Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cybersecurity

Cybersecurity

12 Kelemahan Baru yang Digunakan dalam Serangan Ransomware di Q3

by

Laporan Q3 2021 mengungkapkan terjadi peningkatan 4,5% dalam CVE yang terkait dengan ransomware dan peningkatan 3,4% dalam keluarga ransomware dibandingkan dengan Q2 2021.

Selusin kerentanan baru digunakan dalam serangan ransomware kuartal ini, sehingga jumlah total bug yang terkait dengan ransomware menjadi 278. Itu meningkat 4,5 persen dari Q2, menurut para peneliti.

Lima dari pemula dapat digunakan untuk mencapai eksekusi kode jarak jauh (RCE), sementara dua dapat digunakan untuk mengeksploitasi aplikasi web dan meluncurkan serangan penolakan layanan (DoS). Itu bukan berita baik, tetapi ini sangat menggelisahkan mengingat kuartal ini juga melihat serangan DoS (DDoS) terdistribusi memecahkan rekor, menurut sebuah studi terpisah.

Berita tentang kerentanan baru yang telah diserang oleh operator ransomware berasal dari laporan sorotan indeks ransomware Q3 2021 Ivanti, yang diterbitkan pada hari Selasa dan dilakukan dengan Cyber ​​Security Works dan Cyware.

Aaron Sandeen, CEO Cyber ​​Security Works, mengatakan dalam siaran pers bahwa Q3 adalah salinan dari tren ransomware dari sisa tahun ini. Yaitu, “Kami terus melihat serangan ransomware meningkat secara agresif dalam kecanggihan dan frekuensi di Q3.”

Analisis ransomware triwulanan juga menemukan bahwa kelompok ransomware masih menemukan dan mengeksploitasi kelemahan zero-day sebelum CVE ditetaskan dan ditambal. Contoh kasus: Geng ransomware REvil yang banyak dicerca menemukan dan mengeksploitasi kelemahan dalam perangkat lunak Kaseya VSA karena tim keamanan perusahaan masih mengerjakan tiga tambalan.

Pada tanggal 2 Juli, geng REvil membuka tiga zero-days di platform Virtual System/Server Administrator (VSA) Kaseya dalam lebih dari 5.000 serangan. Pada tanggal 5 Juli, serangan di seluruh dunia telah dilepaskan di 22 negara, tidak hanya menjangkau basis pelanggan penyedia layanan terkelola (MSP) Kaseya tetapi juga, mengingat banyak dari mereka menggunakan VSA untuk mengelola jaringan bisnis lain, mencakar MSP tersebut. pelanggan sendiri.

Kuartal ketiga juga melihat sembilan kerentanan baru dengan peringkat keparahan yang lebih rendah dikaitkan dengan ransomware. Juga, pembaruan indeks ransomware Q3 untuk tahun 2021 mengidentifikasi kelompok ransomware yang memperluas gudang serangan mereka dengan 12 asosiasi kerentanan baru di Q3,

Analisis Q3 juga mengidentifikasi lima keluarga ransomware baru, sehingga totalnya menjadi 151. Kelompok ransomware baru dengan cepat melompati beberapa kerentanan paling berbahaya di luar sana hanya beberapa minggu setelah mereka mulai menjadi tren di alam liar, seperti PrintNightmare, PetitPotam, dan ProxyShell .

Teknik yang digunakan dalam serangan ransomware juga semakin canggih. Salah satu contoh yang dikutip dalam analisis Ivanti adalah dropper as-a-service – layanan yang memungkinkan pelaku yang secara teknis tidak paham/cenderung kriminal untuk mendistribusikan malware melalui program dropper yang dapat mengeksekusi muatan berbahaya ke komputer korban.

Dari laporan juga ditemukan tiga kerentanan yang berasal dari tahun 2020 atau sebelumnya menjadi baru terkait dengan ransomware pada Q3 2021, sehingga jumlah total kerentanan lama yang terkait dengan ransomware menjadi 258: 92,4 persen kekalahan yang terkait dengan ransomware.

Analisis menunjukkan kelompok ransomware Cring sebagai contoh penting: Geng menargetkan dua kerentanan ColdFusion yang lebih lama – CVE-2009-3960 dan CVE-2010-2861 – yang telah ditambal selama 11 tahun.

Anuj Goel, CEO Cyware, dikutip mengatakan ya untuk otomatisasi, dan juga untuk berbagi intel untuk melindungi organisasi dari ransomware: “Penelitian ini menggarisbawahi bahwa ransomware terus berkembang dan menjadi lebih berbahaya berdasarkan kerusakan bencana yang dapat ditimbulkannya. organisasi sasaran. Apa yang lebih kompleks bagi banyak organisasi adalah ketidakmampuan industri vertikal untuk secara cepat membagikan IOC tertentu terlepas dari industri mereka, dengan cara yang mudah untuk mengatur, mengoperasionalkan, dan menyebarluaskan untuk mengambil tindakan sebelum serangan menyerang.

“Mengelola risiko organisasi berarti perusahaan harus mencari strategi pertahanan kolektif untuk memiliki visibilitas terus-menerus ke dalam serangan dan permukaan risiko masing-masing, untuk mengurangi kerugian besar pada reputasi, pelanggan, dan keuangan. Semakin banyak tim cyber dapat mengikat ke dalam otomatisasi dan proses TI, semakin baik dan efisien mereka dalam melawan ransomware.”

sumber: ThreatPost

Ramalan Malware dan Ransomeware Mendatang

by

Laporan ancaman Sophos tahun 2022 menjelaskan Infeksi malware dan ransomware di masa depan akan terdiri dari “shotgun attacks with pinpoint targeting.”

Seolah itu tidak cukup, infosec biz Inggris menganggap serangan malware komoditas yang sudah mapan akan berakhir dengan memberikan lebih banyak ransomware, sementara taktik pemerasan yang digunakan oleh geng ransomware akan menjadi lebih beragam dan intens – dengan tujuan menggertak korban agar menyerahkan uang tunai.

“Ransomware berkembang pesat karena kemampuannya untuk beradaptasi dan berinovasi,” kata Chester Wisniewski seorang ilmuwan peneliti utama di Sophos. “Misalnya, meskipun penawaran RaaS bukanlah hal baru, di tahun-tahun sebelumnya kontribusi utama mereka adalah membawa ransomware ke dalam jangkauan penyerang berketerampilan rendah atau kurang didanai.”

Ancaman dunia maya yang hampir ada di mana-mana telah banyak ditampilkan dalam berita baru-baru ini, menyusul penghargaan AS senilai jutaan dolar untuk informasi yang mengarah pada penangkapan dan hukuman terhadap geng ransomware high profile tertentu. Selain itu, banyak polisi negara – terutama Ukraina – telah menangkap orang-orang yang diduga sebagai anggota geng.

Selain ransomware, Sophos mengatakan pada 2022 akan terjadi serangan ulang ProxyLogon dan ProxyShell di mana vuln dalam layanan dan produk TI yang banyak digunakan langsung dilompati oleh penjahat dan negara. Perusahaan mengharapkan untuk melihat “peningkatan minat kejahatan dalam sistem berbasis Linux selama tahun 2022, baik di cloud maupun di web dan server virtual.”

Serangan shotgun yang ditargetkan, seperti yang dijelaskan Sophos, juga dapat meningkat. Perusahaan menggunakan serangan Gootloader sebagai contoh, menyoroti bagaimana situs web berbahaya didorong ke atas peringkat hasil pencarian Google oleh kejahatan. Pemfilteran tanda yang mengklik tautan berbahaya ini mengesampingkan mereka yang tidak menjalankan kombinasi sistem operasi dan browser tertentu.

“SophosLabs percaya bahwa ini mungkin merupakan cara baru bagi distributor malware untuk menggagalkan peneliti malware sambil memberi diri mereka sendiri tingkat kepastian yang lebih besar bahwa malware mereka akan menjadi bagian dari korban yang mungkin lebih diinginkan daripada populasi umum,” perusahaan menyimpulkan.

Linux dan sistem virtual dapat berada di bawah ancaman yang lebih besar pada tahun 2022, menurut pandangan Sophos, dengan peringatan tegas: “Satu ransomware yang kami temui pada tahun 2021 menargetkan platform VMware ESXi dan datang dalam bentuk skrip Python yang, ketika dijalankan pada hypervisor, mematikan semua mesin virtual yang berjalan dan kemudian mengenkripsi penyimpanan data tempat hard drive virtual, dan file konfigurasi lainnya, disimpan di hypervisor.”

Hal-hal yang menghebohkan – dan kejadian di atas terjadi pada perusahaan “logistik dan industri perkapalan” selama tahun ini. Trojan RansomEXX, yang menargetkan hypervisor VMware ESXi, ditemukan oleh Sophos pada Juni 2021 setelah serangan terhadap hypervisor ESXi yang berbeda “dijalankan oleh toko roti komersial besar”.

“Ancaman, mereka sedang berkembang. Keyakinan lama bahwa organisasi Anda terlalu kecil, tidak jelas, atau pendapatannya rendah untuk dijadikan target berbahaya akhir-akhir ini – jadi persiapkan diri.”

sumber: The Register

Hapus 7 Aplikasi Android ini jika anda tidak ingin menghabiskan banyak uang

by

Menurut tweet dari Shishkova tujuh aplikasi ini membawa malware Joker yang berarti berbahaya bagi kesejahteraan finansial Anda. Meskipun aplikasi telah dihapus dari Google Play Store, itu tidak berarti aplikasi tersebut tidak lagi ada di ponsel Anda dan ingin mendaftarkan Anda ke layanan berlangganan penipuan yang sebenarnya tidak ingin Anda bayar.

Jadi periksa ponsel Android Anda untuk hal-hal berikut:

  • Now QRcode Scan – Lebih dari 10.000 pemasangan
  • EmojiOne Keyboard – Lebih dari 50.000 pemasangan
  • Battery Charging Animations Battery Wallpaper – Lebih dari 1.000 pemasangan
  • Dazzling Keyboard – Lebih dari 10 pemasangan
  • Volume Booster Louder Sound Equalizer – Lebih dari 100 pemasangan
  • Super Hero-Effect – Lebih dari 5.000 pemasangan
  • Classic Emoji Keyboard – Lebih dari 5.000 pemasangan

Untuk menghindari peluang menjadi korban malware, selalu periksa bagian komentar sebelum Anda menginstal aplikasi. Kedua, hindari menginstal aplikasi dari developer yang tidak dikenal yang memberikan akses luas untuk aplikasi tersebut namun memiliki sedikit ulasan.

Menemukan tanda bahaya untuk menemukan pemberitahuan LinkedIn palsu

Aplikasi jaringan bisnis LinkedIn merupakan aplikasi yang menghubungkan perusahaan dengan orang-orang, menerima pemberitahuan dari LinkedIn bukanlah hal yang luar biasa. Tetapi Kaspersky mengatakan bahwa pesan dari LinkedIn yang tampaknya berasal dari perusahaan yang sah bisa jadi email palsu yang terlihat asli, contoh phishing.

Dalam laporannya, Kaspersky menunjukkan contoh pesan yang dikirim melalui LinkedIn dari seorang pengusaha Arab. Pesan tersebut, yang seharusnya menyertakan foto pengirim, menanyakan penerima apakah dia ingin berbisnis dengannya. Tetapi ada begitu banyak tanda bahaya dengan surat resmi ini yang dapat mengajari Anda apa yang harus dicari ketika menerima pemberitahuan yang tidak diminta di LinkedIn.

Kesalahan ejaan sangat banyak. Di bagian paling atas Anda akan melihat bahwa LinkedIn salah dieja, dengan tambahan “I.” Juga salah dieja adalah kata “pengusaha.” Tidak ada tautan ke LinkedIn di alamat email, dan pesannya terlalu pendek untuk menjadi tawaran yang serius.

Mengklik tautan yang diposting di pemberitahuan memunculkan halaman login yang tampak seperti LinkedIn yang asli. Tetapi URL (optikzade.com.tr) tidak menyebutkan LinkedIn dan alih-alih domain .com, alamat tersebut menunjukkan bahwa halaman masuk palsu berasal dari Turki.

Upaya phishing lain yang melibatkan LinkedIn mungkin lebih sulit untuk ditangkap pada awalnya. Pemberitahuan masih berisi beberapa tanda merah karena meminta “Qoute.” Tetapi siapa di antara kita yang tidak pernah salah mengganti dua huruf, terutama saat mengetik cepat dalam bahasa yang bukan bahasa asli Anda.

Tetapi baris subjek untuk pemberitahuan ini berbunyi, “Juli Jiang mengirimi Anda pesan” hilang sebuah artikel sebelum kata “pesan.” Itu mungkin tidak tampak seperti masalah besar sampai Anda menyadari bahwa LinkedIn membuat baris subjek secara otomatis dan tidak akan ketinggalan memasukkan artikel.” Dan mengetuk tautan membawa Anda ke halaman login palsu yang menunjukkan kesalahan yang menutupi sebagian logo LinkedIn di bagian atas, dan salah menuliskan nama aplikasi sebagai Linkedin.

Selengkapnya : Phone Arena

Peretas Mengakses Sistem Email FBI Dan Mengirim Spam Ke 100.000 Akun

by

Peretas mengakses sistem email FBI dan mengirim spam ke 100.000 akun pada hari Sabtu, menurut Proyek Spamhaus, sebuah kelompok pengawas spam email.

Organisasi tersebut memposting contoh di Twitter dari salah satu email yang dikirim ke ribuan akun.

Email tersebut memuat subjek “Urgent: Threat actor in systems” dan dimaksudkan untuk datang dari divisi keamanan siber dari Departemen Keamanan Dalam Negeri.

Email tersebut dimaksudkan untuk memperingatkan penerima tentang potensi “exfiltration” – yang berarti penarikan data – dari sistem mereka oleh pakar keamanan siber Vinny Troia dan kelompok penjahat siber The Dark Overlord.

Spamhaus memberikan sejumlah kemungkinan motivasi peretas untuk mengirim pesan tersebut.

“Tiga tindakan: Meyakinkan orang untuk menutup semuanya untuk berjaga-jaga, sementara kebenaran ditentukan, pembunuhan karakter Vinny Troia yang disebutkan di dalamnya, dan membanjiri FBI dengan panggilan. Atau, seperti yang orang lain katakan, ‘untuk lulz’. Mungkin semua dari yang disebutkan di atas. Atau mungkin sesuatu yang lain!” kelompok itu menulis sebuah tweet.

Austin Berglas, kepala layanan profesional di perusahaan keamanan siber BlueVoyant dan mantan agen khusus FBI, mengatakan kepada Bloomberg bahwa sistem email yang diretas bukanlah yang digunakan agen untuk mengirim informasi rahasia di FBI.

FBI mengatakan dalam sebuah pernyataan bahwa mereka mengetahui serangan itu tetapi tidak dapat memberikan informasi lebih lanjut.

Selengkapnya: The Hill

Peneliti menunggu 12 bulan untuk melaporkan kerentanan dengan 9,8 dari 10 peringkat keparahan

by

Sekitar 10.000 server perusahaan yang menjalankan Palo Alto Networks GlobalProtect VPN rentan terhadap bug buffer overflow yang baru saja ditambal dengan peringkat keparahan 9,8 dari kemungkinan 10.

Randori menemukan kerentanan 12 bulan yang lalu dan sebagian besar waktu itu digunakan secara pribadi dalam produk tim merahnya yang membantu pelanggan menguji pertahanan jaringan mereka terhadap ancaman dunia nyata. Norma di kalangan profesional keamanan adalah peneliti secara pribadi wajib melaporkan kerentanan tingkat tinggi kepada vendor sesegera mungkin daripada menimbunnya secara rahasia.

CVE-2021-3064, saat kerentanan dilacak merupakan cacat buffer overflow yang terjadi saat mem-parsing input yang disediakan pengguna di lokasi dengan panjang tetap pada stack. Eksploitasi proof-of-concept yang dikembangkan peneliti Randori menunjukkan kerusakan besar yang dapat terjadi.

Selama beberapa tahun terakhir, peretas telah aktif mengeksploitasi kerentanan dalam serangkaian firewall dan VPN perusahaan seperti Citrix, Microsoft, dan Fortinet, lembaga pemerintah memperingatkan awal tahun ini. Produk perusahaan serupa, termasuk dari Pulse Secure dan Sonic Wall, juga diserang. Sekarang, GlobalProtect Palo Alto Networks mungkin siap untuk bergabung dalam daftar.

CVE-2021-3064 hanya memengaruhi versi yang lebih lama dari PAN-OS 8.1.17, tempat GlobalProtect VPN berada. Peneliti independen Kevin Beaumont mengatakan pencarian Shodan yang dia lakukan menunjukkan bahwa kira-kira setengah dari semua contoh GlobalProtect yang dilihat oleh Shodan rentan.

Luapan terjadi ketika perangkat lunak mem-parsing input yang disediakan pengguna di lokasi dengan panjang tetap di tumpukan. Kode buggy tidak dapat diakses secara eksternal tanpa memanfaatkan apa yang dikenal sebagai penyelundupan HTTP, teknik eksploitasi yang mengganggu cara situs web memproses urutan permintaan HTTP. Kerentanan muncul ketika frontend dan backend situs web menafsirkan batas permintaan HTTP secara berbeda, dan kesalahan menyebabkan mereka tidak sinkron.

Kebingungan merupakan hasil dari kode yang menyimpang dari spesifikasi ketika berhadapan dengan header Content-Length dan Transfer-Encoding. Dalam prosesnya, bagian dari permintaan dapat ditambahkan ke permintaan berikutnya yang memungkinkan respons dari permintaan yang diselundupkan diberikan kepada pengguna lain. Kerentanan penyelundupan permintaan sering kali kritis karena memungkinkan penyerang melewati kontrol keamanan, mendapatkan akses tidak sah ke data sensitif, dan secara langsung membahayakan pengguna aplikasi lain.

Randori mengatakan bahwa risikonya sangat akut untuk versi virtual dari produk yang rentan karena tidak memiliki pengacakan tata letak ruang alamat — mekanisme keamanan yang biasanya disingkat ASLR yang dirancang untuk sangat mengurangi kemungkinan eksploitasi yang berhasil — diaktifkan.

“Pada perangkat dengan ASLR diaktifkan (yang tampaknya menjadi kasus di sebagian besar perangkat keras), eksploitasi sulit tetapi mungkin,” tulis peneliti Randori. “Pada perangkat tervirtualisasi (firewall seri VM), eksploitasi secara signifikan lebih mudah karena kurangnya ASLR dan Randori mengharapkan eksploitasi publik akan muncul. Peneliti Randori belum mengeksploitasi buffer overflow untuk menghasilkan eksekusi kode terkontrol pada versi perangkat keras tertentu dengan CPU bidang manajemen berbasis MIPS karena arsitektur big endian mereka, meskipun overflow dapat dijangkau pada perangkat ini dan dapat dieksploitasi untuk membatasi ketersediaan layanan .”
Apa yang membuatmu begitu lama?

Posting Randori mengatakan peneliti perusahaan menemukan buffer overflow dan cacat penyelundupan HTTP November lalu. Beberapa minggu kemudian, perusahaan “mulai menggunakan rantai kerentanan secara resmi sebagai bagian dari platform tim merah Randori yang berkelanjutan dan otomatis.”

“Alat dan teknik tim merah, termasuk eksploitasi zero-day, diperlukan untuk keberhasilan pelanggan kami dan dunia keamanan siber secara keseluruhan,” tulis CTO Randori David Wolpoff dalam sebuah posting. “Namun, seperti alat ofensif lainnya, informasi kerentanan harus ditangani dengan hati-hati dan dengan rasa hormat yang seharusnya. Misi kami adalah untuk memberikan pengalaman yang sangat berharga bagi pelanggan kami, sekaligus mengenali dan mengelola risiko terkait.”

Selengkapnya : Arstechnica

Grup Cyber-Mercenary “Void Balaur” Menyerang Target Berprofil Tinggi untuk Uang Tunai

by

Grup berbahasa Rusia Void Balaur, juga dilacak dengan nama Rockethack, telah diidentifikasi sebagai kelompok tentara bayaran cyber yang produktif, tersedia untuk disewa untuk membobol email dan akun media sosial dari target profil tinggi dan berisiko tinggi di seluruh dunia. .

Setelah memantau Void Balaur selama lebih dari setahun, Trend Micro telah merilis laporan yang mengidentifikasi lebih dari 3.500 target grup. Amnesty International juga telah mengidentifikasi serangan siber terhadap aktivis dan jurnalis yang bekerja di Uzbekistan yang dilakukan oleh layanan tentara bayaran siber.

“Penelitian kami mengungkapkan gambaran yang jelas: Void Balaur mengejar data paling pribadi dari bisnis dan individu kemudian menjual data itu kepada siapa pun yang ingin membayarnya,” kata laporan Trend Micro.

Target populer kelompok tersebut termasuk situs media dan berita politik, jurnalis dan aktivis hak asasi manusia, kata Trend Micro.

“Void Balaur juga tidak menolak untuk mengejar target profil tinggi, karena kelompok itu juga melancarkan serangan terhadap mantan kepala badan intelijen, menteri pemerintah yang aktif, anggota parlemen nasional di negara Eropa Timur, dan bahkan kandidat presiden, “tambahnya.

Grup tersebut saat ini mengiklankan layanannya di forum bawah tanah Rusia Darkmoney dan Probiv, menurut Trend Micro.

“Void Balaur tampaknya sangat dihormati di forum bawah tanah ini, karena umpan balik untuk layanan mereka hampir dengan suara bulat positif, dengan pelanggan mereka menunjukkan kemampuan aktor ancaman untuk memberikan informasi yang diminta tepat waktu, serta kualitas data yang tersedia. disediakan,” kata laporan itu.

Kelompok ini menggunakan alat malware seperti pencuri kredensial Z*Stealer dan DroidWatcher, yang mencuri data dan menambahkan kemampuan pelacakan dan mata-mata, Trend Micro melaporkan.

Trend Micro menawarkan indikator kompromi Void Balaur sebagai bagian dari laporannya.

Selengkapnya: Threat Post

Pencuri iPhone menggunakan trik ini untuk menonaktifkan “Find My” di perangkat yang dicuri

by

Sayangnya, orang yang mencuri iPhone sama sekali bukan hal baru. Tetapi orang yang menggunakan “Find My” untuk menonaktifkan perangkat mereka biasanya merupakan port panggilan yang baik karena mencegah mereka diakses atau diatur lagi.

Trik baru yang dibagikan oleh salah satu pemilik iPhone yang malang menunjukkan bahwa pencuri menemukan cara baru untuk menyiasati hal-hal seperti “Find My” — dan itu semua terlalu mudah.

Sebuah laporan India Today menceritakan kisah Vedant, seseorang yang kehilangan iPhone 12-nya sebelum melalui semua langkah biasa — termasuk mencoba menggunakan “Find My” untuk menemukannya.

Korban diberitahu bahwa iPhone sedang offline, dan sistem tidak bisa mendapatkan lokasi perangkat yang tepat. Dia kemudian memasukkan iPhone-nya ke mode hilang, memberi tahu polisi, dan memblokir kartu SIM-nya.

Jika Anda mengubah status ponsel Anda menjadi “mode hilang”, ponsel Anda akan terkunci, sehingga tidak ada yang dapat mengakses informasi Anda bahkan setelah menyalakan iPhone.

Beberapa hari berlalu dan diasumsikan bahwa semua harapan hilang. Kemudian, Vedant menerima SMS yang menyarankan iPhone telah ditemukan dan mengetuk tautan akan menampilkan lokasi. Tautan tampak sah karena berisi ‘icloud’ dan ‘findmy’, tetapi ternyata tidak.

Setelah mengetuk tautan, Vedant diminta untuk masuk, yang mereka lakukan — memberi pemilik baru iPhone ID dan kata sandi Apple mereka.

Hanya satu menit setelah memasukkan detailnya, dia mendapat pemberitahuan email yang mengatakan bahwa ID Apple-nya diakses dari desktop Windows. Dia kemudian mengubah kata sandinya dan menghapus desktop windows dari ID Apple-nya, tetapi sudah terlambat saat itu. IPhone curiannya sudah dihapus dari ID Apple-nya dan ‘Temukan saya’ juga dimatikan.

Selengkapnya: iMore

Peretas Korea Utara menargetkan “Wadah Pemikir” Korea Selatan melalui konten blog

by

Dalam kampanye baru, yang dilacak sejak Juni 2021, kelompok Advanced Persistent Threat (APT) yang disponsori negara telah mencoba menanam malware berbasis pengawasan dan pencurian pada mesin korban.

Pada hari Rabu, para peneliti dari Cisco Talos mengatakan bahwa APT Kimsuky, juga dikenal sebagai Thallium atau Black Banshee, bertanggung jawab atas gelombang serangan, di mana konten Blogspot berbahaya digunakan untuk memikat “Wadah Pemikir” yang berbasis di Korea Selatan yang penelitiannya berfokus pada politik. , diplomatik, dan topik militer yang berkaitan dengan Korea Utara, Cina, Rusia, dan AS.”

Secara khusus, organisasi geopolitik dan kedirgantaraan tampaknya berada di radar APT.

Kimsuky telah aktif setidaknya sejak 2012. Badan Keamanan Dunia Maya dan Infrastruktur (CISA) AS mengeluarkan penasehat (.PDF) pada APT pada tahun 2020, mencatat bahwa kelompok yang disponsori negara ditugaskan oleh pemerintah Korea Utara dengan “intelijen global mengumpulkan.” Korban sebelumnya telah ditemukan di Korea Selatan, Jepang, dan Amerika Serikat.

AhnLab mengatakan bahwa formulir kompensasi, kuesioner, dan dokumen penelitian yang dilampirkan ke email telah digunakan di masa lalu sebagai umpan phishing, dan dalam kampanye yang dideteksi oleh Talos, dokumen Microsoft Office yang berbahaya masih menjadi vektor serangan utama.

Selengkapnya: ZDNet