Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat / Malware

Malware

DOJ, FBI melumpuhkan ransomware Hive setelah menghabiskan waktu berbulan-bulan di dalam sistem geng

by

FBI dan Departemen Kehakiman membongkar infrastruktur grup ransomware Hive pada hari Kamis, mengumumkan bahwa agen mereka telah berada di dalam sistem grup tersebut sejak Juli 2022.

Direktur FBI Christopher Wray mengatakan agen memperoleh “akses rahasia dan terus-menerus” ke panel kontrol yang digunakan oleh operator Hive tujuh bulan lalu, memungkinkan mereka untuk mengidentifikasi korban dan menawarkan kunci dekripsi kepada lebih dari 1.300 dari mereka di seluruh dunia dan mencegah setidaknya $130 juta masuk. pembayaran tebusan.

Badan-badan itu mengatakan Hive telah menargetkan 1.500 korban di lebih dari 80 negara sejak muncul pada Juni 2021, dan Jaksa Agung Merrick Garland membuat daftar lusinan contoh spesifik di mana mereka dapat membantu korban menangani serangan ransomware, mencatat afinitas kelompok tersebut untuk menargetkan sekolah. dan rumah sakit selama pandemi COVID-19.

Grup ini menghasilkan setidaknya $100 juta pada tahun pertama operasinya.

Garland mengatakan mereka akhirnya memutuskan untuk mengganggu sistem grup setelah menemukan server komputer yang berlokasi di Los Angeles yang digunakan oleh aktor Hive untuk menyimpan informasi penting. Mereka menyita server pada Rabu malam dan menutup situs darknet Hive. Pemberitahuan penyitaan dari beberapa lembaga AS dan internasional kini muncul di situs kebocoran grup.

Dia mencatat bahwa selama berada di sistem Hive, mereka menemukan bahwa hanya sekitar 20% korban yang melaporkan insiden ransomware mereka ke penegak hukum, menyoroti masalah terus-menerus dari korban yang tidak melapor dan malah membayar uang tebusan.

Europol mengatakan bahwa kesuksesan Hive berakar pada model “ransomware-as-a-service”, di mana afiliasi menerima 80% uang tebusan dan pengembang ransomware menerima 20% lainnya.

Mereka mencatat bahwa pertemuan operasional diadakan di Portugal dan Belanda untuk mendukung operasi – menyediakan tautan ke “data yang tersedia untuk berbagai kasus kriminal di dalam dan di luar UE, dan mendukung penyelidikan melalui cryptocurrency, malware, dekripsi, dan analisis forensik.”

Wray mencatat bahwa pekerjaan FBI dalam kasus ini istimewa karena mereka tidak pernah memiliki akses semacam ini ke backend grup ransomware.

sumber : therecord

Lebih dari 4.500 Situs WordPress Diretas untuk Mengarahkan Pengunjung ke Halaman Iklan yang Samar

by

Menurut Sucuri milik GoDaddy, infeksi tersebut melibatkan injeksi JavaScript yang dikaburkan yang dihosting di domain jahat bernama “track[.]violetlovelines[.]com” yang dirancang untuk mengarahkan pengunjung ke situs yang tidak diinginkan.

Kode nakal dimasukkan ke dalam file WordPress index.php, dengan Sucuri mencatat bahwa itu telah menghapus perubahan tersebut dari lebih dari 33.000 file di situs yang disusupi dalam 60 hari terakhir.

Kampanye malware ini secara bertahap beralih dari halaman scam pemberitahuan push CAPTCHA palsu terkenal ke ‘jaringan iklan’ topi hitam yang berganti-ganti antara pengalihan ke situs web yang sah, samar, dan murni berbahaya.

Google sejak itu masuk untuk memblokir salah satu domain jahat yang terlibat dalam skema pengalihan, mengklasifikasikannya sebagai situs tidak aman yang memasang “perangkat lunak yang tidak diinginkan atau berbahaya di komputer pengunjung”.

Untuk mengurangi ancaman tersebut, pemilik situs WordPress disarankan untuk mengubah kata sandi dan memperbarui tema dan plugin yang diinstal serta menghapus yang tidak digunakan atau ditinggalkan oleh pengembangnya.

Selengkapnya : thehackernews

200 aplikasi Android dan iOS Berbahaya Menguras Rekening Bank

by

Sejumlah 203 aplikasi iOS dan Android berbahaya pertama kali ditemukan oleh Kementerian Ekonomi dan Masyarakat Digital (DES) Thailand dan National Cyber ​​Security Center (NCSC) Inggris.

DES memutuskan untuk memberitahu publik tentang aplikasi buruk ini di halaman Facebook-nya setelah ditemukan mencuri informasi pribadi, menguras rekening bank pengguna, mengambil kendali remote dari smartphone yang terinfeksi dan digunakan untuk melakukan pencurian identitas.

Aplikasi tersebut mencakup berbagai kategori mulai dari aplikasi obrolan, filter foto, keyboard khusus, dan pengonversi PDF. Semua aplikasi tersebut mengandung malware dan melakukan tindakan berbahaya lainnya setelah terinstal di smartphone.

Belum ada informasi lebih lanjut mengenai jenis malware mana yang disebarkan. DES dan NCSC bekerja sama dengan Google dan Apple untuk menghapus aplikasi ini dari toko aplikasi masing-masing.

Dihimbau kepada para pengguna smartphone untuk segera menghapus aplikasi berbahaya yang telah disebutkan disini.

Tindakan pencegahan untuk tetap aman adalah berhati-hati saat memasang perangkat lunak baru, selalu memeriksa ulasan dan peringkat aplikasi di toko terlebih dahulu sebelum mengunduh apa pun, memastikan bahwa Google Play Protect diaktifkan karena terus memindai aplikasi yang ada serta aplikasi baru yang Anda unduh untuk mencari malware.

Selengkapnya: tom’s guide

Peretas Mendorong Malware melalui Iklan Pencarian Google untuk VLC, 7-Zip, CCleaner

by

Peretas menyiapkan situs web palsu untuk perangkat lunak bebas dan sumber terbuka populer untuk mempromosikan unduhan berbahaya melalui iklan di hasil penelusuran Google.

Setidaknya satu pengguna terkemuka di kancah cryptocurrency telah menjadi korban kampanye, memungkinkan peretas mencuri semua aset kripto digital bersama dengan kendali atas akun profesional dan pribadi mereka.

Crypto influencer Alex, dikenal dengan NFT God, diretas setelah meluncurkan executable palsu untuk rekaman video Open Broadcaster Software (OBS) dan perangkat lunak streaming langsung yang telah mereka unduh dari iklan Google di hasil pencarian.

Kemungkinan ini adalah malware pencuri informasi yang mencuri kata sandi browser, cookie, token Discord, dan dompet cryptocurrency yang disimpan dan mengirimkannya ke penyerang jarak jauh.

Kesibukan Iklan Berbahaya di Hasil Penelusuran Google
Pihak BleepingComputer menemukan domain palsu menyerupai domain resmi yang didaftarkan oleh aktor ancaman dalam hasil pencarian Iklan Google untuk Rufus, Notepad++, 7-Zip, Capcut, CCleaner, Notepad++, OBS, VirtualBox, VLC Media Player, WinRAR, dan Putty.

Beberapa peneliti keamanan (mdmck10, MalwareHunterTeam, Will Dormann, Germán Fernández) menemukan URL tambahan yang menghosting unduhan berbahaya, menyamar sebagai perangkat lunak gratis dan sumber terbuka. Memikat pengguna melalui hasil bersponsor di penelusuran Google adalah pendekatan yang lebih umum untuk penjahat siber.

Google mengatakan akan memeriksa apakah ada iklan dan situs tambahan yang dilaporkan melanggar kebijakan mereka dan akan mengambil tindakan yang tepat jika diperlukan. Google telah menyelesaikan proses ini dan menghapus iklan berbahaya yang dilaporkan.

Pemblokir Iklan Dapat Meningkatkan Perlindungan
Penjahat siber memiliki peluang lebih baik untuk menyebarkan malware mereka ke kumpulan pengguna yang lebih besar yang tidak menaruh curiga.

Memeriksa URL sumber unduhan dan penggunaan pemblokir iklan, tingkat perlindungan terhadap jenis ancaman ini akan menurun drastis. Pemblokir iklan akan meningkatkan privasi dengan mencegah cookies pelacak di iklan mengumpulkan data tentang kebiasaan penjelajahan oleh pengguna.

Selengkapnya: BleepingComputer

Skema Penipuan Iklan Masif Menargetkan Lebih dari 11 Juta Perangkat dengan 1.700 Aplikasi Palsu

by

Para peneliti telah menghentikan skema penipuan iklan “ekspansif” yang memalsukan lebih dari 1.700 aplikasi dari 120 penerbit dan memengaruhi sekitar 11 juta perangkat.

Operasi tersebut mendapatkan namanya dari penggunaan teknik penghindaran DNS yang disebut Fast Flux dan VAST, Template Penyajian Iklan Video Digital yang digunakan untuk menayangkan iklan ke pemutar video.

Operasi canggih tersebut secara khusus mengeksploitasi lingkungan dalam aplikasi terbatas yang menjalankan iklan di iOS untuk mengajukan tawaran untuk menampilkan spanduk iklan. Jika pelelangan dimenangkan, slot iklan yang dibajak dimanfaatkan untuk menyuntikkan JavaScript nakal yang menjalin kontak dengan server jarak jauh untuk mengambil daftar aplikasi yang akan ditargetkan.

Penghapusan VASTFLUX tiba tiga bulan setelah gangguan Scylla, operasi penipuan yang menargetkan kit pengembangan perangkat lunak periklanan (SDK) dalam 80 aplikasi Android dan 9 aplikasi iOS yang dipublikasikan di etalase resmi.

VASTFLUX, yang menghasilkan lebih dari 12 miliar permintaan tawaran per hari pada puncaknya, juga yang terbaru dari rangkaian botnet penipuan iklan yang telah ditutup dalam beberapa tahun terakhir, setelah 3ve, PARETO, dan Methbot.

selengkapnya : thehackernews

Hacker menggunakan Attachments Microsoft OneNote untuk Menyebarkan Malware

by

Pelaku ancaman sekarang menggunakan Attachment OneNote di email phishing yang menginfeksi korban dengan malware akses jarak jauh yang dapat digunakan untuk menginstal malware lebih lanjut, mencuri kata sandi, atau bahkan dompet cryptocurrency.

Ini terjadi setelah penyerang mendistribusikan malware di email menggunakan Attchment Word dan Excel berbahaya yang meluncurkan makro untuk mengunduh dan menginstal malware selama bertahun-tahun.

Menyalahgunakan Attachment OneNote

Microsoft OneNote adalah aplikasi notebook digital desktop yang dapat diunduh secara gratis dan disertakan dalam Microsoft Office 2019 dan Microsoft 365.

Karena Microsoft OneNote terinstal secara default di semua instalasi Microsoft Office/365, bahkan jika pengguna Windows tidak menggunakan aplikasi tersebut, masih tersedia untuk membuka format file.

Sebagai gantinya, OneNote memungkinkan pengguna untuk memasukkan Attachment ke dalam Buku Catatan yang, ketika diklik dua kali, akan meluncurkan Attachment tersebut.

Pelaku ancaman menyalahgunakan fitur ini dengan melampirkan Attachment VBS berbahaya yang secara otomatis meluncurkan skrip saat diklik dua kali untuk mengunduh malware dari situs jarak jauh dan memasangnya.

Untungnya, saat meluncurkan Attachment OneNote, program memperingatkan Anda bahwa hal itu dapat membahayakan komputer dan data Anda.

Namun sayangnya, sejarah telah menunjukkan kepada kita bahwa jenis permintaan ini biasanya diabaikan, dan pengguna cukup mengeklik tombol OK.

Melindungi dari ancaman ini
Setelah diinstal, malware jenis ini memungkinkan pelaku ancaman mengakses perangkat korban dari jarak jauh untuk mencuri file, menyimpan kata sandi browser, mengambil screenshot, dan dalam beberapa kasus, bahkan merekam video menggunakan webcam.

Cara terbaik untuk melindungi diri Anda dari Attachment malicious adalah dengan tidak membuka file dari orang yang tidak Anda kenal. Namun, jika Anda salah membuka file, jangan abaikan peringatan yang ditampilkan oleh sistem operasi atau aplikasi.

sumber : bleepingcomputer

Lebih dari 19.000 Router Cisco di Akhir Masa Pakainya Terkena Serangan RCE

by

Lebih dari 19.000 router Cisco VPN akhir masa pakainya di Internet terkena serangan yang menargetkan rantai eksploitasi eksekusi perintah jarak jauh.

Dengan merantai dua kelemahan keamanan yang diungkapkan minggu lalu, pelaku ancaman dapat melewati otentikasi (CVE-2023-20025) dan menjalankan perintah sewenang-wenang (CVE-2023-2002) pada sistem operasi yang mendasari router Cisco Small Business RV016, RV042, RV042G, dan RV082 .

Cisco menilai CVE-2023-20025 sebagai kritis dan mengatakan bahwa tim Product Security Incident Response Team (PSIRT) mengetahui kode eksploit proof-of-concept yang tersedia di alam bebas.

Meskipun demikian, perusahaan juga mengatakan “belum dan tidak akan merilis pembaruan perangkat lunak yang mengatasi kerentanan ini.”

Ribuan router rentan terhadap serangan

vulnerable routers expose
Distribusi router yang rentan di seluruh dunia (Censys)

Meskipun mereka tidak akan mendapatkan pembaruan keamanan, dan Cisco mengatakan bahwa “tidak ada solusi yang mengatasi kerentanan ini”, pengguna masih dapat mengamankan perangkat mereka dari serangan dengan menonaktifkan antarmuka manajemen berbasis web dan memblokir akses ke port 443 dan 60443 untuk menggagalkan upaya eksploitasi.

selengkapnya : bleepingcomputer

Hati-hati Pengguna Android: Malware Hook Baru dengan Kemampuan RAT Muncul

by

trojan

Aktor ancaman di balik trojan perbankan BlackRock dan ERMAC Android telah merilis malware lain untuk disewakan yang disebut Hook yang memperkenalkan kemampuan baru untuk mengakses file yang disimpan di perangkat dan membuat sesi interaktif jarak jauh.

ThreatFabric, dalam laporan yang dibagikan dengan The Hacker News, mencirikan Hook sebagai fork ERMAC baru yang diiklankan untuk dijual seharga $7.000 per bulan sambil menampilkan “semua kemampuan pendahulunya”.

Sebagian besar aplikasi keuangan yang ditargetkan oleh malware tersebut berada di AS, Spanyol, Australia, Polandia, Kanada, Turki, Inggris, Prancis, Italia, dan Portugal.

Hook adalah hasil karya aktor ancaman yang dikenal sebagai DukeEugene dan mewakili evolusi terbaru ERMAC, yang pertama kali diungkapkan pada September 2021 dan didasarkan pada trojan lain bernama Cerberus yang kode sumbernya bocor pada tahun 2020.

Keluarga Malware Terdeteksi Paling Banyak

Di antara fitur-fitur utama lainnya yang akan ditambahkan ke Hook adalah kemampuan untuk melihat dan berinteraksi dari jarak jauh dengan layar perangkat yang terinfeksi, mendapatkan file, mengekstrak frase benih dari dompet crypto, dan melacak lokasi ponsel, mengaburkan batas antara spyware dan malware perbankan.

ThreatFabric mengatakan artefak Hook diamati sejauh ini dalam tahap pengujian, tetapi mencatat bahwa itu dapat dikirimkan melalui kampanye phishing, saluran Telegram, atau dalam bentuk aplikasi dropper Google Play Store.

selengkapnya : thehackernews