Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cybersecurity / Cyber Attack

Cyber Attack

Puma terkena pelanggaran data setelah serangan ransomware Kronos

by

Pabrikan pakaian olahraga Puma terkena pelanggaran data menyusul serangan ransomware yang menghantam Kronos, salah satu penyedia layanan manajemen tenaga kerja Amerika Utara, pada Desember 2021.

Pemberitahuan pelanggaran data yang diajukan ke beberapa kantor jaksa agung awal bulan ini mengatakan penyerang juga mencuri informasi pribadi milik karyawan Puma dan tanggungan mereka dari lingkungan cloud Kronos Private Cloud (KPC) sebelum mengenkripsi data.

Kronos menggambarkan KPC sebagai penyimpanan aman yang dilindungi dari serangan menggunakan firewall, otentikasi multi-faktor, dan transmisi terenkripsi.

Ini digunakan sebagai fasilitas server untuk meng-hosting Workforce Central, Workforce TeleStaff, Enterprise Archive, TeleTime IP, Extensions for Healthcare (EHC), dan lingkungan FMSI.

“Pada 7 Januari 2022, Kronos mengonfirmasi bahwa beberapa informasi pribadi Anda termasuk di antara data yang dicuri. Kami memberi tahu PUMA tentang insiden ini pada 10 Januari 2022.”

Meskipun pemberitahuan pelanggaran tidak menyebutkan berapa banyak karyawan Puma yang informasinya dicuri selama serangan itu, informasi yang diberikan kepada Kantor Kejaksaan Agung Maine mengungkapkan bahwa operator ransomware mendapatkan data milik 6.632 orang.

Puma juga mengatakan bahwa dokumen yang dicuri selama serangan ransomware Kronos termasuk Nomor Jaminan Sosial dalam pengajuan dengan kantor yang sama.

Orang-orang yang terkena dampak pelanggaran data ini juga ditawarkan dua tahun keanggotaan Experian IdentityWorks gratis, yang dilengkapi dengan pemantauan kredit, pemulihan identitas, dan asuransi pencurian identitas.

Peretas juga mencuri kode sumber untuk aplikasi internal Puma pada bulan Agustus dan menjualnya di portal kebocoran data Marketo. Serangan itu dikonfirmasi oleh kepala komunikasi korporat Puma, Robert-Jan Bartunek.

Pembaruan 08 Februari, 04:41 EST: Kepala Komunikasi Senior Puma Kerstin Neuber mengatakan bahwa tidak ada data pelanggan Puma yang terpengaruh dalam pernyataan tindak lanjut yang dikirim setelah kami menerbitkan:

Pada 10 Januari 2022, PUMA Amerika Utara diberi tahu bahwa UKG/ Kronos, salah satu vendor PUMA, sedang mengurangi dampak insiden ransomware. Pelanggaran hanya terjadi di dalam sistem UKG/Kronos. Tidak ada sistem di jaringan PUMA yang dilanggar dan tidak ada data pelanggan PUMA yang terpengaruh. Insiden itu terbatas pada Private Cloud Kronos.

UKG/ Kronos telah melibatkan pakar keamanan siber, memberi tahu pihak berwenang, dan berkomunikasi dengan mereka yang terkena dampak. Setiap pertanyaan media terkait dengan pelanggaran UKG/Kronos yang mendasari harus diarahkan ke UKG karena masalah tersebut sedang diselidiki.

Sumber : Bleeping Computer

Qbot hanya membutuhkan 30 menit untuk mencuri kredensial Anda

by

Malware yang tersebar luas yang dikenal sebagai Qbot (alias Qakbot atau QuakBot) baru-baru ini kembali ke serangan kecepatan ringan, dan menurut analis, hanya perlu sekitar 30 menit untuk mencuri data sensitif setelah infeksi awal.

Para analis melaporkan bahwa dibutuhkan setengah jam bagi musuh untuk mencuri data browser dan email dari Outlook dan 50 menit sebelum mereka melompat ke workstation yang berdekatan.

Seperti yang ditunjukkan pada diagram berikut, Qbot bergerak cepat untuk melakukan eskalasi hak istimewa segera setelah infeksi, sementara pemindaian pengintaian penuh berlangsung dalam sepuluh menit.

Akses awal biasanya dicapai melalui dokumen Excel (XLS) yang menggunakan makro untuk menjatuhkan loader DLL pada mesin target.

Payload ini kemudian dijalankan untuk membuat tugas terjadwal melalui proses msra.exe dan meningkatkan dirinya ke hak istimewa sistem.

Selain itu, malware menambahkan Qbot DLL ke daftar pengecualian Microsoft Defender, sehingga tidak akan terdeteksi saat injeksi ke msra.exe terjadi.

Perintah penemuan disuntikkan ke msra.exe
Sumber: DFIR

Malware mencuri email dalam waktu setengah jam setelah eksekusi awal, yang kemudian digunakan untuk serangan phishing berantai ulang dan untuk dijual ke pelaku ancaman lainnya.

Qbot mencuri kredensial Windows dari memori menggunakan injeksi LSASS (Local Security Authority Server Service) dan dari browser web. Ini dimanfaatkan untuk pergerakan lateral ke perangkat lain di jaringan, dimulai pada rata-rata lima puluh menit setelah eksekusi pertama.

Gerakan lateral Qbot
Sumber: DFIR

Qbot bergerak secara lateral ke semua workstation di lingkungan yang dipindai dengan menyalin DLL ke target berikutnya dan membuat layanan dari jarak jauh untuk menjalankannya.

Pada saat yang sama, infeksi sebelumnya dihapus, sehingga mesin yang baru saja dieksfiltrasi kredensialnya didesinfeksi dan tampak normal.

Selain itu, layanan yang dibuat pada workstation baru memiliki parameter ‘DeleteFlag’, yang menyebabkannya dihapus saat sistem di-boot ulang.

Layanan yang dibuat di stasiun kerja target
Sumber: DFIR

Pergerakan lateral berlangsung dengan cepat, jadi jika tidak ada segmentasi jaringan untuk melindungi stasiun kerja, situasinya menjadi sangat menantang bagi tim pertahanan.

Selain itu, pelaku ancaman Qbot sering kali suka menggunakan beberapa sistem yang disusupi sebagai titik proxy tingkat pertama untuk penyembunyian dan rotasi alamat yang mudah, dan menggunakan beberapa port untuk komunikasi SSL dengan server C2.

Dampak dari serangan cepat ini tidak terbatas pada kehilangan data, karena Qbot juga telah diamati menjatuhkan muatan ransomware ke jaringan perusahaan yang disusupi.

Laporan Microsoft dari Desember 2021 menangkap keserbagunaan serangan Qbot, membuatnya lebih sulit untuk mengevaluasi cakupan infeksinya secara akurat.

Sumber : Bleeping Computer

Peretas Kimsuki menggunakan RAT komoditas dengan malware Gold Dragon khusus

by

Peneliti Korea Selatan melihat aktivitas baru dari kelompok peretasan Kimsuky, yang melibatkan alat akses jarak jauh sumber terbuka komoditas yang dijatuhkan dengan pintu belakang khusus mereka, Gold dragon.

Grup ini telah menunjukkan keserbagunaan operasional yang mengesankan dan pluralisme aktivitas ancaman, terlibat dalam distribusi malware, phishing, pengumpulan data, dan bahkan pencurian cryptocurrency.

Analis di ASEC (AhnLab), Kimsuky menggunakan xRAT dalam serangan yang ditargetkan terhadap entitas Korea Selatan. Kampanye dimulai pada 24 Januari 2022, dan masih berlangsung.

xRAT adalah akses jarak jauh sumber terbuka dan alat administrasi yang tersedia secara gratis di GitHub. Malware ini menyediakan berbagai fitur seperti keylogging, remote shell, tindakan pengelola file, proxy HTTPS terbalik, komunikasi AES-128, dan rekayasa sosial otomatis.

Pelaku ancaman yang canggih dapat memilih untuk menggunakan RAT komoditas karena, untuk operasi pengintaian dasar, alat ini sangat memadai dan tidak memerlukan banyak konfigurasi.

Hal ini memungkinkan pelaku ancaman untuk memfokuskan sumber daya mereka pada pengembangan malware tahap selanjutnya yang memerlukan fungsionalitas lebih khusus tergantung pada alat/praktik pertahanan yang ada pada target.

Selain itu, RAT komoditas berbaur dengan aktivitas dari spektrum pelaku ancaman yang luas, sehingga mempersulit analis untuk mengaitkan aktivitas jahat dengan kelompok tertentu.

Pintu belakang Gold Dragon
Gold Dragon adalah backdoor tahap kedua yang biasanya disebarkan Kimsuky setelah serangan tahap pertama berbasis PowerShell tanpa file yang memanfaatkan steganografi.

Namun, seperti yang dijelaskan ASEC dalam laporannya, varian yang mereka temukan dalam kampanye terbaru ini memiliki fungsi tambahan seperti eksfiltrasi informasi sistem dasar.

Malware tidak lagi menggunakan proses sistem untuk fungsi ini, tetapi menginstal alat xRAT untuk mencuri informasi yang diperlukan secara manual.

RAT berada di bawah penyamaran yang dapat dieksekusi bernama cp1093.exe, yang menyalin proses PowerShell normal (powershell_ise.exe) ke jalur “C:\ProgramData\” dan dijalankan melalui proses lekukan.

Pada aspek operasional Naga Emas, ia terus menggunakan metode pengosongan proses yang sama pada iexplore.exe dan svchost.exe, dan masih mencoba untuk menonaktifkan fitur deteksi waktu nyata di produk AhnLab AV.

Selanjutnya, penginstal menambahkan kunci registri baru untuk membuat persistensi startup untuk muatan malware (glu32.dll).

Entri registri baru untuk muatan utama
Sumber: ASEC

Akhirnya, Kimsuky menjatuhkan uninstaller (UnInstall_kr5829.co.in.exe) yang dapat menghapus jejak kompromi jika dan saat dibutuhkan.

Kimsuky’s infection trace wiper
Source: ASEC

AhnLab menyarankan agar pengguna tidak membuka lampiran pada email dari sumber yang tidak dikenal, karena ini tetap menjadi saluran utama distribusi malware untuk Kimsuky.

Sumber : Bleeping Computer

LockBit, BlackCat, Swissport, Astaga! Aktivitas Ransomware Tetap Kuat

by

Penegakan hukum, eksekutif C-suite, dan komunitas keamanan telah fokus untuk menghentikan rentetan serangan ransomware. Namun meskipun demikian, langkah-langkah terbaru dari geng LockBit 2.0 dan BlackCat, ditambah pukulan akhir pekan ini di perusahaan logistik darat bandara Swissport, menunjukkan momok masih jauh dari selesai.

Kelompok ransomware telah meningkatkan lebih sedikit serangan dengan permintaan ransomware yang lebih tinggi, Coveware telah melaporkan, menemukan bahwa rata-rata pembayaran ransomware pada kuartal keempat tahun lalu naik 130 persen mencapai $322.168 . Demikian juga, Coveware menemukan lonjakan 63 persen dalam pembayaran tebusan rata-rata, hingga $117.116.

“Pergeseran taktis melibatkan upaya yang disengaja untuk memeras perusahaan yang cukup besar untuk membayar sejumlah uang tebusan ‘permainan besar’ tetapi cukup kecil untuk menjaga biaya operasi serangan dan mengakibatkan perhatian media dan penegakan hukum tetap rendah.”

Grup yang Ingin Menurunkan Profilnya
“Proporsi perusahaan yang diserang dalam ukuran 1.000 hingga 10.000 karyawan meningkat dari 8 persen di Q3 menjadi 14 persen di Q4,” para peneliti menemukan. “Pembayaran tebusan rata-rata hanya dalam ember karyawan ini jauh di utara satu juta dolar, yang menyeret jumlah rata-rata dan median Q4 lebih tinggi.”

Rebranding BlackCat, Ancaman Pemerasan Tiga Kali
BlackCat, juga dikenal sebagai ALPHV, operasi RaaS pemula, sedang meningkat dan dengan cepat merekrut afiliasi, menurut Graham Cluley dari Tripwire kelompok tersebut telah mulai menambahkan tekanan bagi korban mereka untuk membayar dengan tidak hanya mencuri data mereka dan mengancam akan merilisnya, tetapi juga menjanjikan penolakan layanan (DDoS) yang melumpuhkan jika mereka menolak untuk membayar taktik ransomware yang dikenal sebagai “pemerasan tiga kali lipat.”

Pertama kali ditemukan oleh MalwareHunterTeam, operator ransomware BlackCat berkode Rust menyebut diri mereka ALPHV, tetapi MalwareHunterTeam menjuluki mereka BlackCat setelah gambar yang digunakan pada halaman pembayaran yang harus dikunjungi korban di Tor untuk membayar. Laporan tersebut juga mengkonfirmasi bahwa BlackCat pada dasarnya adalah merek ulang, menambahkan anggota grup telah mengonfirmasi bahwa mereka adalah anggota grup BlackMatter/DarkSide sebelumnya.

LockBit 2.0 adalah kelompok lain yang menambahkan tekanan pada korbannya untuk membayar dengan ancaman untuk merilis data pelanggan perusahaan dan itu juga tidak terlalu rendah.

LockBit 2.0 baru-baru ini mengambil kredit untuk melanggar platform pertukaran cryptocurrency playbito.com, pemburu ancaman DarkTracer tweeted. Peneliti juga memposting peringatan dari LockBit2.0 bahwa grup tersebut akan mempublikasikan data pribadi lebih dari 100.000 pengguna platform kecuali uang tebusan dibayarkan pada 21 Februari.

“FBI mencari informasi apa pun yang dapat dibagikan, untuk memasukkan log batas yang menunjukkan komunikasi ke dan dari alamat IP asing, contoh catatan tebusan, komunikasi dengan pelaku ancaman, informasi dompet Bitcoin, file dekripsi, dan/atau sampel jinak. dari file terenkripsi,” kata peringatan FBI, menambahkan bahwa departemen tidak mendorong pembayaran uang tebusan, tetapi memahami keputusan bisnis perlu dibuat untuk menjaga operasi tetap berjalan.

Serangan Swissport: Ransomware Masih Kuat
Selama akhir pekan, Swissport dijatuhkan oleh serangan ransomware yang menyebabkan penundaan 22 penerbangan dari Zurich, Swiss, menurut juru bicara bandara yang berbicara dengan Der Speigel.

Penelitian terbaru dari Trellix menunjukkan bahwa bergerak maju pada tahun 2022, layanan keuangan akan dibombardir dengan serangan ransomware. Dari kuartal kedua hingga ketiga tahun 2021, serangan terhadap sektor keuangan dan asuransi meningkat sebesar 21 persen, diikuti oleh peningkatan hanya 7 persen pada serangan perawatan kesehatan, catat perusahaan itu.

Sumber : Threat Post

Peretas Tiongkok Menargetkan Lembaga Keuangan Taiwan dengan Pintu Belakang Tersembunyi yang baru

by

Sebuah kelompok ancaman persisten lanjutan (APT) China telah menargetkan lembaga keuangan Taiwan sebagai bagian dari “kampanye gigih” yang berlangsung setidaknya selama 18 bulan.

Penyusupantersebut bertujuan pionase, mengakibatkan penyebaran pintu belakang yang disebut xPack, yang memberikan kontrol ekstensif kepada musuh atas mesin yang disusupi, kata Symantec milik Broadcom dalam sebuah laporan yang diterbitkan minggu lalu.

Apa yang penting dari kampanye ini adalah jumlah waktu aktor ancaman mengintai di jaringan korban, memberikan operator banyak kesempatan untuk pengintaian rinci dan menggali informasi yang berpotensi sensitif yang berkaitan dengan kontak bisnis dan investasi tanpa menaikkan bendera merah apapun.

Di salah satu organisasi keuangan yang tidak disebutkan namanya, para penyerang menghabiskan hampir 250 hari antara Desember 2020 dan Agustus 2021, sementara entitas manufaktur memiliki jaringannya di bawah pengawasan mereka selama sekitar 175 hari.

Meskipun vektor akses awal yang digunakan untuk menembus target masih belum jelas, diduga Antlion memanfaatkan kelemahan aplikasi web untuk mendapatkan pijakan dan menjatuhkan pintu belakang khusus xPack, yang digunakan untuk menjalankan perintah sistem, menghapus malware dan alat berikutnya, dan tahap data untuk eksfiltrasi.

Selain itu, aktor ancaman menggunakan pemuat kustom berbasis C++ serta kombinasi alat yang sah seperti AnyDesk dan teknik living-off-the-land (LotL) untuk mendapatkan akses jarak jauh, membuang kredensial, dan mengeksekusi arbitrer perintah.

Temuan ini menambah daftar kelompok negara-bangsa terkait China yang telah menargetkan Taiwan dalam beberapa bulan terakhir, dengan aktivitas siber jahat yang dipasang oleh aktor ancaman yang dilacak saat Tropic Trooper dan Earth Lusca menyerang lembaga pemerintah, perawatan kesehatan, transportasi, dan pendidikan di negara.

Sumber : The Hacker News

Peretas China yang dicurigai menyerang News Corp dengan ‘serangan siber yang terus-menerus’

by

News Corp mengalami “serangan siber terus-menerus,” kata perusahaan itu Jumat, dan penyelidik yakin mata-mata China mungkin bertanggung jawab.

Puluhan jurnalis di Wall Street Journal milik News Corp menjadi sasaran peretasan, yang tampaknya berfokus pada wartawan dan editor yang meliput isu-isu terkait China, dua orang yang mengetahui masalah tersebut mengatakan kepada CNN.

Perusahaan keamanan siber Mandiant (MNDT), yang disewa News Corp (NWS) untuk menyelidiki pelanggaran tersebut, percaya para peretas “kemungkinan terlibat dalam kegiatan spionase untuk mengumpulkan intelijen demi kepentingan China,” kata David Wong, wakil presiden konsultasi di Mandiant.

Penyusupan itu, yang tampaknya berlangsung setidaknya hingga Februari 2022, menyusupi akun email dan dokumen Google Drive yang digunakan oleh jurnalis Wall Street Journal tertentu, salah satu orang yang mengetahui penyelidikan tersebut mengatakan. The Wall Street Journal pertama kali melaporkan kronologi peretasan tersebut.

Wartawan sering menjadi sasaran berbagai peretas yang didukung negara untuk mencari intelijen tentang pemerintah dan perusahaan. Karena alasan ini, banyak jurnalis tidak menyebutkan informasi sensitif melalui email.

Manajemen Wall Street Journal mengadakan serangkaian pengarahan pada hari Kamis dengan para jurnalis yang terkena dampak peretasan, kata dua sumber yang akrab dengan penyelidikan tersebut. Staf jurnal sedang memeriksa data forensik untuk menentukan informasi apa yang diambil dari masing-masing jurnalis, kata salah satu dari orang-orang itu.

Selengkapnya: CNN Business

Malware Mac menyebar selama 14 bulan menginstal pintu belakang pada sistem yang terinfeksi

by

Malware Mac yang dikenal sebagai UpdateAgent telah menyebar selama lebih dari satu tahun, pengembangnya menambahkan lonceng dan peluit baru termasuk mendorong payload adware tahap kedua agresif yang menginstal backdoor persisten pada Mac yang terinfeksi.

Keluarga malware UpdateAgent mulai beredar paling lambat November atau Desember 2020 sebagai pencuri informasi yang relatif mendasar. Itu mengumpulkan nama produk, nomor versi, dan informasi sistem dasar lainnya. Metodenya yaitu, kemampuan untuk menjalankan setiap kali Mac melakukan booting—juga cukup sederhana.

Serangan Person-in-The-Middle
UpdateAgent telah berkembang semakin maju. Selain data yang dikirim ke server penyerang, aplikasi juga mengirimkan “detak jantung” yang memberi tahu penyerang jika malware masih berjalan. Itu juga menginstal adware yang dikenal sebagai Adload.

Peneliti Microsoft menulis:

Setelah adware diinstal, ia menggunakan perangkat lunak dan teknik injeksi iklan untuk mencegat komunikasi online perangkat dan mengarahkan lalu lintas pengguna melalui server operator adware, menyuntikkan iklan dan promosi ke halaman web dan hasil pencarian. Adload memanfaatkan serangan Person-in-The-Middle (PiTM) dengan memasang proxy web untuk membajak hasil mesin pencari dan menyuntikkan iklan ke halaman web, sehingga menyedot pendapatan iklan dari pemegang situs web resmi ke operator adware.

Adload mampu membuka pintu belakang untuk mengunduh dan menginstal adware dan muatan lain selain mengumpulkan informasi sistem yang dikirim ke server C2 penyerang. Mengingat UpdateAgent dan Adload memiliki kemampuan untuk menginstal muatan tambahan, penyerang dapat memanfaatkan salah satu atau kedua vektor ini untuk berpotensi memberikan ancaman yang lebih berbahaya ke sistem target di kampanye mendatang.

Sebelum menginstal adware, UpdateAgent sekarang menghapus tanda yang ditambahkan oleh mekanisme keamanan macOS yang disebut Gatekeeper ke file yang diunduh. (Gatekeeper memastikan pengguna menerima peringatan bahwa perangkat lunak baru berasal dari Internet, dan juga memastikan perangkat lunak tidak cocok dengan jenis malware yang diketahui.)

Pengintaian UpdateAgent telah diperluas untuk mengumpulkan profil sistem dan data tipe SPHardware, yang, antara lain, mengungkapkan nomor seri Mac. Malware juga mulai memodifikasi folder LaunchDaemon alih-alih folder LaunchAgent seperti sebelumnya. Sementara perubahan memerlukan UpdateAgent untuk dijalankan sebagai administrator, perubahan memungkinkan trojan untuk menyuntikkan kode persisten yang berjalan sebagai root.

Setelah diinstal, malware mengumpulkan info sistem dan mengirimkannya ke server kontrol penyerang dan mengambil sejumlah tindakan lain. Rantai serangan eksploitasi terbaru terlihat seperti ini:

Microsoft mengatakan UpdateAgent menyamar sebagai perangkat lunak yang sah, seperti aplikasi video atau agen dukungan, yang disebarkan melalui pop-up atau iklan di situs web yang diretas atau berbahaya. Pengguna tampaknya harus ditipu untuk menginstal UpdateAgent, dan selama proses itu, Gatekeeper berfungsi seperti yang dirancang.

Selengkapnya : Arstechnica

Seorang Pria Amerika Menghapus Internet Korea Utara Setelah Mereka Meretasnya

by

Selama dua minggu terakhir, Hampir semua situs web terputus secara massal, dari situs pemesanan maskapai Air Koryo hingga Naenara, halaman yang berfungsi sebagai portal resmi untuk diktator Kim. pemerintahan Jong-un.

Beberapa pengamat Korea Utara menunjukkan bahwa negara itu baru saja melakukan serangkaian uji coba rudal, menyiratkan bahwa peretas pemerintah asing mungkin telah meluncurkan serangan siber terhadap negara jahat itu untuk memintanya menghentikan serangan pedang.

Tetapi tanggung jawab atas pemadaman internet yang sedang berlangsung di Korea Utara sebenarnya adalah pekerjaan seorang pria Amerika dengan T-shirt yang secara berkala berjalan ke kantor rumahnya untuk memeriksa kemajuan program yang dia jalankan untuk mengganggu internet di seluruh negara.

P4x mengatakan dia menemukan banyak kerentanan tetapi belum ditambal dalam sistem Korea Utara yang memungkinkan dia untuk meluncurkan serangan “denial-of-service” sendirian di server dan router yang bergantung pada beberapa jaringan yang terhubung ke internet di negara itu. Dia menyebut salah satu contoh, bug yang dikenal di perangkat lunak server web NginX yang salah menangani header HTTP tertentu, memungkinkan server yang menjalankan perangkat lunak kewalahan dan offline. Dia juga menyinggung untuk menemukan versi “kuno” dari perangkat lunak server web Apache, dan mengatakan dia mulai memeriksa sistem operasi homebrew nasional Korea Utara, yang dikenal sebagai Red Star OS, yang dia gambarkan sebagai versi lama dan kemungkinan rentan dari Linux.

P4x mengatakan bahwa dia telah mengotomatiskan serangannya terhadap sistem Korea Utara, secara berkala menjalankan skrip yang menyebutkan sistem mana yang tetap online dan kemudian meluncurkan eksploitasi untuk menjatuhkannya. “Bagi saya, ini seperti ukuran pentest kecil hingga menengah,” kata P4x, menggunakan singkatan dari “penetration test,” jenis peretasan topi putih yang pernah dia lakukan di masa lalu untuk mengungkap kerentanan di jaringan klien .

Catatan dari layanan pengukuran waktu aktif Pingdom menunjukkan bahwa di beberapa titik selama peretasan P4x, hampir setiap situs web Korea Utara down.

Ali mengatakan dia melihat router-router utama untuk negara itu kadang-kadang mati, membawa mereka tidak hanya akses ke situs web negara itu, tetapi juga ke email dan layanan berbasis internet lainnya.

Sebagian besar penduduk terbatas pada intranet negara yang terputus. Williams mengatakan lusinan situs P4x telah berulang kali dihapus sebagian besar digunakan untuk propaganda dan fungsi lain yang ditujukan untuk audiens internasional.

Upaya hacktivistnya dimaksudkan untuk mengirim pesan tidak hanya kepada pemerintah Korea Utara, tetapi juga dirinya sendiri. Serangan sibernya di jaringan Korea Utara, katanya, sebagian merupakan upaya untuk menarik perhatian pada apa yang dia lihat sebagai kurangnya respons pemerintah terhadap Korea Utara yang menargetkan individu AS. “Jika tidak ada yang akan membantu saya, saya akan membantu diri saya sendiri,” katanya.

P4x tahu persis momen tahun lalu ketika dia dipukul oleh mata-mata Korea Utara. Pada akhir Januari 2021, dia membuka file yang dikirim kepadanya oleh sesama peretas, yang menggambarkannya sebagai alat eksploitasi. Hanya 24 jam kemudian, dia melihat posting blog dari Grup Analisis Ancaman Google yang memperingatkan bahwa peretas Korea Utara menargetkan peneliti keamanan. Benar saja, ketika P4x meneliti alat peretasan yang dia terima dari orang asing, dia melihat bahwa itu berisi pintu belakang yang dirancang untuk memberikan pijakan jarak jauh di komputernya. P4x telah membuka file di mesin virtual, secara digital mengkarantinanya dari sisa sistemnya. Tapi dia tetap terkejut dan terkejut dengan kesadaran bahwa dia secara pribadi telah menjadi sasaran Korea Utara.

P4x mengatakan dia dihubungi oleh FBI tetapi tidak pernah ditawari bantuan nyata untuk kerusakan dari peretasan Korea Utara. Dia juga tidak pernah mendengar konsekuensi apa pun bagi peretas yang menargetkannya, penyelidikan terbuka terhadap mereka, atau bahkan pengakuan resmi dari agen AS bahwa Korea Utara bertanggung jawab. Itu mulai terasa, seperti yang dia katakan, seperti “benar-benar tidak ada seorang pun di pihak kita.”

Setelah pengalamannya sebagai target spionase siber yang disponsori negara, P4x menghabiskan sebagian besar tahun berikutnya untuk proyek-proyek lain. Tetapi setelah satu tahun berlalu, masih tanpa pernyataan publik atau swasta dari pemerintah federal tentang penargetan peneliti keamanan dan tidak ada tawaran dukungan dari badan AS mana pun, P4x mengatakan bahwa dia memutuskan sudah waktunya untuk membuat pernyataannya sendiri kepada kedua Korea Utara. dan pemerintah Amerika.

Peretas lain yang ditargetkan oleh Korea Utara tidak semuanya setuju bahwa peretasan P4x adalah cara yang tepat untuk membuat pernyataan itu. Dave Aitel, mantan peretas NSA dan pendiri firma keamanan Imunitas, juga menjadi sasaran dalam kampanye spionase yang sama. Tetapi dia mempertanyakan apakah P4x telah mengambil pendekatan yang produktif untuk membalas dendam, mengingat bahwa dia mungkin sebenarnya menghalangi upaya intelijen tersembunyi yang menargetkan komputer Korea Utara yang sama.

Namun, Aitel setuju bahwa tanggapan pemerintah terhadap kampanye Korea Utara masih kurang. Dia mengatakan dia tidak pernah menerima kontak apa pun dari lembaga pemerintah dan menyalahkan kebisuan itu secara khusus di kaki Badan Keamanan Cybersecurity dan Infrastruktur. “Ini adalah salah satu bola terbesar yang telah dijatuhkan CISA,” kata Aitel. “Amerika Serikat pandai melindungi pemerintah, baik dalam melindungi perusahaan, tetapi tidak melindungi individu.” Dia menunjukkan bahwa banyak peneliti keamanan yang ditargetkan kemungkinan memiliki akses signifikan ke kerentanan perangkat lunak, jaringan perusahaan, dan kode alat yang banyak digunakan. Itu bisa menghasilkan, katanya, di “SolarWinds berikutnya.”

Terlepas dari kritik pemerintah AS, P4x jelas bahwa peretasannya bertujuan terutama untuk mengirim pesan ke rezim Kim, yang ia gambarkan sebagai melakukan “pelanggaran hak asasi manusia yang gila dan kontrol penuh atas populasi mereka.” Meskipun dia mengakui bahwa serangannya kemungkinan melanggar undang-undang penipuan dan peretasan komputer AS, dia berpendapat bahwa dia tidak melakukan kesalahan etis. “Hati nurani saya bersih,” katanya.

Sumber : WIRED