Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cybersecurity

Cybersecurity

Game bajakan ini akan menginfeksi PC Anda dengan malware yang sangat sulit untuk dihapus

by

Jika Anda mengunduh dan menginstal game PC bajakan, perangkat lunak antivirus Anda dapat dimatikan, pembaruan keamanan Windows dapat dihentikan dan GPU kesayangan Anda dapat dibajak untuk menambang cryptocurrency.

Jadi memperingatkan laporan baru dari perusahaan antivirus Avast, yang mengatakan bahwa malware penambangan koin baru yang disebut “Crackonosh” telah menginfeksi lebih dari 200.000 PC Windows sejak 2018, penjahat di belakangnya menjaring sekitar $ 2 juta dalam cryptocurrency Monero.

“Crackonosh didistribusikan bersama dengan salinan ilegal dari perangkat lunak populer dan mencari dan menonaktifkan banyak program antivirus populer sebagai bagian dari taktik anti-deteksi dan anti-forensiknya,” tulis peneliti Avast Daniel Benes.

Unduhan terinfeksi yang mengandung Crackonosh termasuk installer “bajakan” dari edisi Fallout 4 Game of the Year, Far Cry 5, Grand Theft Auto V, NBA 2K19, Pro Evolution Soccer 2018 dan The Sims 4 dan The Sims 4 Seasons.

Setelah game bajakan diinstal, malware membuat beberapa perubahan Registry Windows dan menginstal beberapa executable yang memiliki nama yang terdengar seperti layanan Windows biasa: winrmsrv.exe, winscomrssrv.dll dan winlogui.exe. (Yang terakhir adalah bagian penambangan koin.) Malware akan menunggu beberapa saat, dan kemudian pada restart ketujuh atau ke-10 setelah instalasi, malware akan menjalankan PC ke Safe Mode.

Karena perangkat lunak antivirus tidak beroperasi dalam Safe Mode — bahkan Antivirus Microsoft Defender Windows sendiri, alias Windows Defender — memulai PC ke Safe Mode memberi Crackonosh kesempatan untuk menyerang.

Jika mesin Anda tiba-tiba memiliki banyak malware, perangkat lunak antivirus Anda tidak dapat ditemukan di mana pun dan Anda belum menerima pembaruan Windows selama berbulan-bulan, Anda mungkin telah terinfeksi Crackonosh.

Menyingkirkannya tidak mudah — Avast memiliki serangkaian instruksi lengkap dalam laporannya, tetapi cukup teknis dan sebaiknya diserahkan kepada seseorang yang mengetahui seluk-beluk Windows Registry.

Yang terbaik adalah menghindari infeksi dengan tidak menginstal perangkat lunak bajakan. Jika Anda merasa benar-benar harus, maka pindai setiap penginstal perangkat lunak dengan perangkat lunak antivirus sebelum Anda menjalankannya.

Selengkapnya: Tom’s Guide

Microsoft mengatakan kelompok peretasan SolarWinds telah meretas tiga korban baru

by

Microsoft mengatakan pada hari Jumat bahwa mereka menemukan serangan siber baru yang dilakukan oleh Nobelium, nama kode yang diberikan perusahaan kepada kelompok peretasan yang disponsori negara Rusia yang bertanggung jawab atas peretasan SolarWinds tahun lalu.

Dalam kampanye baru-baru ini, Microsoft mengatakan kelompok itu menggunakan password spraying dan serangan brute force dalam upaya untuk menebak kata sandi dan mendapatkan akses ke akun pelanggan Microsoft.

Microsoft mengatakan kelompok itu melanggar tiga entitas, yang saat ini mereka beri tahu.

Nobelium, yang juga dilacak sebagai APT29, kini menjadi kelompok spionase siber kedua yang didukung Rusia yang menargetkan akun Microsoft dengan serangan brute force setelah kampanye serupa terlihat pada 2019 dan 2020 yang dilakukan oleh APT28.

Namun serangan brute-force yang diungkapkan hari ini hanyalah paruh pertama dari aktivitas Nobelium baru-baru ini. Selain itu, Microsoft mengatakan menemukan malware pencuri informasi di perangkat salah satu karyawannya yang bekerja sebagai agen dukungan pelanggan.

Microsoft mengatakan Nobelium menggunakan malware ini untuk mengumpulkan dan mencuri informasi akun dasar untuk sejumlah kecil pelanggannya yang disimpan di perangkat agen dukungan pelanggan.

Perangkat agen pelanggan telah diamankan, kata perusahaan tersebut.

Selengkapnya: The Record

Kerentanan Cisco ASA dieksploitasi secara aktif setelah eksploitasi dirilis

by

Peretas memindai dan secara aktif mengeksploitasi kerentanan di perangkat Cisco ASA setelah eksploitasi PoC dipublikasikan di Twitter.

Pada hari Kamis, para peneliti dari Tim Offensive Positive Technologies menerbitkan eksploitasi PoC untuk kerentanan Cisco ASA CVE-2020-3580 di Twitter.

Kerentanan Cisco ASA ini adalah kerentanan cross-site scripting (XSS) yang dilacak sebagai CVE-2020-3580.

Cisco pertama kali mengungkapkan kerentanan dan mengeluarkan perbaikan pada Oktober 2020. Namun, patch awal untuk CVE-2020-3580 tidak lengkap, dan perbaikan lebih lanjut dirilis pada April 2021.

Kerentanan ini dapat memungkinkan aktor ancaman yang tidak diautentikasi untuk mengirim email phishing yang ditargetkan atau tautan berbahaya ke pengguna perangkat Cisco ASA untuk menjalankan perintah JavaScript di browser pengguna.

“Eksploitasi yang berhasil dapat memungkinkan penyerang untuk mengeksekusi kode skrip dalam konteks antarmuka atau memungkinkan penyerang mengakses informasi sensitif berbasis browser,” kata penasihat Cisco.

Karena pelaku ancaman sekarang secara aktif mengeksploitasi kerentanan tersebut, sangat penting bagi administrator untuk segera menambal perangkat Cisco ASA yang rentan sehingga pelaku ancaman tidak dapat mengeksploitasinya.

Selengkapnya: Bleeping Computer

50.000 bencana keamanan menunggu untuk terjadi: Masalah pasokan air Amerika

by

Pada 15 Januari, seorang peretas mencoba meracuni pabrik pengolahan air yang melayani sebagian Wilayah Teluk San Francisco. Tampaknya tidak sulit.

Peretas memiliki nama pengguna dan kata sandi untuk akun TeamViewer mantan karyawan, menurut laporan pribadi yang disusun oleh Pusat Intelijen Regional California Utara pada bulan Februari dan dilihat oleh NBC News.

Setelah login, peretas yang nama dan motifnya tidak diketahui dan yang belum diidentifikasi oleh penegak hukum, menghapus program yang digunakan pabrik air untuk mengolah air minum. Peretasan tidak diketahui sampai hari berikutnya, dan fasilitas tersebut mengubah kata sandinya dan menginstal ulang program.

Insiden itu, yang belum pernah dilaporkan sebelumnya, adalah salah satu dari peningkatan jumlah serangan siber terhadap infrastruktur air AS yang baru-baru ini terungkap. Serangan Bay Area diikuti oleh serangan serupa di Oldsmar, Florida, beberapa minggu kemudian. Dalam kasus tersebut, yang menjadi berita utama di seluruh dunia, seorang peretas juga mendapatkan akses ke akun TeamViewer dan meningkatkan kadar alkali dalam air minum ke tingkat beracun. Seorang karyawan dengan cepat menangkap mouse komputer yang bergerak sendiri, dan membatalkan perubahan yang dilakukan peretas.

Penjahat telah meretas hampir setiap industri dan memeras perusahaan sesuka hati, termasuk yang menempati bagian penting dari rantai pasokan AS.

Tetapi dari semua infrastruktur penting negara, air mungkin yang paling rentan terhadap peretas: yang paling sulit untuk menjamin semua orang mengikuti langkah-langkah keamanan siber dasar, dan yang paling mudah menyebabkan kerugian besar di dunia nyata bagi banyak orang.

Infrastruktur air AS memang memiliki beberapa keamanan bawaan – terutama kurangnya sentralisasi. Peretasan air yang meluas akan sulit dilakukan, seperti peretasan pada pemilihan AS, karena setiap fasilitas berjalan secara independen, tidak bekerja bersama-sama dengan yang lain.

Selengkapnya: NBC News

Patch Bug Tor Browser untuk Mencegah Pelacakan Aktivitas Online Anda

by

Browser Tor open-source telah diperbarui ke versi 10.0.18 dengan perbaikan untuk beberapa masalah, termasuk bug yang merusak privasi yang dapat digunakan untuk pengguna sidik jari secara unik di berbagai browser berdasarkan aplikasi yang diinstal di komputer.

Selain memperbarui Tor ke 0.4.5.9, versi Android browser telah ditingkatkan ke Firefox ke versi 89.1.1, bersama dengan patch yang diluncurkan oleh Mozilla untuk beberapa kerentanan keamanan yang ditangani di Firefox 89.

Satu di antara masalah yang diperbaiki adalah serangan sidik jari baru yang terungkap bulan lalu. Dijuluki skema flooding, kerentanan memungkinkan situs web jahat untuk memanfaatkan informasi tentang aplikasi yang diinstal pada sistem untuk menetapkan pengidentifikasi unik permanen kepada pengguna bahkan ketika mereka beralih browser, menggunakan mode penyamaran, atau VPN.

Dengan kata lain, kelemahan ini memanfaatkan skema URL khusus di aplikasi sebagai vektor serangan, memungkinkan pelaku jahat untuk melacak pengguna perangkat di antara browser yang berbeda, termasuk Chrome, Firefox, Microsoft Edge, Safari, dan bahkan Tor, secara efektif menghindari lintas-browser perlindungan anonimitas di Windows, Linux, dan macOS.

Masalah ini memiliki implikasi serius terhadap privasi karena dapat dieksploitasi oleh musuh untuk membuka kedok pengguna Tor dengan menghubungkan aktivitas penjelajahan mereka saat mereka beralih ke browser non-anonim, seperti Google Chrome.

Selengkapnya: The Hacker News

Wormable DarkRadiation Ransomware Menargetkan Instance Linux dan Docker

by

Peneliti cybersecurity membunyikan bel alarm atas jenis ransomware baru yang disebut “DarkRadiation” yang diimplementasikan sepenuhnya di Bash dan menargetkan container cloud Linux dan Docker, sambil mengandalkan layanan perpesanan Telegram untuk komunikasi perintah dan kontrol (C2).

“Ransomware ditulis dalam skrip Bash dan menargetkan distribusi Red Hat/CentOS dan Debian Linux,” kata peneliti dari Trend Micro dalam sebuah laporan yang diterbitkan minggu lalu. Malware ini menggunakan algoritma AES OpenSSL dengan mode CBC untuk mengenkripsi file di berbagai direktori. Malware ini juga menggunakan API Telegram untuk mengirim status infeksi ke pelaku ancaman”.

Pada saat penulisan artikel ini, tidak ada informasi yang tersedia tentang metode pengiriman atau bukti bahwa ransomware telah digunakan dalam serangan dunia nyata.

Rantai infeksi DarkRadiation melibatkan proses serangan multi-tahap dan patut diperhatikan karena ketergantungannya yang luas pada skrip Bash untuk mengambil malware dan mengenkripsi file serta Telegram API untuk berkomunikasi dengan server C2 melalui kunci API yang di-hardcode.

Dikatakan sedang dalam tahap pengembangan, ransomware memanfaatkan taktik kebingungan untuk mengacak skrip Bash menggunakan alat sumber terbuka yang disebut “node-bash-obfuscate” untuk membagi kode menjadi beberapa bagian, diikuti dengan menetapkan nama variabel untuk setiap segmen dan mengganti skrip asli dengan referensi variabel.

Selengkapnya: The Hacker News

Laporan Ermetic Hampir 100% Perusahaan Mengalami Pelanggaran Data Cloud dalam 18 Bulan Terakhir

by

Menurut Survei IDC terhadap 200 Pengambil Keputusan Keamanan, 63% Organisasi Mengalami Paparan Data Sensitif.

PALO ALTO, Calif. & TEL AVIV, Israel, 23 Juni 2021–(BUSINESS WIRE)–Ermetic, perusahaan keamanan infrastruktur cloud, hari ini mengumumkan hasil studi penelitian yang dilakukan oleh firma intelijen pasar global IDC yang menemukan bahwa 98 % dari perusahaan yang disurvei telah mengalami setidaknya satu pelanggaran data cloud dalam 18 bulan terakhir dibandingkan dengan 79% tahun lalu. Sementara itu, 67% melaporkan tiga atau lebih pelanggaran tersebut, dan 63% mengatakan mereka memiliki data sensitif yang terekspos.

Menurut 200 CISO dan pembuat keputusan keamanan lainnya yang berpartisipasi dalam survei, hampir 60% menganggap kurangnya visibilitas serta identitas yang tidak memadai dan manajemen akses sebagai ancaman utama bagi infrastruktur cloud mereka.

Mereka menyebutkan risiko akses dan keamanan infrastruktur di antara prioritas keamanan cloud teratas mereka selama 18 bulan ke depan. Sementara itu, 85% organisasi mengatakan mereka berencana untuk meningkatkan pengeluaran keamanan mereka tahun ini, dengan porsi yang signifikan dialokasikan untuk keamanan infrastruktur cloud.

Strategi keamanan infrastruktur cloud yang efektif harus fokus pada identitas, izin, dan hak untuk benar-benar melindungi dari risiko.

Sementara banyak perusahaan menggunakan alat penyedia cloud komersial — dan bahkan gratis — untuk memenuhi kebutuhan keamanan cloud mereka, ini biasanya tidak memiliki visibilitas granular dan kemampuan analitik. Akibatnya, mereka tidak dapat menangkap dan mengungkap hak istimewa yang melekat pada identitas manusia dan mesin, dan tidak memiliki otomatisasi yang diperlukan untuk mengatasi masalah dalam skala besar dan menerapkan hak istimewa yang paling rendah.

Selengkapnya: Yahoo Finance

Repositori open source dapat menjadi vektor untuk kejahatan

by

Seorang peneliti telah menemukan paket palsu yang diunduh sekitar 5.000 kali dari repositori resmi Python berisi kode rahasia yang menginstal perangkat lunak cryptomining pada mesin yang terinfeksi.

Paket berbahaya, yang tersedia di repositori PyPI, dalam banyak kasus menggunakan nama yang meniru paket yang sah dan sering digunakan secara luas yang sudah tersedia di sana, Ax Sharma, seorang peneliti di perusahaan keamanan Sonatype melaporkan. Serangan typosquatting berhasil ketika target secara tidak sengaja salah mengetik nama seperti mengetik “mplatlib” atau “maratlib” alih-alih paket matplotlib yang sah dan populer.

Sharma mengatakan dia menemukan enam paket yang menginstal perangkat lunak cryptomining yang akan menggunakan sumber daya komputer yang terinfeksi untuk menambang cryptocurrency dan menyimpannya di dompet penyerang. Keenamnya diterbitkan oleh seseorang yang menggunakan nama pengguna PyPI nedog123, dalam beberapa kasus pada awal April. Paket dan nomor unduhan adalah:

  • maratlib: 2,371
  • maratlib1: 379
  • matplatlib-plus: 913
  • mllearnlib: 305
  • mplatlib: 318
  • learninglib: 626

Kode berbahaya terkandung dalam file setup.py dari masing-masing paket diatas. Ini menyebabkan komputer yang terinfeksi menggunakan ubqminer atau kriptominer T-Rex untuk menambang koin digital dan menyimpannya di alamat berikut: 0x510aec7f266557b7de753231820571b13eb31b57.

Selengkapnya: Ars Technica