Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cybersecurity

Cybersecurity

Malware Infostealer Aurora Semakin Diadopsi Oleh Cybergangs

by

Cybercriminals beralih ke pencuri informasi berbasis Go-based bernama ‘Aurora’ untuk mencuri informasi sensitif dari browser dan aplikasi cryptocurrency, mengekstraksi data langsung dari disk, dan memuat muatan tambahan.

Latar belakang peningkatan popularitas Aurora yang tiba-tiba ini adalah tingkat deteksi yang rendah dan status yang tidak diketahui secara umum, membuat infeksinya cenderung tidak terdeteksi.

Aurora menawarkan fitur pencurian data tingkat lanjut dan mungkin stabilitas infrastruktur dan fungsional.

Sejarah Aurora
Aurora pertama kali diumumkan pada April 2022 di forum berbahasa Rusia, diiklankan sebagai proyek botnet dengan fitur mencuri informasi dan akses jarak jauh yang canggih.

Namun, pada akhir Agustus 2022, SEKOIA menyadari bahwa Aurora diiklankan sebagai pencuri, sehingga proyek tersebut mengabaikan tujuannya untuk membuat alat multifungsi.

Fitur utama yang tercantum dalam postingan promosi adalah:

  • Kompilasi polimorfik yang tidak memerlukan pembungkus crypter
  • Dekripsi data sisi server
  • Menargetkan lebih dari 40 dompet cryptocurrency
  • Pengurangan frase seed otomatis untuk MetaMask
  • Reverse lookup untuk pengumpulan kata sandi
  • Berjalan pada soket TCP
  • Berkomunikasi dengan C2 hanya sekali, selama pemeriksaan lisensi
  • Muatan kecil yang sepenuhnya asli (4,2 MB) tidak memerlukan ketergantungan

Fitur-fitur di atas diarahkan pada kemampuan sembunyi-sembunyi tingkat tinggi, yang merupakan keunggulan utama Aurora dibandingkan pencuri info populer lainnya.

Biaya untuk menyewa malware ditetapkan menjadi $250 per bulan atau $1.500 untuk lisensi seumur hidup.

Analisis Pencuri
Setelah eksekusi, Aurora menjalankan beberapa perintah melalui WMIC untuk mengumpulkan informasi host dasar, mengambil gambar desktop, dan mengirimkan semuanya ke C2.

Perintah yang dijalankan Aurora saat diluncurkan
Sumber: SEKOIA

Selanjutnya, malware menargetkan data yang disimpan di beberapa browser (cookie, kata sandi, riwayat, kartu kredit), ekstensi browser cryptocurrency, aplikasi desktop dompet cryptocurrency, dan Telegram.

Aplikasi dompet desktop yang ditargetkan termasuk Electrum, Ethereum, Exodus, Zcash, Armory, Bytecoin, Guarda, dan Jaxx Liberty.

Para analis mengamati pemuat malware Aurora yang menggunakan “net_http_Get” untuk menjatuhkan muatan baru ke sistem file menggunakan nama acak dan kemudian menggunakan PowerShell untuk menjalankannya.

Distribusi saat ini
Saat ini, Aurora didistribusikan kepada para korban melalui berbagai saluran, yang diharapkan dengan melibatkan tujuh operator berbeda.

SEKOIA mengetahui bahwa situs phishing mata uang kripto dipromosikan melalui email phishing dan video YouTube yang tertaut ke perangkat lunak palsu dan situs katalog curang.

Sumber : bleeping computer

Aplikasi dengan lebih dari 3 juta pemasangan membocorkan kunci API pencarian ‘Admin’

by

Para peneliti menemukan 1.550 aplikasi seluler membocorkan kunci API Algolia. Dari aplikasi tersebut, 32 diantaranya mengungkapkan rahasia admin, termasuk 57 kunci admin, memberi penyerang cara untuk mengakses informasi pengguna yang sensitif atau mengubah catatan dan pengaturan indeks aplikasi.

Penemuan eksposur ini berasal dari perusahaan keamanan siber yang berbasis di Singapura, CloudSEK.

Algolia API (Application Program Interface) adalah platform berpemilik untuk mengintegrasikan mesin telusur dengan fitur penemuan dan rekomendasi di situs web dan aplikasi yang digunakan oleh lebih dari 11.000 perusahaan.

Sistem menggunakan lima kunci API untuk Admin, Penelusuran, Pemantauan, Penggunaan, dan Analitik. Dari kunci tersebut, hanya Penelusuran yang dimaksudkan untuk publik dan tersedia di kode front-end, membantu pengguna melakukan kueri penelusuran di aplikasi.

Kunci Pemantauan memberi admin gambaran sekilas tentang status kluster mereka, Penggunaan dan Analitik memberikan statistik penggunaan, sedangkan kunci Admin menawarkan akses ke empat layanan kunci API lainnya, serta yang berikut ini:

  • Telusuri/Hapus indeks
  • Tambah/Hapus catatan
  • Daftar indeks
  • Atur pengaturan indeks
  • Log akses
  • Atribut yang tidak dapat diperbaiki

Menyalahgunakan layanan di atas dapat mengekspos data yang berisi perangkat pengguna dan detail akses jaringan, statistik penggunaan, log pencarian, dan manipulasi informasi terkait.

Pemindai otomatis CloudSEK menemukan bahwa 1.550 aplikasi membocorkan kunci Algolia API dan ID aplikasi, mempertaruhkan akses tidak sah ke informasi internal.

32 aplikasi yang membocorkan kunci Admin API lebih kritis, karena mereka mengekspos penggunanya ke risiko kebocoran data dan database ke modifikasi berbahaya yang dapat menimbulkan kerugian bisnis.

Aplikasi yang memperlihatkan kunci Algolia Admin API memiliki sekitar 3.250.000, dengan beberapa aplikasi masing-masing memiliki lebih dari satu juta unduhan.

Kategori yang paling rentan terkena kunci adalah aplikasi belanja, yang diunduh secara kolektif sebanyak 2,3 juta kali. Sedangkan kategori lain termasuk aplikasi berita, makanan dan minuman, pendidikan, kebugaran, fotografi, gaya hidup, produktivitas, medis, dan aplikasi bisnis, diunduh secara kolektif lebih dari 950.000 kali.

Sumber: Bleeping Computer

Microsoft Memperingatkan Peretas Menggunakan Iklan Google untuk Mendistribusikan Royal Ransomware

by

Kluster aktivitas ancaman yang sedang berkembang telah ditemukan menggunakan Google Ads di salah satu kampanyenya untuk mendistribusikan berbagai muatan pasca-kompromi, termasuk ransomware Royal yang baru ditemukan.

Microsoft, yang melihat metode pengiriman malware yang diperbarui pada akhir Oktober 2022, melacak grup tersebut dengan nama DEV-0569.

Pelaku ancaman diketahui mengandalkan malvertising untuk mengarahkan korban yang tidak menaruh curiga ke tautan pengunduh malware yang berperan sebagai penginstal perangkat lunak untuk aplikasi yang sah seperti Adobe Flash Player, AnyDesk, LogMeIn, Microsoft Teams, dan Zoom.

Pengunduh malware, jenis yang disebut BATLOADER, adalah penetes yang berfungsi sebagai saluran untuk mendistribusikan muatan tahap berikutnya. Telah diamati untuk berbagi tumpang tindih dengan malware lain yang disebut ZLoader.

Analisis BATLOADER baru-baru ini oleh eSentire dan VMware menyebut siluman dan kegigihan malware, selain penggunaan peracunan optimisasi mesin pencari (SEO) untuk memikat pengguna mengunduh malware dari situs web yang disusupi atau domain yang dibuat penyerang.

Alternatifnya, tautan phishing dibagikan melalui email spam, halaman forum palsu, komentar blog, dan bahkan formulir kontak yang ada di situs web organisasi yang ditargetkan.

Penggunaan Google Ads untuk mengirimkan BATLOADER secara selektif menandai diversifikasi vektor distribusi DEV-0569, memungkinkannya menjangkau lebih banyak target dan mengirimkan muatan malware, kata perusahaan tersebut.

Memposisikan grup untuk berfungsi sebagai broker akses awal untuk operasi ransomware lainnya, bergabung dengan malware seperti Emotet, IcedID, Qakbot.

“Karena skema phishing DEV-0569 menyalahgunakan layanan yang sah, organisasi juga dapat memanfaatkan aturan aliran email untuk menangkap kata kunci yang mencurigakan atau meninjau pengecualian yang luas, seperti yang terkait dengan rentang IP dan daftar izin tingkat domain,” kata Microsoft.

Sumber : the hacker news

Peretas ‘Mustang Panda’ Cina Secara Aktif Menargetkan Pemerintah di Seluruh Dunia

by

Seorang aktor ancaman gigih terkenal yang dikenal sebagai Mustang Panda telah dikaitkan dengan serentetan serangan spear-phishing yang menargetkan sektor pemerintah, pendidikan, dan penelitian di seluruh dunia.

Sasaran utama intrusi dari Mei hingga Oktober 2022 termasuk negara-negara di kawasan Asia Pasifik seperti Myanmar, Australia, Filipina, Jepang, dan Taiwan, kata perusahaan keamanan siber Trend Micro dalam laporan Jumat.

Dalam beberapa kasus, pesan phishing dikirim dari akun email yang sebelumnya disusupi milik entitas tertentu, menunjukkan upaya yang dilakukan oleh aktor Mustang Panda untuk meningkatkan kemungkinan keberhasilan kampanyenya.

File arsip, ketika dibuka, dirancang untuk menampilkan dokumen iming-iming kepada korban, sambil secara diam-diam memuat malware di latar belakang melalui metode yang disebut sebagai pemuatan samping DLL.

Rantai serangan pada akhirnya mengarah pada pengiriman tiga keluarga malware – PUBLOAD, TONEINS, dan TONESHELL – yang mampu mengunduh muatan tahap berikutnya dan terbang di bawah radar.

TONESHELL, pintu belakang utama yang digunakan dalam serangan, diinstal melalui TONEINS dan merupakan pemuat kode shell, dengan versi awal implan terdeteksi pada September 2021, menunjukkan upaya berkelanjutan dari pihak pelaku ancaman untuk memperbarui persenjataannya.

“Begitu kelompok tersebut menyusup ke sistem korban yang ditargetkan, dokumen sensitif yang dicuri dapat disalahgunakan sebagai vektor masuk untuk gelombang penyusupan berikutnya. Strategi ini sebagian besar memperluas cakupan yang terpengaruh di wilayah yang terlibat.”

sumber : the hacker news

Serangan baru menggunakan keamanan Windows melewati zero-day untuk menjatuhkan malware

by

Serangan phishing baru menggunakan kerentanan Windows zero-day untuk menjatuhkan malware Qbot tanpa menampilkan peringatan keamanan Mark of the Web.

Saat file diunduh dari lokasi jauh yang tidak tepercaya, seperti Internet atau lampiran email, Windows menambahkan atribut khusus ke file yang disebut Mark of the Web.

Mark of the Web (MoTW) ini adalah aliran data alternatif yang berisi informasi tentang file, seperti zona keamanan URL asal file, perujuknya, dan URL unduhannya.

Saat pengguna mencoba membuka file dengan atribut MoTW, Windows akan menampilkan peringatan keamanan yang menanyakan apakah mereka yakin ingin membuka file tersebut.

“Sementara file dari Internet dapat bermanfaat, jenis file ini berpotensi membahayakan komputer Anda. Jika Anda tidak mempercayai sumbernya, jangan buka perangkat lunak ini,” bunyi peringatan dari Windows.

Bulan lalu, tim intelijen ancaman HP melaporkan bahwa serangan phishing mendistribusikan ransomware Magniber menggunakan file JavaScript.

File JavaScript ini tidak sama dengan yang digunakan di situs web tetapi merupakan file mandiri dengan ekstensi ‘.JS’ yang dijalankan menggunakan Windows Script Host (wscript.exe).

Setelah menganalisis file, Will Dormann, analis kerentanan senior di ANALYGENCE, menemukan bahwa pelaku ancaman menggunakan kerentanan zero-day Windows baru yang mencegah peringatan keamanan Mark of the Web ditampilkan.

Untuk mengeksploitasi kerentanan ini, file JS (atau jenis file lainnya) dapat ditandatangani menggunakan blok tanda tangan yang disandikan base64 tertanam, seperti yang dijelaskan dalam artikel dukungan Microsoft ini.

Selengkapnya: Bleeping Computer

Microsoft: Peretas menggunakan taktik ‘mengkhawatirkan’ ini untuk menghindari otentikasi multi-faktor

by

Microsoft telah menguraikan beberapa mitigasi untuk melindungi dari serangan pada otentikasi multi-faktor yang sayangnya akan membuat hidup lebih sulit bagi pekerja jarak jauh Anda.

Tiga tahun lalu, serangan terhadap otentikasi multi-faktor (MFA) sangat jarang sehingga Microsoft tidak memiliki statistik yang layak tentang mereka, terutama karena beberapa organisasi telah mengaktifkan MFA.

Tetapi dengan meningkatnya penggunaan MFA karena serangan terhadap kata sandi menjadi lebih umum, Microsoft telah melihat peningkatan penyerang yang menggunakan pencurian token dalam upaya mereka untuk menghindari MFA.

Dalam serangan ini, penyerang mengkompromikan token yang dikeluarkan untuk seseorang yang telah menyelesaikan MFA dan memutar ulang token tersebut untuk mendapatkan akses dari perangkat yang berbeda. Token merupakan inti dari platform identitas OAuth 2.0, termasuk Azure Active Directory (AD), yang bertujuan untuk membuat autentikasi lebih sederhana dan lebih cepat bagi pengguna, tetapi dengan cara yang masih tahan terhadap serangan kata sandi.

Juga: Pekerjaan keamanan siber: Lima cara untuk membantu Anda membangun karier

Selain itu, Microsoft memperingatkan bahwa pencurian token berbahaya karena tidak memerlukan keterampilan teknis yang tinggi, sulit untuk mendeteksi dan, karena teknik ini baru saja mengalami peningkatan, beberapa organisasi memiliki mitigasi.

“Baru-baru ini, Tim Deteksi dan Respons Microsoft (DART) telah melihat peningkatan penyerang yang menggunakan pencurian token untuk tujuan ini,” kata Microsoft dalam sebuah blogpost.

Selengkapnya: ZDNet

Undang-Undang Perangkat Lunak Sumber Terbuka Pengamanan AS tahun 2022 adalah langkah ke arah yang benar

by

Pemerintah AS telah bekerja dengan industri teknologi dan organisasi open source seperti Linux Foundation dan Open Source Security Foundation untuk menghasilkan sejumlah inisiatif dalam beberapa tahun terakhir.

Perintah Eksekutif Gedung Putih tentang Meningkatkan Keamanan Siber Negara tanpa diragukan lagi memulai inisiatif berikutnya dan menetapkan persyaratan bagi lembaga pemerintah untuk mengambil tindakan terhadap keamanan perangkat lunak dan, khususnya, keamanan sumber terbuka.

Pertemuan Gedung Putih yang penting dengan para pemimpin industri teknologi menghasilkan kelompok kerja yang aktif, dan hanya beberapa minggu kemudian, mereka mengeluarkan Rencana Mobilisasi Keamanan Perangkat Lunak Sumber Terbuka.

Rencana ini mencakup 10 aliran kerja dan anggaran yang dirancang untuk menangani area keamanan berprioritas tinggi dalam perangkat lunak sumber terbuka, mulai dari pelatihan dan tanda tangan digital, hingga tinjauan kode untuk proyek sumber terbuka teratas dan penerbitan tagihan perangkat lunak (SBOM).

Undang-undang tersebut secara langsung membahas tiga bidang fokus teratas untuk meningkatkan keamanan sumber terbuka: deteksi dan pengungkapan kerentanan, SBOM, dan OSPO.

Salah satu inisiatif pemerintah baru-baru ini mengenai keamanan open source adalah Secureing Open Source Software Act, undang-undang bipartisan oleh Senator AS Gary Peters, seorang Demokrat dari Michigan, dan Rob Portman, seorang Republikan dari Ohio.

Senator Peters dan Portman masing-masing adalah ketua dan anggota peringkat Komite Keamanan Dalam Negeri dan Urusan Pemerintah Senat. Mereka menghadiri audiensi Senat Log4j, dan kemudian memperkenalkan undang-undang ini untuk meningkatkan keamanan open source dan praktik terbaik di pemerintahan dengan menetapkan tugas direktur Cybersecurity and Infrastructure Security Agency (CISA).

Selengkapnya: Tech Crunch