Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cybersecurity

Cybersecurity

CES 2021: Intel menambahkan kemampuan deteksi ransomware di tingkat silikon

by

Pada Consumer Electronics Show 2021, Intel mengumumkan penambahan kemampuan pendeteksian ransomware ke prosesor Core vPro Generasi ke-11 yang baru melalui peningkatan pada Hardware Shield dan Threat Detection Technology (TDT).

Kemitraan dengan Cybereason yang berbasis di Boston juga diumumkan, dengan perusahaan keamanan diharapkan dapat menambahkan dukungan untuk fitur-fitur baru ini ke perangkat lunak keamanannya pada paruh pertama tahun 2021.

Kedua perusahaan mengatakan bahwa ini akan menandai kasus pertama di mana “perangkat keras PC memainkan peran langsung” dalam mendeteksi serangan ransomware.

Di belakang layar, semua ini dimungkinkan melalui dua fitur Intel, yaitu Hardware Shield dan Intel Threat Detection Technology (TDT). Keduanya merupakan bagian fitur dari Intel vPro, kumpulan teknologi yang berpusat pada perusahaan yang dikirimkan oleh Intel dengan beberapa prosesornya.

Hardware Shield, teknologi yang mengunci UEFI/BIOS dan TDT, teknologi yang menggunakan telemetri CPU untuk mendeteksi kemungkinan adanya kode berbahaya.

Kedua teknologi ini bekerja pada CPU secara langsung, banyak lapisan di bawah ancaman berbasis perangkat lunak, seperti malware, tetapi juga solusi antivirus. Ide di balik fitur-fitur baru Intel adalah untuk membagikan beberapa datanya dengan perangkat lunak keamanan dan memungkinkannya untuk menemukan malware yang mungkin bersembunyi di tempat-tempat yang tidak dapat dijangkau oleh aplikasi antivirus.

Menurut Intel dan Cybereason, teknologi baru ini seharusnya memungkinkan perusahaan untuk mendeteksi serangan ransomware ketika jenis ransomware mencoba menghindari deteksi dengan bersembunyi di dalam mesin virtual, karena Hardware Shield dan TDT menjalankan banyak lapisan di bawahnya.

Selengkapnya: ZDNet

AlphaBay Pasar Gelap Muncul Kembali

by

Pasar gelap AlphaBay tampaknya telah muncul kembali, empat tahun setelah pencopotan profil tinggi oleh lembaga penegak hukum internasional.

Kemunculan kembali ini, menurut para peneliti di Flashpoint, bukanlah replika yang sama. Sebaliknya, versi situs yang disusun kembali digambarkan sebagai penghormatan kepada yang asli dan penghargaan kepada moderator AlphaBay yang sekarang telah meninggal, Alexandre Cazes.

Perubahan terbaru ini dipimpin oleh aktor ancaman DeSnake, yang diyakini sebagai moderator asli AlphaBay. Menurut peneliti Flashpoint, DeSnake berusaha untuk mendapatkan kepercayaan dari para penjahat dengan mengklaim “pelaku ancaman yang beroperasi di forum [dapat] menarik dana bahkan jika semua server disita.”

Perubahan lain termasuk pelarangan posting tentang obat-obatan terlarang, vaksin COVID-19, dan ransomware. Operator situs juga mengatakan mereka akan menghapus posting yang terkait dengan aktivitas ancaman yang terkait dengan Rusia, Belarus, Kazakhstan, Armenia, dan Kirgistan untuk menghindari perhatian yang tidak diinginkan oleh penegak hukum di negara-negara tersebut.

Pitch tambahan oleh operator layanan, berjanji untuk “memperbarui kode sumber untuk trojan perbankan terkenal” sebagai taktik promosi untuk layanan tersebut. Tidak ada indikasi seperti apa trojan perbankan “terkenal” tersebut.

Selengkapnya: Threat Post

Malware Discord adalah ancaman yang terus-menerus dan terus berkembang, Sophos memperingatkan

by

Beberapa minggu yang lalu, perusahaan keamanan siber terkemuka Sophos mengeluarkan peringatan bahwa Discord menjadi target yang semakin umum bagi peretas.

Beberapa aktor siber yang mendorong keluar malware cenderung menargetkan pengguna layanan online yang sukses, dan mempertimbangkan 140 juta plus pengguna aktif Discord — dengan lebih dari 300 juta terdaftar hingga saat ini — yang menjadikan perangkat lunak obrolan sebagai target yang cukup menarik.

Sophos mencatat jumlah deteksi malware selama beberapa bulan terakhir telah meningkat hampir 140 kali lipat dari periode yang sama tahun lalu. Dan sebagian dari masalah itu bermuara pada bagaimana file Discord disimpan di cloud.

“Setelah file diunggah ke Discord, mereka dapat bertahan tanpa batas waktu kecuali jika dilaporkan atau dihapus,” kata laporan itu.

Dalam penelitiannya tentang jenis malware yang mengotori penyimpanan cloud Discord, Sophos menemukan banyak alat game cheating. Beberapa dimaksudkan untuk mengeksploitasi protokol integrasi Discord untuk merusak permainan lawan, dan beberapa diiklankan sebagai ‘penyempurnaan’ yang dimaksudkan untuk membuka kunci konten berbayar, kunci, dan bypass. Maksud sebenarnya adalah bahwa hanya sedikit yang ditemukan mengandung perangkat lunak cheating yang dimaksud, sebagian besar sebenarnya adalah beberapa bentuk pencurian kredensial yang menyamar.

Di antara cheat-bait, kejahatan lain menyelinap tanpa terdeteksi: keluarga malware pembajak kata sandi, spyware, aplikasi android palsu yang dimaksudkan untuk menangkap info keuangan atau mencegat transaksi.

Sophos menjelaskan, “Aktor ancaman di balik operasi ini menggunakan rekayasa sosial untuk menyebarkan malware pencuri kredensial, kemudian menggunakan kredensial Discord yang diambil korban untuk menargetkan pengguna Discord tambahan.”

Selengkapnya: PC Gamer

Microsoft mengonfirmasi bug zero-day print spooler Windows lainnya

by

Microsoft telah mengeluarkan peringatan untuk kerentanan zero-day print spooler Windows lainnya yang dilacak sebagai CVE-2021-36958 yang memungkinkan penyerang lokal untuk mendapatkan hak istimewa SISTEM di komputer.

Kerentanan ini adalah bagian dari kelas bug yang dikenal sebagai ‘PrintNightmare,’ yang menyalahgunakan pengaturan konfigurasi untuk print spooler Windows, print driver, dan fitur Windows Point and Print.

Microsoft merilis pembaruan keamanan pada bulan Juli dan Agustus untuk memperbaiki berbagai kerentanan PrintNightmare.

Namun, kerentanan yang diungkapkan oleh peneliti keamanan Benjamin Delpy masih memungkinkan pelaku ancaman untuk dengan cepat mendapatkan hak istimewa SISTEM hanya dengan menghubungkan ke print server jarak jauh, seperti yang ditunjukkan di bawah ini.

Kerentanan ini menggunakan direktif registry CopyFile untuk menyalin file DLL yang membuka command prompt ke klien bersama dengan print driver saat Anda menyambung ke printer.

Meskipun pembaruan keamanan terbaru Microsoft mengubah prosedur penginstalan driver printer baru sehingga memerlukan hak admin, Anda tidak akan diminta untuk memasukkan hak admin untuk terhubung ke printer saat driver tersebut sudah diinstal.

Selanjutnya, jika driver ada pada klien, dan karenanya tidak perlu diinstal, menghubungkan ke printer jarak jauh akan tetap menjalankan arahan CopyFile untuk pengguna non-admin. Kelemahan ini memungkinkan DLL Delpy untuk disalin ke klien dan dieksekusi untuk membuka command prompt tingkat SISTEM.

Selengkapnya: Bleeping Computer

Peretas Di Balik Pencurian Crypto Bersejarah Dilaporkan Mengembalikan $256 Juta Dana yang Dicuri

by

Setelah peretas menyerang Poly Network dengan salah satu perampokan crypto terbesar dalam ingatan baru-baru ini, perusahaan itu menerbitkan surat terbuka pada hari Selasa yang memohon kepada para pelaku untuk mendapatkan kembali aset mereka. Rupanya, surat itu berhasil, dan para peretas dilaporkan sudah mulai mengembalikan sebagian besar hasil tangkapan mereka.

The Block pertama kali melaporkan bahwa siapa pun yang berada di balik peretasan telah mengembalikan sekitar $256 juta aset crypto kembali ke perusahaan pada Rabu pagi. Itu masih jauh di bawah $611 juta yang dilaporkan dicuri oleh peretas, yang dilaporkan menjadikannya peretasan terbesar dalam sejarah keuangan terdesentralisasi, yang sering dikenal sebagai DeFi.

Kurang dari 24 jam setelah Poly memposting suratnya — mengingatkan penyerang bahwa penegak hukum “di negara mana pun” kemungkinan akan membuntuti mereka karena kejahatan mereka — para peretas mulai mentransfer jutaan aset berbeda kembali ke dompet crypto Poly Network.

Di antara aset lainnya, para peretas mengembalikan $ 2 juta dalam ShibaCoin, $ 1,1 juta dalam Token Binance BTCB, dan sekitar $ 1 juta dalam token khusus yang dibuat oleh penyerang sendiri, secara harfiah disebut “Peretas siap untuk menyerah,” menurut The Block.

Poly Network telah memulihkan lebih dari sepertiga dari peretasannya sejauh ini, tetapi ada banyak perusahaan lain di dunia crypto yang tidak. Sebuah laporan riset pasar pada industri DeFi yang turun awal pekan ini menemukan bahwa aktor jahat telah menipu $474 juta dari platform seperti Poly antara Januari dan Juli tahun ini.

Selengkapnya: Gizmodo

Perusahaan besar lain terkena serangan ransomware

by

(CNN Business) – Accenture, perusahaan konsultan global, telah dihantam oleh geng ransomware LockBit, menurut situs web kelompok penjahat siber.

File terenkripsi Accenture (ACN) akan dirilis oleh grup di dark web pada hari Rabu kecuali perusahaan membayar uang tebusan, klaim LockBit, menurut tangkapan layar situs web yang ditinjau oleh CNN Business dan Emsisoft, sebuah perusahaan keamanan siber.

Stacey Jones, juru bicara Accenture, mengkonfirmasi insiden keamanan siber kepada CNN Business pada hari Rabu, tetapi tidak secara eksplisit mengakui serangan ransomware.

Geng ransomware LockBit pertama kali muncul pada September 2019, menurut profil grup Emsisoft. LockBit, seperti banyak geng ransomware lainnya, menyewakan perangkat lunak berbahayanya kepada afiliasi kriminal pihak ketiga yang kemudian menerima potongan tebusan sebagai imbalan untuk menanamkan kode ke jaringan korban.

Tahun berikutnya, Interpol memperingatkan lonjakan serangan menggunakan perangkat lunak berbahaya LockBit. Korban utama kelompok itu termasuk Merseyrail, jaringan kereta api Inggris, dan Press Trust of India, sebuah organisasi berita India, menurut Emsisoft.

Ransomware telah menjadi ancaman kritis bagi keamanan nasional dan ekonomi, kata pemerintah AS, di tengah serangkaian serangan terhadap target perusahaan dan infrastruktur. Awal tahun ini, serangan oleh kelompok DarkSide memaksa Colonial Pipeline untuk menutup operasi distribusi bahan bakarnya, menyebabkan kekurangan bensin secara nasional.

Selengkapnya: CNN

Kelompok spionase China menargetkan organisasi infrastruktur penting di Asia Tenggara

by

Sebuah kelompok spionase dunia maya yang diyakini beroperasi di luar China telah menargetkan setidaknya empat organisasi infrastruktur penting di negara Asia Tenggara, kata perusahaan keamanan Symantec dalam sebuah laporan pekan lalu.

Penyusupan terjadi antara November 2020 hingga Maret 2021 dan menargetkan:

  • perusahaan air
  • perusahaan listrik
  • perusahaan komunikasi
  • organisasi pertahanan

Symantec mengatakan menemukan bukti bahwa penyerang tertarik untuk menargetkan informasi tentang sistem SCADA, yang merupakan peralatan yang biasanya digunakan untuk mengontrol dan mengelola jalur produksi dan peralatan industri.

Para peneliti mengatakan mereka tidak dapat menentukan titik masuk penyerang ke dalam organisasi yang diretas tetapi mengatakan bahwa begitu di dalam, kelompok itu menunjukkan taktik canggih yang menyembunyikan operasi jahat menggunakan aplikasi yang sah — taktik yang dikenal sebagai LOLbins atau living-off-the-land. Alat yang disalahgunakan meliputi:

  • Windows Management Instrumentation (WMI)
  • ProcDump
  • PsExec
  • PAExec
  • Mimikatz

Selain itu, grup tersebut menggunakan pemutar multimedia gratis bernama PotPlayer Mini untuk memuat DLL berbahaya pada komputer yang disusupi, termasuk pintu belakang, keylogger, dan traffic proxying tool.

Penggunaan alat yang umum dan sah mempersempit jumlah informasi yang dapat dikumpulkan peneliti tentang kelompok tersebut.

Symantec mengatakan pihaknya hanya dapat menunjukkan dengan tepat serangan tersebut ke kelompok spionase yang berbasis di China tetapi tidak menemukan petunjuk tambahan untuk menghubungkan penyusupan tersebut dengan kelompok yang diketahui sebelumnya.

Perusahaan keamanan tidak menyebutkan nama negara tempat target yang diretas berada.

Selengkapnya: The Record

Mata-mata siber China ‘berpura-pura sebagai orang Iran sambil menargetkan pemerintah Israel’

by

Sebuah kelompok mata-mata siber dari China menyamar sebagai peretas Iran saat membobol dan memata-matai lembaga pemerintah Israel, menurut sebuah laporan baru oleh para peneliti keamanan.

Laporan dari perusahaan keamanan FireEye, yang membuka kedok kelompok itu bersama badan-badan pertahanan Israel, mengatakan tidak ada cukup bukti untuk menghubungkan kelompok spionase dengan negara China.

Namun, analis ancaman perusahaan yakin bahwa kelompok spionase adalah orang China dan bahwa targetnya “sangat menarik bagi tujuan keuangan, diplomatik, dan strategis Beijing”.

Upaya peretas untuk menyembunyikan kewarganegaraan mereka “sedikit tidak biasa”, menurut Jens Monrad, yang mengepalai divisi intelijen ancaman FireEye, Mandiant di EMEA.

“Kami telah melihat secara historis beberapa upaya bendera palsu. Kami melihat satu selama Olimpiade di Korea Selatan,” katanya kepada Sky News, merujuk pada peretas Rusia yang berpura-pura menjadi orang Cina dan Korea Utara.

“Mungkin ada beberapa alasan mengapa aktor ancaman ingin melakukan false flag – jelas itu membuat analisisnya sedikit lebih rumit,” kata Monrad kepada Sky News.

Mr Monrad mengatakan upaya untuk menyembunyikan identitas peretas “tidak terlalu pintar” tetapi memperlambat analisis perusahaan tentang insiden ini, yang dia tambahkan mungkin menjadi tujuannya.

Laporan tersebut berfokus pada mata-mata siber yang menargetkan lembaga pemerintah Israel, penyedia TI, dan entitas telekomunikasi, tetapi kelompok itu juga mencoba meretas jaringan komputer di UEA dan di tempat lain.

Selengkapnya: Sky News