Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat / Malware

Malware

Resmi: Malware BlackLotus dapat mem-bypass Secure Boot pada Windows

by

BlackLotus, bootkit UEFI yang dijual di forum peretasan seharga sekitar $5.000, sekarang dapat mem-bypass Secure Boot, menjadikannya malware pertama yang diketahui berjalan di sistem Windows bahkan dengan fitur keamanan firmware diaktifkan.
Secure Boot seharusnya mencegah perangkat menjalankan perangkat lunak yang tidak sah pada mesin Microsoft. Tetapi dengan menargetkan UEFI, malware BlackLotus dimuat sebelum hal lain dalam proses booting, termasuk sistem operasi dan alat keamanan apa pun yang dapat menghentikannya.

Peneliti keamanan utama Kaspersky, pertama kali melihat BlackLotus dijual di pasar kejahatan siber pada Oktober 2022 dan spesialis keamanan telah membongkar bagian demi bagian sejak saat itu.

Malware terbaru mampu berjalan bahkan pada sistem Windows 11 yang sepenuhnya up-to-date dengan UEFI Secure Boot diaktifkan.

Eksploitasi proof-of-concept untuk kerentanan ini telah tersedia untuk umum sejak Agustus 2022, diperkirakan akan segera melihat lebih banyak penjahat dunia maya menggunakan masalah ini untuk tujuan terlarang.

BlackLotus dapat menonaktifkan beberapa alat keamanan OS termasuk BitLocker, Integritas Kode yang dilindungi Hypervisor (HVCI) dan Windows Defender, dan melewati Kontrol Akun Pengguna (UAC), menurut toko keamanan.

Secure Boot dengan menargetkan UEFI, malware BlackLotus dimuat sebelum hal lain dalam proses booting, termasuk sistem operasi dan alat keamanan apa pun yang dapat menghentikannya.

Setelah mengeksploitasi CVE-2022-21894 dan mematikan alat keamanan sistem, BlackLotus menyebarkan driver kernel dan pengunduh HTTP. Driver kernel melindungi file bootkit dari penghapusan, sedangkan pengunduh HTTP berkomunikasi dengan server perintah-dan-kontrol dan mengeksekusi muatan.

Selengkapnya: The Register

Pusat Diagnostik DNA akan membayar denda $400.000 untuk pelanggaran data tahun 2021

by

Pengumuman dari Pusat Diagnostik DNA (DDC) muncul setelah gugatan yang diajukan oleh jaksa agung kedua negara bagian menuduh perusahaan menunggu tiga bulan bahkan untuk mengakui pelanggaran tersebut.

“Semakin banyak informasi pribadi yang dapat diakses oleh penjahat ini, semakin rentan orang yang informasinya dicuri,” kata Penjabat Jaksa Agung Pennsylvania Michelle Henry. “Itulah mengapa Kantor saya mengambil tindakan dengan bantuan Jaksa Agung Yost di Ohio.”

Dari 2,1 juta orang yang datanya bocor, 12.663 berasal dari Pennsylvania dan 33.282 berasal dari Ohio. Informasi yang bocor termasuk nomor Jaminan Sosial dan data perawatan kesehatan.

Penyelidik mengatakan DDC melakukan uji penetrasi setelah akuisisi tetapi hanya berfokus pada database dengan “data pelanggan aktif”. Pada 28 Mei 2021, DDC menerima peringatan otomatis dari penyedia layanan terkelolanya yang mengindikasikan bahwa “aktivitas mencurigakan” terjadi terkait dengan jaringan unit Orchid Cellmark.

Penyedia layanan terkelola yang sama berulang kali menghubungi DDC untuk memperingatkan mereka bahwa jaringan sedang diakses tetapi diabaikan hingga Agustus, ketika peretas memasang malware Cobalt Strike. DDC memulai rencana respons insidennya setelah pemberitahuan itu.

Investigasi DDC menemukan bahwa pada 24 Mei, seseorang masuk ke VPN perusahaan menggunakan kredensial DDC dan menggunakan akses tersebut untuk mendapatkan direktori kredensial untuk semua akun di jaringan.

Secara total, peretas mengakses lima server dan mencuri 28 basis data, akhirnya menghubungi DDC pada September 2021 untuk meminta pembayaran sebagai ganti data yang dicuri. DDC membayar peretas jumlah yang dirahasiakan untuk menghapus data.

DDC akhirnya menyetujui perintah lima tahun yang mencakup mandat untuk mengembangkan program keamanan informasi dengan pengamanan data medis dalam waktu 180 hari. DDC juga harus mempekerjakan karyawan atau perusahaan untuk mengawasi program keamanan informasi mereka.

selengkapnya : therecord

Aplikasi Baru Microsoft Defender Diinstal secara Otomatis di Windows 11

by

“Microsoft Defender” di menu Start, aplikasi baru yang secara otomatis diinstal pada mesin Windows 11 dan 10. Setelah mengujinya selama lebih dari setahun, Microsoft akhirnya melompat dan mulai menginstal aplikasi Defender baru.

Selama akhir pekan, Microsoft secara diam-diam menginstal aplikasi “Microsoft Defender” di perangkat kami yang menjalankan Windows 10 dan Windows 11. Penginstalan paksa ini ditautkan ke aplikasi Microsoft 365. Menurut dokumen dukungan baru, aplikasi Microsoft Defender akan diinstal secara otomatis jika Anda menggunakan 365.

Microsoft Defender akan terinstal otomatis bagi pengguna yang berlangganan aktif Microsoft 365 dan telah menginstal Microsoft 365. Microsoft Defender baru juga dapat diunduh dari Microsoft Store dan digunakan secara gratis, tetapi berfungsi paling baik jika Anda memiliki langganan Microsoft 365.

Defender adalah aplikasi yang ringan, tetapi sangat sederhana dan tidak menawarkan banyak hal. Dalam beberapa kasus, pengguna mengeluh bahwa itu menggantikan aplikasi Windows Security asli mereka dan tidak mengizinkan mereka menjalankan pemindaian keamanan.

Beberapa pengguna takut dan mendapat kesan bahwa aplikasi Defender berbasis web adalah malware, berkat cara Microsoft menginstalnya.

Selengkapnya: Windows Latest

Samsung Menambahkan Perlindungan Serangan Zero-click ke perangkat Galaxy

by

Samsung telah mengembangkan sistem keamanan baru untuk membantu pengguna smartphone Galaxy tetap aman dari apa yang disebut eksploitasi “zero-click” yang menggunakan file gambar berbahaya.

Samsung Message Guard adalah ruang virtual terisolasi pada smartphone yang berfungsi sebagai lokasi hosting sementara untuk file gambar yang baru tiba dalam format PNG, JPG/JPEG, GIF, ICO, WEBP, BMP, dan WBMP.

Sistem memeriksa file untuk menentukan apakah mereka menyembunyikan kode berbahaya. Jika ditemukan kode berbahaya, mereka dikunci dalam mode karantina dan diblokir dari mengakses atau berinteraksi dengan sistem operasi yang mendasarinya.

Eksploitasi Zero-click
Eksploitasi zero-click adalah ancaman canggih yang memanfaatkan kerentanan tanpa memerlukan interaksi apa pun dengan pengguna.

Serangan yang mengandalkan eksploitasi zero-click biasanya melibatkan pengiriman pesan atau file ke target dengan kode berbahaya untuk memicu kerentanan pada perangkat yang memberikan akses penyerang bahkan tanpa korban membuka pesan atau file tersebut.

Sistem ini akan segera tersedia untuk Galaxy S23, dirilis pada hari Jumat, secara bertahap akan diluncurkan ke perangkat Galaxy lain yang menjalankan One UI 5.1 atau lebih tinggi nanti pada tahun 2023.

Selengkapnya: BleepingComputer

Pencuri Enigma Menargetkan Industri Cryptocurrency dengan Pekerjaan Palsu

by

Baru-baru ini Trend Micro menemukan kampanye aktif yang menargetkan orang Eropoa Timur di Industri mata uang kripto untuk memasang pencuri informasi dengan berdalih pekerjaan palsu.

Pada ancaman tersebut, pelaku ancaman Rusia yang dicurigai menggunakan beberapa pemuat khusus dan sedang dikembangkan untuk menginfeksi mereka yang terlibat dalam industri cryptocurrency dengan Enigma Stealer, terdeteksi sebagai TrojanSpy.MSIL.ENIGMASTEALER.YXDBC.

Penyerang juga mengeksploitasi kerentanan driver intel, CVE-2015-2291, untuk memuat driver berbahaya yang dirancang untuk mengurangi integritas token Microsoft Defender.

Attack kill chain yang digunakan oleh operator Enigma Stealer
Attack kill chain yang digunakan oleh operator Enigma Stealer

Stealerium adalah pencuri informasi asli sebagai basis untuk Enigma Stealer, merupakan proyek open-source dalam bahasa C# yang memasarkan dirinya sebagai pencuri, pemangkas, dan keylogger dengan kemampuan logging menggunakan API Telegram.

Pengguna dan tim keamanan disarankan untuk selalu waspada dan terus memperbarui solusi keamanan sistem mereka.

Berikut adalah tindakan penyerang menggunakan wawancara cryptocurrency palsu untuk memikat korban dengan mengirimkan dokumen berisi daftar pertanyaan interview ke email target korban. Trend Micro juga menjelaskan lebih lanjut mengenai infrastruktur enigma dan bagaimana malware bekerja.

Terjemahan mesin dari pertanyaan Wawancara.txt
Terjemahan mesin dari pertanyaan Wawancara.txt

Berdasarkan hasil penelitian Trend Micro, kampanye ini menunjukkan vektor serangan yang giigh dan menguntungkan untuk berbagai kelompok dan aktor ancaman persisten tingkat lanjut (APT).

Individu dan organisasi diharapkan tetap waspada terhadap serangan phising, baik melalui sosial media atau media lainnya.

Selengkapnya: Trend Micro

Fake Installers yang Menargetkan Asia Tenggara dan Timur

by

Peneliti ESET mengidentifikasi kampanye malware yang menargetkan orang-orang berbahasa Mandarin di Asia Tenggara dan Timur dengan membeli iklan yang menyesatkan untuk muncul di hasil pencarian Google yang mengarah pada pengunduhan pemasang trojan. Penyerang tak dikenal membuat situs web palsu yang terlihat identik dengan aplikasi populer seperti Firefox, WhatsApp, atau Telegram, tetapi selain menyediakan perangkat lunak yang sah, juga mengirimkan FatalRAT, trojan akses jarak jauh yang memberikan kendali penyerang atas komputer korban.

Figure 1 menunjukkan peta panas dengan negara tempat kami mendeteksi serangan antara Agustus 2022 dan Januari 2023. Sebagian besar serangan memengaruhi pengguna di Taiwan, China, dan Hong Kong.

Penyerang mendaftarkan berbagai nama domain yang semuanya mengarah ke alamat IP yang sama: server yang menghosting beberapa situs web yang mengunduh perangkat lunak trojan. Beberapa situs web ini terlihat identik dengan rekan mereka yang sah tetapi malah mengirimkan penginstal berbahaya. Situs web lain, yang mungkin diterjemahkan oleh penyerang, menawarkan perangkat lunak versi bahasa China yang tidak tersedia di China, seperti Telegram, seperti yang ditunjukkan pada Gambar 3.

Penyerang telah berusaha keras terkait nama domain yang digunakan untuk situs web mereka, berusaha semirip mungkin dengan nama resmi. Situs web palsu, dalam banyak kasus, merupakan salinan identik dari situs yang sah. Adapun penginstal trojan, mereka menginstal aplikasi sebenarnya yang diminati pengguna, menghindari kecurigaan kemungkinan kompromi pada mesin korban. Untuk semua alasan ini, kami melihat betapa pentingnya untuk rajin memeriksa URL yang kami kunjungi sebelum mengunduh perangkat lunak. Lebih baik lagi, ketikkan ke bilah alamat browser Anda setelah memeriksa bahwa itu adalah situs vendor yang sebenarnya.

Karena malware yang digunakan adalah kampanye ini, FatalRAT, berisi berbagai perintah yang digunakan untuk memanipulasi data dari berbagai browser, dan viktimologi tidak berfokus pada jenis pengguna tertentu, siapa pun dapat terpengaruh. Ada kemungkinan bahwa penyerang hanya tertarik pada pencurian informasi seperti kredensial web untuk menjualnya di forum bawah tanah atau menggunakannya untuk jenis kampanye crimeware lainnya, tetapi untuk saat ini atribusi khusus dari kampanye ini ke aktor ancaman yang dikenal atau baru adalah tidak memungkinkan.

selengkapnya : welivesecurity

Malware ‘Beep’ Tersembunyi Baru, Berfokus pada Menghindari Deteksi

by

Ditemukan oleh analis di Minerva setelah sejumlah besar sampel diunggah ke VirusTotal, malware ‘Beep’ menampilkan banyak fitur untuk menghindari analisis dan deteksi oleh perangkat lunak keamanan.

Meskipun masih dalam pengembangan dan kehilangan beberapa fitur utama, saat ini ‘Beep’ memungkinkan pelaku ancaman untuk mengunduh dan mengeksekusi muatan lebih lanjut pada perangkat yang disusupi dari jarak jauh.

Pencuri Info Baru sedang Dibuat
Beep adalah malware pencuri informasi yang menggunakan tiga komponen terpisah yaitu penetes, injektor, dan muatan.

Penetes (“big.dll”) membuat kunci registri baru dengan nilai ‘AphroniaHaimavati’ yang berisi skrip PowerShell yang disandikan base64. Skrip PowerShell ini diluncurkan setiap 13 menit menggunakan tugas terjadwal Windows.

Langkah akhirnya adalah muatan utama mencoba mengumpulkan data dari mesin yang disusupi, mengenkripsinya, dan mengirimkannya ke C2. Selama analisis Minerva, alamat C2 yang di-hardcode sedang offline, tetapi malware mencoba melakukan koneksi bahkan setelah 120 percobaan gagal.

Mengumpulkan data dari sistem yang dilanggar (Minerva)
Mengumpulkan data dari sistem yang dilanggar (Minerva)

Meski terbatas, Minerva masih dapat mengidentifikasi fungsi-fungsi dalam sampel yang dipicu oleh perintah C2.

Selain teknik penghindaran, komponen injektor sendiri juga menerapkan teknik penghindaran.

Penyederhanaan string (Minerva)
Penyederhanaan string (Minerva)

‘Beep’ adalah contoh malware yang sangat berfokus pada penghindaran, setelah menerapkan beberapa mekanisme anti-analisis sebelum menyelesaikan kumpulan fitur lengkap untuk pencurian data dan pelaksanaan perintah.

Selengkapnya: BleepingComputer

Dragos: Serangan Ransomware pada Infrastruktur Industri Meningkat 2x Lipat pada Tahun 2022

by

Dragos melacak lebih dari 600 serangan ransomware tahun lalu yang mempengaruhi infrastruktur industri dengan hampir tiga perempatnya menargetkan sektor manufaktur.

Berbagai macam sektor yang terkena Serangan Ransomware
Berbagai macam sektor yang terkena Serangan Ransomware

Terdapat peningkatan 35% dalam upaya ransomware melawan teknologi operasional (OT) dan sistem kontrol industri (ICS) dalam serangan tersebut.

Sejumlah 437 entitas manufaktur terkena ransomware, termasuk 42 serangan terhadap perusahaan produk logam, 37 pada bisnis otomotif dan lebih dari 20 pada plastik, peralatan industri, bahan bangunan dan perusahaan elektronik atau semikonduktor.

Daftar lainnya mencakup serangan terhadap perusahaan yang bergerak di bidang kedirgantaraan, furnitur, kosmetik, bahan kimia, pakaian, peralatan medis, kertas, dan lainnya.
gambar-Serangan Ransomware?

Dominasi LockBit
LockBit menjadi dominan karena merupakan grup RaaS terkemuka yang menyediakan software kepada operator yang meluncurkan serangan sebenarnya dengan imbalan sebagian dari uang tebusan.
gambar

Dragos menilai dengan keyakinan moderat bahwa LockBit 3.0 akan terus menargetkan organisasi industri dan akan menimbulkan ancaman bagi operasi industri hingga tahun 2023.
Grup insiden Ransomware

Terdapat peningkatan tajam dalam jumlah kerentanan dan masalah teknis yang ditemukan oleh perusahaan keamanan seperti Dragos bersamaan dengan evolusinya beberapa grup ransomware.

Menurut Dragos, kemungkinan ransomware akan terus mengganggu operasi industri, baik melalui lingkungan OT yang salah kelola yang memungkinkan ransomware menyebar atau melalui penghentian pencegahan lingkungan tersebut untuk mencegah ransomware mencapai sistem tersebut.

Selengkapnya: The Record