekitar sepertiga dari produksi globalnya, akan berlangsung lebih dari satu hari, juru bicara itu menambahkan.

Beberapa pabrik yang dioperasikan oleh afiliasi Toyota Hino Motors (7205.T) dan Daihatsu (6023.T) termasuk dalam penutupan.

Toyota, yang pernah mengalami serangan dunia maya di masa lalu, adalah pelopor manufaktur Just-In-Time dengan suku cadang yang datang dari pemasok langsung ke jalur produksi daripada ditimbun.

Aktor negara telah meluncurkan serangan siber terhadap perusahaan Jepang di masa lalu, termasuk serangan terhadap Sony Corp (6758.T) pada tahun 2014, yang mengekspos data internal dan mematikan sistem komputer.

Amerika Serikat menyalahkan Korea Utara atas serangan itu, yang terjadi setelah Sony merilis “The Interview”, sebuah komedi tentang rencana untuk membunuh pemimpin rezim Kim Jong Un.

Penghentian produksi Toyota terjadi karena pembuat mobil terbesar di dunia itu sudah menangani gangguan rantai pasokan di seluruh dunia yang disebabkan oleh pandemi COVID, yang telah memaksanya dan pembuat mobil lain untuk mengekang produksi.

Toyota bulan ini juga melihat beberapa produksi dihentikan di Amerika Utara karena kekurangan suku cadang yang disebabkan oleh protes pengemudi truk Kanada.

Sumber : Reuters

Pelanggaran simultan: berurusan dengan dua kelompok ransomware pada hari yang sama

by

Meskipun umum bagi kelompok ransomware untuk menerapkan taktik pemerasan ganda dan tiga kali lipat terhadap korban mereka, sangat jarang beberapa kelompok berbeda menyerang target yang sama pada waktu yang sama.

Menurut Sean Gallagher, Peneliti Ancaman Senior di Sophos, pada awal Desember, penyedia layanan kesehatan di Kanada dihantam oleh dua pelaku ransomware menggunakan taktik yang berbeda.

Sementara kelompok ransomware Karma mengekstrak data tetapi memilih untuk tidak mengenkripsi data karena korban berada dalam perawatan kesehatan, Conti, secara mengejutkan, tidak menahan diri seperti itu.

Menurut laporan itu, kedua penyerang memperoleh akses melalui eksploitasi ProxyShell. ProxyShell adalah rantai serangan yang dirancang untuk mengeksploitasi tiga kerentanan terpisah (CVE-2021-34473, CVE-2021-34523, dan CVE-2021-31207) pada platform Exchange Server Microsoft.

Sementara menurut Gallagher, tidak jarang geng ransomware menggunakan eksploitasi ProxyShell untuk menembus jaringan korban, sangat jarang terlihat beberapa kelompok yang fokus pada target yang sama.

Sophos percaya bahwa broker akses awal kemungkinan menembus jaringan pada 10 Agustus. Tiga bulan kemudian, pada 30 November, Karma muncul dan mengekstrak 52 gigabyte data.

Meskipun geng Karma menjatuhkan catatan ransomware pada 3 Desember, kelompok itu tidak mengenkripsi data milik penyedia layanan kesehatan. Pada saat yang sama, Conti ransomware sedang mengekstrak data. Pada tanggal 4 Desember, grup tersebut menyebarkan ransomware dari server yang disusupi dan data organisasi yang dienkripsi.

18 bulan terakhir penuh dengan serangan siber besar-besaran, seperti peretasan SolarWinds, serangan terhadap Colonial Pipeline, perusahaan pemrosesan daging JBS, dan perusahaan perangkat lunak Kaseya.

Sementara para pakar berbicara tentang demam emas ransomware, penelitian menunjukkan bahwa 74% yang mengejutkan dari semua pendapatan ransomware masuk ke pelaku ancaman yang berafiliasi dengan Rusia tahun lalu.

Dengan kata lain, cryptocurrency senilai sekitar $400 juta akhirnya mengisi kantong penjahat dunia maya yang terhubung ke Rusia dalam beberapa bentuk.

Conti juga merupakan geng ransomware yang terkait dengan Rusia. Setelah Rusia menginvasi Ukraina, kelompok tersebut menyatakan dukungan penuhnya kepada pemerintah Rusia.

Ternyata, tidak semua orang senang dengan pengumuman tersebut. Seorang peretas tak dikenal merilis bocoran komunikasi selama 13 bulan dari anggota grup Conti dan afiliasinya.

“Isi dump [informasi] pertama berisi komunikasi obrolan saat ini, mulai hari ini dari geng ransomware Conti. Kami berjanji itu sangat menarik,” kata pernyataan tentang kebocoran itu.

Sumber : Cybernews

Microsoft: Ukraina terkena malware FoxBlade baru beberapa jam sebelum invasi

by

Microsoft mengatakan bahwa jaringan Ukraina ditargetkan dengan malware yang baru ditemukan beberapa jam sebelum invasi Rusia ke Ukraina pada 24 Februari.

Para peneliti dari Microsoft Threat Intelligence Center (MSTIC) mengamati serangan destruktif yang menargetkan Ukraina dan menemukan jenis malware baru yang mereka namakan FoxBlade.

“Kami segera memberi tahu pemerintah Ukraina tentang situasinya, termasuk identifikasi kami tentang penggunaan paket malware baru (yang kami denominasikan FoxBlade), dan memberikan saran teknis tentang langkah-langkah untuk mencegah keberhasilan malware.”

Smith juga mengatakan bahwa perusahaan memperbarui platform keamanan Defender dengan tanda tangan baru untuk memblokir malware FoxBlade dalam waktu tiga jam setelah menemukan alat berbahaya yang digunakan di alam liar.

Microsoft menggambarkan malware dalam penasehat Intelijen Keamanan yang diterbitkan pada 23 Februari sebagai trojan yang dapat menggunakan komputer “untuk serangan penolakan layanan (DDoS) terdistribusi” tanpa sepengetahuan pemiliknya.

Serangan siber yang baru-baru ini terlihat dan masih aktif ini “telah ditargetkan dengan tepat,” Smith juga mengungkapkan.

Ini kontras dengan serangan malware tanpa pandang bulu yang berdampak pada ekonomi Ukraina dan negara lain selama serangan NotPetya di seluruh dunia tahun 2017 yang terkait dengan grup peretasan Direktorat Intelijen Utama GRU Rusia yang dikenal sebagai Sandworm.

Jaringan Ukraina diserang dengan malware yang merusak
Serangan siber ofensif yang terdeteksi oleh peneliti MSTIC tepat sebelum invasi Rusia mengikuti beberapa rangkaian serangan malware lainnya sejak awal tahun 2021.

Awal bulan ini, malware HermeticWiper yang baru ditemukan digunakan untuk menargetkan Ukraina bersama dengan umpan ransomware untuk menghapus data dan membuat perangkat tidak dapat di-boot.

Pada bulan Januari, negara itu dilanda serangkaian serangan malware lainnya yang menggunakan wiper WhisperGate yang disamarkan sebagai muatan ransomware.

Selama akhir pekan, CISA dan FBI memperingatkan organisasi AS bahwa data yang menghapus serangan terhadap Ukraina dapat menyebar ke negara lain, mendesak organisasi AS untuk “meningkatkan kewaspadaan” dan memperkuat pertahanan mereka.

Pada hari yang sama, Wakil Perdana Menteri Ukraina Mykhailo Fedorov juga mengungkapkan pembentukan “tentara TI” untuk membantu negara “bertarung di front cyber.”

Tepat sebelum perang dimulai, Layanan Keamanan Ukraina (SSU) melaporkan bahwa Ukraina menjadi sasaran “gelombang besar perang hibrida”.

Sumber : Bleeping Computer

Meta: Pejabat Ukraina, militer yang ditargetkan oleh peretas Ghostwriter

by

Facebook (sekarang dikenal sebagai Meta) mengatakan telah menghapus akun yang digunakan oleh kelompok peretas yang terkait dengan Belarusia (UNC1151 atau Ghostwriter) untuk menargetkan pejabat Ukraina dan personel militer di platformnya.

Pada November 2021, peneliti keamanan Mandiant menghubungkan kelompok ancaman UNC1151 dengan kepercayaan tinggi kepada pemerintah Belarusia, serta operasi peretasan yang dilacak perusahaan sebagai Ghostwriter.

Facebook telah memblokir beberapa domain phishing yang digunakan oleh pelaku ancaman untuk mencoba dan menyusupi akun pengguna Ukraina.

“Kami juga memblokir domain phishing yang digunakan peretas ini untuk mencoba menipu orang-orang di Ukraina agar mengkompromikan akun online mereka.”

Akun yang diyakini menjadi target dalam kampanye ini telah diamankan oleh tim keamanan Facebook, dan pengguna telah diberitahu tentang upaya peretasan.

Facebook juga menghapus jaringan kecil dari beberapa lusin Halaman dan Grup Facebook dan Instagram yang beroperasi dari Rusia dan Ukraina dan menargetkan warga Ukraina melalui akun palsu di berbagai platform media sosial, termasuk Facebook, Instagram, Twitter, YouTube, Telegram, Odnoklassniki, dan VK.

Operasi ini juga berada di balik sejumlah kecil situs yang menyamar sebagai portal berita independen dan menerbitkan klaim tentang Ukraina yang dikhianati oleh Barat dan “menjadi negara gagal.”

Laporan Meta mengkonfirmasi peringatan yang dikeluarkan oleh Computer Emergency Response Team of Ukraine (CERT-UA) pada hari Jumat mengenai serangan spearphishing yang menargetkan akun email pribadi militer Ukraina.

Akun email yang dikompromikan dalam serangan ini kemudian digunakan untuk menargetkan kontak korban dengan pesan phishing serupa yang mengancam untuk menonaktifkan akun mereka secara permanen kecuali mereka memverifikasi informasi kontak mereka.

Layanan Komunikasi Khusus dan Perlindungan Informasi Negara Ukraina (SSSCIP) juga memperingatkan serangkaian serangan phishing yang terpisah dan berkelanjutan yang menargetkan warga Ukraina dengan dokumen berbahaya.

Perusahaan keamanan internet Slovakia ESET mengeluarkan peringatannya sendiri pada hari yang sama mengenai penjahat dunia maya yang menyamar sebagai organisasi kemanusiaan untuk menipu donor organisasi yang berfokus membantu Ukraina selama perang yang dimulai Kamis oleh invasi Rusia.

Serangan ini mengikuti serangan penghapusan data terhadap jaringan Ukraina dengan malware HermeticWiper dan umpan ransomware yang bertujuan untuk menghancurkan data dan membuat perangkat tidak dapat di-boot. Pada bulan Januari, Ukraina juga terkena wiper data ketika wiper WhisperGate dikerahkan dalam serangan yang disamarkan sebagai ransomware.

Selama akhir pekan, Wakil Perdana Menteri Ukraina Mykhailo Fedorov mengumumkan pembentukan “tentara TI” untuk membantu Ukraina “bertarung di front cyber.”

Sumber : Bleeping Computer

IBM Security X-Force Research Advisory: Malware Destruktif Baru yang Digunakan Dalam Serangan Cyber di Ukraina

by

Pada 23 Februari 2022, sumber intelijen open-source mulai melaporkan deteksi malware penghapus — keluarga malware perusak yang dirancang untuk menghancurkan data target secara permanen — yang dijalankan pada sistem milik organisasi Ukraina.

IBM Security X-Force memperoleh sampel penghapus bernama HermeticWiper. Ini menggunakan driver manajer partisi jinak (salinan empntdrv.sys) untuk melakukan kemampuan menghapusnya merusak semua drive fisik yang tersedia Master Boot Record (MBR), partisi, dan sistem file (FAT atau NTFS).

Ini bukan malware penghapus pertama yang menargetkan organisasi Ukraina yang dianalisis X-Force. Pada Januari 2022, X-Force menganalisis malware WhisperGate dan tidak mengidentifikasi kode yang tumpang tindih antara WhisperGate dan HermeticWiper.

Pada Januari 2022, X-Force menganalisis malware WhisperGate. HermeticWIper adalah keluarga malware destruktif kedua yang baru terlihat yang diamati dalam dua bulan terakhir yang menargetkan organisasi di Ukraina, dan dilaporkan negara-negara lain di Eropa Timur. Tidak ada kode yang tumpang tindih yang diidentifikasi antara WhisperGate dan HermeticWiper.

Kecepatan penyebaran dan penemuan keluarga malware baru yang merusak ini belum pernah terjadi sebelumnya, dan selanjutnya menyoroti kebutuhan organisasi untuk memiliki strategi pertahanan yang aktif dan terinformasi yang melampaui pertahanan berbasis tanda tangan.

Karena konflik di kawasan terus berkembang dan mengingat kemampuan destruktif dari WhisperGate dan HermeticWiper, IBM Security X-Force merekomendasikan organisasi infrastruktur penting dalam kawasan yang ditargetkan untuk membentengi pertahanan. Organisasi tersebut harus fokus pada persiapan untuk serangan potensial yang dapat menghancurkan atau mengenkripsi data atau berdampak signifikan pada operasi.

Selengkapnya: Security Intelligence