Cyber Crime

Waspadalah terhadap “ahli” teknis yang membombardir Anda dengan laporan bug

February 11, 2021 by Mally

Peneliti Sophos, Chester Wisniewski, telah menjuluki “beg bounty hunters” ini, karena itu adalah pesan yang tidak diminta yang meminta perhatian Anda,

Anda mungkin tahu bahwa banyak perusahaan saat ini memiliki cara untuk pemburu bug – beberapa di antaranya mencari nafkah dari mencari tahu lubang keamanan di situs web dan perangkat lunak perusahaan – untuk melaporkan masalah yang mereka temukan, dan berpotensi mendapatkan bayaran atas pekerjaan mereka.

Pada saat yang sama, program bug bounty biasanya memiliki batasan yang cukup jelas sehingga mereka tidak menawarkan alasan biasa “keluar dari penjara” yang dapat disalahgunakan oleh penjahat yang tujuannya bukan untuk membantu memperbaiki masalah tetapi untuk menemukan dan mengeksploitasi mereka.

Misalnya, jika Anda ingin berburu serangga atas nama Sophos, Anda harus setuju, antara lain:

Bahwa Anda tidak akan mengubah atau menghancurkan data yang bukan milik Anda, yang berarti bahwa Anda akan mencoba bertindak online seperti pejalan kaki yang ramah lingkungan yang mengikuti panduan semak informal untuk “hanya mengambil gambar dan meninggalkan hanya jejak kaki”.
Bahwa Anda akan melakukan upaya dengan niat baik untuk menghindari pelanggaran privasi serta perusakan, gangguan, atau pemisahan layanan kami, yang berarti Anda akan melakukan yang terbaik untuk membuktikan maksud Anda tanpa merugikan orang lain.
Bahwa Anda akan memberi [kami] kesempatan untuk memperbaiki kerentanan dalam jangka waktu yang wajar sebelum mengungkapkan masalah yang teridentifikasi kepada publik, yang menyiratkan bahwa motivasi Anda, selain mendapatkan hadiah, adalah untuk meningkatkan keamanan dan menutup lubang daripada mempelajari caranya melewati keamanan untuk mengeksploitasinya.

Yang disebut Chester “beg bounty hunters” tidak peduli tentang semua ini, karena modus operandi mereka berjalan seperti ini:

Mengontak teknis untuk perusahaan atau situs web.
Menghasilkan beberapa teks technobabble yang mengklaim telah menemukan kerentanan, mungkin didukung oleh deskripsi yang terdengar menakutkan yang disalin dan ditempelkan dari alat pemindaian keamanan (atau bahkan hanya dari Wikipedia atau situs komunitas serupa).
Kirimkan technobabble ke seluruh, bersama dengan semacam permintaan yang terselubung baik untuk kontrak pertunjukan untuk ‘memperbaiki’ ‘kerentanan’, atau untuk pembayaran untuk ‘menemukan’ ‘lubang’, atau keduanya.

Apa yang harus dilakukan?
Berikut saran Chester:

Jangan membalas tawaran yang tidak diminta untuk ‘memperbaiki’ jaringan Anda. Perlakukan para penipu ini seperti penipu dukungan teknis palsu yang kami sebutkan di atas, yang tiba-tiba memanggil dan menindas Anda agar menerima dan membayar ‘bantuan’ yang tidak dapat Anda percayai dan tidak butuhkan.
Hubungi perusahaan tepercaya setempat untuk menilai kelemahan keamanan Anda. Carilah tim yang akan bekerja dengan Anda untuk membantu Anda meningkatkan situasi keamanan Anda dari prinsip pertama.

selengkapnya : NakedSecurity

Transaksi blockchain mengonfirmasi pemandangan ransomware yang suram dan saling berhubungan

February 5, 2021 by Mally

Sebuah laporan yang diterbitkan oleh firma investigasi blockchain Chainalysis mengonfirmasi bahwa kelompok kejahatan siber yang terlibat dalam serangan ransomware tidak beroperasi dalam gelembung mereka sendiri tetapi sering mengganti pemasok ransomware (layanan RaaS) untuk mencari keuntungan yang lebih baik.

Laporan tersebut menganalisis bagaimana dana Bitcoin ditransfer dari korban ke kelompok kriminal, dan bagaimana uang itu dibagi di antara berbagai pihak yang terlibat dalam serangan ransomware, dan bagaimana uang itu akhirnya dicuci.

Lanskap ransomware telah berevolusi dari tahun-tahun sebelumnya dan sekarang menjadi kumpulan dari berbagai kelompok kriminal, masing-masing menyediakan layanannya sendiri yang sangat terspesialisasi satu sama lain, seringkali di berbagai penyedia RaaS (Ransomware-as-a-Service) yang berbeda.

Laporan Chainalysis mengkonfirmasi teori informal ini dengan bukti kriptografi yang tak terbantahkan yang ditinggalkan oleh transaksi Bitcoin yang telah terjadi di antara beberapa kelompok ini.

Misalnya, berdasarkan grafik di bawah ini, Chainalysis mengatakan menemukan bukti yang menunjukkan bahwa afiliasi untuk Maze RaaS yang sekarang sudah tidak berfungsi juga terlibat dengan SunCrypt RaaS.

Temuan serupa juga menunjukkan hubungan antara operasi Egregor dan DoppelPaymer.

Dan yang tak kalah pentingnya, peneliti Chainalysis juga menemukan bukti bahwa operator operasi Maze dan Egregor juga menggunakan layanan pencucian uang dan broker over-the-counter yang sama untuk mengubah dana curian menjadi mata uang fiat.

Sumber: ZDNet

Geng Ransomware Besar Pertama Tahun 2021 Meluncurkan Situs “Leak” yang fanatik.

February 3, 2021 by Mally

Kelompok di balik ransomware Babyk Locker, malware yang digembar-gemborkan sebagai “ransomware perusahaan” baru pertama tahun 2021, baru-baru ini meluncurkan situs kebocoran data pertamanya — sebuah forum tempat peretas memposting dan mempublikasikan data yang dicuri dari korbannya jika korbannya menolak untuk membayar mereka. Grup tersebut, yang muncul beberapa minggu lalu, telah dijuluki sebagai “Pemburu Game Besar” karena strateginya menargetkan institusi besar untuk pembayaran yang lebih besar. Ini telah menyerang sejumlah entitas besar — tampaknya mengorbankan produsen suku cadang mobil, perusahaan pemanas yang berbasis di AS, dan perusahaan elevator, antara lain.

Menariknya, kelompok tersebut menyatakan bahwa, selain penjahat, mereka juga homofobik dan rasis.

Peneliti Emsisoft Brett Callow membagikan situs baru Babyk kepada kami dan kami menemukan beberapa bahasa yang tidak biasa. Di situs tersebut, grup tersebut telah mencantumkan beberapa parameter untuk operasinya, menguraikan semacam “kode peretas” terkait entitas mana yang akan dan tidak akan mereka serang. Dalam daftar tersebut, kelompok tersebut mencatat bahwa mereka mendukung bisnis kecil (mereka berjanji untuk hanya menyerang perusahaan yang menghasilkan lebih dari $ 4 juta per tahun), mereka mendukung pendidikan (mereka tidak akan menyerang sekolah “kecuali universitas besar”), dan mereka mengatakan mereka akan berhenti menyerang rumah sakit (kecuali tampaknya “klinik bedah plastik swasta” dan beberapa kantor dokter gigi). Sejauh ini mereka terdengar seperti peretas sejati bagi masyarakat.

Hanya dalam beberapa minggu, Babyk telah berhasil membuat heboh. Sebelum peluncuran situs baru mereka, Babyk memposting dump data besar di Raid Forums situs web gelap populer. Callow mengatakan kepada Gizmodo bahwa kelompok itu juga bertanggung jawab atas serangan dunia maya baru-baru ini di Serco, sebuah perusahaan outsourcing multinasional yang telah terlibat dalam upaya pelacakan dan penelusuran Covid-19. Operasi pelacakan dan pelacakan perusahaan dikatakan tidak terpengaruh oleh serangan itu.

Source : Gizmodo

Mengapa Rusia Mungkin Meningkatkan Permainan Peretasannya

January 30, 2021 by Mally

Di bulan November lalu, Kevin Mandia, CEO firma keamanan siber FireEye, membuka kotak suratnya untuk menemukan kartu pos anonim. Di depannya ada kartun sederhana. “Hei, lihat, Rusia,” bacanya. “Putin melakukannya.”

Dia mungkin tidak akan berpikir dua kali jika bukan karena satu hal: Perusahaannya baru-baru ini meluncurkan penyelidikan keamanan internal setelah pejabat menemukan seseorang mencoba mendaftarkan perangkat yang tidak sah ke dalam jaringannya. Penyelidikan itu akhirnya mengarah pada penemuan sesuatu yang bahkan lebih mengkhawatirkan: pelanggaran perusahaan pemantau jaringan yang berbasis di Texas bernama SolarWinds.

Para pejabat AS sekarang percaya bahwa peretas dengan dinas intelijen Rusia, SVR, menemukan cara untuk mendukung salah satu pembaruan perangkat lunak reguler SolarWinds dan menyelinap tanpa terdeteksi ke jaringan kliennya. Artinya, ada kemungkinan ribuan perusahaan dan puluhan departemen dan lembaga pemerintah mungkin telah disusupi.

Presiden Biden cukup prihatin tentang serangan itu sehingga ia mengemukakannya dalam panggilan resmi pertamanya sebagai presiden pada hari Selasa dengan mitranya dari Rusia, Vladimir Putin. Tidak jelas bagaimana Putin menanggapi, tetapi Rusia telah membantah terlibat di masa lalu.

selengkapnya : NPR

Otoritas AS dan Bulgaria mengganggu operasi ransomware NetWalker

January 28, 2021 by Mally

Badan penegak hukum dari Bulgaria dan AS telah mengganggu infrastruktur NetWalker minggu ini, salah satu geng ransomware paling aktif tahun 2020.

Pejabat Bulgaria menyita server yang digunakan untuk menghosting portal web gelap untuk geng NetWalker, sementara pejabat di AS menuntut seorang warga negara Kanada yang diduga menghasilkan setidaknya $ 27,6 juta dari perusahaan yang menginfeksi dengan ransomware NetWalker.

Server yang disita digunakan untuk menghosting halaman tempat korban serangan NetWalker diarahkan untuk berkomunikasi dengan penyerang dan menegosiasikan tuntutan tebusan.

Server yang sama juga menjadi tuan rumah bagian blog tempat geng NetWalker membocorkan data yang mereka curi dari perusahaan yang diretas, dan yang menolak untuk membayar permintaan tebusan – sebagai bentuk balas dendam dan mempermalukan publik.

Rincian tentang warga negara Kanada yang didakwa hari ini belum tersedia selain nama dan tempat tinggalnya – Sebastien Vachon-Desjardins, dari Gatineau.

Vachon-Desjardins saat ini diyakini sebagai “afiliasi”, seseorang yang menyewa kode ransomware dari pencipta NetWalker.

Jenis bisnis ini disebut Ransomware-as-a-Service, atau RaaS, dan merupakan pengaturan umum yang digunakan oleh banyak geng ransomware saat ini.

Sebelum penghapusan hari ini, NetWalker beroperasi melalui topik yang diposting di beberapa forum bawah tanah oleh pengguna bernama Bugatti. Pengguna ini mengiklankan fitur ransomware dan mencari “mitra” (alias afiliasi) yang akan melanggar jaringan perusahaan, mencuri data untuk digunakan sebagai pengungkit selama negosiasi, dan menginstal ransomware untuk mengenkripsi file.

Jika korban membayar, Bugatti dan afiliasinya akan membagi pembayaran tebusan sesuai dengan perjanjian yang telah dinegosiasikan sebelumnya.

Menurut otoritas AS, NetWalker telah memengaruhi setidaknya 305 korban dari 27 negara berbeda, termasuk 203 di AS.

selengkapnya : ZDNET

Forum IObit Diretas Untuk Mendistribusikan DeroHE Ransomware

January 19, 2021 by Mally

IObit, pembuat perangkat lunak seperti pengoptimal sistem dan anti-malware untuk OS Windows, forumnya telah dilanggar. Ini diketahui setelah anggota forum terinfeksi kampanye jahat bundel IObit gratis, karena menjadi anggota.

Mereka melaporkan menerima email dari IObit tentang paket satu tahun gratis dari bundel mereka, yang memiliki tautan ke situs hxxps: //forums.iobit.com/promo.html dan akhirnya dibawa ke hxxps: //forums.iobit. situs com / free-iobit-license-promo.zip unduh file zip.

Meskipun file zip ini ditandatangani secara digital oleh program IObit License Manager yang sah, file IObitUnlocker.dll diganti oleh file berbahaya yang akan menginstal ransomware DeroHE ke dalam C: \ Program Files (x86) \ IObit \ iobit.dll dan menjalankannya.

Ini terjadi karena pengguna percaya perangkat lunak itu sah, karena memiliki tanda tangan digital dari IObit dan dihosting di situs resmi mereka. Saat membukanya, mereka akan melihat kotak dialog untuk tidak mengunci layar atau sistem saat sedang memproses. Namun di latar belakang, ransomware sedang mengenkripsi file host.

Setelah melakukannya, grup ransomware membuat dua folder di layar desktop, satu untuk memberi tahu korban tentang semua file yang dienkripsi dan yang lainnya adalah catatan tebusan. Anehnya, para peretas meminta pembayaran dalam bentuk koin DeroHE, yang merupakan cryptocurrency seperti Bitcoin.

Ini memberi korban tautan darknet ke halaman pembayaran, di mana ia meminta 200 koin DeroHE, yang diterjemahkan menjadi sekitar $ 100. Selain itu, ia menyalahkan IObit atas peretasannya dan membujuk para korban untuk membuat IObit membayar 100.000 dalam bentuk koin Dero untuk mendekripsi sistem semua orang.

Source : Techdator

Gambaran Umum tentang DoppelPaymer Ransomware

January 18, 2021 by Mally

Pada awal Desember 2020, FBI mengeluarkan peringatan terkait DoppelPaymer, keluarga ransomware yang pertama kali muncul pada 2019 ketika meluncurkan serangan terhadap organisasi di industri kritis. Aktivitasnya terus berlanjut sepanjang tahun 2020, termasuk serangkaian insiden di paruh kedua tahun ini yang membuat para korbannya kesulitan untuk menjalankan operasi mereka dengan baik.

DoppelPaymer diyakini didasarkan pada ransomware BitPaymer (yang pertama kali muncul pada tahun 2017) karena kesamaan dalam kode, catatan tebusan, dan portal pembayaran mereka. Namun, penting untuk diperhatikan bahwa ada beberapa perbedaan antara DoppelPaymer dan BitPaymer. DoppelPaymer menggunakan 2048-bit RSA + 256-bit AES untuk enkripsi, sedangkan BitPaymer menggunakan 4096-bit RSA + 256-bit AES, Perbedaan lain antara keduanya adalah bahwa sebelum DoppelPaymer mengeksekusi rutinitas jahatnya, ia harus memiliki parameter baris perintah yang benar, teknik ini digunakan untuk menghindari analisis sandbox.

Seperti banyak keluarga ransomware modern, permintaan tebusan DoppelPaymer untuk dekripsi file sangat besar, berkisar antara US $ 25.000 hingga US $ 1,2 juta.

https://www.trendmicro.com/content/dam/trendmicro/global/en/research/21/a/an-overview-of-the-doppelpaymer-ransomware/DoppelPaymer-1.jpg

DoppelPaymer menggunakan rutinitas yang cukup canggih, dimulai dengan infiltrasi jaringan melalui email spam berbahaya yang berisi tautan spear-phishing atau lampiran yang dirancang untuk memikat pengguna yang tidak menaruh curiga agar menjalankan kode berbahaya yang biasanya disamarkan sebagai dokumen asli. Kode ini bertanggung jawab untuk mengunduh malware lain dengan kemampuan yang lebih canggih (seperti Emotet) ke dalam sistem korban.

Setelah Emotet diunduh, Emotet akan berkomunikasi dengan server command-and-control (C&C) untuk menginstal berbagai modul serta mengunduh dan menjalankan malware lainnya. server C&C digunakan untuk mengunduh dan menjalankan keluarga malware Dridex, yang kemudian digunakan untuk mengunduh DoppelPaymer secara langsung atau alat seperti PowerShell Empire, Cobalt Strike, PsExec, dan Mimikatz. Masing-masing alat ini digunakan untuk berbagai aktivitas, seperti mencuri kredensial, bergerak secara lateral di dalam jaringan, dan menjalankan perintah yang berbeda, seperti menonaktifkan perangkat lunak keamanan.

Setelah Dridex memasuki sistem, pelaku jahat tidak segera menyebarkan ransomware. Sebaliknya, ia mencoba untuk berpindah secara lateral dalam jaringan sistem yang terpengaruh untuk menemukan target bernilai tinggi untuk mencuri informasi penting. Setelah target ini ditemukan, Dridex akan melanjutkan menjalankan muatan terakhirnya, DoppelPaymer. DoppelPaymer mengenkripsi file yang ditemukan di jaringan serta drive tetap dan yang dapat dilepas di sistem yang terpengaruh. Terakhir, DoppelPaymer akan mengubah sandi pengguna sebelum memaksa sistem memulai ulang ke mode aman untuk mencegah masuknya pengguna dari sistem. Itu kemudian mengubah teks pemberitahuan yang muncul sebelum Windows melanjutkan ke layar login.

Teks pemberitahuan baru sekarang menjadi catatan tebusan DoppelPaymer, yang memperingatkan pengguna untuk tidak menyetel ulang atau mematikan sistem, serta tidak menghapus, mengganti nama, atau memindahkan file yang dienkripsi. Catatan itu juga berisi ancaman bahwa data sensitif mereka akan dibagikan kepada publik jika mereka tidak membayar tebusan yang diminta dari mereka.

Menurut pemberitahuan FBI, target utama DoppelPaymer adalah organisasi dalam perawatan kesehatan, layanan darurat, dan pendidikan. Ransomware telah terlibat dalam sejumlah serangan pada tahun 2020, termasuk gangguan pada community college serta polisi dan layanan darurat di sebuah kota di AS selama pertengahan tahun.

Agar terhindar dari malware ini, anda dapat melakukan beberapa upaya berikut :
Menahan diri dari membuka email yang tidak diverifikasi dan mengklik link atau lampiran yang disematkan di pesan ini.
Mencadangkan file penting secara teratur menggunakan aturan 3-2-1: Buat tiga salinan cadangan dalam dua format file berbeda, dengan salah satu cadangan di lokasi fisik terpisah.
Memperbarui perangkat lunak dan aplikasi dengan tambalan terbaru sesegera mungkin untuk melindunginya dari kerentanan.
Memastikan bahwa cadangan aman dan terputus dari jaringan pada akhir setiap sesi pencadangan.
Mengaudit akun pengguna secara berkala – khususnya akun yang dapat diakses publik, seperti akun Pemantauan dan Manajemen Jarak Jauh.
Memantau lalu lintas jaringan masuk dan keluar, dengan peringatan untuk eksfiltrasi data.
Menerapkan otentikasi dua faktor (2FA) untuk kredensial login pengguna, karena ini dapat membantu memperkuat keamanan untuk akun pengguna
Menerapkan prinsip hak istimewa paling rendah untuk izin file, direktori, dan jaringan berbagi.

Source : trendmicro

Cookie	Duration	Description
_ga	2 years	The _ga cookie, installed by Google Analytics, calculates visitor, session and campaign data and also keeps track of site usage for the site's analytics report. The cookie stores information anonymously and assigns a randomly generated number to recognize unique visitors.
_gat_gtag_UA_172707709_1	1 minute	Set by Google to distinguish users.
_gid	1 day	Installed by Google Analytics, _gid cookie stores information on how visitors use a website, while also creating an analytics report of the website's performance. Some of the data that are collected include the number of visitors, their source, and the pages they visit anonymously.

Cyber Crime

Cookies Settings