Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cybersecurity

Cybersecurity

Kampanye Emotet Dimulai Kembali Setelah Hiatus Tujuh Minggu

by

Pada bulan Oktober, tiga gelombang spam yang sarat dengan Emotet downloader bekerja untuk menyebarkan malware ke sistem pengguna yang rentan, memulai rangkaian yang sering mengakibatkan infeksi ransomware Ryuk atau upaya untuk mencuri kredensial rekening bank melalui Trojan perbankan Trickbot.

Tujuh minggu setelah kampanye besar Emotet terakhir, para penjahat siber di belakang kampanye tersebut telah memulai upaya mereka untuk menyusupi lebih banyak sistem, menurut beberapa organisasi keamanan siber.

Tim anti-spam Abuse.ch mencatat pada 22 Desember bahwa aktivitas kelompok kejahatan siber telah meningkatkan tepat sebelum Natal. Sehari sebelumnya, penyedia keamanan perpesanan Proofpoint mencatat bahwa sistemnya melihat lebih dari 100.000 pesan dalam berbagai bahasa dan dengan berbagai lampiran atau tautan.

Kampanye terbaru dapat menyebabkan sistem yang dikompromikan dan ancaman terhadap jaringan bisnis, karena sebagian besar karyawan terus bekerja dari rumah.

“Apa yang membuat Emotet sangat berbahaya bagi organisasi adalah bahwa itu telah menjadi pijakan utama untuk penyebaran Trojan perbankan lainnya di masa depan,” kata Sherrod DeGrippo, direktur senior penelitian dan deteksi ancaman di Proofpoint. “Pada titik ini, Trojan perbankan arus utama dapat menyebabkan serangan ransomware yang menghancurkan”.

Sementara kampanye Emotet terbaru dimulai sekitar pertengahan Desember, aktivitas tersebut menjadi paling jelas dalam beberapa hari terakhir. Proofpoint mengeluarkan pernyataan singkat di Twitter pada 21 Desember yang juga menampilkan tangkapan layar dari manipulasi psikologis yang digunakan untuk mencoba membuat korban mematikan fitur Microsoft 365 yang memblokir dokumen berbahaya.

Sumber: Dark Reading

Perusahaan teknologi besar termasuk Intel, Nvidia, dan Cisco semuanya terinfeksi selama peretasan SolarWinds

by

Minggu lalu, tersiar kabar bahwa perusahaan manajemen TI SolarWinds telah diretas, diduga oleh pemerintah Rusia, dan departemen Keuangan, Perdagangan, Negara, Energi, dan Keamanan Dalam Negeri AS telah terpengaruh – dua di antaranya mungkin telah dicuri emailnya akibat peretasan tersebut.

The Wall Street Journal sekarang melaporkan bahwa beberapa perusahaan teknologi besar telah terinfeksi juga. Cisco, Intel, Nvidia, Belkin, dan VMware semuanya memiliki komputer di jaringan mereka yang terinfeksi malware.

Mungkin ada lebih banyak lagi: SolarWinds telah menyatakan bahwa “kurang dari 18.000” perusahaan terkena dampak, seolah-olah angka itu seharusnya meyakinkan, dan bahkan berusaha menyembunyikan daftar klien yang menggunakan perangkat lunak yang terinfeksi.

Ada berbagai macam alasan mengapa grup peretas mungkin ingin masuk ke sistem perusahaan teknologi besar, termasuk akses ke paket produk di masa mendatang atau informasi karyawan dan pelanggan yang dapat dijual atau ditahan untuk mendapatkan tebusan, dengan asumsi mereka benar-benar mencari info tersebut.

Namun, mungkin juga perusahaan-perusahaan ini hanyalah “bonus” karena kelompok peretas ini mengejar lembaga pemerintah, yang kebetulan menggunakan sistem manajemen TI yang disediakan SolarWinds.

Sumber: The Verge

Petani mendapatkan panduan keamanan mereka sendiri seiring dengan meningkatnya serangan siber

by

Pusat Keamanan Siber Nasional Inggris (NCSC) telah mengeluarkan panduan pertama kali bagi para petani untuk membantu melindungi industri mereka dari malware dan ransomware.

Dengan memperhatikan masa depan pertanian dan teknologi, NCSC telah menerbitkan panduan untuk membantu sektor pertanian menanggapi ancaman yang sama yang dihadapi banyak organisasi lain. NCSC mencatat sistem utama yang digunakan di sektor ini termasuk email, alat akun online, sistem pembayaran online, serta peralatan pertanian yang terhubung ke internet yang dapat mengalami serangan siber.

Panduan baru dikembangkan bersama Serikat Petani Nasional (NFU), yang mendesak petani untuk meninjau dokumen tersebut.

Panduan tersebut meminta sektor pertanian untuk mempertimbangkan semua aspek bisnis mereka yang disentuh oleh teknologi jaringan saat ini, mulai dari mesin otomatis hingga kamera keamanan dan smartphone – pada dasarnya setiap bagian dari teknologi yang membantu petani menjalankan bisnis mereka.

Dokumen tersebut menguraikan risiko yang dihadapi petani dari serangan ransomware, yang mencakup membuat perangkat tidak dapat digunakan, melumpuhkan kendaraan pertanian, kehilangan data, gangguan pada sistem otomatis, dan membocorkan data rahasia pertanian.

Sumber: ZDNet

Microsoft dan McAfee menjadi berita utama ‘Ransomware Task Force’ yang baru dibentuk

by

Sebuah kelompok yang terdiri dari 19 perusahaan keamanan, perusahaan teknologi, dan nirlaba, yang dipimpin oleh nama-nama besar seperti Microsoft dan McAfee, telah mengumumkan pada hari Senin rencana untuk membentuk koalisi baru untuk menghadapi meningkatnya ancaman ransomware.

Dinamakan Ransomware Task Force (RTF), grup baru ini akan fokus pada penilaian solusi teknis yang ada yang memberikan perlindungan selama serangan ransomware.

RTF akan menugaskan pelaksana ahli tentang topik tersebut, melibatkan pemangku kepentingan di seluruh industri, mengidentifikasi celah dalam solusi saat ini, dan kemudian mengerjakan peta jalan umum untuk menangani masalah di antara semua anggota.

Hasil akhirnya harus berupa kerangka kerja standar untuk menangani serangan ransomware di seluruh vertikal, yang didasarkan pada konsensus industri daripada saran individu yang diterima dari kontraktor tunggal.

Saat ini, ransomware bukanlah bentuk malware yang paling tersebar luas maupun jenis serangan siber yang menyebabkan kerugian finansial terbesar bagi perusahaan setiap tahun. Gelar tersebut jatuh ke penipuan BEC, menurut FBI.

Namun demikian, ransomware masih menjadi ancaman utama dan tren yang terus meningkat, dengan permintaan tebusan yang terus meningkat dari kuartal ke kuartal.

Sumber: ZDNet

VMware mengkonfirmasi adanya pelanggaran dalam kampanye peretasan SolarWinds

by

VMware adalah perusahaan terbaru yang mengonfirmasi bahwa sistemnya telah dilanggar dalam serangan SolarWinds baru-baru ini tetapi membantah upaya eksploitasi lebih lanjut.

Perusahaan mengatakan bahwa para peretas tidak melakukan upaya apa pun untuk mengeksploitasi akses mereka lebih lanjut setelah menggunakan backdoor yang sekarang dilacak sebagai Sunburst atau Solarigate.

“Meskipun kami telah mengidentifikasi contoh terbatas dari perangkat lunak SolarWinds Orion yang rentan di lingkungan internal kami sendiri, penyelidikan internal kami sendiri belum mengungkapkan indikasi eksploitasi,” kata perusahaan itu dalam sebuah pernyataan.

“Ini juga telah dikonfirmasi oleh investigasi SolarWinds sendiri hingga saat ini,” tambah VMware.

VMware juga membantah laporan media bahwa kerentanan zero-day di beberapa produk VMware yang dilaporkan oleh NSA digunakan sebagai vektor serangan tambahan selain platform SolarWinds Orion untuk mengganggu target profil tinggi.

Kerentanan yang dilacak sebagai CVE 2020-4006 telah diungkapkan secara publik pada bulan November dan ditangani selama awal Desember.

Meskipun CVE-2020-4006 tidak disalahgunakan dalam pelanggaran apa pun yang terkait dengan serangan rantai pasokan SolarWinds, VMware mengatakan bahwa semua pelanggan harus menerapkan pembaruan keamanan untuk produk yang terpengaruh.

Sumber: Bleeping Computer

Security Breach yang menimpa Microsoft Azure menyebabkan ribuan data pelanggan terungkap

by

Berkat praktik keamanan yang dipertanyakan oleh pengembang aplikasi, lebih dari setengah juta dokumen sensitif pelanggannya terungkap di Internet. Dokumen tersebut disimpan di penyimpanan blob Microsoft Azure yang tidak dilindungi dan dapat dilihat oleh siapa saja yang memiliki alamat langsung dari file tersebut, tanpa otentikasi apa pun.

Penyimpanan Azure Blob adalah fitur Microsoft Azure yang memungkinkan pengguna menyimpan data tidak terstruktur dalam jumlah besar di platform penyimpanan data Microsoft.

Blob tidak aman tersebut dikelola oleh pengembang aplikasi berbasis di Surrey, Probase dan menurut The Register, itu berisi 587.000 file, mulai dari email yang di-backup hingga surat, spreadsheet, tangkapan layar, dan banyak lagi.

Blob tersebut berisi penilaian kesehatan kerja, dokumen klaim asuransi dari perusahaan AS yang ditanggung oleh Lloyds of London, dan pendapat pribadi pengacara senior tentang rekan junior yang mengajukan promosi.

Namun yang lebih mengkhawatirkan, blob itu juga menyertakan dokumentasi keamanan pengiriman FedEx, bersama dengan data medis yang sangat sensitif, dan setidaknya satu paspor yang telah dipindai.

Saat dimintai keterangan, direktur Probase Paul Brown, tidak berkomentar tentang berapa lama blob tersebut tidak diamankan, tetapi mengatakan bahwa mereka bekerja sama dengan Kantor Komisaris Informasi untuk menyelesaikan masalah tersebut.

Sumber: Tech Radar

Sekitar 50 perusahaan ‘benar-benar terpengaruh’ oleh serangan siber yang menimpa AS

by

Kevin Mandia, CEO FireEye, mengatakan bahwa sementara sekitar 18.000 organisasi memiliki kode berbahaya di jaringan mereka, ada 50 organisasi yang mengalami pelanggaran besar.

Departemen Keuangan AS dan departemen keamanan dalam negeri, negara bagian dan pertahanan diketahui telah menjadi sasaran. Menteri Luar Negeri AS Mike Pompeo menyalahkan Rusia atas peretasan tersebut.

Mr Mandia mengatakan kepada CBS News bahwa serangan siber “sangat konsisten” dan dikaitkan dengan pekerjaan badan intelijen luar negeri Rusia, SVR.

“Saya pikir ini adalah orang-orang yang kami tangani di tahun 90-an, di awal tahun 2000-an. Ini adalah permainan yang berkelanjutan di dunia maya,” katanya.

Terlepas dari penolakan Rusia atas klaim “tak berdasar”, banyak komunitas intelijen AS mencurigai pemerintah Rusia yang bertanggung jawab atas peretasan besar ini.

Seperti yang telah diberitakan baru-baru ini, peretas berhasil mendapatkan akses ke organisasi besar dengan mengorbankan perangkat lunak manajemen jaringan yang dikembangkan oleh perusahaan IT SolarWinds yang berbasis di Texas.

Akses tersebut dapat memungkinkan para peretas untuk mengambil kendali tingkat tinggi atas jaringan organisasi yang menggunakan perangkat lunak tersebut, namun tampaknya telah digunakan untuk mencuri data daripada untuk dampak yang mengganggu atau merusak.

Beberapa organisasi lain di seluruh dunia, termasuk di Inggris, diketahui telah menjadi sasaran peretas yang menggunakan perangkat lunak manajemen jaringan yang sama.

Sumber: BBC

Grup peretasan kedua telah menargetkan sistem SolarWinds

by

Ketika bukti forensik perlahan-lahan digali setelah serangan rantai pasokan SolarWinds, peneliti keamanan telah menemukan pelaku ancaman kedua yang telah mengeksploitasi perangkat lunak SolarWinds untuk menanam malware di jaringan perusahaan dan pemerintah.

Rincian tentang aktor ancaman kedua ini masih langka, tetapi peneliti keamanan tidak percaya entitas kedua ini terkait dengan dugaan peretas yang didukung pemerintah Rusia yang melanggar SolarWinds untuk memasukkan malware ke dalam aplikasi resmi Orion.

Malware yang digunakan dalam serangan asli, dengan nama sandi Sunburst (atau Solorigate), dikirimkan ke pelanggan SolarWinds sebagai pembaruan yang di-boobytrapped untuk aplikasi Orion.

Tetapi dalam beberapa hari pertama setelah pengungkapan publik dari peretasan SolarWinds, laporan awal menyebutkan dua muatan tahap kedua.

Laporan dari Guidepoint, Symantec, dan Palo Alto Networks merinci bagaimana penyerang juga menanam web shell .NET bernama Supernova. Peneliti keamanan percaya bahwa penyerang menggunakan web shell Supernova untuk mengunduh, mengkompilasi, dan mengeksekusi skrip Powershell yang berbahaya (yang oleh beberapa orang dinamai CosmicGale).

Namun, dalam analisis tindak lanjut dari tim keamanan Microsoft, sekarang diklarifikasi bahwa web shell Supernova bukan bagian dari rantai serangan asli.

Kebingungan bahwa Supernova terkait dengan rantai serangan Sunburst + Teardrop berasal dari fakta bahwa sama seperti Sunburst, Supernova menyamar sebagai DLL untuk aplikasi Orion – dengan Sunburst disembunyikan di dalam file SolarWinds.Orion.Core.BusinessLayer.dll dan Supernova di dalam App_Web_logoimagehandler.ashx.b6031896.dll.

Sumber: ZDNet