Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cybersecurity

Cybersecurity

Penipuan pemerasan baru mengancam merusak reputasi situs, membocorkan data

by

Penipuan pemerasan aktif menargetkan pemilik situs web dan admin di seluruh dunia, mengklaim telah meretas server mereka dan menuntut $2.500 agar tidak membocorkan data.

Para penyerang (dijuluki sendiri Tim Montesano) mengirim email dengan subjek “Situs web, basis data, dan email Anda telah diretas”.

Email tersebut tampaknya tidak ditargetkan, dengan penerima permintaan tebusan dari semua vertikal, termasuk blogger pribadi, lembaga pemerintah, dan perusahaan besar.

Penipuan ini begitu tersebar luas sehingga reporter kami sendiri Axe Sharma dan Apakah Saya Telah Dilanggar menciptakan Troy Hunt juga telah menerima upaya pemerasan ini.

Pesan spam memperingatkan bahwa peretas akan membocorkan data yang dicuri, merusak reputasi mereka, dan membuat situs tersebut masuk daftar hitam spam jika target tidak melakukan pembayaran sebesar $2.500.

Email pemerasan reputasi situs web (Ax Sharma)

untuk email yang lengkap dapat dilihat dari

email lengkap : bleeping computer

Dari email pemerasan yang dilihat oleh BleepingComputer, pelaku ancaman saat ini menggunakan dua alamat bitcoin.

  • 3Fyjqj5WutzSVJ8DnKrLgZFEAxVz6Pddn7
  • 3PmYSqtG5x5bGNrsYUy5DGtu93qNtsaPRH

Sayangnya, transaksi bitcoin ke dompet 3Fyjqj5WutzSVJ8DnKrLgZFEAxVz6Pddn7 menunjukkan bahwa seseorang mungkin telah membayar permintaan pemerasan tersebut.

Meskipun email ini bisa menakutkan bagi pemilik situs web yang menerimanya, penting untuk diingat bahwa itu hanyalah penipuan.

Sejak musim panas 2018, ketika BleepingComputer mulai melaporkan penipuan ini, pelaku ancaman berada di balik berbagai macam penipuan pemerasan email.

sumber : bleeping computer

Pemilik ponsel Android Secara Tidak Sengaja menemukan cara untuk melewati layar kunci

by

Peneliti keamanan siber David Schütz secara tidak sengaja menemukan cara untuk melewati layar kunci pada ponsel cerdas Google Pixel 6 dan Pixel 5 yang sepenuhnya ditambal, memungkinkan siapa pun yang memiliki akses fisik ke perangkat untuk membuka kuncinya.

Memanfaatkan kerentanan untuk melewati layar kunci pada ponsel Android adalah proses lima langkah sederhana yang tidak akan memakan waktu lebih dari beberapa menit.

Temuan tidak disengaja
setelah Pixel 6 kehabisan baterai, salah memasukkan PIN tiga kali, dan memulihkan kartu SIM yang terkunci menggunakan kode PUK (Personal Unblocking Key).

Yang mengejutkan, setelah membuka kunci SIM dan memilih PIN baru, perangkat tidak meminta kata sandi layar kunci tetapi hanya meminta pemindaian sidik jari.

Perangkat Android selalu meminta kata sandi layar kunci atau pola saat reboot untuk alasan keamanan, jadi langsung membuka kunci sidik jari tidak normal.

Penyerang dapat dengan mudah menggunakan kartu SIM mereka sendiri pada perangkat target, menonaktifkan otentikasi biometrik (dengan mencoba membuka kunci sidik jari terlalu sering), memasukkan PIN yang salah tiga kali, memberikan nomor PUK, dan mengakses perangkat korban tanpa batasan.

Google’s patching

Schütz melaporkan kelemahan tersebut ke Google pada Juni 2022, dan meskipun raksasa teknologi tersebut mengakui penerimaan tersebut dan menetapkan ID CVE dari CVE-2022-20465, mereka tidak merilis perbaikan hingga 7 November 2022.

Solusi Google adalah menyertakan parameter baru untuk metode keamanan yang digunakan di setiap panggilan “tutup” sehingga panggilan tersebut menutup jenis layar keamanan tertentu dan bukan hanya yang berikutnya dalam tumpukan.

Pada akhirnya, meskipun laporan Schütz merupakan duplikat, Google membuat pengecualian dan memberi peneliti $70.000 untuk penemuannya.

sumber : bleeping computer

Departemen Kesehatan AS memperingatkan tentang ransomware Venus yang menargetkan organisasi perawatan kesehatan

by

Departemen Kesehatan dan Layanan Kemanusiaan AS (HHS) hari ini memperingatkan bahwa serangan ransomware Venus juga menargetkan organisasi perawatan kesehatan negara itu.

Dalam catatan analis yang dikeluarkan oleh Pusat Koordinasi Keamanan Siber Sektor Kesehatan (HC3), tim keamanan HHS juga menyebutkan bahwa mereka mengetahui setidaknya satu insiden di mana ransomware Venus dikerahkan pada jaringan organisasi perawatan kesehatan AS.

Namun, tidak ada situs kebocoran data yang diketahui bahwa aktor ancaman yang menyebarkan ransomware Venus diketahui digunakan untuk menerbitkan data curian secara online, menurut laporan HC3.

“HC3 mengetahui setidaknya satu entitas perawatan kesehatan di Amerika Serikat yang menjadi korban ransomware Venus baru-baru ini,” laporan itu memperingatkan.

“Operator Venus ransomware tidak diyakini beroperasi sebagai model ransomware-as-a-service (RaaS) dan tidak ada situs kebocoran data (DLS) terkait saat ini.”

Otoritas federal AS telah memperingatkan tentang operasi ransomware lain yang menargetkan organisasi perawatan kesehatan di seluruh Amerika Serikat tahun ini.

Peringatan sebelumnya termasuk peringatan aktor ancaman yang menyebarkan muatan ransomware Maui dan Zeppelin dalam serangan terhadap organisasi Kesehatan dan Kesehatan Masyarakat (HPH).

CISA, FBI, dan HHS juga memperingatkan bulan lalu bahwa kelompok kejahatan dunia maya yang dikenal sebagai Tim Daixin menargetkan sektor HPH dalam serangan ransomware yang sedang berlangsung.

Last but not least, perusahaan manajemen piutang layanan lengkap Professional Finance Company Inc (PFC) mengungkapkan dalam pemberitahuan pelanggaran data bahwa serangan ransomware Quantum dari akhir Februari menyebabkan pelanggaran data yang berdampak pada 657 organisasi perawatan kesehatan.

Namun, serangan itu bisa memiliki dampak yang jauh lebih signifikan karena PFC membantu ribuan organisasi layanan kesehatan, pemerintah, dan utilitas AS untuk memastikan bahwa pelanggan mereka membayar tagihan tepat waktu.

Selengkapnya: Bleeping Computer

Thales mengonfirmasi peretas telah merilis datanya di DarkWeb

by

11 November (Reuters) – Kelompok pertahanan dan teknologi Prancis Thales (TCFP.PA) mengatakan pada hari Jumat data yang berkaitan dengan kelompok tersebut telah dirilis pada “platform publikasi” dari kelompok peretas LockBit 3.0, membenarkan laporan media.

Data tersebut dirilis pada 10 November, kata Thales, yang menyediakan teknologi canggih dalam pertahanan, aeronautika, luar angkasa, transportasi, dan keamanan digital.

“Pada tahap ini, Thales dapat memastikan bahwa tidak ada gangguan pada sistem TI-nya,” tambahnya.

Dikatakan saat ini tidak ada dampak pada operasinya.

Pakar kelompok telah mengidentifikasi satu dari dua kemungkinan sumber pencurian data dan terus menyelidiki yang kedua, katanya. Hal ini juga bekerja untuk meminimalkan dampak potensial.

Perusahaan itu mengatakan pada hari Selasa bahwa pihaknya telah membuka penyelidikan internal dan memberi tahu badan keamanan siber nasional ANSSI

Thales mengatakan minggu ini bahwa kelompok pemerasan dan ransomware berbahasa Rusia telah mengklaim telah mencuri beberapa datanya, dengan rencana untuk mempublikasikannya pada 7 November.

Sahamnya, yang turun sebanyak 8,5%, adalah yang berkinerja terburuk pada indeks SBF 120 berkapitalisasi besar dan menengah Prancis (.SBF120).

Selengkapnya: Reuters

Driver utama Lenovo menimbulkan risiko keamanan bagi pengguna 25 model notebook

by

Lebih dari dua lusin model notebook Lenovo rentan terhadap peretasan berbahaya yang menonaktifkan proses boot aman UEFI dan kemudian menjalankan aplikasi UEFI yang tidak ditandatangani atau memuat bootloader yang secara permanen menutup perangkat.

Peneliti keamanan ESET juga mengungkapkan kerentanan, pembuat notebook merilis pembaruan keamanan untuk 25 model, termasuk ThinkPads, Yoga Slims, dan IdeaPads. Kerentanan yang merusak boot aman UEFI bisa serius karena memungkinkan penyerang untuk menginstal firmware berbahaya yang bertahan dari beberapa penginstalan ulang sistem operasi.

Unified Extensible Firmware Interface UEFI adalah perangkat lunak yang menjembatani firmware perangkat komputer dengan sistem operasinya. Sebagai bagian kode pertama yang dijalankan ketika hampir semua mesin modern dihidupkan, ini adalah tautan pertama dalam rantai keamanan.

Karena UEFI berada dalam chip flash pada motherboard, infeksi sulit untuk dideteksi dan dihilangkan. Tindakan umum seperti menghapus hard drive dan menginstal ulang OS tidak memiliki dampak yang berarti karena infeksi UEFI hanya akan menginfeksi ulang komputer setelahnya.

ESET mengatakan kerentanan—dilacak sebagai CVE-2022-3430, CVE-2022-3431, dan CVE-2022-3432—“memungkinkan penonaktifan UEFI Secure Boot atau memulihkan database Secure Boot default pabrik (termasuk dbx): semuanya hanya dari OS .” Boot aman menggunakan database untuk mengizinkan dan menolak mekanisme. Basis data DBX, khususnya, menyimpan hash kriptografi dari kunci yang ditolak. Menonaktifkan atau memulihkan nilai default dalam database memungkinkan penyerang menghapus batasan yang biasanya ada.

Menonaktifkan UEFI Secure Boot membebaskan penyerang untuk mengeksekusi aplikasi UEFI berbahaya, sesuatu yang biasanya tidak mungkin dilakukan karena boot aman memerlukan aplikasi UEFI untuk ditandatangani secara kriptografis.

Memulihkan DBX default pabrik, sementara itu, memungkinkan penyerang memuat bootloader yang rentan. Pada bulan Agustus, peneliti dari perusahaan keamanan Eclypsium mengidentifikasi tiga driver perangkat lunak terkemuka yang dapat digunakan untuk mem-bypass boot aman ketika penyerang memiliki hak yang lebih tinggi, yang berarti administrator di Windows atau root di Linux.

Kerentanan dapat dieksploitasi dengan mengutak-atik variabel di NVRAM, RAM non-volatil yang menyimpan berbagai opsi boot. Kerentanan adalah hasil dari Lenovo keliru mengirimkan Notebook dengan driver yang dimaksudkan untuk digunakan hanya selama proses pembuatan. Kerentanannya adalah:

  • CVE-2022-3430: Potensi kerentanan dalam driver Pengaturan WMI pada beberapa perangkat Notebook Lenovo konsumen dapat memungkinkan penyerang dengan hak istimewa yang lebih tinggi untuk mengubah pengaturan boot aman dengan mengubah variabel NVRAM.
  • CVE-2022-3431: Potensi kerentanan pada driver yang digunakan selama proses pembuatan pada beberapa perangkat Notebook Lenovo konsumen yang secara keliru tidak dinonaktifkan dapat memungkinkan penyerang dengan hak istimewa yang lebih tinggi untuk mengubah pengaturan boot aman dengan mengubah variabel NVRAM.
  • CVE-2022-3432: Potensi kerentanan pada driver yang digunakan selama proses pembuatan pada Ideapad Y700-14ISK yang secara keliru tidak dinonaktifkan dapat memungkinkan penyerang dengan hak istimewa yang lebih tinggi untuk mengubah pengaturan boot aman dengan menyesuaikan variabel NVRAM.

Lenovo hanya menambal dua yang pertama. CVE-2022-3432 tidak akan ditambal karena perusahaan tidak lagi mendukung Ideapad Y700-14ISK, model notebook akhir masa pakai yang terpengaruh.

Sumber: Arstechnica

Peretas Worok Menyembunyikan Malware Baru di PNG Menggunakan Steganografi

by

Kelompok ancaman yang dilacak sebagai ‘Worok’ menyembunyikan malware di dalam gambar PNG untuk menginfeksi mesin korban dengan malware pencuri informasi tanpa membunyikan alarm.

ESET memperingatkan bahwa Worok menargetkan korban terkenal, termasuk kesatuan pemerintah di Timur Tengah, Asia Tenggara, dan Afrika Selatan, tetapi transparasi mereka ke dalam rantai serangan kelompok itu terbatas.

mengkonfirmasi asumsi ESET tentang sifat file PNG dan menambahkan informasi baru tentang jenis muatan malware dan metode eksfiltrasi data.

Menyembunyikan Malware di File PNG
Peneliti Avast menemukan empat DLL yang berisi kode CLRLoader.

CLRLoader memuat DLL tahap kedua (PNGLoader), yang mengekstrak byte yang disematkan dalam file PNG dan menggunakannya untuk merakit dua executable.

Rantai infeksi lengkap Worok

Menyembunyikan muatan dalam PNG

LSB pada piksel gambar

Muatan pertama yang diekstraksi dari bit tersebut oleh PNGLoader adalah skrip PowerShell yang tidak dapat diambil oleh ESET maupun Avast.

Muatan kedua yang bersembunyi di file PNG adalah pencuri info .NET C# khusus (DropBoxControl) yang menyalahgunakan layanan hosting file DropBox untuk komunikasi C2, eksfiltrasi file, dan banyak lagi.

Penyalahgunaan DropBox

Malware ‘DropBoxControl’ menggunakan akun DropBox yang dikendalikan aktor untuk menerima data dan perintah atau mengunggah file dari mesin yang disusupi.

Perintah disimpan dalam file terenkripsi di DropBox aktor ancaman

Bentuk file DropBox, TaskType adalah perintah

Perintah yang didukung adalah sebagai berikut:

  • Jalankan “cmd /c” dengan parameter yang diberikan
  • Luncurkan yang dapat dieksekusi dengan parameter yang diberikan
  • Unduh data dari DropBox ke perangkat
  • Unggah data dari perangkat ke DropBox
  • Hapus data di sistem korban
  • Ganti nama data pada sistem korbaN
  • Exfiltrate info file dari direktori yang ditentukan
  • Tetapkan direktori baru untuk pintu belakang
  • Exfiltrat informasi sistem
  • Perbarui konfigurasi pintu belakang

    • Fungsi-fungsi ini menunjukkan bahwa Worok adalah kelompok spionase siber yang tertarik dengan eksfiltrasi data sembunyi-sembunyi, gerakan lateral, dan mata-mata pada perangkat yang terinfeksi.

    sumber : bleeping computer

Departemen Kesehatan AS Memperingatkan Tentang Ransomware Venus yang Menargetkan Organisasi Perawatan Kesehatan

by

Departemen Kesehatan dan Layanan Kemanusiaan AS (HHS) hari ini memperingatkan bahwa serangan ransomware Venus juga menargetkan organisasi perawatan kesehatan negara itu.

Namun, tidak ada situs yang kebocoran data yang diketahui bahwa aktor ancaman yang menyebarkan ransomware Venus diketahui digunakan untuk menerbitkan data curian secara online, menurut laporan HC3.

Puluhan korban sejak Agustus

Venus Ransomware pertama kali terlihat pada pertengahan Agustus 2022 dan sejak itu telah digunakan di seluruh jaringan puluhan korban perusahaan di seluruh dunia.

Pelaku ancaman di balik serangan ransomware Venus dikenal karena meretas layanan Remote Desktop korban yang diekspos ke publik untuk mengenkripsi perangkat Windows.

Selain menghentikan layanan database dan aplikasi Office, ransomware juga akan menghapus log peristiwa, Volume Salinan Bayangan, dan menonaktifkan Pencegahan Eksekusi Data pada titik akhir yang disusupi.

Pengiriman ransomware Venus (ID Ransomware)

Ransomware menargetkan perawatan kesehatan
Otoritas federal AS telah memperingatkan tentang operasi ransomware lain yang menargetkan organisasi perawatan kesehatan di seluruh Amerika Serikat tahun ini.

Peringatan sebelumnya termasuk peringatan pelaku ancaman yang menyebarkan muatan ransomware Maui dan Zeppelin dalam serangan terhadap organisasi Kesehatan dan Kesehatan Masyarakat (HPH).

pada akhirnya, perusahaan manajemen piutang layanan lengkap Professional Finance Company Inc (PFC) mengungkapkan dalam pemberitahuan pelanggaran data bahwa serangan ransomware Quantum dari akhir Februari menyebabkan pelanggaran data yang berdampak pada 657 organisasi layanan kesehatan.

sumber : bleeping computer

Phishing Menjatuhkan Malware IceXLoader di Ribuan Perangkat Rumah dan Perusahaan

by Leave a Comment

Kampanye phishing yang sedang berlangsung telah menginfeksi ribuan pengguna rumahan dan perusahaan dengan versi baru malware ‘IceXLoader’.

Penemuan malware berbasis Nim datang pada Juni 2022 oleh Fortinet, ketika IceXLoader masih dalam versi 3.0, tetapi loader kehilangan fitur-fitur utama dan umumnya tampak seperti pekerjaan dalam proses.’

rantai pengiriman saat ini

Infeksi dimulai dengan kedatangan file ZIP melalui email phishing yang berisi ekstraktor tahap pertama.

Extractor membuat folder tersembunyi baru (.tmp) di bawah “C:\Users\\AppData\Local\Temp” dan meninggalkan executable tahap berikutnya, ‘STOREM~2.exe.’

Kemudian, tergantung pada pengaturan ekstrak yang dipilih oleh operator, sistem yang terinfeksi dapat di-boot ulang, dan kunci registri baru akan ditambahkan untuk menghapus folder temp saat komputer dihidupkan ulang.

executable yang ditinggalkan adalah pengunduh yang mengambil file PNG dari URL hardcoded dan mengubahnya menjadi file DLL yang dikaburkan yang merupakan muatan IceXLoader.

Setelah mendekripsi muatan, penetes melakukan pemeriksaan untuk memastikannya tidak berjalan di dalam emulator dan menunggu 35 detik sebelum menjalankan pemuat malware untuk menghindari kotak pasir.

Akhirnya, IceXLoader disuntikkan ke dalam proses STOREM~2.exe menggunakan proses lekukan.

Rantai infeksi IceXLoader lengkap
(Minerva Labs)

IceXLloader Baru
Saat peluncuran pertama, IceXLoader versi 3.3.3 menyalin dirinya sendiri ke dalam dua direktori yang dinamai sesuai nama panggilan operator dan kemudian mengumpulkan informasi berikut tentang host dan mengekstraknya ke C2:

  • IP address
  • UUID
  • Username and machine name
  • Windows OS version
  • Installed security products
  • Presence of .NET Framework v2.0 and/or v4.0
  • Hardware information
  • Timestamp

Untuk memastikan kegigihan antara reboot, pemuat malware juga membuat kunci registri baru di “HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run.”

Perintah yang didukung oleh loader adalah sebagai berikut:

  • stop execution
  • collect system info and exfiltrate to C2
  • display dialog box with specified message
  • restart icexloader
  • Send GET request to download a file and open it with “cmd/ C”
  • Send GET request to download an executable to run it from memory
  • Load and execute a .NET assembly
  • Change C2 server beaconing interval
  • Update IceXLoader
  • Remove all copies from the disk and stop running

Peneliti keamanan telah memberi tahu perusahaan yang terkena dampak paparan, tetapi database diperbarui dengan entri baru setiap hari.

sumber : bleeping computer