Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat / Phishing

Phishing

Kampanye Phishing Baru Mengirim Tawaran Pekerjaan yang mengandung Malware Melalui LinkedIn

by

Dengan pengangguran pada tingkat yang luar biasa dan ekonomi melakukan pembalikan aneh terkait covid, saya pikir kita semua bisa setuju bahwa perburuan pekerjaan adalah pekerjaan yang cukup sulit saat ini. Di tengah semua itu, Anda tahu apa yang sebenarnya tidak dibutuhkan pekerja? Kotak masuk LinkedIn yang penuh dengan malware. Ya, mereka sama sekali tidak membutuhkan itu.

Namun demikian, tampaknya itulah yang mungkin didapat beberapa orang, berkat satu kelompok jahat dunia maya.

Perusahaan keamanan eSentire baru-baru ini menerbitkan laporan yang merinci bagaimana peretas yang terhubung ke grup yang dijuluki “Ayam Emas” (saya tidak yakin siapa yang menemukan yang itu) telah melancarkan kampanye jahat yang memangsa keinginan pencari kerja untuk posisi yang sempurna .

Kampanye ini melibatkan penipuan profesional bisnis yang tidak menaruh curiga agar mengklik tawaran pekerjaan yang berjudul sama dengan posisi mereka saat ini. Sebuah pesan, dimasukkan ke DM korban, mengumpan mereka dengan “penawaran” yang benar-benar dicurangi dengan file .zip yang dimuat pegas. Di dalamnya .zip adalah malware tanpa file yang disebut “more_eggs” yang dapat membantu membajak perangkat yang ditargetkan. Peneliti merinci bagaimana serangan itu bekerja:

Siapapun mereka, “Ayam” mungkin tidak melakukan serangan ini sendiri. Sebaliknya, mereka mengayuh apa yang akan diklasifikasikan sebagai Malware-as-a-service (MaaS) —yang berarti penjahat dunia maya lain membeli malware dari mereka untuk melakukan kampanye peretasan mereka sendiri. Laporan tersebut mencatat bahwa tidak jelas siapa sebenarnya di balik kampanye baru-baru ini.

Trojan pintu belakang seperti “more_eggs” pada dasarnya adalah program yang memungkinkan jenis malware lain yang lebih merusak untuk dimuat ke dalam sistem perangkat atau komputer. Setelah penjahat menggunakan trojan untuk mendapatkan tumpuan ke dalam sistem korban, mereka kemudian dapat menerapkan hal-hal lain seperti ransomware, malware perbankan, atau pencuri kredensial, untuk mendatangkan malapetaka yang lebih luas pada korbannya.

selengkapnya : gizmodo.com

Google Forms dan Telegram disalahgunakan untuk mengumpulkan kredensial phishing

by

Peneliti keamanan mencatat peningkatan metode alternatif untuk mencuri data dari serangan phishing, karena penipu mendapatkan info yang dicuri melalui Google Forms atau bot Telegram pribadi.

Email tetap menjadi metode yang disukai untuk mengekstrak info yang dicuri, tetapi saluran ini menunjukkan tren baru dalam evolusi kit phishing.

Menganalisis perangkat phishing selama setahun terakhir, para peneliti di perusahaan keamanan siber Group-IB memperhatikan bahwa lebih banyak dari alat ini memungkinkan pengumpulan data pengguna yang dicuri menggunakan Google Forms dan Telegram.

Ini dianggap sebagai metode alternatif untuk memperoleh data yang disusupi dan menyumbang hampir 6% dari apa yang ditemukan oleh analis Grup-IB, sebuah bagian yang kemungkinan besar akan meningkat dalam jangka pendek.

Menyimpan info dalam file lokal di sumber daya phishing juga merupakan bagian dari metode eksfiltrasi alternatif dan menyumbang persentase tertinggi dari semuanya.

Sumber: Group-IB

Mengirim data curian yang dikumpulkan dari situs phishing ke Google Forms dilakukan melalui permintaan POST ke formulir online yang tautannya tertanam dalam kit phishing.

Dibandingkan dengan email, yang dapat diblokir atau dibajak dan lognya hilang, ini adalah metode yang lebih aman untuk mengekstrak informasi, kata Group – IB kepada BleepingComputer.

Selengkapnya: Bleeping Computer

Perubahan merek Pulse BP Chargemaster memungkinkan penjahat mengirim trojan perbankan IcedID dari kotak surat yang sebelumnya sah

by

BP Chargemaster, pemasok soket untuk kendaraan listrik, tampaknya domain emailnya dibajak oleh penjahat yang menggunakan alamat yang sebelumnya sah untuk mengirim trojan perbankan ke pelanggan.

Email yang mengandung malware dikirim dari alamat email perusahaan awal bulan ini – dan lampirannya menyertakan malware pencuri kredensial IcedID.

Tampaknya server email perusahaan mungkin dibiarkan tanpa pengawasan setelah BP Chargemaster berganti nama menjadi BP Pulse pada awal Desember 2020. Selama pengubahan citra, situs web BP Chargemaster dan Polar digantikan oleh bppulse.co.uk, “untuk menghindari kebingungan “.

Pembaca register Matt menerima beberapa email dari BP Chargemaster yang dia yakin tidak berasal dari perusahaan.

Namun ketika dia mulai mendengar kabar dari pengirim itu lagi, email yang dia terima berisi teks seperti “Halo. Terlampir di bawah membutuhkan perhatian Anda,” mendesak Matt untuk membuka file .zip terlampir. Bacaan lainnya: “Silakan lihat file terlampir. Pasti menarik.” Kedua pesan tersebut tampaknya telah dikirim dari alamat email bpchargemaster [.] Com, dan Matt memperhitungkan pada saat mereka telah lulus validasi Sender Policy Framework (SPF).

Kami meminta F-Secure untuk melihat lampiran berbahaya yang dikirim ke Matt dan Calvin Gan perusahaan, manajer senior di Unit Pertahanan Taktis, mengatakan kepada The Register: “Email tersebut adalah kampanye malspam yang menyebarkan versi baru dari trojan perbankan IcedID . File zip berisi spreadsheet Excel berbahaya yang menggunakan fitur makro Excel 4.0 untuk menyembunyikan kodenya. ”

Dia menambahkan bahwa infosec Binary Defense memiliki catatan terbaru tentang evolusi terbaru trojan. Perusahaan menemukan bahwa ketika berhasil diterapkan, trojan tersebut menjatuhkan suar Cobalt Strike dan penjahat kemudian memetakan jaringan tempat orang jahat itu mendarat, dengan menyatakan: “IcedID adalah ancaman hebat yang membuat analisis menjadi kompleks dan menantang.”

Ini pertama kali ditemukan pada tahun 2017 oleh divisi keamanan X-Force IBM, seperti yang kami laporkan pada saat itu.

selengkapnya : www.theregister.com

Facebook Menghancurkan Kampanye Mata-mata Berbahaya yang Dilakukan oleh Peretas Tiongkok

by

Tim spionase siber Facebook mengklaim telah memecahkan kampanye jahat yang terjadi di platformnya, yang ditargetkan pada sekitar 500 pengguna.

Kampanye tersebut dikatakan dioperasikan oleh peretas Tiongkok, yang bertujuan untuk menginfeksi beberapa jurnalis, aktivis, dan pembangkang Uighur terpilih yang tinggal di berbagai negara, dan memata-matai mereka.

China diyakini melacak tidak hanya warganya sendiri dengan penuh semangat, tetapi juga orang-orang yang dicari lainnya dari seluruh dunia melalui metode terlarang. Sekarang, kampanye serupa dikatakan telah dipecah oleh tim spionase siber Facebook, setelah melacaknya beberapa saat.

Sesuai laporan mereka, mereka telah mengaitkan penulis kampanye jahat ini ke grup Earth Empusa atau Evil Eye, yang merupakan grup peretas China yang menargetkan jurnalis, aktivis, dan pembangkang.

Kampanye ini ditujukan untuk melacak semua individu dari kategori di atas yang tinggal di negara lain seperti Turki, Kazakhstan, Suriah, Australia, Kanada, dan AS. Basis target kira-kira sekitar 500 orang dan dimulai dengan memikat mereka untuk mengunjungi berbagai situs web dan aplikasi melalui Facebook dengan tujuan untuk mengumpulkan informasi sebanyak mungkin tentang orang-orang ini, dan menginfeksi perangkat mereka dengan kode pelacakan berbahaya untuk memata-matai mereka.

Sumber: Techdator

Microsoft memperingatkan serangan phishing yang melewati gateway email

by

Operasi phishing berkelanjutan yang mencuri sekitar 400.000 kredensial OWA (Outlook Web Access) dan Office 365 sejak Desember kini telah meluas dengan menyalahgunakan layanan baru yang sah untuk melewati secure email gateways (SEG).

Serangan tersebut merupakan bagian dari beberapa kampanye phishing yang secara kolektif dijuluki Kampanye “Compact”, aktif sejak awal tahun 2020 yang pertama kali terdeteksi oleh Tim Intelijen Ancaman Global WMC.

“Phisher terus menemukan keberhasilan dalam menggunakan akun yang disusupi di layanan pemasaran email untuk mengirim email berbahaya dari domain dan range IP yang sah,” kata pakar keamanan Microsoft.

Email phishing mereka disamarkan sebagai pemberitahuan dari layanan konferensi video, berbagai solusi keamanan, dan alat produktivitas untuk menambah legitimasi.

Pelaku ancaman juga menggunakan akun yang disusupi untuk layanan pengiriman email SendGrid dan MailGun, memanfaatkan gateway email yang aman memungkinkan daftar tersebut menjadi domain tepercaya.

Hal ini memungkinkan pesan phishing untuk melewati mereka dan masuk ke kotak masuk target, membujuk mereka untuk mengklik hyperlink yang disematkan yang mengarahkan mereka ke halaman arahan phishing yang dirancang untuk meniru halaman login Microsoft.

Sumber: Microsoft

Domain dan akun yang digunakan selama kampanye phishing ini akan dihapus segera setelah Microsoft dan WMC Global mendeteksinya.

Selengkapnya: Bleeping Computer

Target sempurna Phisher: Karyawan kembali ke kantor

by

Phisher telah mengeksploitasi ketakutan dan keingintahuan orang-orang tentang terobosan dan berita umum terkait pandemi COVID-19 sejak awal, dan akan terus melakukannya selama hal itu memengaruhi kehidupan pribadi dan pekerjaan.

Penjahat siber terus mengeksploitasi kepentingan publik dalam bantuan COVID-19, vaksin, dan berita varian, menipu Pusat Pengendalian Penyakit (CDC), Layanan Pendapatan Internal AS (IRS), Departemen Kesehatan dan Layanan Kemanusiaan (HHS) AS, Organisasi Kesehatan Dunia (WHO), dan badan serta bisnis lainnya.

Menurut peneliti Inky, karyawan yang perlahan-lahan kembali bekerja di kantor dan lokasi perusahaan lain dapat ditargetkan oleh penjahat siber yang menyamar sebagai kolega dan kepemimpinan perusahaan mereka.

Dilihat dari kampanye yang terdeteksi sebelumnya, penyerang akan memukul karyawan dengan email yang dibuat seolah-olah mereka berasal dari HR atau departemen lain, atau dari CEO.

Sumber: Helpnetsecurity

Email tersebut akan berisi elemen desain yang terkait dengan perusahaan (logo, dll.). Tautan akan mengarah ke pengumpulan kredensial atau situs yang menyajikan malware pada domain yang dibajak, dan akan terlihat seperti mengarah ke alat yang sah (Google, Basecamp, SharePoint, dll).

Phisher akan mencoba menciptakan rasa urgensi, kewajiban, dan bahkan mengancam karyawan dengan sanksi agar mereka mengikuti tautan tersebut.

Selengkapnya: Help Net Security

Apa itu spear phishing? Mengapa serangan email yang ditargetkan begitu sulit dihentikan

by

Spear phishing adalah tindakan mengirim dan mengirim email ke target tertentu dan diteliti dengan baik sambil mengaku sebagai pengirim tepercaya. Tujuannya adalah untuk menginfeksi perangkat dengan malware atau meyakinkan korban untuk menyerahkan informasi atau uang.

Sementara kampanye phishing biasa mengejar sejumlah besar target hasil yang relatif rendah, spear phishing bertujuan pada target tertentu menggunakan email khusus yang dibuat untuk korban yang dituju. “Phishing hanyalah jenis serangan generik, berteknologi rendah, bukan bertarget,” kata Aaron Higbee, salah satu pendiri dan CTO dari perusahaan anti-phishing Cofense (sebelumnya dikenal sebagai PhishMe). “Mereka tidak terlalu peduli tentang siapa target mereka. Mereka hanya memasang jaring lebar untuk mencoba menjerat sebanyak mungkin orang dan perusahaan. ”

“Spear phishing adalah kampanye yang sengaja dibuat oleh pelaku ancaman dengan tujuan menembus satu organisasi, dan di mana mereka benar-benar akan meneliti nama dan peran dalam sebuah perusahaan,” tambah Higbee.

Meskipun email spear phishing sangat bertarget dan oleh karena itu kemungkinan besar berbeda dari satu organisasi ke organisasi lain, tren pemersatu harus menimbulkan tanda bahaya di antara pengguna. Tanda peringatan yang paling jelas adalah alamat email yang salah atau yang terlihat mirip dengan yang Anda harapkan tetapi sedikit berbeda. Namun, alamat email dapat dipalsukan atau mungkin tidak akan terlihat berbeda tanpa pemeriksaan yang cermat.

Urgensi ini sering kali dibarengi dengan dorongan untuk melanggar kebijakan atau norma perusahaan, pembayaran pelacakan cepat tanpa pemeriksaan dan prosedur biasa. Mereka mungkin juga menggunakan bahasa emosi untuk membangkitkan simpati atau ketakutan; CEO yang menyamar mungkin mengatakan Anda mengecewakan mereka jika Anda tidak melakukan pembayaran mendesak, misalnya.

Dia menambahkan bahwa seringkali email akan berisi file – atau tautan ke file – yang membutuhkan makro untuk diaktifkan. “Itu tanda peringatan. Sebagian besar makro tidak berbahaya, tetapi apakah Anda biasanya berharap menerimanya? Jika ya, apakah Anda perlu mengaktifkan makro untuk melakukan tugas ini? ”

Organisasi dapat menerapkan kontrol teknis dan manusia untuk mengurangi ancaman phishing tombak. Bersamaan dengan kontrol standar seperti filter spam, deteksi malware, dan antivirus, perusahaan harus mempertimbangkan pengujian simulasi phishing, pendidikan pengguna, dan memiliki proses yang mapan bagi pengguna untuk melaporkan email yang mencurigakan kepada tim keamanan TI.

selengkapnya : www.csoonline.com

Serangan Phishing Google reCAPTCHA Palsu Mencuri Kata Sandi Office 365

by

Pengguna Microsoft menjadi sasaran ribuan email phishing, dalam serangan berkelanjutan yang bertujuan untuk mencuri kredensial Office 365 mereka.

Penyerang menambahkan kesan legitimasi pada kampanye dengan memanfaatkan sistem Google reCAPTCHA palsu dan halaman landing domain level teratas yang menyertakan logo perusahaan korban.

Menurut peneliti, setidaknya 2.500 email semacam itu tidak berhasil dikirim ke karyawan tingkat senior di sektor perbankan dan TI, selama tiga bulan terakhir. Email pertama kali membawa penerima ke halaman sistem Google reCAPTCHA palsu.

Google reCAPTCHA adalah layanan yang membantu melindungi situs web dari spam dan penyalahgunaan, dengan menggunakan tes Turing untuk membedakan antara manusia dan bot (dengan meminta pengguna untuk mengeklik hidran kebakaran dari serangkaian gambar, misalnya).

Setelah korban “lulus” tes reCAPTCHA, mereka kemudian diarahkan ke halaman arahan phishing, yang meminta kredensial Office 365 mereka.

Email phishing berpura-pura menjadi email otomatis dari alat komunikasi terpadu korban, yang mengatakan bahwa mereka memiliki lampiran pesan suara. Yang lain memberi tahu penerima email untuk “MENINJAU DOKUMEN AMAN”.

Peneliti menemukan berbagai halaman phishing yang terkait dengan kampanye, yang dihosting menggunakan domain level teratas umum seperti .xyz, .club, dan .online.

Selengkapnya: The Threat Post