Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cybersecurity / Cyber Crime

Cyber Crime

Evolusi Ancaman Teknologi Informasi Kuartal Pertama 2023

by

Targeted Attacks

BlueNoroff memperkenalkan metode baru untuk bypass MotW

Pada akhir tahun 2022, peneliti melaporkan aktivitas BlueNoroff, aktor ancaman yang bermotivasi finansial dan dikenal mencuri mata uang kripto. Pelaku ancaman biasanya mengeksploitasi dokumen Word, menggunakan file shortcut untuk intrusi awal. Namun, baru-baru ini grup tersebut telah mengadopsi metode baru untuk mengirimkan malware-nya.
Salah satunya, yang dirancang untuk menghindari bendera Mark-of-the-Web (MotW), adalah penggunaan format file .ISO (optical disk image) dan .VHD (virtual hard disk). MotW adalah ukuran keamanan Windows — sistem menampilkan pesan peringatan saat seseorang mencoba membuka file yang diunduh dari internet.

BlueNoroff
BlueNoroff

Roaming Mantis menerapkan DNS changer baru

Peneliti juga terus melacak aktivitas Roaming Mantis (alias Shaoye), aktor ancaman mapan yang menargetkan negara-negara di Asia. Dari 2019 hingga 2022, pelaku ancaman ini terutama menggunakan ‘smishing’ untuk mengirim tautan ke laman landasnya, dengan tujuan mengendalikan perangkat Android yang terinfeksi dan mencuri informasi perangkat, termasuk kredensial pengguna.

Namun, pada September 2022, peneliti menganalisis malware Android Wroba.o baru, yang digunakan oleh Roaming Mantis, dan menemukan fungsi pengubah DNS yang diterapkan untuk menargetkan router Wi-Fi tertentu yang digunakan terutama di Korea Selatan.

Roaming Mantis
Roaming Mantis

BadMagic: APT baru yang berhubungan dengan konflik Russia-Ukraina

Sejak awal konflik Rusia-Ukraina, peneliti telah mengidentifikasi sejumlah besar serangan dunia maya geo-politik, sebagaimana diuraikan dalam ikhtisar kami tentang serangan dunia maya yang terkait dengan konflik tersebut.

Oktober lalu, peneliti mengidentifikasi infeksi aktif organisasi pemerintah, pertanian, dan transportasi yang berlokasi di Donetsk, Lugansk, dan Krimea. Vektor awal kompromi tidak jelas, tetapi detail tahap selanjutnya menyiratkan penggunaan spear-phishing atau yang serupa. Target menavigasi ke URL yang mengarah ke arsip ZIP yang dihosting di server web berbahaya. Arsip ini berisi dua file: dokumen umpan (peneliti menemukan versi PDF, XLSX, dan DOCX) dan file LNK berbahaya dengan ekstensi ganda (mis. PDF.LNK) yang, ketika dibuka, menyebabkan infeksi.

BadMagic
BadMagic

Malware

Prilex menargetkan transaksi contactless pada credit card

Prilex telah berevolusi dari malware yang berfokus pada ATM menjadi ancaman PoS tercanggih yang pernah kami lihat sejauh ini. Pelaku ancaman melampaui pengikis memori lama yang terlihat dalam serangan PoS, hingga malware yang sangat canggih yang menyertakan skema kriptografi unik, penambalan perangkat lunak target secara real-time, memaksa penurunan versi protokol, memanipulasi kriptogram, melakukan apa yang disebut “transaksi GHOST” dan kredit penipuan kartu — bahkan pada kartu chip-dan-PIN.

Saat menyelidiki suatu insiden, kami menemukan sampel Prilex baru, dan salah satu fitur baru mencakup kemampuan untuk memblokir transaksi nirsentuh. Transaksi ini menghasilkan pengidentifikasi unik yang valid hanya untuk satu transaksi, menjadikannya tidak berharga bagi penjahat dunia maya. Dengan memblokir transaksi, Prilex mencoba memaksa pelanggan memasukkan kartu mereka untuk melakukan transaksi chip-dan-PIN, memungkinkan penjahat dunia maya untuk mengambil data dari kartu menggunakan teknik standar mereka.

Mencuri cryptocurrency menggunakan Tor browser palsu

Kami baru-baru ini menemukan kampanye pencurian mata uang kripto yang sedang berlangsung yang memengaruhi lebih dari 15.000 pengguna di 52 negara. Para penyerang menggunakan teknik yang telah ada selama lebih dari satu dekade dan awalnya digunakan oleh Trojan perbankan untuk mengganti nomor rekening bank. Namun, dalam kampanye baru-baru ini, penyerang menggunakan Tor Browser versi Trojan untuk mencuri mata uang kripto.

Target mengunduh Tor Browser versi Trojan dari sumber daya pihak ketiga yang berisi arsip RAR yang dilindungi kata sandi — kata sandi digunakan untuk mencegahnya terdeteksi oleh solusi keamanan. Setelah file dijatuhkan ke komputer target, ia mendaftarkan dirinya sendiri di mulai otomatis sistem dan menyamar sebagai ikon untuk aplikasi populer, seperti uTorrent.

Crypto Stealer
Crypto Stealer

Malvertising menggunakan search engine

Dalam beberapa bulan terakhir, kami mengamati peningkatan jumlah kampanye berbahaya yang menggunakan Iklan Google sebagai sarana untuk mendistribusikan dan mengirimkan malware. Setidaknya dua pencuri berbeda, Rhadamanthys dan RedLine, menyalahgunakan rencana promosi mesin pencari untuk mengirimkan muatan berbahaya ke komputer korban.

Mereka tampaknya menggunakan teknik yang sama untuk meniru situs web yang terkait dengan perangkat lunak terkenal, seperti Notepad ++ dan Blender 3D. Pelaku ancaman membuat salinan situs web perangkat lunak yang sah dan menggunakan “typosquatting” (menggunakan merek atau nama perusahaan yang dieja salah sebagai URL) atau “combosquatting” (seperti di atas, tetapi menambahkan kata acak sebagai URL) untuk membuat situs terlihat sah. Mereka kemudian membayar untuk mempromosikan situs di mesin pencari untuk mendorongnya ke bagian atas hasil pencarian — sebuah teknik yang dikenal sebagai “malvertising”.

Se

Malvertising
Malvertising

Selengkapnya: Secure List

Asylum Ambuscade: Grup Cybercrime dengan Ambisi Spionase

by

Kelompok ancaman yang dikenal dengan nama Asylum Ambuscade telah terlihat dalam operasi cybercrime dan cyber espionage sejak awal 2020.

“Mereka adalah kelompok crimeware yang menargetkan pelanggan bank dan pedagang cryptocurrency di berbagai wilayah, termasuk Amerika Utara dan Eropa,” kata ESET dalam analisis yang diterbitkan pada hari Kamis. “Asylum Ambuscade juga melakukan spionase terhadap entitas pemerintah di Eropa dan Asia Tengah.”

Asylum Ambuscade pertama kali didokumentasikan oleh Proofpoint pada Maret 2022 sebagai kampanye phishing yang disponsori oleh negara yang menargetkan entitas pemerintah Eropa dalam upaya untuk memperoleh intelijen tentang pergerakan pengungsi dan pasokan di wilayah tersebut.

Tujuan para penyerang, menurut perusahaan keamanan Siber Slovakia, adalah untuk mencuri informasi rahasia dan kredensial email web dari portal email resmi pemerintah.

Serangan ini dimulai dengan email spear-phishing yang membawa lampiran spreadsheet Excel berbahaya yang, ketika dibuka, akan mengeksploitasi kode VBA atau kerentanan Follina (CVE-2022-30190) untuk mengunduh paket MSI dari server jarak jauh.

Kemudian, installer menggunakan downloader yang ditulis dalam Lua yang disebut SunSeed (atau versi Visual Basic Script) untuk mengunduh malware berbasis AutoHotkey yang dikenal sebagai AHK Bot dari server jarak jauh.

Yang mencolok tentang Asylum Ambuscade adalah aksi kejahatan siber mereka yang telah menyerang lebih dari 4.500 korban di seluruh dunia sejak Januari 2022, dengan sebagian besar dari mereka berlokasi di Amerika Utara, Asia, Afrika, Eropa, dan Amerika Selatan.

Rantai kompromi ini mengikuti pola yang serupa kecuali vektor intrusi awalnya, yang melibatkan penggunaan iklan Google palsu atau sistem traffic direction system (TDS) untuk mengarahkan korban potensial ke situs web palsu yang mengirimkan file JavaScript berisi malware.

Serangan ini juga menggunakan versi Node.js dari AHK Bot yang diberi nama kode NODEBOT yang kemudian digunakan untuk mengunduh plugin yang bertanggung jawab atas pengambilan tangkapan layar, pencurian kata sandi, pengumpulan informasi sistem, dan instalasi trojan dan stealer tambahan.

Serangan ini menunjukkan bahwa para pelaku ancaman terus mengembangkan metode dan alat untuk mencapai tujuan jahat mereka. Penting bagi pengguna komputer dan internet untuk selalu waspada terhadap tautan yang mencurigakan, iklan palsu, dan situs web yang tidak dikenal.

Selain itu, penting juga untuk memperbarui perangkat lunak dan sistem keamanan secara teratur serta menggunakan solusi keamanan yang andal untuk melindungi diri dari serangan siber. Kesadaran akan teknik-teknik serangan dan kebijakan keamanan yang kuat adalah langkah-langkah yang krusial dalam menghadapi ancaman siber saat ini.

Selengkapnya: The Hacker News

Ransomware MalasLocker menargetkan server Zimbra, menuntut sumbangan amal

by

Catatan tebusan berisi alamat email untuk menghubungi pelaku ancaman atau URL TOR yang menyertakan alamat email terbaru untuk grup tersebut. Catatan itu juga memiliki bagian teks yang disandikan Base64 di bagian bawah yang diperlukan untuk menerima dekripsi, yang akan kita bahas lebih detail nanti di artikel.

Meskipun catatan tebusan tidak berisi tautan ke situs kebocoran data geng ransomware, analis ancaman Emsisoft Brett Callow menemukan tautan ke situs kebocoran data mereka, dengan judul, “Somos malas… podemos ser peores,” diterjemahkan menjadi, ” Kami buruk… kami bisa lebih buruk.”

Situs kebocoran data MalasLocker saat ini mendistribusikan data yang dicuri untuk tiga perusahaan dan konfigurasi Zimbra untuk 169 korban lainnya.

Halaman utama situs kebocoran data itu juga berisi pesan panjang berisi emoji yang menjelaskan apa yang mereka perjuangkan dan uang tebusan yang mereka butuhkan.

“Kami adalah grup ransomware baru yang telah mengenkripsi komputer perusahaan untuk meminta mereka menyumbangkan uang kepada siapa pun yang mereka inginkan,” demikian bunyi situs kebocoran data MalasLocker.

“Kami meminta mereka memberikan donasi ke organisasi nirlaba pilihan mereka, lalu menyimpan email yang mereka terima untuk mengonfirmasi donasi dan mengirimkannya kepada kami sehingga kami dapat memeriksa tanda tangan DKIM untuk memastikan email tersebut asli.”

Tuntutan tebusan ini sangat tidak biasa dan, jika jujur, menempatkan operasi lebih ke ranah hacktivisme.

Namun, BleepingComputer belum menentukan apakah pelaku ancaman menepati janjinya ketika korban menyumbangkan uang untuk amal bagi dekripsi.

selengkapnya : bleepingcomputer.com

PharMerica Mengungkap Pelanggaran Data yang Berdampak pada 5,8 Juta Individu

by

Dimiliki oleh BrightSpring Health, penyedia layanan kesehatan berbasis rumah dan komunitas, PharMerica mengoperasikan lebih dari 2.500 fasilitas di seluruh AS dan menawarkan lebih dari 3.100 program farmasi dan perawatan kesehatan.

Pada hari Jumat, PharMerica memberi tahu Kantor Kejaksaan Agung Maine bahwa informasi pribadi lebih dari 5,8 juta orang disusupi setelah pihak yang tidak berwenang mengakses sistem komputernya pada bulan Maret.

Pelanggaran data, kata perusahaan dalam surat pemberitahuan yang dikirim ke individu yang terkena dampak, terjadi antara 12 Maret dan 13 Maret.

Informasi pribadi yang dikompromikan selama insiden termasuk nama, alamat, tanggal lahir, nomor Jaminan Sosial, asuransi kesehatan, dan informasi pengobatan.

Dalam beberapa kasus, informasi yang dikompromikan adalah milik individu yang telah meninggal, dan PharMerica mendorong pelaksana atau pasangan yang masih hidup untuk menghubungi agen pelaporan kredit nasional untuk memberi tahu mereka tentang situasi tersebut.

Surat PharMerica tidak memberikan perincian tentang jenis serangan dunia maya yang dideritanya, tetapi tampaknya grup ransomware Money Message bertanggung jawab atas insiden tersebut.

selengkpanya : securityweek.com

Perselisihan mengungkapkan pelanggaran data setelah agen pendukung diretas

by

Perselisihan memberi tahu pengguna tentang pelanggaran data yang terjadi setelah akun agen dukungan pihak ketiga disusupi.

Pelanggaran keamanan mengungkap antrean tiket dukungan agen, yang berisi alamat email pengguna, pesan yang dipertukarkan dengan dukungan Discord, dan lampiran apa pun yang dikirim sebagai bagian dari tiket.

Discord mengatakan segera menangani akun dukungan yang dilanggar dengan menonaktifkannya setelah insiden itu ditemukan.

“Karena sifat insiden tersebut, alamat email Anda, konten pesan layanan pelanggan, dan lampiran apa pun yang dikirim antara Anda dan Discord mungkin telah diekspos ke pihak ketiga,” kata Discord dalam surat yang dikirim ke pengguna yang terpengaruh.

“Segera setelah Discord mengetahui masalah ini, kami menonaktifkan akun yang disusupi dan menyelesaikan pemeriksaan malware pada mesin yang terpengaruh.”

Mereka juga bekerja dengan mitra layanan pelanggan untuk menerapkan langkah-langkah efektif guna mencegah insiden serupa di masa mendatang.

Jika Anda terpengaruh oleh pelanggaran data di Discord, awasi aktivitas yang mencurigakan, seperti upaya penipuan atau serangan phishing. Meskipun Discord menganggap risikonya minimal, lebih baik tetap berhati-hati.

“Meskipun kami yakin risikonya terbatas, Anda disarankan untuk waspada terhadap pesan atau aktivitas yang mencurigakan, seperti upaya penipuan atau phishing,” kata perusahaan itu.

Juru bicara Discord tidak membalas permintaan komentar saat BleepingComputer menghubungi hari ini.

Discord adalah pesan instan dan platform media sosial yang banyak digunakan dengan 150 juta pengguna aktif bulanan.

Selain itu, perusahaan mengklaim di situs webnya bahwa platform tersebut memiliki 19 juta server aktif setiap minggu.

Selengkapnya: Bleeping Computer

Tersangka Peretas di Balik Pasar Gelap Suaka Spanyol Ditangkap

by

Polisi di Spanyol telah menangkap 69 orang yang dituduh menggunakan bot untuk menghindari sistem suaka di negara tersebut. Pihak berwenang Spanyol mengatakan pada hari Jumat sebuah geng telah menggunakan bot untuk mendapatkan slot waktu terbuka untuk sistem pemesanan online negara itu, yang gratis, dan menjual kembali janji temu kepada pencari suaka masing-masing seharga 200 euro ($ 217).

Situs suaka Spanyol mengambil langkah-langkah untuk mengidentifikasi bot, tetapi sistem perangkat lunak otomatis grup tersebut mampu menerobos dan mengambil “hampir semua” janji temu di seluruh negeri. Polisi mengatakan dalam sebuah pernyataan kepada Reuters bahwa perantara dan pengacara serta penasihat menyadari adanya peretasan “dan masalah terkait yang mereka timbulkan pada orang asing yang, dalam banyak kesempatan, berada dalam situasi yang sangat rentan dan putus asa.”

Proses aplikasi di Spanyol bisa memakan waktu lama, dan pencari suaka yang masuk harus melamar dalam 30 hari pertama setelah tiba di negara tersebut. Jika mereka tidak mendaftar dalam jangka waktu tersebut, mereka dapat ditolak secara otomatis kecuali ada alasan yang sah untuk penundaan tersebut. Setelah menerima tanda terima yang mengonfirmasi permohonan suaka telah diajukan, individu tersebut diberi janji temu untuk wawancara mereka dan untuk menyelesaikan permohonan mereka.

Tetapi tanpa slot terbuka, ribuan pencari suaka tidak dapat diberi janji, membuat proses yang panjang dan memakan waktu lebih lama lagi. Polisi melakukan penggerebekan dan menangkap empat orang yang diduga sebagai pemimpin geng yang bertanggung jawab di Barcelona dan Valencia. Selama penggerebekan, polisi menyita dokumen, meskipun isinya belum terungkap, dan menemukan uang tunai lebih dari 200.000 euro ($217.000).

Selengkapnya: GIZMODO

Cybersecurity menghadapi tantangan dari kebangkitan kecerdasan buatan

by

Awal tahun ini, seorang direktur penjualan di India untuk perusahaan keamanan teknologi Zscaler mendapat telepon yang tampaknya berasal dari kepala eksekutif perusahaan.

Saat ponselnya menampilkan gambar pendiri Jay Chaudhry, sebuah suara yang akrab berkata, “Hai, ini Jay. Saya ingin Anda melakukan sesuatu untuk saya, ”sebelum panggilan terputus. Teks tindak lanjut melalui WhatsApp menjelaskan alasannya. “Saya pikir saya memiliki jangkauan jaringan yang buruk karena saya bepergian saat ini. Apakah boleh mengirim pesan di sini sementara itu?”

Kemudian penelepon meminta bantuan memindahkan uang ke bank di Singapura. Mencoba untuk membantu, penjual pergi ke manajernya, yang mencium bau tikus dan menyerahkan masalah tersebut ke penyelidik internal. Mereka memutuskan bahwa scammers telah menyusun kembali suara Chaudhry dari klip pernyataan publiknya dalam upaya untuk mencuri dari perusahaan.

Chaudhry menceritakan kejadian bulan lalu di sela-sela konferensi keamanan siber RSA tahunan di San Francisco, di mana kekhawatiran tentang revolusi kecerdasan buatan mendominasi pembicaraan.

Penjahat adalah pengadopsi awal, dengan Zscaler mengutip AI sebagai faktor dalam lonjakan 47 persen serangan phishing yang dilihatnya tahun lalu. Penjahat mengotomatiskan lebih banyak teks yang dipersonalisasi dan rekaman suara yang ditulis sambil menghindari alarm dengan melalui saluran yang tidak dipantau seperti pesan WhatsApp terenkripsi di ponsel pribadi. Terjemahan ke bahasa target semakin baik, dan disinformasi semakin sulit dikenali, kata peneliti keamanan.

Selengkapnya: Archive.is

Perusahaan teknologi multinasional ABB terkena serangan ransomware Black Basta

by

Perusahaan multinasional Swiss ABB, penyedia teknologi elektrifikasi dan otomasi terkemuka, telah mengalami serangan ransomware Black Basta, yang dilaporkan berdampak pada operasi bisnis.

Berkantor pusat di Zurich, Swiss, ABB mempekerjakan sekitar 105.000 karyawan dan memiliki pendapatan $29,4 miliar untuk tahun 2022. Sebagai bagian dari layanannya, perusahaan mengembangkan sistem kontrol industri (ICS) dan sistem SCADA untuk manufaktur dan pemasok energi.

Perusahaan bekerja dengan berbagai pelanggan dan pemerintah daerah, termasuk Volvo, Hitachi, DS Smith, Kota Nashville, dan Kota Zaragoza.

“ABB mengoperasikan lebih dari 40 fasilitas teknik, manufaktur, penelitian, dan layanan yang berbasis di A.S. dengan rekam jejak yang terbukti melayani berbagai lembaga federal termasuk Departemen Pertahanan, seperti Korps Insinyur Angkatan Darat A.S., dan lembaga Sipil Federal seperti Departemen Interior, Transportasi, Energi, Penjaga Pantai Amerika Serikat, serta Layanan Pos AS,” bunyi situs web ABB.

Pada 7 Mei, perusahaan tersebut menjadi korban serangan ransomware yang dilakukan oleh Black Basta, sebuah grup kejahatan dunia maya yang muncul pada April 2022.

BleepingComputer telah belajar dari banyak karyawan bahwa serangan ransomware telah memengaruhi Direktori Aktif Windows perusahaan, memengaruhi ratusan perangkat.

Menanggapi serangan itu, ABB menghentikan koneksi VPN dengan pelanggannya untuk mencegah penyebaran ransomware ke jaringan lain.

BleepingComputer secara independen mengkonfirmasi serangan tersebut dari sumber yang mengetahui situasi tersebut dan meminta untuk tetap anonim.

Serangan itu dilaporkan mengganggu operasi perusahaan, menunda proyek dan berdampak pada pabrik.

BleepingComputer menghubungi ABB tentang serangan itu, tetapi mereka menolak berkomentar.

Selengkapnya: Bleeping Computer