Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cybersecurity

Cybersecurity

Ransomware AustraliaNewVarian ESXiArgs Baru Muncul Setelah CISA Merilis Alat Decryptor

by

Setelah Cybersecurity and Infrastructure Security Agency (CISA) AS merilis dekripsi untuk korban yang terkena dampak untuk pulih dari serangan ransomware ESXiArgs, pelaku ancaman telah bangkit kembali dengan versi terbaru yang mengenkripsi lebih banyak data.

Dilaporkan oleh administrator sistem di forum online, varian baru ini memiliki file yang lebih besar dari 128MB akan memiliki 50% data terenkripsi, membuat proses pemulihan lebih menantang.

Perubahan penting lainnya adalah penghapusan alamat Bitcoin dari catatan tebusan. Penyerang mendesak korban untuk menghubungi mereka di Tox untuk mendapatkan informasi wallet.

Saatv peneliti sedang melacak pembayaran dan mungkin telah mengetahui sebelum merilis ransomware bahwa proses enkripsi dalam varian asli relatif mudah untuk dielakkan, pelaku ancaman mengetahui itu.

Sebanyak 1.252 server telah terinfeksi oleh versi baru ESXiArgs per 9 Februari 2023, 1.168 di antaranya adalah infeksi ulang. Dan lebih dari 3.800 host unik telah disusupi.

Sebagian besar infeksi berlokasi di Prancis, AS, Jerman, Kanada, Inggris, Belanda, Finlandia, Turki, Polandia, dan Taiwan.

Aspek penting yang membedakan ESXiArgs dari keluarga ransomware lainnya adalah tidak adanya situs kebocoran data, yang menunjukkan bahwa itu tidak berjalan di model ransomware-as-a-service (RaaS).

Total Host ESXiArgs yang Terinfeksi Kembali
Total Host ESXiArgs yang Terinfeksi Kembali, 23 Feb 2023

Perusahaan keamanan siber Rapid7 menemukan 18.581 server ESXi yang terhubung ke internet yang rentan terhadap CVE-2021-21974.

Selengkapnya: The Hacker News

Hacker Rusia mencoba masuk ke ChatGPT, kata Check Point

by Leave a Comment

Situasi ChatGPT tidak seperti yang menyebabkan ancaman EternalBlue 2017 yang merupakan hasil dari kebocoran kode dari lab. Sebaliknya, kata Nicoletti, penggunaan ChatGPT adalah “penggunaan platform yang umumnya terbuka oleh banyak pihak yang berbeda,” mirip dengan banyak kasus penggunaan arsitektur model AI dalam komunitas riset.

Nicoletti mencatat bahwa di Reddit, upaya eksploitasi telah muncul yang disebut DAN, untuk “lakukan apa saja sekarang”, yang akan menggunakan prompt obrolan untuk memanipulasi ChatGPT agar menghasilkan teks yang lolos dari pagar pembatas yang dipasang oleh OpenAI untuk mencegahnya menghasilkan beberapa teks seperti ujaran kebencian.

Nicoletti mengatakan tidak pasti apakah ada eksploitasi zero-day yang muncul untuk ChatGPT. Vektor serangan yang paling mungkin, ketika eksploit akhirnya muncul, akan menjadi bentuk serangan phishing yang ditingkatkan, katanya.

“Ini akan sangat ditargetkan kepada Anda, karena mereka sudah memiliki data bank Anda, tetapi sekarang mereka dapat membuat bahasa yang jauh lebih spesifik agar relevan bagi Anda, dan bagi setiap korban,” kata Nicoletti, membandingkan pendekatan tersebut dengan pendekatan “sempit- casting” jenis layanan data yang memungkinkan penargetan massal.

Selama presentasi utama Check Point pada hari yang sama, pendiri dan CEO Gil Shwed menyatakan bahwa 2023 akan menjadi “Tahun AI” dan bahwa produk perusahaan akan semakin banyak menggunakan AI di seluruh lini.

sumber : zdnet

Biden Menambahkan Mandia dan Eksekutif Keamanan Siber Lainnya ke Komite Penasihat

by

Presiden Joe Biden menambahkan beberapa eksekutif keamanan siber ke Komite Penasihat Telekomunikasi Keamanan Nasional (NSTAC), yang memberi nasihat kepada Gedung Putih tentang masalah keamanan nasional dan kesiapsiagaan darurat.

CEO Mandiant Kevin Mandia, CEO Rapid7 Corey Thomas, dan CEO Trellix Bryan Palma ditambahkan ke komite bersama beberapa eksekutif keamanan siber lainnya, termasuk Wakil Presiden Kebijakan Keamanan Microsoft Scott Charney, Comcast CISO Noopur Davis dan Cox Communications CISO Kimberly Keever.

Menunjuk Charney sebagai ketua komite dengan Jeffrey Storey sebagai wakil ketua.

NSTAC terdiri dari hingga 30 eksekutif senior yang ditunjuk oleh presiden secara tradisional dari industri telekomunikasi. Dalam beberapa tahun terakhir, panitia telah memainkan peran kunci dalam meningkatkan keamanan internet.

Pihak Gedung Putih menyatakan bahwa orang-orang yang ditunjuk akan bergabung dengan anggota NSTAC yang ditunjuk sebelumnya untuk memberikan solusi keamanan nasional dan kesiapsiagaan darurat dengan memberikan rekomendasi kebijakan inovatif yang didukung oleh perspektif industri yang unik.

Komite biasanya mengirimkan laporan terperinci ke Gedung Putih tentang berbagai masalah yang terkait dengan teknologi. Laporan tersebut ditugaskan setelah serangan ransomware di Colonial Pipeline.

Mereka sebelumnya telah membahas topik seperti rantai pasokan perangkat lunak, kerangka kerja tanpa kepercayaan, dan keamanan jaringan 5G.

Gedung Putih juga bersiap untuk menerbitkan “Strategi Keamanan Siber Nasional” yang diduga akan membuat perubahan signifikan terhadap pendekatan pemerintah terhadap keamanan siber.

Selengkapnya: The Record

Ransomware ESXiArgs Mencapai Lebih Dari 3.800 Server Saat Hacker Terus Meningkatkan Malware

by

Lebih dari 3.800 server di seluruh dunia telah disusupi dalam serangan ransomware ESXiArgs baru-baru ini, mencakup proses yang ditingkatkan.

Beberapa perkembangan baru dalam kasus serangan tersebut termasuk terkait dengan metode enkripsi yang digunakan oleh malware, korban, dan kerentanan yang dieksploitasi oleh para hacker.

Setelah CISA mengumumkan ketersediaan alat open source tersebut, FBI dan CISA merilis dokumen yang memberikan panduan pemulihan.

Saat ini, mesin pencari Shodan dan Censys menunjukkan 1.600-1.800 server yang diretas dan terdapat indikasi bahwa banyak organisasi yang terkena dampak telah mulai menanggapi serangan tersebut dan membersihkan sistem mereka.

Analisis Reuters menetapkan bahwa para korban termasuk Mahkamah Agung Florida dan universitas di Amerika Serikat dan Eropa.

Analisis malware enkripsi file yang digunakan dalam serangan itu menunjukkan bahwa malware tersebut menargetkan file yang terkait dengan mesin virtual (VM). Para ahli memperhatikan bahwa ransomware lebih menargetkan file konfigurasi VM, tetapi tidak mengenkripsi file datar yang menyimpan data, memungkinkan beberapa pengguna memulihkan data mereka.

Hingga saat ini, ransomware tidak mengenkripsi sebagian besar data dalam file besar, tetapi versi baru malware mengenkripsi data dalam jumlah yang jauh lebih signifikan dalam file besar. Para peneliti juga belum menemukan kekurangan dalam enkripsi yang sebenarnya.

Diasumsikan bahwa serangan ESXiArgs memanfaatkan CVE-2021-21974 untuk akses awal, sebuah kerentanan eksekusi koderemote dengan tingkat keparahan tinggi di VMware ESXi yang ditambal oleh VMware pada Februari 2021.

VMware belum mengonfirmasi eksploitasi itu, tetapi dikatakan bahwa tidak ada bukti kerentanan zero-day yang dimanfaatkan dalam serangan tersebut.

Namun, GreyNoise menunjukkan bahwa beberapa kerentanan terkait OpenSLP telah ditemukan di ESXi dalam beberapa tahun terakhir, dan salah satunya dapat dieksploitasi dalam serangan ESXiArgs, termasuk CVE-2020-3992 dan CVE-2019-5544.

Selengkapnya: Security Week

Temui kru spionase Rusia yang produktif yang meretas spymaster dan anggota parlemen

by

Kelompok peretas terkenal yang diduga memiliki hubungan dengan dinas intelijen Rusia telah mengklaim korban terbarunya: anggota parlemen Inggris Stewart McDonald.

McDonald, anggota Parlemen untuk daerah pemilihannya di Glasgow South, mengatakan kepada BBC News bahwa dia khawatir telah menjadi korban kampanye “disinformasi” setelah akun email pribadinya “diretas oleh Rusia”.

McDonald mengatakan para peretas mengirim dokumen yang mengaku menyertakan pembaruan militer di Ukraina, tetapi ketika dibuka berisi halaman phishing yang menipunya untuk memasukkan alamat email dan kata sandinya.

Intrusi tersebut diyakini terkait dengan kelompok peretasan “Seaborgium” yang produktif, juga disebut sebagai “Cold River” dan “Calisto.”

Seaborgium mungkin tidak setenar peretas Fancy Bear atau Sandworm Rusia, tetapi ia dengan cepat membuat nama untuk dirinya sendiri.

Pemerintah Inggris telah memperingatkan upaya “kejam” kelompok itu untuk mengejar korbannya, dan peneliti keamanan mengatakan daftar target geng yang terus bertambah – termasuk politisi, organisasi pertahanan dan pemerintah – menunjukkan bahwa Seaborgium terkait erat dengan negara Rusia.

Kelompok peretasan Seaborgium telah aktif setidaknya sejak 2017 dan dikenal melakukan kampanye spionase dunia maya jangka panjang terhadap negara-negara NATO, khususnya AS dan Inggris, tetapi juga lebih jauh seperti Baltik, Nordik, dan Eropa Timur.

Pusat Intelijen Ancaman Microsoft, atau MSTIC, yang telah melacak grup tersebut sejak awal, menilai bahwa Seaborgium adalah grup yang berbasis di Rusia dengan “tujuan dan viktimologi” yang sejalan erat dengan kepentingan negara Rusia.

Selengkapnya: TechCrunch

Sekarang Setelah Hydra Hilang, Perdagangan Narkoba Jaring Gelap Berbasis Kripto Masih Mencoba untuk Kembali

by

Sebuah laporan Kamis baru oleh perusahaan analisis blockchain Chainalysis mengatakan bahwa pendapatan tahun-ke-tahun dari pasar jaringan gelap dipotong setengahnya.

Pada tahun 2021, aktor jahat dan pengedar narkoba internasional ini menghasilkan $3,1 miliar dalam crypto melalui sumber web gelap ini, tetapi pada tahun 2022, mereka hanya menghasilkan sekitar $1,5 miliar. Dari jumlah itu, $1,3 miliar berasal dari perdagangan narkoba.

Pada bulan April tahun lalu, polisi Jerman mengumumkan bahwa mereka telah bekerja sama dengan badan-badan Departemen Kehakiman AS, termasuk FBI dan Badan Penegakan Narkoba, untuk menjatuhkan jaringan gelap pasar obat-obatan Hydra.

Toko serba berbahasa Rusia untuk obat-obatan terlarang dan alat peretasan sejauh ini merupakan sumber obat-obatan terlarang online terbesar.

Itu sudah ada sejak 2015, dan sejak itu telah terhubung ke proyek crypto lain yang diduga ilegal. Dengan ketinggiannya, ia memiliki 93% cengkeraman pada semua nilai dari ekosistem jaring gelap.

Polisi mengatakan bahwa layanan dark net bertanggung jawab atas penjualan narkoba senilai $1,3 miliar pada tahun 2020 saja.

Laporan Chainalysis mencatat bahwa Hydra Marketplace masih menjadi pasar dengan pendapatan kotor tertinggi pada tahun 2022, meskipun sudah mati lebih awal.

Terlepas dari anggukan situs mati untuk binatang mitos Yunani, bahwa jika Anda memotong satu kepala, dua tumbuh di tempatnya, tidak ada pasar obat lain yang mengalahkan pendapatan empat bulan Hydra yang memimpin sepanjang tahun.

Selengkapnya: GIZMODO

AS, Inggris memberikan sanksi kepada peretas Rusia dalam serangan ransomware

by

Amerika Serikat dan Inggris pada hari Kamis bersama-sama memberikan sanksi kepada tujuh peretas yang terkait dengan pemerintah Rusia yang terkait dengan serangan ransomware terhadap infrastruktur penting di AS, Inggris, dan Ukraina.

Sanksi tersebut merupakan upaya terbaru oleh negara-negara Barat untuk menindak operasi peretasan Rusia, yang melonjak dalam setahun terakhir sebagai akibat dari invasi Rusia ke Ukraina dan meningkatnya ketegangan dengan Barat.

Ketujuh orang Rusia yang dijatuhi sanksi — Vitaly Kovalev, Maksim Mikhailov, Valentin Karyagin, Mikhail Iskritskiy, Dmitry Pleshevskiy, Ivan Vakhromeyev, dan Valery Sedletski — semuanya diduga oleh Departemen Keuangan AS sebagai anggota kelompok penjahat dunia maya Trickbot yang berbasis di Rusia. Mereka diduga berada di balik serangan terhadap infrastruktur kritis, termasuk rumah sakit di AS dan Inggris selama pandemi Covid-19, dan terkait dengan dinas intelijen Rusia.

Selain itu, Trickbot dikaitkan oleh IBM tahun lalu dengan serangan dunia maya pada tahun 2022 terkait dengan perang yang ditujukan pada pemerintah Ukraina dan kelompok sektor swasta dan, menurut Departemen Keuangan, juga diduga menargetkan pemerintah AS dan perusahaan AS.

“Amerika Serikat dan Inggris adalah pemimpin dalam perang global melawan kejahatan dunia maya dan berkomitmen untuk menggunakan semua alat yang tersedia untuk mempertahankan diri dari ancaman dunia maya,” kata Menteri Luar Negeri Antony Blinken dalam sebuah pernyataan Kamis. “Saat perang ilegal Rusia melawan Ukraina berlanjut, kerja sama dengan sekutu dan mitra kami menjadi lebih penting dari sebelumnya untuk melindungi keamanan nasional kami.”

Selengkapnya: POLITICO

Screentime: Terkadang Rasanya Seperti Seseorang Mengawasi Saya

by

Sejak Oktober 2022 dan berlanjut hingga Januari 2023, Proofpoint telah mengamati sekelompok aktivitas yang termotivasi secara finansial yang berkembang yang kami sebut sebagai “Screentime”.

Rantai serangan dimulai dengan email yang berisi lampiran atau URL berbahaya dan mengarah ke malware yang dijuluki Proofpoint WasabiSeed dan Screenshotter. Dalam beberapa kasus, Proofpoint mengamati aktivitas pasca eksploitasi yang melibatkan AHK Bot dan Rhadamanthys Stealer.

Proofpoint sedang melacak aktivitas ini di bawah penunjukan aktor ancaman TA866. Proofpoint menilai bahwa TA866 adalah aktor terorganisir yang mampu melakukan serangan yang dipikirkan dengan baik dalam skala besar berdasarkan ketersediaan alat khusus; kemampuan dan koneksi untuk membeli alat dan layanan dari vendor lain; dan meningkatkan volume aktivitas.

Pada tanggal 23-24 Januari 2023, Proofpoint mengamati puluhan ribu pesan email yang menargetkan lebih dari seribu organisasi. Pesan menargetkan organisasi di AS dan Jerman. Email tersebut tampaknya menggunakan pembajakan utas, iming-iming “periksa presentasi saya”, dan berisi URL jahat yang memulai rantai serangan multi-langkah.

Selengkapnya: proofpoint