Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat / Malware

Malware

OPWNAI : Penjahat dunia maya Mulai Gunakan ChatGPT

by

Pada akhir November 2022, OpenAI merilis ChatGPT, antarmuka baru untuk Model Bahasa Besar (LLM), yang langsung menarik minat pada AI dan kemungkinan penggunaannya.

Namun, ChatGPT juga menambahkan beberapa bumbu ke lanskap ancaman dunia maya modern karena dengan cepat menjadi jelas bahwa pembuatan kode dapat membantu pelaku ancaman yang kurang terampil meluncurkan serangan dunia maya dengan mudah.

Di blog Check Point Research (CPR) sebelumnya, kami menjelaskan bagaimana ChatGPT berhasil melakukan aliran infeksi penuh, mulai dari membuat email spear-phishing yang meyakinkan hingga menjalankan shell terbalik, yang mampu menerima perintah dalam bahasa Inggris.

Pertanyaan yang dihadapi adalah apakah ini hanya ancaman hipotetis atau apakah sudah ada pelaku ancaman yang menggunakan teknologi OpenAI untuk tujuan jahat.

Analisis CPR terhadap beberapa komunitas peretasan bawah tanah utama menunjukkan bahwa sudah ada contoh pertama penjahat dunia maya yang menggunakan OpenAI untuk mengembangkan alat berbahaya.

Seperti yang kami duga, beberapa kasus dengan jelas menunjukkan bahwa banyak penjahat dunia maya yang menggunakan OpenAI tidak memiliki keterampilan pengembangan sama sekali.

Meskipun alat yang kami sajikan dalam laporan ini cukup mendasar, hanya masalah waktu hingga pelaku ancaman yang lebih canggih menyempurnakan cara mereka menggunakan alat berbasis AI untuk kejahatan.

Selengkapnya: CHECK POINT RESEARCH

Mac Diserang Oleh Malware Windows

by

Dridex adalah malware pencuri informasi yang dikaitkan dengan kelompok penjahat dunia maya Evil Corp yang digunakan untuk mengambil data sensitif dari mesin yang terinfeksi, tetapi juga dapat menjalankan modul berbahaya. Di masa lalu, ini telah digunakan untuk menargetkan PC Windows melalui spreadsheet Microsoft Excel berkemampuan makro yang didistribusikan melalui email phishing.

Dridex, juga disebut Bugat dan Cridex, adalah pencuri informasi yang dikenal mengambil data sensitif dari mesin yang terinfeksi dan mengirim serta menjalankan modul berbahaya.

Cara tetap aman dari malware Mac
Bagaimana agar tetap aman dari malware MacDalam hal ini, malware itu sendiri tidak dapat menginfeksi Mac yang ditargetkan karena terkandung dalam file Windows yang dapat dieksekusi. Namun, jika pengguna mengunduh file Mach-O dan memiliki file mereka sendiri yang ditimpa dengan yang berbahaya, lalu mencoba membagikannya secara online, tanpa disadari mereka dapat menginfeksi keluarga, teman, dan rekan kerja mereka dengan malware.

Meskipun Apple menyertakan pemindai malware bawaan yang disebut Gatekeeper dan perangkat lunak antivirus XProtect miliknya sendiri dengan setiap Mac yang dijualnya, Anda mungkin ingin mempertimbangkan untuk mengambil salah satu solusi perangkat lunak antivirus Mac terbaik untuk perangkat Anda untuk perlindungan tambahan.

selangkapnya : tomsguide

Raspberry Robin Worm Menetaskan Peningkatan yang Sangat Kompleks

by

Kelompok peretas menggunakan versi baru kerangka kerja Raspberry Robin untuk menyerang lembaga keuangan berbasis bahasa Spanyol dan Portugis

Raspberry Robin adalah worm backdoor yang menginfeksi PC melalui perangkat USB Trojan sebelum menyebar ke perangkat lain di jaringan target, bertindak sebagai loader untuk malware lainnya.

Versi Malware yang Ditingkatkan
Dalam iterasi terbaru, mekanisme perlindungan malware telah ditingkatkan untuk menerapkan setidaknya lima lapis perlindungan sebelum kode jahat diterapkan, termasuk pengemas tahap pertama untuk mengaburkan kode tahap serangan selanjutnya diikuti oleh pemuat kode shell.

Penelitian juga menunjukkan operator Raspberry Robin mulai mengumpulkan lebih banyak data tentang korban mereka daripada yang dilaporkan sebelumnya.

Dalam kasus kedua, muatan jahat dihosting di server Discord, yang digunakan oleh pelaku ancaman untuk mengirimkan malware ke mesin korban, untuk menghindari deteksi dan melewati kontrol keamanan.

Raspberry Robin Beraksi
Ancamannya bertingkah, mengikuti pola muncul, menghilang, lalu muncul kembali dengan kemampuan yang ditingkatkan secara signifikan.

Perusahaan keamanan Red Canary pertama kali menganalisis dan menamai Raspberry Robin pada bulan Mei, mencatat bahwa itu menginfeksi target melalui drive USB berbahaya dan menyebar ke titik akhir lainnya – tetapi kemudian tetap tidak aktif.

sumber : darkreading

Raspberry Robin Worm Berevolusi Menyerang Sektor Keuangan dan Asuransi di Eropa

by

Sektor keuangan dan asuransi di Eropa telah menjadi sasaran worm Raspberry Robin, karena malware terus mengembangkan kemampuan pasca-eksploitasi sambil tetap berada di bawah radar.

Raspberry Robin, juga disebut worm QNAP, digunakan oleh beberapa pelaku ancaman sebagai sarana untuk mendapatkan pijakan ke dalam jaringan target. Menyebar melalui drive USB yang terinfeksi dan metode lainnya, kerangka tersebut baru-baru ini digunakan dalam serangan yang ditujukan pada sektor telekomunikasi dan pemerintah.

Microsoft melacak operator Raspberry Robin di bawah moniker DEV-0856.

Investigasi forensik Security Joes terhadap salah satu serangan tersebut telah mengungkapkan penggunaan file 7-Zip, yang diunduh dari browser korban melalui rekayasa sosial dan berisi file penginstal MSI yang dirancang untuk menghapus beberapa modul.

Dalam contoh lain, file ZIP dikatakan telah diunduh oleh korban melalui iklan penipuan yang dihosting di domain yang diketahui mendistribusikan adware.

File arsip, disimpan di server Discord, berisi kode JavaScript yang disandikan yang, setelah dieksekusi, menjatuhkan pengunduh yang dilindungi dengan banyak lapisan penyamaran dan enkripsi untuk menghindari deteksi.

Pengunduh kode shell terutama direkayasa untuk mengambil executable tambahan, Ini melibatkan pengumpulan Pengidentifikasi Unik Universal (UUID) host, dalam beberapa kasus bahkan beralih ke bentuk tipu daya dengan menyajikan malware palsu.

Data pengintaian kemudian dienkripsi menggunakan kunci berkode keras dan dikirim ke server perintah-dan-kontrol (C2), yang merespons kembali dengan biner Windows yang kemudian dijalankan di mesin.

sumber : the hacker news

Peringatan Keamanan WordPress: Malware Linux Baru Mengeksploitasi Lebih dari Dua Lusin Kelemahan CMS

by

Situs WordPress menjadi sasaran malware Linux yang sebelumnya tidak dikenal yang mengeksploitasi kelemahan di lebih dari dua lusin plugin dan tema untuk mengkompromikan sistem yang rentan.

Menurut vendor keamanan Rusia, Doctor Web, penggunaan situs versi lama dari add-on tanpa perbaikan penting, dapat menjadi target yang akan disuntikkan JavaScript berbahaya. Pengguna yang mengklik area mana pun dari halaman yang diserang, dialihkan ke situs lain.

Serangan melibatkan mempersenjatai daftar kerentanan keamanan yang diketahui di 19 plugin dan tema berbeda, kemungkinan dipasang di situs WordPress, digunakan untuk menyebarkan implan yang dapat menargetkan situs web tertentu untuk memperluas jaringan lebih lanjut.

Doctor Web telah mengidentifikasi versi kedua dari backdoor, yang menggunakan domain command-and-control (C2) baru serta daftar kelemahan yang diperbarui yang mencakup 11 plugin tambahan, sehingga totalnya menjadi 30.

Bulan lalu, Sucuri mencatat bahwa lebih dari 15.000 situs WordPress telah dilanggar sebagai bagian dari kampanye berbahaya untuk mengarahkan pengunjung ke portal Q&A palsu, dengan jumlah infeksi aktif saat ini mencapai 9.314.

Pengguna WordPress disarankan untuk selalu memperbarui semua komponen platform, termasuk add-on dan tema pihak ketiga, dan menggunakan login dan kata sandi yang kuat dan unik untuk mengamankan akun mereka.

Selengkapnya: The Hacker News

EarSpy Dapat Menguping Percakapan Telepon Anda Menggunakan Sensor Gerak

by

Para peneliti dari lima perguruan tinggi Amerika telah secara kolektif mengembangkan serangan side-ch ini

Serangan EarSpy dikembangkan oleh sekelompok peneliti dari beberapa lembaga akademik paling terkenal di Amerika, bersama oleh para ahli dari University of Dayton, New Jersey Institute of Technology, Rutgers University, Texas A&M University, dan Temple University.

Para peneliti menguij EarSpy pada ponsel OnePlus 7T dan OnePlus 9 dengan hasil yang sangat akurat hanya menggunakan data dari lubang suara dan akselerometer bawaan. Sebaliknya, data sulit ditangkap pada model OnePlus lama karena kurangnya speaker stereo. Mereka memeriksa gema yang dihasilkan pada speaker telinga dengan bantuan spektrogram dan ekstraksi fitur domain frekuensi waktu.

Fokus tim adalah mengidentifikasi jenis kelamin pembicara dan isi pidato itu sendiri.

Versi Android terbaru memiliki perangkat keamanan yang lebih kuat, sehingga malware sulit untuk mendapatkan izin yang diperlukan. Namun serangan EarSpy masih dapat melewati perlindungan bawaan ini karena data mentah dari sensor gerak ponsel dapat diakses dengan mudah. Peneliti EarSpy yakin masih mungkin untuk menyusup ke perangkat dan menguping percakapan meskipun ada batasan untuk mendapatkan data dari sensor perangkat.

Mengenai keefektifan serangan ini, para peneliti mengatakan

Menurut peneliti, EarSpy dapat dengan tepat membedakan antara laki-laki dan perempuan hingga 98% kasus. Selain itu, dapat mendeteksi identitas seseorang dengan tingkat akurasi tertinggi 92%. Namun, ini turun menjadi 56% ketika benar-benar memahami apa yang diucapkan. Ini masih 5x lebih akurat daripada membuat tebakan acak.

Mengatasi potensi kerentanan pada smartphone, para peneliti merekomendasikan pembuat smartphone untuk memposisikan sensor gerak jauh dari sumber getaran apapun sambil mengurangi tekanan suara selama panggilan telepon.

Selengkapnya: Android Police

Malware Linux Baru Menggunakan 30 Eksploitasi Plugin ke Situs WordPress Backdoor

by

Malware Linux yang sebelumnya tidak dikenal telah mengeksploitasi 30 kerentanan di beberapa plugin dan tema WordPress yang sudah ketinggalan zaman untuk menyuntikkan JavaScript berbahaya.

Menurut sebuah laporan oleh vendor antivirus Dr.Web, malware tersebut menargetkan sistem Linux 32-bit dan 64-bit, memberikan kemampuan perintah jarak jauh kepada operatornya.

Fungsi utama trojan adalah meretas situs WordPress menggunakan serangkaian eksploit hardcode yang dijalankan secara berurutan, hingga salah satunya berfungsi.

Plugin dan tema yang ditargetkan adalah sebagai berikut:

  • WP Live Chat Support Plugin
  • WordPress – Yuzo Related Posts
  • Yellow Pencil Visual Theme Customizer Plugin
  • Easysmtp
  • WP GDPR Compliance Plugin
  • Newspaper Theme on WordPress Access Control (CVE-2016-10972)
  • Thim Core
  • Google Code Inserter
  • Total Donations Plugin
  • Post Custom Templates Lite
  • WP Quick Booking Manager
  • Faceboor Live Chat by Zotabox
  • Blog Designer WordPress Plugin
  • WordPress Ultimate FAQ (CVE-2019-17232 and CVE-2019-17233)
  • WP-Matomo Integration (WP-Piwik)
  • WordPress ND Shortcodes For Visual Composer
  • WP Live Chat
  • Coming Soon Page and Maintenance Mode
  • Hybrid

If the targeted website runs an outdated and vulnerable version of any of the above, the malware automatically fetches malicious JavaScript from its command and control (C2) server, and injects the script into the website site.

Injected redirection code (Dr. Web)

These redirections may serve in phishing, malware distribution, and malvertising campaigns to help evade detection and blocking. That said, the operators of the auto-injector might be selling their services to other cybercriminals.

An updated version of the payload that Dr. Web observed in the wild also targets the following WordPress add-ons:

  • Brizy WordPress Plugin
  • FV Flowplayer Video Player
  • WooCommerce
  • WordPress Coming Soon Page
  • WordPress theme OneTone
  • Simple Fields WordPress Plugin
  • WordPress Delucks SEO plugin
  • Poll, Survey, Form & Quiz Maker by OpinionStage
  • Social Metrics Tracker
  • WPeMatico RSS Feed Fetcher
  • Rich Reviews plugin

Dr.Web juga menyebutkan bahwa kedua varian berisi fungsionalitas yang saat ini tidak aktif, yang memungkinkan serangan brute-forcing terhadap akun administrator situs web.

Mempertahankan ancaman ini mengharuskan admin situs WordPress untuk memperbarui tema dan plugin yang berjalan di situs ke versi terbaru yang tersedia dan mengganti yang tidak lagi dikembangkan dengan alternatif yang didukung.

sumber : BleepingComputer

Peretas Menyalahgunakan Google Ads Untuk Menyebarkan Malware Dalam Perangkat Lunak Resmi

by

Operator malware semakin sering menyalahgunakan platform Google Ads untuk menyebarkan malware ke pengguna yang tidak menaruh curiga yang menelusuri produk software populer.

Produk yang ditiru dalam kampanye ini termasuk Grammarly, MSI Afterburner, Slack, Dashlane, Malwarebytes, Audacity, μTorrent, OBS, Ring, AnyDesk, Libre Office, Teamviewer, Thunderbird, dan Brave.

Pelaku ancaman mengkloning situs web resmi dari proyek di atas dan mendistribusikan versi trojan dari perangkat lunak saat pengguna mengklik tombol unduh. Situs web berbahaya tersebut dipromosikan ke audiens melalui kampanye Google Ads.

Penyalahgunaan Google Ads
Google Ads membantu pengiklan mempromosikan halaman di Google Search. Pengguna yang mencari perangkat lunak resmi tanpa pemblokir iklan aktif akan melihat promosi yang disajikan dan cenderung mengkliknya tanpa berpikir panjang karena tampilan yang sangat mirip dengan hasil pencarian yang sebenarnya.

Menurut Guardio dan Trend Micro, triknya adalah mengarahkan korban yang mengklik iklan ke situs yang tidak relevan namun aman yang dibuat oleh pelaku ancaman, lalu mengarahkan mereka ke situs berbahaya yang meniru proyek perangkat lunak.

Situs landing dan tipuan yang digunakan dalam kampanye (Guardio Labs)

Muatan, yang datang dalam bentuk ZIP atau MSI, diunduh dari layanan file sharing dan hosting kode terkemuka untuk memastikan bahwa program anti-virus apa pun yang berjalan di mesin korban tidak akan menolak pengunduhan.

Aliran infeksi malware (Guardio Labs)

Hindari Unduhan Berbahaya
FBI baru-baru ini mengeluarkan peringatan tentang jenis kampanye iklan ini, mendesak pengguna internet untuk sangat berhati-hati.

Salah satu cara memblokir kampanye ini adalah tindakan pencegahan dengan mengaktifkan pemblokir iklan di browser web, yang memfilter hasil yang dipromosikan dari Google Penelusuran.

Pencegahan bisa juga dilakukan dengan scroll ke bawah hingga terlihat domain resmi dari proyek perangkat lunak yang dicari. Jika tidak yakin, domain resmi terdaftar di halaman Wikipedia perangkat lunak.

Tanda file mencurigakan lainnya adalah ukuran file yang tidak normal. Bukti lain yang jelas dari kecurangan adalah domain situs unduhan yang mungkin mirip dengan yang resmi tetapi telah menukar karakter dalam nama atau satu huruf yang salah, yang dikenal sebagai “typosquatting”.

Selengkapnya: BLEEPINGCOMPUTER