Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat / Phishing

Phishing

Singapura mendorong untuk memperkenalkan langkah-langkah keamanan di tengah penipuan perbankan online

by

Bank dan lembaga keuangan di Singapura menerapkan langkah-langkah keamanan baru yang telah diamanatkan menyusul serangkaian penipuan SMS phishing yang menghapus beberapa korban dari tabungan hidup mereka. Langkah-langkah ini termasuk penghapusan hyperlink dari email atau pesan SMS yang dikirim ke konsumen dan penundaan 12 jam dalam mengaktifkan token perangkat lunak seluler.

Otoritas Moneter Singapura (MAS) dan Asosiasi Bank di Singapura (ABS) mengatakan bahwa langkah-langkah tambahan bertujuan untuk memperkuat keamanan perbankan digital, mengingat penipuan baru-baru ini yang menargetkan pelanggan bank.

Penipuan SMS-phishing melibatkan setidaknya 469 pelanggan OCBC Bank dan mengakibatkan kerugian lebih dari SG$8,5 juta, dengan kerugian S$2,7 juta saja selama tiga hari akhir pekan Natal. Beberapa korban dilaporkan kehilangan tabungan hidup mereka, termasuk seorang pria berusia 43 tahun yang rekeningnya dihapus sebesar S$500.000, seorang insinyur perangkat lunak berusia 38 tahun yang kehilangan S$250.000, dan eksekutif keuangan berusia 33 tahun yang memilikinya. akun dikosongkan sebesar S$68.000.

Scammers memanipulasi detail ID Pengirim SMS yang tampaknya berasal dari OCBC. Pesan SMS ini mendorong para korban untuk menyelesaikan masalah dengan akun mereka, mengarahkan mereka ke situs web phishing dan menginstruksikan mereka untuk memasukkan detail login bank mereka, termasuk nama pengguna, PIN, dan One-Time Password (OTP).

Karena ID Pengirim OCBC yang sah berhasil dikloning, dan dipalsukan, pesan-pesan ini muncul di utas yang sama dengan peringatan atau pemberitahuan sebelumnya dari bank, membuat para korban percaya bahwa itu sah.

Pelanggan OCBC yang terkena dampak juga menyatakan frustrasi atas bagaimana mereka ditahan dalam upaya mereka untuk menghubungi hotline bank dan akun mereka dikunci, setelah mereka menerima pemberitahuan transfer pembayaran dan permintaan untuk meningkatkan batas transaksi mereka yang tidak pernah mereka lakukan.

Bank-bank lokal dengan berkonsultasi dengan MAS, akan berupaya menerapkan langkah-langkah yang lebih ketat dalam dua minggu ke depan. Ini akan mencakup pengaturan ambang default pemberitahuan transaksi transfer dana pada S$100 atau lebih rendah dan memicu pemberitahuan ke nomor ponsel atau email yang ada yang terdaftar di bank, setiap kali ada permintaan untuk mengubah nomor ponsel atau alamat email pelanggan.

Bank juga harus membentuk tim bantuan pelanggan yang berdedikasi dan “bersumber daya baik” untuk menangani umpan balik pelanggan tentang kasus penipuan potensial, kata MAS. Regulator menambahkan bahwa perlindungan lebih lanjut, seperti memberlakukan periode pendinginan sebelum permintaan untuk perubahan akun utama, termasuk detail kontak pelanggan, harus diterapkan.

Selain itu, bank akan bekerja sama dengan MAS, penegak hukum setempat, dan Otoritas Pengembangan Media Infokom (IMDA) untuk menangani “momok penipuan” saat ini. Ini akan termasuk bekerja pada langkah-langkah yang lebih permanen untuk memerangi spoofing SMS, termasuk adopsi registri ID Pengirim SMS oleh semua pemangku kepentingan terkait, kata MAS.

OCBC mengatakan semua pelanggan yang terkena penipuan SMS phishing akan menerima “pembayaran niat baik penuh” yang terdiri dari jumlah yang hilang. Ini terjadi setelah pernyataan bahwa mereka mulai melakukan “pembayaran niat baik” sejak 8 Januari, tetapi tidak menentukan apakah ini mencakup seluruh jumlah pelanggan yang hilang.

Sumber : ZDnet dan MAS

FBI Memperingatkan Kode QR Berbahaya yang Digunakan untuk Mencuri Uang Anda

by

Biro Investigasi Federal (FBI) memperingatkan orang Amerika minggu ini bahwa penjahat dunia maya menggunakan kode Quick Response (QR) yang dibuat dengan jahat untuk mencuri kredensial dan info keuangan mereka.

Peringatan itu dikeluarkan sebagai pengumuman layanan publik (PSA) yang diterbitkan di Pusat Pengaduan Kejahatan Internet Biro (IC3) awal pekan ini.

“Penjahat dunia maya merusak kode QR untuk mengarahkan korban ke situs berbahaya yang mencuri informasi login dan keuangan,” kata lembaga penegak hukum federal.

FBI mengatakan penjahat beralih kode QR yang sah yang digunakan oleh bisnis untuk tujuan pembayaran untuk mengarahkan korban potensial ke situs web berbahaya yang dirancang untuk mencuri informasi pribadi dan keuangan mereka, menginstal malware di perangkat mereka, atau mengalihkan pembayaran mereka ke akun di bawah kendali mereka.

Setelah para korban memindai apa yang tampak seperti kode yang sah, mereka dikirim ke situs phishing penyerang, di mana mereka diminta untuk memasukkan info login dan keuangan mereka. Setelah masuk, itu akan dikirim ke penjahat cyber yang dapat menggunakannya untuk mencuri uang menggunakan rekening perbankan yang dibajak.

“Sementara kode QR tidak berbahaya, penting untuk berhati-hati ketika memasukkan informasi keuangan serta memberikan pembayaran melalui situs yang dinavigasi melalui kode QR,” tambah FBI. “Penegakan hukum tidak dapat menjamin pemulihan dana yang hilang setelah transfer.”

Perhatikan saat memindai kode QR

FBI menyarankan orang Amerika untuk memperhatikan URL yang mereka kirim setelah memindai kode QR, selalu berhati-hati saat memasukkan data mereka setelah memindai kode QR, dan memastikan bahwa kode QR fisik belum tercakup dengan yang berbahaya.

Anda juga harus menghindari menginstal aplikasi melalui kode QR atau menginstal pemindai kode QR (sebagai gantinya, gunakan yang disertakan dengan OS ponsel Anda).

Last but not least, selalu masukkan URL dengan tangan saat melakukan pembayaran alih-alih memindai kode QR yang dapat diatur untuk mengarahkan Anda ke situs berbahaya.

Sumber: Bleepingcomputer

Kelemahan Plugin WordPress Menempatkan 20.000 Situs pada Risiko Phishing

by Leave a Comment

Plugin WordPress WP HTML Mail, yang diinstal di lebih dari 20.000 situs, rentan terhadap cacat tingkat keparahan tinggi yang dapat menyebabkan injeksi kode dan distribusi email phishing yang meyakinkan.

‘WP HTML Mail’ adalah plugin yang digunakan untuk merancang email khusus, pemberitahuan formulir kontak, dan pesan yang umumnya disesuaikan yang dikirim platform online ke audiens mereka.

Plugin ini kompatibel dengan WooCommerce, Ninja Forms, BuddyPress, dan lain-lain. Sementara jumlah situs yang menggunakannya tidak besar, banyak yang memiliki audiens yang besar, memungkinkan cacat untuk mempengaruhi sejumlah besar pengguna internet.

Menurut sebuah laporan oleh tim Threat Intelligence Wordfence, seorang aktor yang tidak diautistik dapat memanfaatkan cacat yang dilacak sebagai “CVE-2022-0218” untuk memodifikasi template email untuk berisi data sewenang-wenang yang dipilih penyerang.

Selain itu, aktor ancaman dapat menggunakan kerentanan yang sama untuk mengirim email phishing kepada siapa pun yang terdaftar di situs yang dikompromikan.

Titik akhir API yang tidak dilindungi

Masalahnya terletak pada pendaftaran plugin dari dua rute REST-API yang digunakan untuk mengambil dan memperbarui pengaturan template email.

Titik akhir API ini tidak dilindungi secara memadai dari akses yang tidak sah, sehingga bahkan pengguna yang tidak diautistik dapat memanggil dan menjalankan fungsi.

Terlepas dari kemungkinan serangan phishing, musuh juga bisa menyuntikkan JavaScript berbahaya ke dalam template surat, yang akan mengeksekusi kapan saja administrator situs mengakses editor email HTML.

Ini berpotensi membuka jalan untuk menambahkan akun admin baru, mengarahkan pengunjung situs ke situs phishing, menyuntikkan backdoor ke file tema, dan bahkan menyelesaikan pengambilalihan situs.

Pengungkapan dan perbaikan

Wordfence menemukan dan mengungkapkan kerentanan kepada pengembang plugin pada 23 Desember 2021, tetapi mereka baru mendapat tanggapan pada 10 Januari 2022.

Pembaruan keamanan yang mengatasi kerentanan datang pada 13 Januari 2022, dengan rilis versi 3.1.

Dengan demikian, semua pemilik dan administrator situs WordPress disarankan untuk memverifikasi bahwa mereka menjalankan versi terbaru dari plugin ‘WP HTML Mail’.

Sumber: Bleepingcomputer

DHL Melengserkan Microsoft Sebagai Merek yang Paling Ditiru dalam Serangan Phishing

by

DHL adalah merek yang paling ditiru dalam kampanye phishing sepanjang Q4 2021, mendorong Microsoft ke tempat kedua, dan Google ke posisi keempat.

Ini tidak mengherankan mengingat bahwa kuartal terakhir setiap tahun termasuk Black Friday, Cyber Monday, dan musim belanja Natal, sehingga umpan phishing berdasarkan pengiriman paket secara alami meningkat.

DHL adalah layanan pengiriman paket dan surat ekspres internasional, mengirimkan lebih dari 1,6 miliar paket per tahun.

Dengan demikian, kampanye phishing yang meniru merek memiliki peluang bagus untuk menjangkau orang-orang yang menunggu paket DHL tiba selama musim liburan.

Umpan spesifik berkisar dari paket yang terjebak di bea cukai dan memerlukan tindakan untuk izin ke nomor pelacakan yang seharusnya bersembunyi di dalam lampiran dokumen atau tautan tertanam.

Menurut sebuah laporan oleh perusahaan intelijen ancaman Check Point, sepuluh merek teratas yang ditiru oleh aktor phishing pada Q4 2021 adalah sebagai berikut:

    1. DHL (related to 23% of all phishing attacks globally)
    2. Microsoft (20%)
    3. WhatsApp (11%)
    4. Google (10%)
    5. LinkedIn (8%)
    6. Amazon (4%)
    7. FedEx (3%)
    8. Roblox (3%)
    9. Paypal (2%)
    10. Apple (2%)

Dalam contoh yang disajikan pada laporan Check Point, kampanye phishing menggunakan alamat email dukungan pelanggan DHL palsu untuk mengirim pesan “pemberitahuan pengiriman”, seperti yang ditunjukkan di bawah ini.

Dalam hal ini, email meminta pengguna untuk memverifikasi identitas mereka, yang terjadi pada halaman phishing yang dibuat agar terlihat persis seperti situs DHL yang sebenarnya.

Dalam umpan FedEx yang diambil sampelnya oleh CheckPoint, para aktor mengklaim tidak dapat mengirimkan paket ke penerima, meminta korban untuk memasukkan rincian mereka di situs phishing.

Akhirnya, ada spesimen phishing PayPal yang tidak menyenangkan yang meminta target untuk “mengkonfirmasi informasi akun mereka” untuk mencabut status penangguhan sementara.

Tetap tenang dan tetap waspada

Cara terbaik untuk menangani email masuk yang membuat klaim berani dan meminta tindakan-segera adalah berhati-hati.

Sebagai gantinya, Anda harus membuka tab browser baru, mengunjungi situs web resmi pengirim yang diduga, mengkonfirmasi validitas URL tempat Anda berada, dan baru kemudian masuk ke akun Anda. Jika ada tindakan yang diperlukan dari Anda, Anda akan melihat peringatan yang relevan di sana.

Jangan pernah mengklik tombol tertanam pada email dan hindari mengunduh dan membuka dokumen yang tiba melalui komunikasi yang tidak diminta.

Phishing bergantung pada menciptakan rasa urgensi, jadi setiap kali Anda berurusan dengan email yang menyebabkan Anda tertekan, pertimbangkan kemungkinan itu sebagai upaya untuk menipu Anda agar memberikan informasi sensitif.

Sumber: Bleepingcomputer

EA: 50 Akun Ternama FIFA 22 Diambil Alih oleh Aktor Phishing

by

Electronic Arts (EA) telah menerbitkan tanggapan resmi terhadap banyak laporan tentang akun pemain yang diretas, mengkonfirmasikan masalah dan menghubungkannya dengan aktor phishing.

Seperti yang dijelaskan pemberitahuan itu, peretas menggunakan rekayasa sosial terhadap tim pengalaman pelanggan EA untuk melewati otentikasi dua faktor dan mengambil lebih dari 50 akun pemain.

FIFA 22 adalah permainan simulasi sepak bola (sepak bola) yang sangat populer yang menampilkan mode multi-pemain di mana orang dapat bersaing secara real-time, memperdagangkan item dalam game, dll.

Perusahaan game telah berjanji untuk mengembalikan akses pemilik yang sah ke akun yang dikompromikan dan juga telah mengumumkan langkah-langkah berikut untuk mencegah hal ini terjadi lagi di masa depan:

  • Semua Penasihat EA dan individu yang membantu layanan Akun EA menerima pelatihan ulang individual dan pelatihan tim tambahan, dengan penekanan khusus pada praktik keamanan akun dan teknik phishing yang digunakan dalam contoh khusus ini.
  • Implementasi langkah-langkah tambahan untuk proses verifikasi kepemilikan akun, seperti persetujuan manajerial wajib untuk semua permintaan perubahan email.
  • Perangkat lunak pengalaman pelanggan akan diperbarui untuk mengidentifikasi aktivitas yang mencurigakan dengan lebih baik, menandai akun berisiko, dan selanjutnya membatasi potensi kesalahan manusia dalam proses pembaruan akun.

Perubahan di atas pasti akan membuat layanan pelanggan lebih rumit dan lambat, tetapi mereka akan meningkatkan keamanan akun, sesuatu yang telah dikeluhkan oleh komunitas FIFA selama bertahun-tahun.

“Kami ingin meminta maaf atas ketidaknyamanan dan frustrasi yang disebabkan ini, dan bahwa kami tidak dapat berbagi rincian tambahan dalam komunikasi asli kami minggu lalu saat kami melakukan penyelidikan menyeluruh.”

Akun profil ternama diretas

Akun yang ditargetkan oleh aktor phishing termasuk pemain sepak bola nyata seperti Valentin Rosier, streamer profesional, dan pedagang mata uang dalam game.

Akun-akun profil tinggi ini telah menginvestasikan sejumlah besar uang dalam permainan dan menggunakannya sebagai sumber pendapatan dengan memonetisasi kehadiran mereka di ruang virtual itu.

Beberapa pemegang akun yang diretas menunjukkan kemungkinan staf EA memberikan data pribadi mereka kepada peretas, yang akan melanggar GDPR, menimbulkan denda hingga 4% dari omset tahunan EA.

Namun, pada saat ini, tidak ada penyelidikan perlindungan data yang diumumkan, dan penyelidikan EA atas insiden tersebut masih berlangsung, sehingga ruang lingkup dampak belum ditentukan dengan pasti.

Perlu juga dicatat bahwa Bleeping Computer telah melihat laporan akun FIFA 22 tingkat rendah yang telah diretas baru-baru ini, sehingga jumlah akun yang diambil alih oleh aktor phishing mungkin jauh lebih besar dari 50.

Sumber: Bleepingcomputer

FBI memperingatkan tentang penipuan otentikasi Google Voice yang sedang berlangsung

by

Biro Investigasi Federal (FBI) mengatakan orang Amerika yang membagikan nomor telepon mereka secara online menjadi sasaran penipuan otentikasi Google Voice.

Seperti yang dijelaskan oleh badan penegak hukum federal, para penipu menargetkan mereka yang telah memposting nomor telepon mereka sebagai bentuk kontak ketika mencoba menjual berbagai barang di pasar online atau aplikasi media sosial.

Jika berhasil, mereka akan membuat akun Google Voice atas nama korbannya atau membajak akun Gmail mereka yang nantinya akan digunakan dalam skema penipuan lain atau dalam serangan phishing.

Penipu akan menjangkau target mereka melalui pesan teks atau email yang menunjukkan minat mereka pada barang yang dijual, meminta penjual untuk memverifikasi bahwa penawaran mereka sah dan mereka adalah orang sungguhan dan bukan bot dengan membagikan kode otentikasi yang mereka berikan. akan menerima dari Google.

“Apa yang sebenarnya dia lakukan adalah menyiapkan akun Google Voice atas nama Anda menggunakan nomor telepon asli Anda sebagai verifikasi,” tambah agensi.

“Setelah diatur, dia dapat menggunakan akun Google Voice itu untuk melakukan sejumlah penipuan terhadap korban lain yang tidak akan langsung kembali kepadanya. Dia juga dapat menggunakan kode itu untuk mendapatkan akses dan mengambil alih akun Gmail Anda. ”

Apa yang harus dilakukan jika Anda menjadi target penipuan otentikasi?
FBI menyarankan korban untuk memeriksa situs web dukungan Google untuk informasi tentang cara mengambil kembali kendali akun Google Voice mereka dan mendapatkan kembali nomor Voice mereka.

Agen federal juga memberikan tip berikut untuk menghindari scammed di tempat pertama jika Anda pernah menjadi target:

  • Jangan pernah membagikan kode verifikasi Google dengan orang lain.
  • Hanya berurusan dengan pembeli, penjual, dan pencari Fluffy secara langsung. Jika uang akan ditukarkan, pastikan Anda menggunakan pemroses pembayaran yang sah.
  • Jangan memberikan alamat email Anda kepada pembeli/penjual yang melakukan bisnis melalui telepon.
  • Jangan biarkan seseorang membuat Anda terburu-buru dalam penjualan. Jika mereka menekan Anda untuk merespons, kemungkinan besar mereka mencoba memanipulasi Anda untuk bertindak tanpa berpikir.

Sumber : Bleeping Computer

Fitur komentar Google Documents dieksploitasi untuk spear-phishing

by

Tren baru dalam serangan phishing muncul pada Desember 2021, dengan pelaku ancaman menyalahgunakan fitur komentar Google Documents untuk mengirimkan email yang tampaknya dapat dipercaya.

Karena Google sendiri sedang “ditipu” untuk mengirimkan email ini, kemungkinan alat keamanan email menandai mereka sebagai berpotensi berisiko hampir nol.

Peretas menggunakan akun Google mereka untuk membuat Dokumen Google dan kemudian mengomentarinya untuk menyebutkan target dengan @.

Google kemudian mengirimkan email pemberitahuan ke kotak masuk target, memberi tahu mereka bahwa pengguna lain telah mengomentari dokumen dan menyebut mereka.

Email berisiko dibuat dan dikirim oleh Google
Sumber: Avanan

Komentar pada email dapat membawa tautan berbahaya yang menyebabkan malware menjatuhkan halaman web atau situs phishing, email pelaku ancaman juga tidak ditampilkan di notifikasi, dan penerima hanya melihat nama. Hal ini membuat peniruan menjadi sangat mudah, dan sekaligus meningkatkan peluang keberhasilan bagi para aktor.

Teknik yang sama bekerja pada komentar Google Slide juga, dan Avanan melaporkan telah melihat aktor memanfaatkannya di berbagai elemen layanan Google Workspace.

Penyerang tidak perlu membagikan dokumen dengan target mereka karena menyebutkan mereka sudah cukup untuk mengirim pemberitahuan berbahaya.

Menurut Avanan, pelaku ancaman di balik serangan ini tampaknya berpihak pada pengguna Outlook, tetapi target demografisnya tidak terbatas pada mereka.

Kampanye spear-phishing yang sedang berlangsung ini menggunakan lebih dari 100 akun Google dan telah mencapai 500 kotak masuk di 30 organisasi.

Satu-satunya cara untuk mengurangi risiko kampanye ini dan kampanye serupa adalah dengan:

  • Konfirmasikan bahwa email pengirim cocok dengan rekan Anda (atau orang yang diklaim)
  • Hindari mengklik tautan yang datang melalui email dan disematkan di komentar
  • Terapkan tindakan keamanan tambahan yang menerapkan aturan berbagi file yang lebih ketat di Google Workspace
  • Gunakan solusi keamanan internet dari vendor tepercaya yang memiliki fitur perlindungan URL phishing

Sumber : Bleeping Computer

Malware Flagpro Baru Terkait dengan Peretas yang Didukung Negara China

by

Kelompok spionase cyber BlackTech APT (advanced persistent threat) telah terlihat menargetkan perusahaan Jepang menggunakan malware baru yang oleh para peneliti disebut ‘Flagpro’.

Aktor ancaman menggunakan Flagpro pada tahap awal serangan untuk pengintaian jaringan, untuk mengevaluasi lingkungan target, dan untuk mengunduh malware tahap kedua dan mengeksekusinya.

Melanggar jaringan perusahaan

Rantai infeksi dimulai dengan email phishing yang dibuat untuk organisasi target, berpura-pura menjadi pesan dari mitra yang dapat dipercaya. Email ini membawa lampiran ZIP atau RAR yang dilindungi kata sandi yang berisi file Microsoft Excel (. XLSM) dicampur dengan makro berbahaya. Menjalankan kode ini membuat executable di direktori startup, Flagpro.

Pada eksekusi pertamanya, Flagpro terhubung ke server C2 melalui HTTP dan mengirimkan rincian ID sistem yang diperoleh dengan menjalankan perintah OS hardcoded.

Sebagai tanggapan, C2 dapat mengirim kembali perintah tambahan atau muatan tahap kedua yang dapat dijalankan Flagpro.

Komunikasi antara keduanya dikodekan dengan Base64, dan ada juga penundaan waktu yang dapat dikonfigurasi antara koneksi untuk menghindari menciptakan pola operasi yang dapat diidentifikasi.

Menurut sebuah laporan oleh NTT Security, Flagpro telah dikerahkan terhadap perusahaan Jepang selama lebih dari setahun, setidaknya sejak Oktober 2020. Sampel terbaru yang bisa diambil para peneliti adalah mulai Juli 2021.

Entitas yang ditargetkan berasal dari berbagai sektor, termasuk teknologi pertahanan, media, dan komunikasi.

Flagpro v2.0

Pada titik tertentu dalam analisis mereka, para peneliti NTT melihat versi baru Flagpro, yang secara otomatis dapat menutup dialog yang relevan untuk membangun koneksi eksternal yang dapat mengungkapkan kehadirannya kepada korban.

“Dalam implementasi Flagpro v1.0, jika dialog berjudul “Windows セキュリティ” ditampilkan ketika Flagpro mengakses ke situs eksternal, Flagpro secara otomatis mengklik tombol OK untuk menutup dialog,” jelas laporan Keamanan NTT.

“Penanganan ini juga bekerja ketika dialog ditulis dalam bahasa Cina atau Inggris. Ini menunjukkan targetnya ada di Jepang, Taiwan, dan negara-negara berbahasa Inggris.”

Selengkapnya: Bleepingcomputer