Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cybersecurity / Cyber Crime

Cyber Crime

Perusahaan Antivirus Tiongkok Ternyata Bagian dari Serangan ‘Supply Chain’ APT41

by

Departemen Kehakiman AS telah mendakwa tujuh warga negara China sebagai peretasan yang menargetkan lebih dari 100 perusahaan game online dan teknologi tinggi. Pemerintah menuduh orang-orang tersebut menggunakan email phishing yang mengandung malware dan serangan “Supply Chain” untuk mencuri data dari perusahaan dan pelanggan mereka. Salah satu terduga peretas pertama kali diprofilkan pada tahun 2012 sebagai pemilik perusahaan antivirus China.

Kegiatan APT41 berlangsung dari pertengahan 2000 hingga saat ini. Awal tahun ini, grup tersebut terkait dengan kampanye malware yang sangat agresif yang mengeksploitasi kerentanan dalam produk jaringan yang banyak digunakan, termasuk Router Cisco dan D-Link, serta peralatan Citrix dan Pulse VPN. Firma keamanan FireEye menjuluki blitz peretasan itu sebagai “salah satu kampanye terluas yang dilakukan oleh aktor spionase dunia maya China yang kami amati dalam beberapa tahun terakhir”.

Pemerintah menuding kelompok itu memonetisasi akses terlarangnya dengan menyebarkan ransomware dan tools “cryptojacking” (menggunakan sistem yang terkompromi untuk menambang cryptocurrency seperti Bitcoin). Selain itu, geng tersebut menargetkan perusahaan video game dan pelanggan mereka dalam upaya untuk mencuri item digital berharga yang dapat dijual kembali, seperti poin, kekuatan, dan item lain yang dapat digunakan untuk meningkatkan pengalaman bermain game.

APT41 diketahui menyembunyikan malware-nya di dalam resume palsu yang dikirim ke target. Itu juga menyebarkan serangan rantai pasokan yang lebih kompleks, di mana mereka akan meretas perusahaan perangkat lunak dan memodifikasi kode dengan malware.

Anvisoft

Salah satu pria yang didakwa sebagai bagian dari APT41, Tan DaiLin berusia 35 tahun, adalah subjek dari cerita KrebsOnSecurity 2012 yang berusaha menjelaskan produk antivirus China yang dipasarkan sebagai Anvisoft. Pada saat itu, produk tersebut telah masuk dalam “whitelist” atau ditandai sebagai aman oleh vendor antivirus yang lebih mapan, meskipun perusahaan tersebut tampaknya tidak menanggapi keluhan pengguna dan pertanyaan tentang kepemimpinan dan asal-usulnya.

Anvisoft mengklaim berbasis di California dan Kanada, tetapi penelusuran pada nama merek perusahaan menemukan catatan pendaftaran merek dagang yang menempatkan Anvisoft di zona teknologi tinggi Chengdu di Provinsi Sichuan, China.

Tinjauan atas catatan pendaftaran situs web Anvisoft menunjukkan bahwa domain perusahaan awalnya dibuat oleh Tan DaiLin, seorang peretas China terkenal yang menggunakan alias “Wicked Rose” dan “Withered Rose”. Saat itu, DaiLin berusia 28 tahun.

Seperti dicatat oleh TechCrunch, setelah dakwaan diajukan, jaksa penuntut mengatakan bahwa mereka memperoleh surat perintah untuk menyita situs web, domain, dan server yang terkait dengan operasi grup, secara efektif menutupnya dan menghambat operasi mereka.

“Para peretas yang diduga masih diyakini berada di China, tetapi tuduhan tersebut berfungsi sebagai upaya hukuman sosial yang digunakan oleh Departemen Kehakiman dalam beberapa tahun terakhir terhadap penyerang dunia maya yang didukung negara,” tulis Zack Whittaker dari TechCrunch.

Source : KerbsOnSecurity

Kelompok Hacker Iran Mengembangkan Malware Android Untuk Mencuri Kode SMS 2FA

by

Perusahaan keamanan siber Check Point menemukan grup hacker Iran yang mengembangkan malware Android khusus, malware ini mampu mencuri kode otentikasi dua faktor (2FA) yang dikirim melalui SMS.
Malware itu adalah bagian dari alat peretasan yang dikembangkan oleh grup Rampant Kitten, sebuah julukan yang diberikan oleh perusahaan itu.

Kampanye ini melibatkan penggunaan spektrum luas keluarga malware, termasuk empat varian infostealer Windows dan pintu belakang Android yang disamarkan di dalam aplikasi berbahaya.
Strain malware Windows terutama digunakan untuk mencuri dokumen pribadi korban, tetapi juga file dari klien desktop Windows Telegram, yang memungkinkan peretas mengakses akun Telegram korban.

APLIKASI ANDROID DENGAN KEMAMPUAN MENCURI 2FA

Selain memakai trojan Windows, Rampant Kitten juga mengembangkan alat serupa untuk Android.

Dalam sebuah laporan yang diterbitkan hari ini, Check Point mengatakan mereka juga menemukan backdoor Android yang kuat yang dikembangkan oleh kelompok tersebut. Backdoor dapat mencuri daftar kontak korban, pesan SMS, merekam korban melalui mikrofon, dan menampilkan halaman phishing secara diam-diam.

Skenarionya adalah, operator Rampant Kitten akan menggunakan trojan Android untuk menampilkan halaman phishing Google, menangkap kredensial akun pengguna, dan kemudian mengakses akun korban.

Jika korban mengaktifkan 2FA, fungsi penyadapan SMS 2FA dari malware akan secara diam-diam mengirimkan salinan kode SMS 2FA ke penyerang, memungkinkan mereka untuk melewati keamanan 2FA.

Untuk saat ini, Check Point mengatakan hanya menemukan malware ini dalam aplikasi Android yang menyamar sebagai aplikasi penutur bahasa Persia di Swedia untuk mendapatkan SIM mereka. Namun, malware tersebut bisa saja bersembunyi di dalam aplikasi lain yang ditujukan untuk orang Iran yang menentang rezim Teheran, yang tinggal di dalam dan di luar Iran.

Source : ZDNet

Ransomware Ini Mempunyai Trik Licik Untuk Mengirimkan Malware

by

Salah satu penjahat ransomware yang paling berbahaya merapkan taktik baru untuk membuat serangan tidak terdeteksi hingga, trik ini kemungkinan besar dipinjam dari grup ransomware lain.
Yang membuat Maze sangat berbahaya adalah selain memeras bitcoin berjumlah 6 digit untuk sebuah kunci dekripsi, mereka mengancam akan menerbitkan data internal yang dicuri jika tuntutan pemerasan mereka tidak dipenuhi.

Taktik ini sebelumnya digunakan oleh grup ransomware Ragnar Locker dan tampaknya Maze telah mengambil inspirasi dari mereka sebagai sarana untuk mengirimkan ransomware.
Peneliti keamanan siber di Sophos menemukan kesamaan antara taktik baru Maze dan teknik yang dipelopori oleh Ragnar Locker saat menyelidiki serangan ransomware Maze pada bulan Juli.

Menggunakan akses ke server file, para peretas dapat mengirimkan komponen yang diperlukan untuk serangan di dalam mesin virtual.
Cara mesin virtual diprogram menunjukkan bahwa penyerang sudah memiliki kendali yang kuat pada jaringan korban saat, tetapi dengan menyebarkan ransomware melalui mesin virtual, itu membantu mereka terdeteksi sebagai serangan sampai serangan dimulai dan jaringan dapat ditahan untuk tebusan.

“Mesin virtual memberikan penyerang mesin yang tidak terlindungi untuk menjalankan ransomware secara bebas tanpa takut terdeteksi,” kata Peter McKenzie, manajer respons insiden di Sophos.

Organisasi dapat melindungi dari serangan yang disebarkan dengan cara memblokir penggunaan aplikasi yang tidak perlu pada mesin, sehingga penyerang tidak dapat mengeksploitasinya.

Langkah-langkah lain yang dapat diambil organisasi untuk menghindari menjadi korban serangan ransomware termasuk memastikan bahwa patch keamanan diterapkan sesegera mungkin untuk mencegah peretas mengeksploitasi kerentanan yang diketahui, sorganisasi juga harus menerapkan multi- otentikasi faktor atau MFA

“Perlindungan terhadap serangan ransomware tidak hanya membutuhkan perangkat lunak keamanan canggih, tetapi juga pemburu ancaman dan tim Incident Response yang dapat melihat tanda-tanda penyusup di jaringan mereka dan mengambil tindakan yang sesuai untuk menetralkan ancaman,” kata McKenzie

Source : ZDNet

China Memberi Izin kepada Peretas untuk Membobol Email Vatikan

by

Peretas yang diduga didukung oleh China telah memperbarui upaya untuk menembus server email Vatikan bahkan setelah serangan itu diketahui publik, dalam upaya untuk memata-matai negosiasi sensitif antara kedua negara, kata laporan keamanan siber baru.

Serangan oleh grup RedDelta, yang dimulai pada Mei, telah berhenti setelah terungkap dalam laporan 28 Juli oleh spesialis keamanan Recorded Future yang berbasis di AS.

Serangan itu sekarang telah dimulai kembali, menargetkan server Vatikan dan Keuskupan Katolik Hong Kong, kata kelompok pemantau dalam laporan baru.

Peretas RedDelta beroperasi sejalan dengan prioritas strategis China dan telah menggunakan dokumen umpan yang berfokus pada isu-isu seperti Katolik di China “dengan cara yang konsisten dengan operasi spionase dunia maya,” kata laporan baru itu.

Upaya RedDelta untuk kembali menyusup ke jaringan Vatikan, serta munculnya dokumen umpan, menyoroti fokus Partai Komunis China pada “meningkatkan pengawasan komunitas Katolik di China,” kata laporan baru itu.

Baca berita selengkapnya pada tautan di bawah ini;
Source: Bloomberg

Amerika menuntut 5 peretas China, 2 kaki tangannya dengan kampanye serangan siber yang luas

by

Jaksa federal pada hari Rabu mengumumkan dakwaan terhadap lima peretas China yang dituduh melanggar lebih dari 100 perusahaan, lembaga kebijakan, universitas, dan lembaga pemerintah di seluruh dunia.

Departemen Kehakiman menguraikan skema besar-besaran yang mencuri kode sumber dan data bisnis utama lainnya dari perusahaan telekomunikasi dan energi, penyedia medis, perusahaan pengembangan perangkat lunak, organisasi nirlaba, dan perusahaan video game.

Para peretas menggunakan email spearphishing, memalsukan sertifikat digital, dan mengeksploitasi kerentanan terkenal untuk menembus target mereka. Dalam beberapa kasus, mereka meretas perusahaan yang menyediakan layanan ke perusahaan lain dan menggunakan akses tersebut untuk masuk ke jaringan pelanggan korban mereka.

Dua terdakwa, Zhang Haoran dan Tan Dailin, diduga mulai meretas perusahaan video game pada November 2014 dan memodifikasi sistem game untuk mengisi akun mereka dengan barang digital.

Tiga peretas lainnya, Jiang Lizhi, Qian Chuan dan Fu Qiang, diduga melakukan kampanye penyusupan yang lebih luas ke dalam bisnis, universitas, dan kelompok hak asasi manusia melalui perusahaan mereka, Chengdu 404.

Jiang dan Qiang diduga berpartisipasi dalam aktivitas peretasan yang oleh para peneliti dikaitkan dengan grup bernama APT41 dan “Wicked Panda”.

Baca berita selengkapnya pada tautan di bawah ini;
Source: Politico

Peretas Mencuri $ 5,4 Juta Dari Bursa Cryptocurrency Eterbase

by

Penjahat dunia maya berhasil menjarah pertukaran cryptocurrency digital lainnya.

Pertukaran cryptocurrency Eropa Eterbase minggu ini mengungkapkan pelanggaran besar-besaran pada jaringannya oleh sekelompok peretas yang tidak dikenal yang mencuri cryptocurrency senilai 5,4 juta dolar.

Eterbase, yang kini memasuki mode pemeliharaan hingga masalah keamanan teratasi, menggambarkan dirinya sebagai Pertukaran Aset Digital Premier Eropa.

Berbasis di Bratislava, Slovakia, dan diluncurkan pada 2019, Eterbase adalah platform pertukaran mata uang kripto kecil yang berfokus pada integrasi kripto ke SEPA (melalui akun IBAN individu), dukungan multi-aset, dan kepatuhan terhadap peraturan.

Pada Senin malam, pelaku ancaman jahat berhasil menyerbu enam dompet panas Eterbase untuk Bitcoin, Ethereum, XRP, Tezos, Algorand, dan TRON dan mentransfer dana ke dompet mereka yang dikelola di enam bursa kripto saingan, Eterbase melaporkan di saluran Telegram pada hari Selasa.

Menurut tweet yang diposting oleh bursa yang terpengaruh, Eterbase melacak sebagian besar dana yang dicuri ke bursa terpusat, termasuk Binance, HitBTC, dan Huobi, dan menghubungi tim dukungan mereka untuk bantuan lebih lanjut.

Perusahaan telah memberi tahu otoritas penegak hukum setempat dan pelanggan yang terpengaruh, memastikan bahwa mereka memiliki cukup modal untuk memenuhi semua kewajiban dan mengambil semua langkah yang diperlukan untuk memastikan bahwa jumlah setoran klien mereka tidak mengalami kerusakan akibat peretasan.

Berita lebih lanjut dapat dibaca pada tautan di bawah ini;
Source: The Hacker News

Peretas Memanfaatkan Celah Autodesk untuk Serangan Cyberespionage

by

Aktor jahat mengeksploitasi kerentanan dalam perangkat lunak Autodesk, sebuah software grafis 3D populer, untuk meluncurkan serangan spionase terhadap sebuah perusahaan produksi arsitektur dan video internasional tersebut.

Para peneliti mengatakan bahwa analisis lebih lanjut dari serangan tersebut mengarah ke kelompok APT yang memiliki pengetahuan sebelumnya tentang sistem keamanan dan software perusahaan, mereka merencanakan serangan untuk menyusup ke perusahaan dan mengekstrak data tanpa terdeteksi. Mereka diketahui telah berkolaborasi dalam proyek real estat bernilai miliaran dolar di New York, London, Australia, dan Oman.

Ciri khas serangan mereka menggunakan plugin berbahaya untuk Autodesk 3ds Max, program grafis yang digunakan oleh organisasi teknik, arsitektur, ataupun modeling 3D game, yang dikembangkan oleh Autodesk Media and Entertainment.

File berbahaya menyamar sebagai plugin untuk Autodesk 3ds Max. Pada kenyataannya, plugin tersebut adalah varian dari eksploitasi MAXScript dari Autodesk 3ds Max, yang disebut “PhysXPluginMfx”.

Eksploitasi ini dapat merusak pengaturan perangkat lunak 3ds Max untuk menjalankan kode berbahaya, dan akhirnya menyebar ke file lain di sistem Windows.

Source : threatpost.com

Bursa Efek Selandia Baru Mengalami Gangguan Selama 4 Hari Akibat Serangan DDoS

by

Bursa Efek Selandia Baru (NZX) terkena serangan Distributed Denial of Service (DDoS) awal pekan ini.Pada Jumat pagi, NZX mengatakan akan buka seperti biasa, dengan menerapkan langkah-langkah tambahan untuk menjaga konektivitas sistem dan mengatasi serangan DDoS .Namun, dua jam kemudian, NZX mengalami masalah konektivitas serupa dengan serangan DDoS awal pekan ini.

Mereka berkata “Mengingat masalah saat ini, kami telah memperpanjang pra-pembukaan untuk dewan utama NZX dan pasar pemegang saham Fonterra. Pasar utang NZX dihentikan pada pukul 9:58 pagi [NZST],”Situs web pertukaran saat ini sedang offline. NZX pada hari Selasa dihantam serangan DDoS, mengakibatkan bursa menghentikan operasionalnya dari pukul 15.57 NZST.

Narasumber berkata Serangan DDoS datang dari lepas pantai, melalui jaringan Spark, untuk memengaruhi konektivitas sistem NZX. NZX mengatakan pihaknya terus bekerja dengan Spark, dan mitra keamanan siber nasional dan internasional, termasuk GCSB, untuk mengatasi serangan tersebut

Sumber : ZDnet