Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cybersecurity / Cyber Attack

Cyber Attack

Bahaya dalam Diam: Satu dari Lima Domain Lama Berbahaya, Berisiko, atau Tidak Aman

by

Jumlah domain yang tidak aktif berbahaya terus meningkat, dan seperti yang diperingatkan oleh para peneliti, sekitar 22,3% domain yang berusia strategis menimbulkan beberapa bentuk bahaya.

Ini adalah realisasi yang mengejutkan analis ketika terungkap bahwa aktor ancaman SolarWinds mengandalkan domain yang terdaftar bertahun-tahun sebelum kegiatan jahat mereka dimulai.

Berdasarkan itu, upaya dalam mendeteksi domain berbahaya telah meningkat.

Sebuah laporan dari Unit42 Palo Alto Networks mengungkapkan temuan para peneliti mereka setelah melihat puluhan ribu domain setiap hari sepanjang September 2021.

Mereka menyimpulkan bahwa sekitar 3,8% langsung berbahaya, 19% mencurigakan, dan 2% tidak aman untuk lingkungan kerja.

Mengapa membiarkan domain menua

Tujuan di balik mendaftarkan domain jauh sebelum aktor ancaman akan menggunakannya adalah untuk membuat “catatan bersih” yang akan mencegah sistem deteksi keamanan merusak keberhasilan kampanye jahat.

Biasanya, domain yang baru terdaftar (NRD) lebih cenderung berbahaya, sehingga solusi keamanan memperlakukan mereka sebagai mencurigakan dan memiliki lebih banyak kesempatan untuk menandainya.

Namun, Unit42 menjelaskan dalam laporannya bahwa domain yang berusia strategis tiga kali lebih mungkin berbahaya daripada NRD.

Dalam beberapa kasus, domain ini tetap tidak aktif selama dua tahun sebelum lalu lintas DNS mereka tiba-tiba meningkat 165 kali, menunjukkan peluncuran serangan.

Tanda-tanda “telur ular”

Tanda yang jelas dari domain berbahaya adalah lonjakan mendadak dalam lalu lintasnya. Layanan yang sah yang mendaftarkan domain mereka dan meluncurkan layanan berbulan-bulan atau bertahun-tahun kemudian menunjukkan pertumbuhan lalu lintas secara bertahap.

Domain yang tidak ditakdirkan untuk penggunaan yang sah umumnya memiliki konten yang tidak lengkap, dikloning, atau umumnya dipertanyakan. Seperti yang diharapkan, rincian pendaftar WHOIS juga hilang.

DGA menelurkan situs web hosting konten yang mencurigakan

Tanda lain yang jelas dari domain yang sengaja sudah tua yang dimaksudkan untuk digunakan dalam kampanye berbahaya adalah generasi subdomain DGA.

DGA (algoritma generasi domain) adalah metode yang mapan untuk menghasilkan nama domain dan alamat IP yang unik untuk berfungsi sebagai titik komunikasi C2 baru. Tujuannya adalah untuk menghindari deteksi dan blocklists.

Dengan melihat elemen DGA saja, detektor Palo Alto mengidentifikasi dua domain yang mencurigakan setiap hari, menelurkan ratusan ribu subdomain pada hari aktivasinya.

Selengkapnya: Bleepingcomputer

Jaringan kementerian Pertahanan Belgia sebagian mati setelah adanya serangan siber

by

Sebagian dari jaringan Kementerian Pertahanan Belgia mati selama beberapa hari sebagai akibat dari serangan siber “serius” setelah lubang keamanan ditemukan di perangkat lunak.

Sejak Kamis lalu, sebagian jaringan komputer mati, termasuk sistem surat, akibat serangan tersebut. Masih belum jelas siapa pelakunya, menurut laporan dari VRT News.

Menurut Kementerian Pertahanan, serangan tersebut merupakan akibat dari kerentanan kritis Log4Shell, sebuah bug dalam keamanan perangkat lunak Apache Log4j, sebuah perpustakaan logging Java open-source yang dibuat oleh Apache Foundation yang banyak digunakan oleh pengembang untuk menyimpan catatan aktivitas dalam aplikasi.

Masalah ini telah menimbulkan kekhawatiran di luar komunitas keamanan cyber, karena Log4j adalah komponen perangkat lunak yang digunakan oleh jutaan komputer di seluruh dunia yang menjalankan layanan online, sehingga berpotensi menjadi kerentanan komputer paling parah dalam beberapa tahun, menurut National Cyber Security Center (NCSC) Inggris.

Bug tersebut dapat membuat berbagai perangkat lunak rentan terhadap peretas, di antaranya banyak yang sekarang aktif memindai untuk mendeteksi sistem yang memiliki kelemahan ini sehingga mereka dapat mengendalikan sistem yang rentan dari jarak jauh.

Selengkapnya: The Brussels Times

Perusahaan keamanan Blumira menemukan vektor serangan Log4j baru yang besar

by

Dalam serangan proof-of-concept mereka, Blumira menemukan bahwa dengan menggunakan salah satu dari banyak eksploitasi Java Naming and Directory Interface (JNDI) yang dapat mereka picu melalui URL jalur file menggunakan koneksi WebSocket ke mesin dengan pustaka Log4j2 yang rentan terinstal.

Semua yang diperlukan untuk memicu keberhasilan adalah permintaan jalur yang dimulai pada pemuatan halaman web. Sederhana, tapi mematikan.

Lebih buruk lagi, itu tidak perlu menjadi localhost. WebSockets memungkinkan koneksi ke IP apa pun. Biarkan saya ulangi, “Any IP” dan itu termasuk ruang IP pribadi.

Selanjutnya, saat halaman dimuat, itu akan memulai koneksi WebSocket lokal, menekan server pendengar yang rentan, dan terhubung melalui jenis koneksi yang diidentifikasi berdasarkan string koneksi JNDI.

Para peneliti melihat yang paling sukses memanfaatkan Java Remote Method Invocation (RMI). port default 1099., meskipun kita sering melihat port kustom digunakan.

Pemindaian port sederhana, teknik yang sudah ada di buku pegangan peretas, WebSocket, adalah jalan termudah menuju serangan yang berhasil.

Kemudian, port terbuka ke layanan lokal atau layanan yang dapat diakses oleh host ditemukan, kemudian dapat menjatuhkan string eksploit JNDI di jalur atau parameter.

“Ketika ini terjadi, host yang rentan memanggil server exploit, memuat kelas penyerang, dan mengeksekusinya dengan java.exe sebagai proses induk.” Kemudian penyerang dapat menjalankan apa pun yang dia inginkan.

Selengkapnya: ZDNet

TellYouThePass ransomware revived in Linux, Windows Log4j attacks

by

Pelaku ancaman telah menghidupkan kembali keluarga ransomware lama dan relatif tidak aktif yang dikenal sebagai TellYouThePass, menyebarkannya dalam serangan terhadap perangkat Windows dan Linux yang menargetkan bug eksekusi kode jarak jauh yang kritis di perpustakaan Apache Log4j.

Heige dari Tim KnownSec 404 pertama kali melaporkan serangan ini di Twitter pada hari Senin setelah mengamati bahwa ransomware dijatuhkan pada sistem Windows lama menggunakan eksploitasi yang menyalahgunakan kelemahan yang dilacak sebagai CVE-2021-44228 dan dikenal sebagai Log4Shell.

Laporan Heige dikonfirmasi oleh Tim Intelijen Ancaman Sangfor, yang berhasil menangkap salah satu sampel ransomware TellYouThePass yang digunakan dalam serangan menggunakan eksploitasi Log4Shell yang sebagian besar berdampak pada target China, menurut Curated Intelligence.

Ketika mereka menemukan lebih lanjut (temuan yang juga dikonfirmasi oleh CronUP’s Germán Fernández), ransomware memiliki versi Linux yang memanen kunci SSH dan bergerak secara lateral di seluruh jaringan korban.

“Perlu dicatat bahwa ini bukan pertama kalinya Tellyouthepass ransomware menggunakan kerentanan berisiko tinggi untuk meluncurkan serangan,” kata peneliti Sangfor. “Pada awal tahun lalu, ia telah menggunakan kerentanan Eternal Blue untuk menyerang beberapa unit organisasi.”

Peneliti keamanan lainnya [1, 2] juga telah menganalisis salah satu sampel ransomware yang digunakan dalam serangan ini dan menandainya sebagai “kemungkinan milik” keluarga TellYouThePass.

Menurut statistik pengiriman ke layanan ID Ransomware, ransomware TellYouThePass telah melihat lonjakan aktivitas yang besar dan tiba-tiba setelah eksploitasi proof-of-concept Log4Shell dirilis secara online.

Selengkapnya: Bleeping Computer

Kampanye Spyware Massal ‘PseudoManuscrypt’ Menargetkan 35K Sistem

by

Para peneliti telah melacak spyware baru – dijuluki “PseudoManuscrypt” karena mirip dengan malware “Manuscrypt” dari kelompok ancaman persisten lanjutan (APT) Lazarus – yang mencoba mencoret-coret dirinya sendiri di lebih dari 35.000 komputer yang ditargetkan di 195 negara.

Peneliti Kaspersky mengatakan dalam laporan Kamis bahwa dari 20 Januari hingga 10 November, aktor di balik kampanye besar-besaran menargetkan organisasi pemerintah dan sistem kontrol industri (ICS) di berbagai industri, termasuk teknik, otomatisasi bangunan, energi, manufaktur, konstruksi, utilitas dan pengelolaan air.

Manuscrypt, alias NukeSped, adalah keluarga alat malware yang telah digunakan dalam kampanye spionase di masa lalu. Salah satunya adalah kampanye spear-phishing Februari yang terkait dengan Lazarus – APT Korea Utara yang produktif – yang menggunakan kluster alat ‘ThreatNeedle’ keluarga malware Manuscrypt untuk menyerang perusahaan pertahanan.

Tim ICS-CERT Kasperskiy pertama kali mendeteksi rangkaian serangan PseudoManuscrypt pada bulan Juni, ketika malware memicu deteksi antivirus yang dirancang untuk mendeteksi aktivitas Lazarus. Namun, gambaran lengkapnya tidak mengarah ke Lazarus, mengingat cipratan puluhan ribu serangan yang tidak biasa dan tidak bertarget.

Namun, Kaspersky kemudian menemukan kesamaan antara PseudoManuscrypt baru dan malware Manuscrypt Lazarus.

Malware PseudoManuscrypt memuat muatannya dari registri sistem dan mendekripsinya, para peneliti menjelaskan, dengan muatan menggunakan lokasi registri yang unik untuk setiap sistem yang terinfeksi.

“Kedua program jahat memuat muatan dari registri sistem dan mendekripsinya; dalam kedua kasus, nilai khusus dalam format CLSID digunakan untuk menentukan lokasi muatan di registri,” kata mereka. “File yang dapat dieksekusi dari kedua program jahat memiliki tabel ekspor yang hampir identik.”

Selengkapnya: Threat Post

Volvo terkena serangan siber; beberapa data R&D dicuri

by

Pencurian beberapa data R&D yang dapat berdampak pada operasi perusahaan.

“Penyelidikan sejauh ini mengkonfirmasi bahwa sejumlah kecil properti R&D perusahaan telah dicuri selama penyusupan itu,” kata pembuat mobil Swedia itu dalam sebuah pernyataan.

Ia menambahkan bahwa “mungkin ada dampak pada operasi perusahaan”, tetapi tidak merinci apa yang mungkin terjadi.

Volvo mengatakan tidak melihat dampak pada keamanan mobil pelanggan atau data pribadi mereka.

“Volvo Cars sedang melakukan penyelidikannya sendiri dan bekerja sama dengan spesialis pihak ketiga untuk menyelidiki pencurian properti tersebut,” kata perusahaan itu.

Pembuat mobil mengatakan telah menerapkan tindakan pengamanan untuk mencegah akses lebih lanjut ke propertinya, sambil memberi tahu pihak berwenang terkait.

Selengkapnya: Auto News

1,6 Juta Situs WordPress Di Bawah Serangan Cyber ​​Dari Lebih dari 16.000 Alamat IP

by

Sebanyak 1,6 juta situs WordPress telah menjadi sasaran kampanye serangan aktif berskala besar yang berasal dari 16.000 alamat IP dengan memanfaatkan kelemahan pada empat plugin dan 15 tema Epsilon Framework.

Perusahaan keamanan WordPress, “Wordfence”, yang mengungkapkan rincian serangan, mengatakan pada hari Kamis bahwa pihaknya telah mendeteksi dan memblokir lebih dari 13,7 juta serangan yang ditujukan pada plugin dan tema dalam periode 36 jam dengan tujuan mengambil alih situs web dan melakukan tindakan jahat.

Plugin yang dimaksud adalah Kiwi Social Share (<= 2.0.10), WordPress Automatic (<= 3.53.2), Pinterest Automatic (<= 4.14.3), dan PublishPress Capabilities (<= 2.3), beberapa di antaranya telah ditambal berkencan sepanjang perjalanan kembali ke November 2018. Sebagian besar serangan yang diamati oleh Wordfence melibatkan musuh yang memperbarui opsi "users_can_register" (yaitu, siapa pun dapat mendaftar) untuk diaktifkan dan mengatur pengaturan "default_role" (yaitu, peran default pengguna yang mendaftar di blog) menjadi administrator, dengan demikian memungkinkan musuh untuk mendaftar di situs yang rentan sebagai pengguna istimewa dan mengambil kendali. Terlebih lagi, intrusi dikatakan telah melonjak hanya setelah 8 Desember, menunjukkan bahwa "kerentanan yang baru-baru ini ditambal di PublishPress Capabilities mungkin telah memicu penyerang untuk menargetkan berbagai kerentanan Pembaruan Opsi Sewenang-wenang sebagai bagian dari kampanye besar-besaran," kata Chloe Chamberland dari Wordfence. Mengingat eksploitasi aktif, pemilik situs WordPress yang menjalankan salah satu plugin atau tema yang disebutkan di atas disarankan untuk menerapkan perbaikan terbaru untuk mengurangi ancaman. Selengkapnya: The Hacker News

Google Mengganggu Botnet Glupteba Besar-besaran, Menuntut Operator Rusia

by

Google mengumumkan hari ini bahwa mereka telah mengambil tindakan untuk mengganggu botnet Glupteba yang sekarang mengendalikan lebih dari 1 juta PC Windows di seluruh dunia, tumbuh oleh ribuan perangkat baru yang terinfeksi setiap hari.

Glupteba adalah malware yang mendukung blockchain dan modular yang telah menargetkan perangkat Windows di seluruh dunia setidaknya sejak 2011, termasuk AS, India, Brasil, dan negara-negara dari Asia Tenggara.

Aktor ancaman di balik strain malware ini terutama mendistribusikan muatan ke perangkat target melalui jaringan pay-per-install (PPI) dan lalu lintas yang dibeli dari sistem distribusi lalu lintas (TDS) yang disamarkan sebagai “perangkat lunak, video, atau film gratis yang dapat diunduh.”

Setelah menginfeksi host, ia dapat menambang cryptocurrency, mencuri kredensial dan cookie pengguna, dan menyebarkan proxy pada sistem Windows dan perangkat IoT, yang kemudian dijual sebagai ‘proxy perumahan’ ke penjahat dunia maya lainnya.

Sebagai bagian dari upaya bersama Google untuk mengganggu botnet, perusahaan mengambil alih infrastruktur perintah dan kontrol utama Glupteba (C2), yang menggunakan mekanisme cadangan blockchain Bitcoin untuk menambah ketahanan jika server C2 utama berhenti merespons.

“Kami percaya tindakan ini akan berdampak signifikan pada operasi Glupteba,” kata Shane Huntley dan Luca Nagy dari Google Threat Analysis Group.

“Namun, operator Glupteba kemungkinan akan mencoba untuk mendapatkan kembali kendali atas botnet menggunakan perintah cadangan dan mekanisme kontrol yang menggunakan data yang dikodekan pada blockchain Bitcoin.”

Tindakan hukum terhadap gangguan botnet

Google juga mengajukan perintah penahanan sementara dan pengaduan di Distrik Selatan New York terhadap dua terdakwa Rusia (Dmitry Starovikov dan Alexander Filippov) dan 15 orang tak dikenal lainnya.

Keluhan tersebut mengklaim bahwa 17 terdakwa adalah orang-orang yang mengoperasikan dan mengkoordinasikan serangan Glupteba dengan tujuan akhir mencuri akun pengguna dan info kartu kredit, menjual penempatan iklan dan akses proxy pada perangkat yang terinfeksi, dan menambang cryptocurrency dalam penipuan dan penyalahgunaan komputer, pelanggaran merek dagang, dan skema lainnya.

Di antara layanan online yang ditawarkan oleh operator botnet Glupteba, Google menyebutkan “menjual akses ke mesin virtual yang sarat dengan kredensial curian (jangan [.] farm), akses proxy (awmproxy), dan menjual nomor kartu kredit (extracard) untuk digunakan untuk kegiatan berbahaya lainnya seperti menayangkan iklan berbahaya dan penipuan pembayaran di Google Ads.

“Sifat blockchain yang terdesentralisasi memungkinkan botnet pulih lebih cepat dari gangguan, membuat mereka jauh lebih sulit untuk ditutup. “Kami bekerja sama dengan industri dan pemerintah saat kami memerangi perilaku semacam ini, sehingga bahkan jika Glupteba kembali, internet akan lebih terlindungi darinya.”

Pada hari Senin, Microsoft juga menyita puluhan situs berbahaya yang digunakan oleh kelompok peretasan yang berbasis di Nickel China (alias KE3CHANG, APT15, Vixen Panda, Royal APT, dan Playful Dragon) untuk menargetkan server milik organisasi pemerintah, entitas diplomatik, dan organisasi non-pemerintah (LSM) di AS dan 28 negara lain di seluruh dunia.

Sumber: Bleepingcomputer