Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cybersecurity

Cybersecurity

FBI menyita $2,2 juta dari afiliasi REvil, geng ransomware Gandcrab

by

FBI menyita $2,2 juta pada bulan Agustus dari afiliasi ransomware REvil dan GandCrab. Dalam pengaduan yang dibuka hari ini, FBI menyita 39.89138522 bitcoin senilai sekitar $2,2 juta dari dompet Exodus pada 3 Agustus 2021.

Exodus adalah dompet desktop atau seluler yang dapat digunakan pemiliknya untuk menyimpan cryptocurrency, termasuk Bitcoin, Ethereum, Solana, dan banyak lainnya.

“Amerika Serikat mengajukan keluhan terverifikasi ini dalam rem terhadap 39.89138522 Bitcoin yang Disita Dari Dompet Keluaran (“Properti Tergugat”) yang sekarang berada dan dalam pengawasan dan pengelolaan Biro Investigasi Federal (“FBI”) Divisi Dallas, One Justice Way, Dallas Texas,” demikian bunyi Complaint for Forfeiture Amerika Serikat.

Keluhan selanjutnya mengatakan bahwa dompet berisi pembayaran tebusan REvil milik afiliasi yang diidentifikasi sebagai “Aleksandr Sikerin, a/k/a Alexander Sikerin, a/k/a Oleksandr Sikerin” dengan alamat email ‘engfog1337@gmail.com .’

Sementara FBI tidak menunjukkan alias online dari pelaku ancaman, nama ‘engfog’ di alamat email terkait dengan afiliasi GandCrab dan REvil/Sodinokibi yang terkenal yang dikenal sebagai ‘Lalartu.’

Organisasi GandCrab dan REvil beroperasi sebagai Ransomware-as-a-Service (RaaS), di mana operator inti bermitra dengan peretas pihak ketiga, yang dikenal sebagai afiliasi.

Operator inti akan mengembangkan dan mengelola perangkat lunak enkripsi/dekripsi, portal pembayaran, dan situs kebocoran data. Afiliasinya ditugaskan untuk meretas jaringan perusahaan, mencuri data, dan menyebarkan ransomware untuk mengenkripsi perangkat.

Setiap pembayaran tebusan kemudian akan dibagi antara afiliasi dan operator inti, dengan operator umumnya mendapatkan 20-30% dari tebusan dan afiliasi membuat sisanya.

Dalam laporan REvil oleh McAfee, para peneliti mengikuti jejak uang untuk aktor ancaman terkenal yang dikenal sebagai ‘Lalartu,’ afiliasi untuk operasi ransomware GandCrab dan REvil.

Pada tahun 2019, aktor ancaman memposting ke forum peretasan berbahasa Rusia yang mengakui bahwa mereka bekerja dengan GandCrab dan beralih ke REvil setelah operasi sebelumnya ditutup.

Posting oleh Lalartu di forum peretasan berbahasa Rusia
Sumber: McAfee

Gal melacak Lalartu ke alias ‘Engfog’ atau ‘Eng_Fog’, yang cocok dengan alamat email ‘engfog1337@gmail.com’ yang tercantum dalam pengaduan FBI.

Pada bulan November, Departemen Kehakiman mengumumkan bahwa FBI menyita $6 juta uang tebusan yang dibayarkan kepada geng ransomware REvil. Strategi lanjutan penegakan hukum untuk mengganggu ekonomi dan sistem afiliasi operasi ransomware membuahkan hasil.

Kegiatan ini telah menyebabkan banyak penangkapan dan pencopotan infrastruktur, termasuk:

  • Gangguan operasi ransomware Netwalker dan penangkapan afiliasi di Kanada.
  • Penangkapan dua anggota operasi Egregor menyebabkan penutupan organisasi.
  • Penangkapan 12 orang yang diyakini terkait dengan serangan ransomware terhadap 1.800 korban di 71 negara.
  • Penangkapan seorang warga negara Ukraina yang diyakini berada di balik serangan ransomware Kaseya.

Penangkapan dan penyitaan infrastruktur juga menakut-nakuti geng ransomware untuk menutup operasi mereka, termasuk REvil pada bulan Oktober dan BlackMatter pada bulan Juli.

Kerentanan Printer HP Berusia 8 Tahun Memengaruhi 150 Model Printer

by

Para peneliti telah menemukan beberapa kerentanan yang mempengaruhi setidaknya 150 printer multi-fungsi (cetak, scan, faks) yang dibuat oleh Hewlett-Packard.

Kekurangan yang ditemukan sejak 2013 oleh peneliti keamanan F-Secure, Alexander Bolshev dan Timo Hirvonen, berupa kemungkinan telah tereksposnya sejumlah besar pengguna ke serangan cyber sejak lama.

HP telah merilis perbaikan untuk kerentanan dalam bentuk pembaruan firmware untuk dua kelemahan paling penting pada 1 November 2021.

Di antaranya adalah kerentanan CVE-2021-39237 dan CVE-2021-39238.

Yang pertama menyangkut dua port fisik terbuka yang memberikan akses penuh ke perangkat. Memanfaatkannya membutuhkan akses fisik dan dapat menyebabkan pengungkapan informasi potensial.

Yang kedua adalah kerentanan buffer overflow pada parser font, yang jauh lebih parah, memiliki skor CVSS 9,3. Mengeksploitasinya memberi aktor ancaman cara untuk eksekusi kode jarak jauh.

CVE-2021-39238 juga “wormable,” yang berarti aktor ancaman dapat dengan cepat menyebar dari satu printer ke seluruh jaringan.

Alur serangan CVE-2021-38238

Dengan demikian, perusahaan-perusahaan harus meng-upgrade firmware printer mereka sesegera mungkin untuk menghindari infeksi skala besar yang dimulai dari titik masuk yang sering diabaikan ini.

Selengkapnya: Bleepingcomputer

Perusahaan Pengujian DNA Mengungkap Pelanggaran Data yang Mempengaruhi 2,1 Juta Orang

by

DNA Diagnostics Center (DDC), sebuah perusahaan pengujian DNA yang berbasis di Ohio, telah mengungkapkan insiden peretasan yang mempengaruhi 2.102.436 orang.

Insiden itu mengakibatkan pelanggaran data yang dikonfirmasi yang terjadi antara 24 Mei 2021 dan 28 Juli 2021, dan perusahaan menyelesaikan penyelidikan internalnya pada 29 Oktober 2021.

Informasi yang diakses peretas mencakup hal-hal berikut:

  • Nama lengkap
  • Nomor kartu kredit + CVV
  • Nomor kartu debit + CVV
  • Nomor rekening keuangan
  • Kata sandi akun platform

Database yang bocor berisi cadangan data terdahulu yang berasal dari tahun 2004 dan 2012, dan itu tidak terkait dengan sistem aktif dan database yang digunakan oleh DDC saat ini.

“Basis data yang terkena dampak dikaitkan dengan organisasi pengujian genetik nasional yang tidak pernah digunakan DDC dalam operasinya dan belum aktif sejak 2012.”

“DDC memperoleh aset tertentu dari organisasi pengujian genetik nasional ini pada tahun 2012 yang mencakup informasi pribadi tertentu, dan oleh karena itu, dampak dari insiden ini tidak terkait dengan DDC.”

DDC bekerja sama dengan pakar keamanan cyber eksternal untuk mendapatkan kembali kepemilikan file yang dicuri dan memastikan bahwa aktor ancaman tidak akan menyebarkannya lebih lanjut. Sejauh ini, belum ada laporan penipuan atau penggunaan yang tidak benar dari rincian yang dicuri.

Selengkapnya: Bleepingcomputer

Finlandia memperingatkan malware Flubot yang menargetkan pengguna Android

by

Pusat Keamanan Siber Nasional Finlandia (NCSC-FI) telah mengeluarkan “peringatan parah” kampanye besar-besaran yang menargetkan pengguna Android negara itu dengan malware perbankan Flubot yang didorong melalui pesan teks yang dikirim dari perangkat yang disusupi.

Kampanye spam tersebut menggunakan tema pesan suara, meminta target untuk membuka tautan yang memungkinkan mereka mengakses pesan pesan suara atau pesan dari operator seluler.

Namun, penerima SMS dialihkan ke situs berbahaya yang mendorong penginstal APK untuk menyebarkan malware perbankan Flubot di perangkat Android mereka alih-alih membuka pesan suara.

Target yang menggunakan iPhone atau perangkat lain hanya akan dialihkan ke halaman penipuan dan kemungkinan juga berbahaya lainnya seperti halaman arahan phishing yang mencoba mengelabui detail kartu kredit mereka.

“Kami berhasil menghilangkan FluBot hampir sepenuhnya dari Finlandia pada akhir musim panas berkat kerja sama antara pihak berwenang dan operator telekomunikasi. Kampanye malware yang aktif saat ini adalah yang baru, karena tindakan pengendalian yang diterapkan sebelumnya tidak efektif,” kata NCSC-FI penasihat keamanan informasi Aino-Maria Väyrynen.

Malware perbankan ini (juga dikenal sebagai Fedex Banker dan Cabassous) telah aktif sejak akhir 2020 dan digunakan untuk mencuri kredensial perbankan, informasi pembayaran, pesan teks, dan kontak dari perangkat yang terinfeksi.

Awalnya, botnet terutama menargetkan pengguna Android dari Spanyol. Namun, sekarang telah diperluas untuk menargetkan negara-negara Eropa tambahan (Jerman, Polandia, Hongaria, Inggris, Swiss) dan Australia dan Jepang dalam beberapa bulan terakhir.

Setelah menginfeksi perangkat Android, Flubot menyebar ke orang lain dengan mengirim spam pesan teks ke kontak yang dicuri dan menginstruksikan target untuk menginstal aplikasi yang mengandung malware dalam bentuk APK. Bulan lalu, Flubot juga mulai menipu korbannya agar menginfeksi diri mereka sendiri menggunakan pembaruan keamanan palsu yang memperingatkan infeksi Flubot.

Setelah digunakan pada perangkat baru, ia akan mencoba mengelabui korban agar memberikan izin tambahan dan memberikan akses ke layanan Aksesibilitas Android, yang memungkinkannya menyembunyikan dan menjalankan tugas berbahaya di latar belakang.

Kemudian mengambil alih perangkat yang terinfeksi, mendapatkan akses ke pembayaran korban dan info perbankan melalui halaman webview phishing yang dihamparkan di atas antarmuka aplikasi mobile banking dan cryptocurrency yang sah.

Flubot juga mengekstrak buku alamat ke server perintah-dan-kontrol (dengan kontak kemudian dikirim ke bot Flubot lain untuk mendorong spam), membaca pesan SMS, membuat panggilan telepon, dan memantau pemberitahuan sistem untuk aktivitas aplikasi.

Mereka yang telah menginfeksi perangkat mereka dengan malware Flubot disarankan untuk mengambil langkah-langkah berikut:

  • Lakukan reset pabrik pada perangkat. Jika Anda memulihkan pengaturan dari cadangan, pastikan Anda memulihkan dari cadangan yang dibuat sebelum malware diinstal.
  • Jika Anda menggunakan aplikasi perbankan atau menangani informasi kartu kredit pada perangkat yang terinfeksi, hubungi bank Anda.
  • Laporkan kerugian finansial apa pun kepada polisi.
  • Atur ulang kata sandi Anda pada layanan apa pun yang telah Anda gunakan dengan perangkat. Malware mungkin telah mencuri kata sandi Anda jika Anda masuk setelah menginstal malware.
  • Hubungi operator Anda, karena langganan Anda mungkin telah digunakan untuk mengirim pesan teks dengan dikenakan biaya. Malware yang saat ini aktif untuk perangkat Android menyebar dengan mengirim pesan teks dari perangkat yang terinfeksi.

Sumber : Bleeping Computer

Botnet EwDoor menargetkan perangkat tepi jaringan AT&T di perusahaan AS

by

Botnet yang baru-baru ini ditemukan menyerang perangkat tepi jaringan perusahaan AT&T yang belum ditambal menggunakan eksploitasi untuk kelemahan keamanan Blind Command Injection.

Botnet yang dijuluki EwDoor oleh peneliti di Lab Penelitian Keamanan Jaringan Qihoo 360 (360 Netlab), menargetkan pelanggan AT&T yang menggunakan perangkat edge EdgeMarc Enterprise Session Border Controller (ESBC).

Peralatan EdgeMarc mendukung VoIP dan lingkungan data berkapasitas tinggi, menjembatani kesenjangan antara jaringan perusahaan dan penyedia layanan mereka, dalam hal ini, operator AT&T.

Namun, ini juga mengharuskan perangkat untuk terbuka secara publik ke Internet, meningkatkan keterpaparan mereka terhadap serangan jarak jauh.

360 Netlab melihat botnet pada 27 Oktober ketika serangan pertama yang menargetkan perangkat Edgewater Networks yang terpapar Internet yang belum ditambal terhadap kerentanan kritis CVE-2017-6079 dimulai.

Para peneliti dapat melihat sekilas ukuran botnet dengan mendaftarkan salah satu domain command-and-control (C2) cadangannya dan memantau permintaan yang dibuat dari perangkat yang terinfeksi.

Selama tiga jam sebelum operator botnet beralih ke model komunikasi jaringan C2 yang berbeda, 360 Netlab dapat melihat sekitar 5.700 perangkat yang terinfeksi.

“Dengan memeriksa kembali sertifikat SSL yang digunakan oleh perangkat ini, kami menemukan bahwa ada sekitar 100 ribu IP yang menggunakan sertifikat SSL yang sama. Kami tidak yakin berapa banyak perangkat yang sesuai dengan IP ini yang dapat terinfeksi, tetapi kami dapat berspekulasi bahwa itu milik mereka. untuk kelas perangkat yang sama, kemungkinan dampaknya adalah nyata.”

360 Netlab mengatakan botnet kemungkinan digunakan untuk meluncurkan serangan penolakan layanan (DDoS) terdistribusi dan sebagai pintu belakang untuk mendapatkan akses ke jaringan target.

Saat ini botnet memiliki enam fitur utama: pembaruan sendiri, pemindaian port, manajemen file, serangan DDoS, shell terbalik, dan eksekusi perintah sewenang-wenang pada server yang disusupi.

“Berdasarkan perangkat yang diserang terkait komunikasi telepon, kami menganggap bahwa tujuan utamanya adalah serangan DDoS, dan pengumpulan informasi sensitif, seperti log panggilan.”

EwDoor botnet (360 Netlab)

EwDoor menggunakan enkripsi TLS untuk memblokir upaya intersepsi lalu lintas jaringan dan mengenkripsi sumber daya untuk memblokir analisis malware.

Detail teknis tambahan tentang botnet EwDoor dan indikator kompromi (IOC), termasuk domain C2 dan hash sampel malware, dapat ditemukan di laporan 360 Netlab.

Bleeping Computer

Panasonic Menyingkap Pelanggaran Data Setelah Peretasan Jaringan

by

Konglomerat multinasional Jepang Panasonic mengungkapkan pelanggaran keamanan setelah aktor ancaman yang tidak diketahui memperoleh akses ke server di jaringannya bulan ini.

“Panasonic Corporation telah mengkonfirmasi bahwa jaringannya diakses secara ilegal oleh pihak ketiga pada 11 November 2021,” kata perusahaan itu dalam siaran pers yang dikeluarkan Jumat.

“Sebagai hasil dari penyelidikan internal, ditentukan bahwa beberapa data pada server file telah diakses selama intrusi.”

Panasonic telah melaporkan insiden tersebut kepada otoritas terkait dan telah mengambil langkah-langkah untuk mencegah akses ke jaringannya dari server eksternal.

Raksasa elektronik Jepang juga telah menyewa jasa pihak ketiga untuk menyelidiki serangan itu — yang ditandai Panasonic sebagai “kebocoran” dalam siaran pers — dan menemukan apakah ada data yang diakses selama intrusi termasuk informasi pribadi pelanggan.

“Selain melakukan penyelidikan sendiri, Panasonic saat ini bekerja dengan organisasi pihak ketiga spesialis untuk menyelidiki kebocoran dan menentukan apakah pelanggaran tersebut melibatkan informasi pribadi pelanggan dan / atau informasi sensitif yang terkait dengan infrastruktur sosial,” tambah perusahaan itu.

Panasonic ingin menyampaikan permintaan maaf yang tulus atas kekhawatiran atau ketidaknyamanan yang diakibatkan oleh insiden ini. -Panasonic

Server Panasonic dilaporkan diretas pada bulan Juni

Sementara siaran pers yang dikeluarkan tidak termasuk banyak rincian mengenai garis waktu serangan, outlet Jepang, termasuk Mainichi dan NHK, mengatakan para penyerang memiliki akses ke server Panasonic antara Juni dan November, seperti yang pertama kali dilaporkan oleh The Record.

Selain itu, mereka mendapatkan akses ke informasi sensitif pelanggan dan karyawan sampai Panasonic melihat aktivitas berbahaya pada 11 November.

Serangan terhadap server Panasonic adalah bagian dari serangkaian panjang insiden lain yang melibatkan perusahaan Jepang dalam beberapa tahun terakhir.

Kawasaki, NEC, Mitsubishi Electric, dan kontraktor pertahanan Kobe Steel dan Pasco juga telah mengungkapkan insiden keamanan dan, dalam beberapa kasus, bahkan kebocoran data.

Sumber: Bleepingcomputer

Akhirnya Zoom Menambahkan Pembaruan Otomatis ke Windows dan macOS

by

Zoom hari ini telah mengumumkan peluncuran fitur pembaruan otomatis yang dirancang untuk merampingkan proses pembaruan untuk klien desktop.

Fitur baru ini saat ini hanya tersedia untuk klien Zoom desktop di Windows dan macOS, platform Linux saat ini tidak didukung.

Zoom mengatakan bahwa pengguna perangkat seluler juga dapat memperbarui aplikasi mereka secara otomatis melalui pemutakhiran otomatis bawaan appstore masing-masing.

“Untuk sebagian besar pengguna individu, pembaruan otomatis akan diaktifkan secara default. Ketika diaktifkan, pengguna akan memiliki kesempatan untuk memilih keluar dari pembaruan otomatis untuk klien desktop mereka setelah menginstal pertama atau pembaruan pertama di mana fitur ini hadir, “kata Jeromie Clark, Manajer Produk Teknis Keamanan &Privasi di Zoom.

Pengguna juga dapat mengubah preferensi ini kapan saja dengan memeriksa atau mencentang ‘Secara otomatis menjaga Zoom saya tetap up to date’ di bawah Pengaturan > Zoom > Umum.”

Pengguna Zoom akan dapat beralih antara frekuensi pembaruan Lambat dan Cepat, dengan pembaruan yang lebih jarang dan fokus pada memaksimalkan stabilitas saat opsi Slow dipilih. Fitur dan pembaruan terbaru akan diinstal segera setelah tersedia saat memilih saluran pembaruan Cepat.

Namun, terlepas dari saluran pembaruan yang dipilih, pembaruan keamanan klien Zoom yang penting akan secara otomatis diluncurkan ke semua pengguna dengan pembaruan otomatis diaktifkan.

Sementara platform juga memberikan pembaruan otomatis sebelum ini kepada pengguna perusahaan, pembaruan ini “memperluas audiens yang dituju untuk menyertakan semua pengguna klien desktop individu yang bukan anggota organisasi perusahaan.”

Pembaruan Otomatis Zoom

Zoom juga telah menambahkan dukungan otentikasi dua faktor (2FA) ke semua akun pada Bulan September 2020, enkripsi end-to-end (E2EE) pada Oktober 2020, dan peningkatan keamanan untuk menghentikan troll zoombombing satu bulan kemudian.

Perangkat lunak konferensi video telah menjadi cara yang sangat populer untuk tetap berhubungan dengan teman dan menyelenggarakan pertemuan online sejak pandemi dimulai.

Peluncuran pembaruan otomatis untuk klien desktop hadir pada waktu yang pas, melihat bahwa Zoom telah menambal lebih dari selusin kelemahan keamanan tingkat menengah dan tinggi dalam dua bulan terakhir saja.

Pada bulan April, Zoom Messenger juga diretas di kompetisi Pwn2Own 2021 oleh Computest Daan Keuper dan Thijs Alkemade. Mereka mendapatkan eksekusi kode pada perangkat yang ditargetkan menggunakan rantai eksploitasi nol klik yang menggabungkan tiga bug zero-day Zoom.

Sumber: Bleepingcomputer

Pasar Dark Web Cannazon Tutup Setelah Serangan DDoS Besar-besaran

by

Cannazon, salah satu pasar web gelap terbesar untuk membeli produk ganja, ditutup pekan lalu setelah terkena serangan DDoS.

Seperti yang dijelaskan admin dalam pesan yang ditandatangani dengan kunci pasar PGP, mereka secara resmi pensiun dan mengklaim tidak menarik penipuan keluar pada vendor mereka.

Admin memposting pesan itu pada 23 November 2021, dan hari ini Cannazon offline, diduga selamanya.

Serangan DDoS menyebabkan penutupan

Situs ini terkena serangan DDoS (distributed denial of service) besar-besaran pada awal bulan, yang tidak biasa untuk pasar web gelap.

Admin mengurangi jumlah pesanan dan membuat pasar sebagian offline sementara waktu untuk mengurangi masalah, tetapi ini telah menciptakan desas-desus di masyarakat, takut akan penipuan keluar yang akan segera terjadi.

Dengan ditutupnya Cannazon, tidak mengherankan melihat situs lain dibuat menggunakan nama yang sama di bawah alamat Tor baru. Namun, ini kemungkinan akan dioperasikan oleh scammers yang ingin menipu anggota situs asli.

Munculnya situs klon palsu adalah hal biasa ketika platform web gelap yang besar dan terkenal offline.

Mengapa itu ide yang buruk</h4

Jika Anda berpikir bahwa membeli ganja dari dark web adalah cara mudah untuk menghindari undang-undang narkoba di negara Anda sambil tetap anonim di belakang VPN atau Tor, Anda mengabaikan sebagian besar risiko yang terlibat.

Pertama, sebagian besar platform ini, termasuk Cannazon dan CannaHome, beroperasi dengan keanggotaan. Dengan demikian, semua pengguna memberikan beberapa remah-remah info selama pendaftaran. Jika server mereka akhirnya jatuh ke tangan penegak hukum, pembeli dapat diidentifikasi.

Kedua, kemungkinan mendapatkan scammed ketika menempatkan pesanan selalu tinggi, bahkan di pasar di mana admin menjanjikan tingkat keamanan perdagangan yang tinggi.

Ketiga, obat apa pun yang dikirim kepada Anda mungkin dicampur dengan zat beracun berbahaya atau benar-benar berbeda dari apa yang Anda pikir Anda bayar. Dengan demikian, mengkonsumsinya dapat menimbulkan risiko serius bagi kesehatan Anda.

Akhirnya, membeli obat-obatan secara online adalah ilegal di banyak negara dan dapat menyebabkan denda dan kemungkinan hukuman penjara.

Sumber: Bleepingcomputer