Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat / Malware

Malware

Rumah Sakit Anak Terbesar di Kanada Berjuang Untuk Pulih Dari Serangan Ransomware Pra-Natal

by

Rumah Sakit Anak “SickKids” Toronto, pusat kesehatan anak terbesar di Kanada, masih belum pulih dari serangan ransomware yang dimulai pada 18 Desember. Organisasi layanan kesehatan menganggap insiden ini sebagai “Code Grey” atau mewakili kegagalan sistem.

Pejabat mengkonfirmasi bahwa ini adalah serangan ransomware. Hal ini mengakibatkan halaman web rumah sakit mati, gangguan telepon, dokter kesulitan mengakses hasil lab dan pencitraan yang menyebabkan waktu tunggu yang lama bagi pasien, dan proses seputar pengiriman resep juga terpengaruh.

Uniknya, tidak ada kelompok ransomware yang mengaku bertanggung jawab atas serangan tersebut.

Pada tanggal 23 Desember, rumah sakit mengatakan perlu waktu berminggu-minggu sebelum semua sistem mereka berfungsi normal. Tim klinis dan operasional menerapkan prosedur cadangan untuk sistem yang belum dapat diakses.

Kemudian pada hari Jumat pula, rumah sakit dapat memulihkan saluran telepon dan sistem ketepatan waktu internal untuk penggajian staf. asien masih berurusan dengan penundaan diagnostik dan perawatan karena pemadaman sistem.

Rumah Sakit Anak Sakit adalah rumah sakit anak terbaru yang diserang dalam beberapa tahun terakhir. Serangan ransomware terhadap organisasi layanan kesehatan terus berlanjut sepanjang tahun 2021 dan 2022.

Selengkapnya: The Record

Layanan PPI PrivateLoader Ditemukan Mendistribusikan Info-Mencuri Malware RisePro

by

Layanan pengunduh malware bayar-per-instal (PPI) yang dikenal sebagai PrivateLoader digunakan untuk mendistribusikan malware pencuri informasi yang didokumentasikan sebelumnya yang dijuluki RisePro.

Setelah menemukan beberapa set log yang diekstraksi menggunakan malware di pasar kejahatan dunia maya ilegal, Pasar Rusia, Flashpoint dapat melihat pencuri yang baru diidentifikasi pada 13 Desember lalu.

Malware RisePro dikatakan memiliki kesamaan dengan malware pencuri info lainnya yang disebut sebagai Vidar stealer, merupakan cabang dari pencuri dengan nama kode Arkei yang muncul pada tahun 2018.

Perusahaan Keamanan Siber, SEKOIA, merilis analisisnya terhadap RisePro, mengidentifikasi lebih lanjut sebagian kode sumber tumpang tindih dengan PrivateLoader. Proses identifikasi mencakup mekanisme pengacakan string, metode HTTP dan pengaturan port, dan metode penyamaran pesan HTTP.

PrivateLoader adalah layanan unduhan yang memungkinkan pelanggannya mengirimkan muatan berbahaya ke host target.

Malware Wireshark

Tidak berbeda dengan pencuri lainnya, RisePro mampu mencuri berbagai data dari sebanyak 36 browser web, termasuk cookie, kata sandi, kartu kredit, dompet crypto, serta mengumpulkan file yang menarik dan memuat lebih banyak muatan.

Pengembang malware menyediakan saluran telegram untuk saranapelaku kriminal berinteraksi dengan sistem terinfeksi. Begitu pula dengan RisePro yang juga menawarkan data curiannya di telegram.

Belum diketahui jelas penulis RisePro, entah sekelompok pelaku ancaman yang sama di balik PrivateLoader, dan apakah RisePro dibundel secara eksklusif bersama dengan layanan PPI.

Selengkapnya: The Hacker News

Pencuri W4SP Ditemukan di Beberapa Paket PyPI dengan Berbagai Nama

by

Pelaku ancaman telah menerbitkan putaran paket berbahaya lainnya ke Python Package Index (PyPI) dengan tujuan mengirimkan malware pencuri informasi pada mesin pengembang yang disusupi.

Perusahaan cybersecurity, Phylum, menemukan bahwa sejumlah malware yang menggunakan nama seperti ANGEL Stealer, Celestial Stealer, Fade Stealer, Leaf $tealer, PURE Stealer, Satan Stealer, dan @skid Stealer, adalah salinan dari W4SP Stealer.

Fungsi utama W4SP Stealer adalah menyedot data pengguna, termasuk kredensial, dompet cryptocurrency, token Discord, dan file menarik lainnya. Dibuat dan diterbitkan oleh seorang aktor yang menggunakan alias BillyV3, BillyTheGoat, dan billythegoat356.

Sekitar Oktober 2022, kampanye pendistribusian W4SP Stelaer sudah memiliki daya tarik. Meskipun terdapat indikasi sudah dimulai sejak pertengahan Agustus 2022. Sejak ini, lusinan paket palsu tambahan yang berisi W4SP Stealer telah diterbitkan di PyPI oleh para pelaku ancaman.

Perusahaan keamanan rantai pasokan perangkat lunak yang mengawasi saluran Discord aktor ancaman, mencatat bahwa paket yang sebelumnya ditandai dengan nama pystyle telah di-trojan oleh BillyTheGoat untuk mendistribusikan si pencuri.

Selain mengumpulkan ribuan unduhan setiap bulan, modul ini juga dimulai sebagai utilitas yang tidak berbahaya pada bulan September 2021 untuk membantu pengguna mendesain keluaran konsol. Modifikasi berbahaya diperkenalkan di versi 2.1 dan 2.2 yang dirilis pada 28 Oktober 2022.

Para peneliti memperingatkan adanya paket yang jinak selama bertahun-tahun bukan berarti dia akan jinak selamanya. Aktor ancaman telah menunjukkan kesabaran dalam membangun paket yang sah, untuk meracuni mereka dengan malware setelah mereka cukup populer.

Selengkapnya: The Hacker News

Malware Pencuri Info Baru Menginfeksi Pembajak Perangkat Lunak Melalui Situs Crack Palsu

by

Malware pencuri informasi baru bernama ‘RisePro’ sedang didistribusikan melalui situs crack palsu yang dioperasikan oleh layanan distribusi malware PrivateLoader pay-per-install (PPI).

RisePro dirancang untuk membantu penyerang mencuri kartu kredit, kata sandi, dan dompet kripto korban dari perangkat yang terinfeksi.

Flashpoint melaporkan bahwa pelaku ancaman telah mulai menjual ribuan log RisePro (paket data yang dicuri dari perangkat yang terinfeksi) di pasar web gelap Rusia.

Detail dan kemampuan RisePro

RisePro adalah malware C++ yang, menurut Flashpoint, mungkin didasarkan pada malware pencuri kata sandi Vidar, karena menggunakan sistem dependensi DLL tertanam yang sama.

DLL dijatuhkan di direktori kerja malware (Flashpoint)

RisePro berupaya mencuri berbagai macam data dari aplikasi, browser, dompet crypto, dan ekstensi browser, seperti yang tercantum di bawah ini:

  • Web browsers: Google Chrome, Firefox, Maxthon3, K-Melon, Sputnik, Nichrome, Uran, Chromodo, Netbox, Comodo, Torch, Orbitum, QIP Surf, Coowon, CatalinaGroup Citrio, Chromium, Elements, Vivaldi, Chedot, CentBrowser, 7start, ChomePlus, Iridium, Amigo, Opera, Brave, CryptoTab, Yandex, IceDragon, BlackHaw, Pale Moon, Atom.
  • Browser extensions: Authenticator, MetaMask, Jaxx Liberty Extension, iWallet, BitAppWallet, SaturnWallet, GuildWallet, MewCx, Wombat, CloverWallet, NeoLine, RoninWallet, LiqualityWallet, EQUALWallet, Guarda, Coinbase, MathWallet, NiftyWallet, Yoroi, BinanceChainWallet, TronLink, Phantom, Oxygen, PaliWallet, PaliWallet, Bolt X, ForboleX, XDEFI Wallet, Maiar DeFi Wallet.
  • Software: Discord, battle.net, Authy Desktop
  • Cryptocurrency assets: Bitcoin, Dogecoin, Anoncoin, BBQCoin, BBQCoin, DashCore, Florincoin, Franko, Freicoin, GoldCoin (GLD), IOCoin, Infinitecoin, Ixcoin, Megacoin, Mincoin, Namecoin, Primecoin, Terracoin, YACoin, Zcash, devcoin, digitalcoin, Litecoin, Reddcoin.

Link to PrivateLoader
PrivateLoader adalah layanan distribusi malware bayar per pemasangan yang disamarkan sebagai crack perangkat lunak, pembuat kunci, dan modifikasi game.

Pelaku ancaman memberikan sampel malware yang ingin mereka distribusikan, kriteria penargetan, dan pembayaran kepada tim PrivateLoader, yang kemudian menggunakan jaringan situs web palsu dan yang diretas untuk mendistribusikan malware.

Dengan tambahan RisePro, Sekoia sekarang melaporkan menemukan kemampuan loader di malware baru, juga menyoroti bahwa bagian kodenya ini memiliki banyak tumpang tindih dengan PrivateLoader.

Kesamaannya termasuk teknik kebingungan string, kebingungan pesan HTTP, dan pengaturan HTTP dan port.

Code similarity of 30% in HTTP port setup (Sekoia)

Salah satu skenario yang mungkin terjadi adalah orang yang sama di belakang PrivateLoader mengembangkan RisePro.

sumber : bleeping computer

Malware Android GodFather Menargetkan 400 Bank, Pertukaran Crypto

by

Malware perbankan Android bernama ‘Godfather’ telah menargetkan pengguna di 16 negara, mencoba mencuri kredensial akun untuk lebih dari 400 situs perbankan online dan pertukaran cryptocurrency.

Malware Godfather muncul di atas formulir masuk aplikasi perbankan dan crypto exchange ketika korban mencoba masuk ke situs, menipu pengguna untuk memasukkan kredensial mereka di halaman phishing HTML yang dibuat sebaik mungkin tanpa mencurigakan.

Analis Group-IB menemukan Trojan Godfather, yang dipercaya sebagai penerus Anubis, sebuah trojan perbankan yang kini tak lagi banyak digunakan karena ketidakmampuannya untuk melewati pertahanan Android yang lebih baru.

Menargetkan Bank di Seluruh Dunia
Group-IB telah menemukan distribusi malware yang terbatas pada aplikasi di Google Play Store, Namun belum berhasil menemukan saluran distribusi utama, sehingga metode infeksi awal sebagian besar tidak diketahui.

Sejumlah 215 aplikasi ditargetkan oleh Godfather adalah aplikasi perbankan, kemudian 110 adalah platform pertukaran cryptocurrency, dan 94 aplikasi dompet cryptocurrency.

Ikhtisar Penargetan Godfather (Group-IB)

Penulis Godfather diperkirakan berbahasa Rusia yang tinggal di wilayah CIS (Commonwealth of Independent States) karena jika trojan dikonfigurasi untuk memeriksa bahasa sistem dan diubah ke Rusia, Azerbaijan, Armenia, Belarusia, Kazakh, Kyrgyz, Moldovan, Uzbek, atau Tajik, ia menghentikan operasinya.

Godfather
Godfather meniru ‘Google Protect’ layaknya alat keamanan standar perangkat Android. Setelah memiliki hak Layanan Aksesibilitas yang disetujui korban, malware dapat mengeluarkan sendiri semua izin yang diperlukan untuk melakukan perilaku jahat.

Akses yang diperoleh adalah teks dan notifikasi SMS, perekaman layar, kontak, melakukan panggilan, menulis ke penyimpanan eksternal, membaca status perangkat, mencegah pengguna menghapus trojan, mengekstrak OTP Google Authenticator, memproses perintah, dan mencuri konten bidang PIN dan kata sandi.

Malware juga dapat menghasilkan notifikasi palsu dari aplikasi yang dipasang di perangkat korban untuk membawa korban ke halaman phishing.

Contoh overlay palsu yang menargetkan pengguna Turki (Group-IB)


Koneksi ke Anubis
Godfather kemungkinan merupakan proyek baru dari penulis Anubis atau malware baru yang dibuat oleh grup ancaman baru. Persamaannya terlihat dari metode menerima alamat C2, pemrosesan, dan implementasi perintah C2, modul pemalsuan web, modul proxy, dan modul tangkapan layar.

Secara keseluruhan, Godfather adalah trojan berbahaya yang menargetkan daftar ekstensif aplikasi dan pengguna Android dari seluruh dunia. Tetaplah unduh aplikasi hanya dari Google Play, perbarui perangkat, gunakan alat, pastikan Play Protect aktif, dan pertahankan jumlah aplikasi yang terpasang seminimal mungkin untuk melindungi diri dari ancaman.

Selengkapnya: BLEEPINGCOMPUTER

Raspberry Robin Worm Menyerang Lagi, Menargetkan Sistem Telekomunikasi dan Pemerintahan

by

Worm Raspberry Robin telah digunakan dalam serangan terhadap telekomunikasi dan sistem kantor pemerintah di seluruh Amerika Latin, Australia, dan Eropa setidaknya sejak September 2022.

Microsoft melacak Raspberry Robin terkait dengan kluster aktivitas sebagai DEV-0856 yang banyak dimanfaatkan oleh penyerang sebagai mekanisme akses awal untuk mengirimkan muatan seperti LockBit dan Clop ransomware.

Malware tersebut mengandalkan drive USB yang terinfeksi sebagai sarana untuk mengunduh file pemasang MSI jahat yang menyebarkan muatan utama, yang bertanggung jawab untuk memfasilitasi pasca-eksploitasi.

Analisis Raspberry Robbin lebih lanjut mengungkapkan bahwa penggunaan teknik obfuscation untuk mencegah analisis dengan malware terdiri dari dua muatan yang disemuatkan pada sebuah pemuat muatan yang dikemas enam kali.

Tanpa sandboxing dan analisis yang diamati, muatan yang sah akan dipasang dan terhubung ke alamat .onion yang dikodekan menggunakan klien TOR khusus yang disematkan di dalamnya untuk menunggu perintah lebih lanjut.

Klien TOR menyamar sebagai proses Windows yang sah seperti dllhost.exe, regsvr32.exe, dan rundll32.exe,. Hal ini sebagai upaya besar yang dilakukan oleh aktor ancaman untuk terbang di bawah radar.

Trend Micro menemukan persamaan dalam eskalasi hak istimewa dan teknik anti-debugging yang digunakan oleh ransomware Raspberry Robin dan LockBit, yang mengisyaratkan adanya hubungan potensial antara dua aktor kriminal tersebut.

Teori perusahaan mengatakan bahwa grup di belakang Raspberry Robin adalah pembuat beberapa alat yang juga digunakan Lockbit sebagai alternatif memanfaatkan layanan afiliasi yang bertanggung jawab atas teknik yang digunakan oleh LockBit.

Selengkapnya: The Hacker News

Botnet KmsdBot Diduga Digunakan sebagai Layanan DDoS-untuk-Disewa

by

Analisis berkelanjutan dari botnet KmsdBot telah meningkatkan kemungkinan bahwa ini adalah layanan DDoS-untuk-disewa yang ditawarkan kepada pelaku ancaman lainnya.

KmsdBot adalah malware berbasis Go yang memanfaatkan SSH untuk menginfeksi sistem dan melakukan aktivitas seperti penambangan cryptocurrency dan meluncurkan perintah menggunakan TCP dan UDP untuk memasang serangan denial-of-service (DDoS) terdistribusi.

Menurut perusahaan infrastruktur web Akamai, analisis botnet KmsdBot ini didasarkan pada berbagai industri dan geografi yang diserang.

Mayoritas korban berada di Asia, Amerika Utara, dan Eropa. Beberapa target penting termasuk FiveM dan RedM, merupakan modifikasi game untuk Grand Theft Auto V dan Red Dead Redemption 2, serta merek-merek mewah dan perusahaan keamanan.

Analisis berkelanjutan menunjukkan kemungkinan bahwa ini adalah layanan DDoS-untuk-menyewa yang ditawarkan kepada pelaku ancaman lainnya.

Akamai mengidentifikasi 18 perintah berbeda yang diterima KmsdBot dari server jarak jauh, salah satunya, dijuluki “bigdata”, melayani pengiriman paket sampah yang berisi data dalam jumlah besar ke target dalam upaya menghabiskan bandwidthnya.

Pemetaan upaya infeksi botnet menandakan aktivitas minimal di wilayah Rusia dan wilayah tetangga, berpotensi menawarkan petunjuk tentang asal-usulnya.

Menurut Cashdollar, terdapat temuan upaya infeksi sekitar 24-48 jam setelah bot mati dan kemudian perintah serangan mulai masuk lagi sekitar 24 jam setelah itu. Namun, C2 terakhir yang diketahui tampaknya null dialihkan dan botnya diam.

Temuan ini muncul seminggu setelah Microsoft merinci botnet lintas platform yang dikenal sebagai MCCrash yang hadir dengan kemampuan untuk melakukan serangan DDoS terhadap server pribadi Minecraft.

Selengkapnya: The Hacker News

Tagged With: DDoS, Malware,

Worm Raspberry Robin Menjatuhkan Malware Palsu Untuk Membingungkan Peneliti

by

Malware Raspberry Robin sekarang mencoba melakukan beberapa tipu daya dengan menjatuhkan muatan palsu untuk membingungkan peneliti dan menghindari deteksi ketika proses deteksi sedang dijalankan di dalam sandbox dan alat debugging.

Raspberry Robin adalah dropper malware mirip cacing yang menjual akses awal ke jaringan yang disusupi ke geng ransomware dan operator malware.

Taktik malware palsu ini ditemukan oleh para peneliti Trend Micro yang mengamati Raspberry Robin dalam serangan baru-baru ini terhadap penyedia layanan telekomunikasi dan sistem pemerintahan.

Malware mencapai sistem yang ditargetkan melalui drive USB berbahaya yang menginfeksi perangkat dengan malware saat dimasukkan dan disertakan.

Rantai infeksi khas Raspberry Robin (Trend Micro)

Masalah Ganda
Malware ini disamarkan untuk menyembunyikan kodenya dari pemeriksaan keamanan, menampilkan banyak lapisan yang berisi nilai hard-coded untuk mendekripsi yang berikutnya.

Namun, untuk mempersulit peneliti keamanan untuk menganalisis malware, Raspberry Robin mulai menjatuhkan dua muatan yang berbeda tergantung pada bagaimana perangkat dijalankan.

Jika malware mendeteksi itu berjalan di dalam sandbox, menunjukkan kemungkinan sedang dianalisis, pemuat menjatuhkan muatan palsu. Jika tidak, itu akan meluncurkan malware Raspberry Robin yang sebenarnya.

Diagram lapisan packing (Trend Micro)

Muatan palsu ini menampilkan dua lapisan tambahan, kode shell dengan file PE tersemat dan file PE dengan header MZ dan tanda tangan PE dihapus. Setelah dijalankan, ia mencoba membaca registri Windows untuk menemukan penanda infeksi dan kemudian mulai mengumpulkan informasi sistem dasar.

Setelah siap, malware mencoba terhubung ke alamat Tor yang dikodekan dan membuat saluran pertukaran informasi dengan operatornya.

LockBit Ransomware Memiliki Kesamaan
Menurut analis Trend Micro, penambahan baru-baru ini dalam TTP Raspberry Robin (taktik, teknik, dan prosedur) memiliki kesamaan dengan LockBit.Dua kesamaan utama yaitu menggunakan teknik kalibrasi ICM untuk eskalasi hak istimewa dan alat ‘TreadHideFromDebugger’ untuk anti-debugging.

Meskipun temuan ini penting, namun bukan merupakan bukti hubungan antara keduanya. Temuan ini dapat berfungsi sebagai tolok ukur dalam penelitian di masa mendatang.

Kampanye Raspberry Robin saat ini lebih merupakan upaya pengintaian untuk mengevaluasi keefektifan mekanisme baru daripada langkah awal dalam serangan yang sebenarnya.

Selengkapnya: BLEEPINGCOMPUTER