Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cybersecurity

Cybersecurity

Microsoft Membatalkan Keputusan untuk Memblokir Makro Office secara default

by

Sementara Microsoft mengumumkan awal tahun ini bahwa mereka akan memblokir makro VBA pada dokumen yang diunduh secara default, Redmond mengatakan pada hari Kamis bahwa mereka akan membatalkan perubahan ini berdasarkan “umpan balik” hingga pemberitahuan lebih lanjut.

Perusahaan juga gagal menjelaskan alasan di balik keputusan ini dan belum memberi tahu pelanggan bahwa makro VBA yang disematkan dalam dokumen Office berbahaya tidak akan lagi diblokir secara otomatis di Access, Excel, PowerPoint, Visio, dan Word.

“Berdasarkan umpan balik, kami membatalkan perubahan ini dari Saluran Saat Ini,” perusahaan memberi tahu admin di pusat pesan Microsoft 365 (di bawah MC393185 atau MC322553) pada hari Kamis.

“Kami menghargai umpan balik yang kami terima sejauh ini, dan kami sedang berupaya untuk meningkatkan pengalaman ini. Kami akan memberikan pembaruan lain ketika kami siap untuk merilis lagi ke Saluran Saat Ini. Terima kasih.”

Perubahan mulai diluncurkan di Versi 2203, dimulai dengan Saluran Saat Ini (Pratinjau) pada awal April 2022, dengan ketersediaan umum akan dicapai pada Juni 2022, seperti yang dilaporkan sebelumnya oleh BleepingComputer.

Ini adalah perubahan yang disambut baik dan sangat diharapkan, mengingat bahwa makro VBA adalah metode populer untuk mendorong berbagai jenis malware (termasuk Emotet, TrickBot, Qbot, dan Dridex) melalui serangan phishing dengan lampiran dokumen Office yang berbahaya.

Dengan makro VBA yang diblokir secara default, semua orang mengharapkan serangan yang mengirimkan malware (seperti trojan pencuri informasi dan alat berbahaya yang digunakan oleh grup ransomware) untuk digagalkan secara otomatis.

Pada sistem di mana pemblokiran otomatis makro VBA diaktifkan, pelanggan akan melihat peringatan keamanan “RISIKO KEAMANAN: Microsoft telah memblokir makro agar tidak berjalan karena sumber file ini tidak tepercaya”.

Jika diklik, peringatan akan mengarahkan pengguna ke artikel yang berisi informasi tentang risiko keamanan di balik penggunaan makro Office oleh aktor ancaman dan instruksi untuk mengaktifkan makro ini jika benar-benar diperlukan.

Pengguna yang bingung meminta penjelasan, lebih transparan

Pelanggan Microsoft adalah yang pertama menyadari bahwa Microsoft membatalkan perubahan ini di Saluran Saat Ini pada hari Rabu, dengan tombol ‘Aktifkan Pengeditan’ atau ‘Aktifkan Konten’ yang lama ditampilkan di bagian atas dokumen Office yang diunduh dengan makro yang disematkan.

“Apakah hanya saya atau Microsoft telah membatalkan perubahan ini di Saluran Saat Ini?” salah satu pengguna Microsoft Office bertanya dalam komentar di posting blog Microsoft Februari yang mengumumkan bahwa makro VBA akan dinonaktifkan.

“Sepertinya ada sesuatu yang membatalkan perilaku default baru ini… mungkin Microsoft Defender menolak pemblokiran?”

“Berdasarkan umpan balik yang diterima, rollback telah dimulai. Pembaruan tentang rollback sedang berlangsung,” jawab Angela Robertson, GPM Utama untuk Identitas dan Keamanan di tim Microsoft 365 Office.

“Saya mohon maaf atas ketidaknyamanan pembatalan yang dimulai sebelum pembaruan tentang perubahan itu tersedia.”

Pelanggan lain mengeluh tentang “kurangnya komunikasi” Microsoft setelah mengumumkan perubahan ini dan meminta perusahaan untuk membagikan lebih banyak info tentang kemunduran ini “di tempat lain.”

“SMB standar Anda dan bahkan bisnis menengah akan meledak jika ini diterapkan sepenuhnya dalam bentuknya saat ini,” kata pelanggan.

“Anda tampaknya melayani perusahaan sekarang yang memiliki tim orang yang sangat besar untuk mengelola produk Anda, dan itu tidak berlaku untuk sebagian besar basis pengguna. Itu perlu disederhanakan sebelum dirilis, dan lebih dari itu, perlu dikomunikasikan secara efektif.”

“Mengembalikan perubahan yang baru-baru ini diterapkan dalam perilaku default tanpa setidaknya mengumumkan rollback akan terjadi adalah manajemen produk yang sangat buruk,” tambah yang lain.

Meskipun Microsoft belum membagikan umpan balik negatif yang menyebabkan pembatalan perubahan ini, pengguna telah melaporkan bahwa mereka tidak dapat menemukan tombol Buka Blokir untuk menghapus Mark-of-the-Web dari file yang diunduh, sehingga mustahil untuk mengaktifkan makro.

Admin lain merasa bahwa keputusan tersebut merupakan masalah bagi pengguna akhir yang akan merasa berat untuk membuka blokir file yang mereka unduh setiap hari, jika tidak beberapa kali per hari.

Perbarui 0, Juli 03:57 EST: Menanggapi pertanyaan kami tentang mengapa mereka membatalkan perubahan ini, seorang juru bicara memberi tahu kami bahwa Microsoft “tidak punya apa-apa lagi untuk dibagikan.”

Sumber: BleepingComputer

Malware Siluman OrBit Mencuri Data dari Perangkat Linux

by

Malware Linux yang baru ditemukan digunakan untuk diam-diam mencuri informasi dari sistem Linux backdoored dan menginfeksi semua proses yang berjalan di mesin.

Malware ini membajak library bersama untuk mencegat fungsi panggilan dengan memodifikasi variabel lingkungan LD_PRELOAD pada perangkat yang disusupi.

Meskipun dapat memperoleh persistensi menggunakan dua metode berbeda untuk memblokir upaya penghapusan, OrBit juga dapat digunakan sebagai implan volatil saat disalin dalam shim-memory.

Hal itu juga dapat dikaitkan dengan berbagai fungsi untuk menghindari deteksi, mengontrol perilaku proses, mempertahankan ketekunan dengan menginfeksi proses baru, dan menyembunyikan aktivitas jaringan yang akan mengungkapkan keberadaannya.

Misalnya, setelah menyuntikkan ke dalam proses yang sedang berjalan, OrBit dapat memanipulasi outputnya untuk menyembunyikan jejak keberadaannya dengan memfilter apa yang dicatat.

Meskipun komponen pipet dan muatan OrBit sama sekali tidak terdeteksi oleh mesin antivirus ketika malware pertama kali terlihat, beberapa vendor anti-malware telah memperbarui produk mereka untuk memperingatkan pelanggan tentang keberadaannya.

“Malware ini mencuri informasi dari berbagai perintah dan kegunaan dan menyimpannya dalam file tertentu di mesin. Selain itu, ada penggunaan file yang luas untuk menyimpan data, sesuatu yang belum pernah terlihat sebelumnya,” tambah Fishbein.

“Apa yang membuat malware ini sangat menarik adalah pengait library pada mesin korban, yang memungkinkan malware untuk mendapatkan persistensi dan menghindari deteksi sambil mencuri informasi dan mengatur pintu belakang SSH.”

Sumber: BleepingComputer

Halaman Instagram dan Facebook Disneyland Diambil Alih oleh ‘Peretas Super’

by

Akun media sosial Disneyland telah diretas oleh ‘peretas super’ yang memproklamirkan diri yang membuat posting rasis dalam upaya untuk mencari ‘balas dendam’ di taman hiburan.

Peretas, yang mengidentifikasi dirinya sebagai David Do, mengambil alih akun Instagram dan Facebook taman itu pada Kamis pagi, membuat banyak postingan menghina yang mengancam orang kulit hitam.

Dia membuat beberapa posting yang menampilkan kata-n, mengklaim telah menemukan COVID-19 dan sedang mengerjakan virus COVID20 baru.

Dia juga mengungkapkan serangan itu sebagai balas dendam staf Disney yang mengejeknya ‘karena memiliki penis kecil.’

Disney menghapus posting dari akunnya – yang memiliki lebih dari 8,4 juta pengikut – dalam waktu satu jam.

Seorang juru bicara Disneyland mengatakan kepada DailyMail.com, “(Kami) bekerja cepat untuk menghapus konten tercela, mengamankan akun kami, dan tim keamanan kami sedang melakukan penyelidikan.”

Do membuat postingan pertamanya pada hari Kamis sekitar pukul 03.50 PST dengan tuduhan bahwa dia adalah seorang peretas super ‘di sini untuk membalas dendam kepada Disneyland.’

“Saya sangat lelah dengan semua karyawan Disney yang mengejek saya karena memiliki penis kecil,” tulisnya. ‘SIAPA ORANG Tangguh SEKARANG JEROME? HACKED ANDA F****ING F******.’

Di pos lain dia mengatakan dia ‘menciptakan covid dan menyalahkan wuhan,’ menambahkan: ‘Cuz f*** yall.’

“Saya sedang mengerjakan Covid20 – Anda lebih baik bersembunyi sebelum saya merilis virus baru yang mematikan ini,” tulisnya di posting lain, dengan keterangan foto pengusung jenazah hitam membawa peti mati. ‘Dengan bantuan kru DramaAlert saya @akademiks.’

Dia juga membagikan gambar dua pria yang diberi judul ‘u n***** sedang menonton Disney Channel,’ sebuah pernyataan rasis yang tampak pada promosi pertengahan 2000-an yang digunakan oleh stasiun televisi Disney.

‘Bintang Disney akan mengatakan slogannya yang populer ‘Anda sedang menonton Disney Channel’ dan menggambar telinga tikus yang ikonik menggunakan tongkat ajaib.

‘Disney land memberikan diskon besar-besaran,’ tambahnya. Dia berbagi dua selfie di cerita akun itu, dengan judul satu: ‘BUNUH SEMUA N******S. DAVID DO ADA DI SINI.’

Peretas juga mendorong pengguna media sosial untuk mengikuti akun Instagram pribadinya @chi11estpanda.

Akun tersebut diyakini milik David Do, namun DailyMail.com belum mengonfirmasi apakah Do yang terkait dengan @chi11estpanda bertanggung jawab atas peretasan tersebut.

Peretasan media sosial menandai kontroversi terbaru untuk The Walt Disney Company yang baru-baru ini berdebat dengan Gubernur Florida Ron DeSantis setelah aksi protes karyawan atas apa yang disebut RUU Don’t Say Gay di negara bagian itu.

Sumber: Daily Mail

$540 Juta Crypto Gaming Hack Dimungkinkan Dengan Skema Phishing yang Rumit

by

Klon Pokémon NFT, Axie Infinity, berubah dari terkenal karena pemain yang mengambil untung dari penipuan game “play-to-earn” menjadi terkenal karena diretas dari $ 540 juta dalam cryptocurrency.

Bagi mereka yang tidak terbiasa dengan grift Axie, pengembang Sky Mavis mengembangkan sidechain terkait Ethereum yang disebut Ronin Network dan mencangkok pada game tentang bertarung dan membiakkan monster lucu yang disebut Axie Infinity.

Di game tersebut pemain diundang untuk mendapatkan cryptocurrency berbasis Ethereum, awalnya game tersebut menghasilkan keuntungan besar karena pemain baru mencurahkan waktu dan uang mereka ke dalam platform. Namun pada awal tahun ini, perusahaan itu menghadapi segala macam hambatan, mulai dari pertumbuhan yang stagnan hingga inflasi mata uang dan, yang paling penting, salah satu peretasan crypto terbesar sepanjang masa.

Pengembang Sky Mavis mengungkapkan kembali pada bulan April bahwa pelanggaran keamanan dimungkinkan oleh seorang karyawan yang “dikompromikan” oleh “serangan spear-phishing tingkat lanjut.” “Penyerang berhasil memanfaatkan akses itu untuk menembus infrastruktur TI Sky Mavis dan mendapatkan akses ke node validator,” tulis perusahaan saat itu.

The Block sekarang melaporkan, berdasarkan dua sumber yang mengetahui langsung insiden tersebut, bahwa karyawan tersebut adalah seorang insinyur senior di Axie Infinity dan cara untuk menyusup ke komputer mereka adalah tawaran pekerjaan yang terlalu bagus untuk menjadi kenyataan.

Menurut The Block, penipu yang mewakili perusahaan palsu mendekati insinyur melalui LinkedIn, mendorong mereka untuk melamar pekerjaan, mengadakan beberapa putaran wawancara, dan akhirnya membuat tawaran pekerjaan yang mencakup “paket kompensasi yang sangat murah hati.” Namun tawaran itu tertuang dalam file PDF.

Setelah Mark mengunduhnya, spyware dilaporkan dapat menyusup ke sistem Jaringan Ronin dan memberi peretas akses ke empat dari lima node (dari total sembilan) yang mereka butuhkan untuk diuangkan. Akses ke yang kelima diperoleh melalui sesuatu yang disebut Axie DAO—organisasi terpisah yang diminta oleh Sky Mavis untuk membantu masuknya transaksi selama puncak popularitas Axie Infinity. Sky Mavis gagal menghapus akses DAO dari sistemnya setelah bantuannya tidak lagi diperlukan.

Salah satu daya tarik teknologi blockchain yang banyak digembar-gemborkan adalah kemampuannya untuk membuat basis data publik dan dapat diakses oleh semua orang sambil tetap menjaganya tetap aman. Tetapi setiap pintu yang terkunci, tidak peduli seberapa kuatnya, hanya akan seaman orang yang memegang kuncinya.

Di sini, dengan Axie Infinity, kerentanan karyawan Sky Mavis diperparah oleh pintasan ceroboh yang diperlukan untuk tetap berada di puncak pertumbuhan meteorik game musim gugur lalu. (Sky Mavis telah meningkatkan total node validatornya menjadi 11, dengan rencana jangka panjang untuk memiliki lebih dari 100.)

Tentu saja, sementara itu perusahaan masih perlu membayar kembali semua orang yang kehilangan uang dalam peretasan. Pada bulan April, ia mengumpulkan $150 juta lagi, sebagian dalam upaya untuk membuat playerbase yang ada menjadi utuh kembali.

Pada bulan yang sama, FBI mengidentifikasi peretas Korea Utara “Lazarus Group” sebagai pelaku di balik serangan Axie Infinity. Badan penegak hukum federal juga baru-baru ini memperingatkan perusahaan agar tidak secara tidak sengaja mempekerjakan peretas Korea Utara sebagai spesialis TI jarak jauh.

Sumber: Kotaku

Pixel 6 dan Galaxy S22 terpengaruh oleh kerentanan utama kernel Linux baru

by

Kerentanan besar telah ditemukan oleh peneliti keamanan dan mahasiswa PhD Northwestern Zhenpeng Lin, yang memengaruhi kernel pada Pixel 6 dan 6 Pro dan perangkat Android lainnya yang menjalankan versi kernel Linux berbasis 5.10 seperti seri Galaxy S22.

Peneliti mengklaim kerentanan tersebut dapat mengaktifkan akses read dan write, eskalasi hak istimewa, dan menonaktifkan perlindungan keamanan SELinux. Peneliti telah memverifikasi ke Android Police bahwa Google tidak diberitahu tentang kerentanan sebelum demonstrasi di Twitter.

Tak satu pun dari detail teknis yang tepat di balik cara kerja eksploit telah dirilis, tetapi video yang mengklaim menunjukkan eksploit yang digunakan pada Pixel 6 Pro mampu mencapai root dan menonaktifkan SELinux. Dengan alat seperti itu, aktor jahat bisa mendapatkan banyak kerusakan.

Berdasarkan beberapa detail yang ditampilkan dalam video, serangan ini mungkin menggunakan semacam eksploitasi akses memori untuk melakukan hal itu, dan berpotensi seperti kerentanan Dirty Pipe baru-baru ini yang memengaruhi seri Galaxy S22, seri Pixel 6, dan beberapa perangkat lain yang diluncurkan dengan Kernel Linux versi 5.8 di Android 12 dan yang lebih baru.

Peneliti juga menyatakan bahwa semua ponsel yang menggunakan Kernel Linux v5.10 terpengaruh, yang telah mereka verifikasi termasuk seri Samsung Galaxy S22. Ini mungkin juga termasuk perangkat Android terbaru lainnya yang diluncurkan dengan Android 12.

Seringkali, peneliti keamanan menahan diri untuk tidak mengungkapkan secara terbuka detail apa pun terkait kerentanan dalam periode yang dikenal sebagai “pengungkapan kerentanan terkoordinasi”, di mana peneliti keamanan hanya mengungkapkan eksploitasi kepada publik sebagai upaya terakhir untuk melindungi pengguna akhir jika dan ketika upaya sebelumnya untuk mencapai perusahaan yang terlibat gagal.

Tahun lalu Google mengeluarkan $8,7 juta hadiah bug bounty, dan saat ini perusahaan mengatakan membayar hingga $250.000 untuk kerentanan tingkat kernel. Kerentanan bahkan mungkin memenuhi syarat untuk kategori hadiah terpisah lainnya, tetapi mengungkapkan kerentanan secara publik sebelum melaporkannya ke Google dapat memengaruhi semua itu.

Keadaan ditinjau berdasarkan kasus per kasus, tetapi aturan yang dipublikasikan terdengar seperti mengungkapkan kerentanan di Twitter dapat menghalangi penghargaan tipikal meskipun video tidak sepenuhnya menjelaskan cara kerja kerentanan. Google akhirnya memiliki keputusan terakhir, dan sebagian besar peneliti tampaknya melakukan kesalahan di sisi kehati-hatian, menahan pengungkapan publik sampai nanti.

Lin memberi tahu kami bahwa dia yakin demonstrasinya hanyalah bukti konsep yang dimaksudkan untuk memperingatkan pengguna akhir sebelum ditambal, sehingga mereka dapat mencoba melindungi diri mereka sendiri (meskipun metode untuk perlindungan itu belum ditawarkan), dan tidak akan merupakan pelanggaran aturan pengungkapan Google.

Sumber: Android Police

Malware OrBit siluman baru mencuri data dari perangkat Linux

by

Malware Linux yang baru ditemukan digunakan untuk mencuri informasi secara diam-diam dari sistem Linux backdoor dan menginfeksi semua proses yang berjalan di mesin.

Dijuluki OrBit oleh peneliti keamanan Intezer Labs yang pertama kali melihatnya, malware ini membajak pustaka bersama untuk mencegat panggilan fungsi dengan memodifikasi variabel lingkungan LD_PRELOAD pada perangkat yang disusupi.

Meskipun dapat dua metode berbeda untuk memblokir upaya penghapusan, OrBit juga dapat digunakan sebagai implan yang mudah menguap saat disalin dalam memori-shim.

Itu juga dapat menghubungkan berbagai fungsi untuk menghindari deteksi, mengontrol perilaku proses, mempertahankan kegigihan dengan menginfeksi proses baru, dan menyembunyikan aktivitas jaringan yang akan mengungkapkan keberadaannya.

Misalnya, setelah menyuntikkan ke dalam proses yang berjalan, OrBit dapat memanipulasi outputnya untuk menyembunyikan jejak keberadaannya dengan menyaring apa yang dicatat.

Meskipun komponen dropper dan payload OrBit sama sekali tidak terdeteksi oleh mesin antivirus ketika malware pertama kali terlihat, beberapa vendor anti-malware sejak itu memperbarui produk mereka untuk memperingatkan pelanggan akan keberadaannya.

Payload OrBit tidak terdeteksi di VirusTotal (Intezer Labs)

OrBit bukan malware Linux pertama yang sangat mengelak yang muncul baru-baru ini, yang mampu menggunakan pendekatan serupa untuk sepenuhnya berkompromi dan perangkat backdoor.

Symbiote juga menggunakan direktif LD_PRELOAD untuk memuat dirinya sendiri ke dalam proses yang berjalan, bertindak sebagai parasit di seluruh sistem dan tidak meninggalkan tanda-tanda infeksi.

BPPFDoor, malware lain yang baru-baru ini terlihat menargetkan sistem Linux, menyamarkan dirinya dengan menggunakan nama-nama daemon Linux umum, yang membantunya tetap tidak terdeteksi selama lebih dari lima tahun.

Kedua jenis ini menggunakan fungsi pengait BPF (Berkeley Packet Filter) untuk memantau dan memanipulasi lalu lintas jaringan yang membantu menyembunyikan saluran komunikasi mereka dari alat keamanan.

Malware Linux ketiga, rootkit dalam pengembangan berat yang dijuluki Syslogk dan diluncurkan oleh peneliti Avast bulan lalu, dapat memuat modulnya sendiri secara paksa ke dalam kernel Linux, mesin backdoor yang disusupi, dan menyembunyikan direktori dan lalu lintas jaringan untuk menghindari deteksi.

Meskipun bukan jenis malware pertama atau paling orisinal yang menargetkan Linux akhir-akhir ini, OrBit masih hadir dengan bagian kemampuannya yang membedakannya dari ancaman lainnya.

Sumber: Bleeping Computer

IDE pemrograman online yang dapat digunakan untuk meluncurkan serangan siber jarak jauh

by

Peneliti keamanan memperingatkan bahwa peretas dapat menyalahgunakan platform pembelajaran pemrograman online untuk meluncurkan serangan siber dari jarak jauh, mencuri data, dan memindai perangkat yang rentan, hanya dengan menggunakan browser web.

Setidaknya satu platform tersebut, yang dikenal sebagai DataCamp, memungkinkan pelaku ancaman untuk mengkompilasi alat berbahaya, menghosting atau mendistribusikan malware, dan terhubung ke layanan eksternal.

DataCamp menyediakan lingkungan pengembangan terintegrasi (IDE) untuk hampir 10 juta pengguna yang ingin mempelajari ilmu data menggunakan berbagai bahasa dan teknologi pemrograman (R, Python, Shell, Excel, Git, SQL).

Sebagai bagian dari platform, pengguna DataCamp mendapatkan akses ke ruang kerja pribadi mereka sendiri yang mencakup IDE untuk berlatih dan mengeksekusi kode kustom, mengunggah file, dan menghubungkan ke database.

IDE juga memungkinkan pengguna untuk mengimpor perpustakaan Python, mengunduh dan mengkompilasi repositori, dan kemudian menjalankan program yang dikompilasi. Dengan kata lain, apa pun yang dibutuhkan oleh aktor ancaman yang rajin untuk meluncurkan serangan jarak jauh langsung dari dalam platform DataCamp.

Setelah menanggapi insiden di mana aktor ancaman mungkin menggunakan sumber daya DataCamp untuk menyembunyikan asal serangan, para peneliti di perusahaan keamanan siber Profero memutuskan untuk menyelidiki skenario ini.

Mereka menemukan bahwa Python IDE online lanjutan DataCamp menawarkan kepada pengguna kemampuan untuk menginstal modul pihak ketiga yang memungkinkan koneksi ke bucket penyimpanan Amazon S3.

Omri Segev Moyal, CEO di Profero, mengatakan dalam sebuah laporan yang dibagikan dengan BleepingComputer bahwa mereka mencoba skenario ini pada platform DataCamp dan dapat mengakses bucket S3 dan mengekstrak semua file ke lingkungan ruang kerja di situs web platform.

Importing files from S3 bucket through DataCamp – source: Profero

Peneliti mengatakan bahwa aktivitas yang berasal dari DataCamp kemungkinan akan lewat tanpa terdeteksi dan “bahkan mereka yang memeriksa koneksi lebih lanjut akan menemui jalan buntu karena tidak ada sumber pasti yang diketahui yang mencantumkan rentang IP Datacamp.”

Penyelidikan terhadap skenario serangan ini berjalan lebih jauh dan para peneliti mencoba mengimpor atau menginstal alat yang biasanya digunakan dalam serangan siber, seperti alat pemetaan jaringan Nmap.

Tidak mungkin untuk menginstal Nmap secara langsung tetapi DataCamp mengizinkan kompilasi dan mengeksekusi biner dari direktori kompilasi.

Nmap berjalan di DataCamp – sumber: Profero

Tim Tanggap Insiden Profero juga menguji apakah mereka dapat mengunggah file menggunakan terminal dan mendapatkan tautan untuk membagikannya. Mereka dapat mengunggah EICAR – file standar untuk menguji deteksi dari solusi antivirus, dan mendapatkan tautan untuk mendistribusikannya.

File EICAR diunggah ke DataCamp – sumber: Profero

Laporan Profero hari ini mencatat bahwa tautan unduhan dapat digunakan untuk mengunduh malware tambahan ke sistem yang terinfeksi dengan menggunakan permintaan web sederhana.

Selain itu, tautan unduhan ini dapat disalahgunakan dalam jenis serangan lain, seperti hosting malware untuk serangan phishing, atau oleh malware untuk mengunduh muatan tambahan.

DataCamp menyatakan dalam Ketentuan Layanan mereka bahwa menyalahgunakan platform dilarang tetapi pelaku ancaman bukanlah pengguna untuk menghormati aturan.

DataCamp mengatakan bahwa mereka “telah mengambil langkah-langkah yang wajar” untuk mencegah penyalahgunaan berdampak pada pengguna lain di platform dan bahwa mereka memantau sistem mereka untuk perilaku buruk.

Meskipun Profero tidak memperluas penelitian mereka ke platform pembelajaran lain, para peneliti percaya bahwa DataCamp bukan satu-satunya yang dapat disalahgunakan oleh peretas.

sumber: Profero

Platform lain yang menyediakan terminal adalah Binder, sebuah proyek yang berjalan pada infrastruktur terbuka yang dikelola oleh sukarelawan. Layanan ini membuat repositori yang dihosting di infrastruktur lain (GitHub, GitLab) tersedia bagi pengguna melalui browser mereka.

Perwakilan Binder mengatakan bahwa mereka bersedia untuk menambahkan lebih banyak perlindungan dalam kode sumber BinderHub jika laporan Profero menunjukkan bahwa langkah lebih lanjut diperlukan.

Profero mendorong penyedia platform pembelajaran kode online untuk menyimpan daftar gerbang lalu lintas pelanggan keluar dan membuatnya dapat diakses publik sehingga pembela dapat menemukan asal serangan, jika memang demikian.

Sumber: Bleeping Computer

Malware yang hampir tidak terdeteksi terkait dengan Cozy Bear Rusia

by

Tim intelijen ancaman Unit 42 Palo Alto Networks mengklaim bahwa sepotong malware yang tidak dapat dideteksi oleh 56 produk antivirus adalah bukti bahwa penyerang yang didukung negara telah menemukan cara baru untuk menjalankan bisnis jahat.

Analis Unit 42 menegaskan bahwa malware itu terlihat pada Mei 2022 dan berisi muatan berbahaya yang menunjukkan bahwa itu dibuat menggunakan alat yang disebut Brute Rate (BRC4).

Di situs webnya, BRC4 digambarkan sebagai “Pusat Komando dan Kontrol Khusus untuk Tim Merah dan Simulasi Musuh”. Pembuat alat ini bahkan mengklaim bahwa mereka merekayasa balik perangkat lunak antivirus untuk membuat BRC4 lebih sulit dideteksi.

Malware Unit 42 yang diamati mulai hidup sebagai file yang berpura-pura menjadi curriculum vitae seorang pria bernama Roshan Bandara. Luar biasa, CV Bandara ditawarkan sebagai file ISO format file gambar disk. Jika pengguna mengklik ISO, itu dipasang sebagai drive Windows dan menampilkan jendela File Manager dengan satu-satunya file: “Roshan-Bandara_CV_Dialog”.

File tersebut terlihat seperti file Microsoft Word tetapi yang mengejutkan sebenarnya bukan CV. Ketika diklik dua kali, CMD.EXE akan terbuka dan menjalankan OneDrive Updater, yang mengambil dan menginstal BRC4.

Setelah malware berjalan, banyak hal buruk dapat terjadi pada mesin yang terinfeksi.

Tapi Unit 42 tidak peduli dengan hal-hal buruk itu. Teknik yang digunakan untuk menjalankan BRC4 inilah yang menarik perhatian tim, karena sangat licik sehingga menunjukkan bahwa aktor negara-bangsa berada di balik pengembangannya.

Bahkan mungkin APT29 geng yang terkait dengan Moskow juga dikenal sebagai Cozy Bear dan diduga terlibat dalam serangan terhadap Solar Winds dan banyak serangan lainnya. APT29 telah menggunakan ISO beracun di masa lalu.

Unit 42 juga mencatat bahwa ISO yang digunakan dalam serangan ini dibuat pada hari yang sama saat versi baru BRC4 muncul, menunjukkan bahwa aktor yang didukung negara dapat mengawasi dunia yang suram dari malware komersial dan dengan cepat menjalankannya sementara dunia mencoba untuk mengejar.

Sumber: The Register