Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat / Phishing

Phishing

Departemen Pertahanan Ditipu $23M dalam Serangan Phishing pada Vendor Jet-Fuel

by

Departemen Kehakiman telah mengumumkan hukuman atas enam tuduhan terhadap seorang pria California yang mencuri lebih dari $23 juta dari Departemen Pertahanan dengan penipuan phishing.

Sercan Oyuntur, penjahat dunia maya yang berbasis di Northridge, California, bersama dengan rekan konspirator dari Jerman, Turki, dan New Jersey, menargetkan pemasok bahan bakar jet untuk pasukan AS di Asia Tenggara. Tujuannya adalah untuk mencegat pembayaran dari Departemen Pertahanan, menurut Kantor Kejaksaan AS di Distrik New Jersey.

Dikatakan dalam pengumuman tentang kemenangan pengadilan bahwa setelah membuat akun email dan membuat situs web Administrasi Layanan Umum palsu, pelaku ancaman mengirim email phishing untuk mencoba dan menipu vendor agar menyerahkan kredensial login mereka. Penjahat dunia maya kemudian menggunakannya untuk mengalihkan pembayaran ke rekening mereka sendiri.

Oyuntur mengaku bersalah dan akan dijatuhi hukuman pada 21 Juni. Dua tuduhan konspirasi dan penipuan bank bisa datang dengan hukuman hingga 30 tahun, bersama dengan denda yang besar, kata Departemen Kehakiman.

Sumber: Darkreading

Peretas Korea Utara menargetkan jurnalis dengan malware baru

by

Peretas yang disponsori negara Korea Utara yang dikenal sebagai APT37 telah ditemukan menargetkan jurnalis yang berspesialisasi di DPRK dengan jenis malware baru.

Malware ini didistribusikan melalui serangan phishing yang pertama kali ditemukan oleh NK News, sebuah situs berita Amerika yang didedikasikan untuk meliput berita dan menyediakan penelitian dan analisis tentang Korea Utara, menggunakan intelijen dari dalam negeri.

Kelompok peretas APT37, alias Ricochet Chollima, diyakini disponsori oleh pemerintah Korea Utara, yang melihat pelaporan berita sebagai operasi permusuhan, dan berusaha menggunakan serangan ini untuk mengakses informasi yang sangat sensitif dan berpotensi mengidentifikasi sumber jurnalis.

Stairwell menemukan sampel malware baru bernama “Goldbackdoor,” yang dinilai sebagai penerus “Bluelight.”

Perlu dicatat bahwa ini bukan pertama kalinya APT37 dikaitkan dengan kampanye malware yang menargetkan jurnalis, dengan yang terbaru adalah laporan November 2021 yang menggunakan pintu belakang “Chinotto” yang sangat dapat disesuaikan.

Email phishing tersebut berasal dari akun mantan direktur National Intelligence Service (NIS) Korea Selatan, yang sebelumnya dikompromikan oleh APT37.

Proses infeksi dua tahap (Stairwell)

Email yang dikirim ke jurnalis berisi tautan untuk mengunduh arsip ZIP yang memiliki file LNK, keduanya bernama ‘editan Kang Min-chol’. Kang Min-chol adalah Menteri Industri Pertambangan Korea Utara.

File LNK (pintasan Windows) disamarkan dengan ikon dokumen dan menggunakan bantalan untuk meningkatkan ukurannya secara artifisial menjadi 282,7 MB, menghalangi pengunggahan yang mudah ke Total Virus dan alat deteksi online lainnya.

Setelah dieksekusi, skrip PowerShell meluncurkan dan membuka dokumen umpan (doc) untuk gangguan saat mendekode skrip kedua di latar belakang.

Skrip PowerShell pertama yang digunakan dalam serangan (Stairwell)

Dokumen umpan berisi gambar eksternal tertanam yang dihosting di platform Heroku, yang memperingatkan pelaku ancaman saat dokumen dilihat.

Tautan pelacak tertanam dalam dokumen (Stairwell)

Skrip kedua mengunduh dan menjalankan muatan shellcode yang disimpan di Microsoft OneDrive, layanan hosting file berbasis cloud yang sah yang tidak mungkin menghasilkan peringatan AV.

Payload ini disebut “Fantasy,” dan menurut Stairwell, ini adalah yang pertama dari dua mekanisme penggelaran Goldbackdoor, keduanya mengandalkan injeksi proses tersembunyi.

Goldbackdoor dijalankan sebagai file PE (portable executable) dan dapat menerima perintah dasar dari jarak jauh dan mengekstrak data.

Untuk ini, ia datang dengan satu set kunci API yang digunakan untuk mengautentikasi ke Azure dan mengambil perintah untuk dieksekusi. Perintah-perintah ini terkait dengan keylogging, operasi file, RCE dasar, dan kemampuan untuk menghapus instalasi itu sendiri.

Malware menggunakan layanan cloud yang sah untuk eksfiltrasi file, dengan Stairwell memperhatikan penyalahgunaan Google Drive dan Microsoft OneDrive.

File yang ditargetkan oleh Goldbackdoor terutama dokumen dan media, seperti PDF, DOCX, MP3, TXT, M4A, JPC, XLS, PPT, BIN, 3GP, dan MSG.

Meskipun ini adalah kampanye yang sangat bertarget, penemuan, paparan, dan aturan deteksi yang dihasilkan serta hash file yang tersedia di laporan teknis Stairwell masih signifikan bagi komunitas infosec.

Sumber: Bleeping Computer

Hacker Menyisipkan Malware ‘More_Eggs’ ke dalam Resume Dikirim ke Manajer Perekrutan Perusahaan

by

Satu set baru serangan phishing yang memberikan malware more_eggs telah diamati menyerang manajer perekrutan perusahaan dengan resume palsu sebagai vektor infeksi, setahun setelah kandidat potensial yang mencari pekerjaan di LinkedIn terpikat dengan tawaran pekerjaan bersenjata.

“Tahun ini operasi more_eggs telah membalik skrip rekayasa sosial, menargetkan manajer perekrutan dengan resume palsu alih-alih menargetkan pencari kerja dengan tawaran pekerjaan palsu,” kata pemimpin penelitian dan pelaporan eSentire, Keegan Keplinger, dalam sebuah pernyataan.

Perusahaan cybersecurity Kanada mengatakan telah mengidentifikasi dan mengganggu empat insiden keamanan terpisah, tiga di antaranya terjadi pada akhir Maret. Entitas yang ditargetkan termasuk perusahaan kedirgantaraan yang berbasis di AS, bisnis akuntansi yang berlokasi di Inggris, sebuah firma hukum, dan agen kepegawaian, keduanya berbasis di Kanada.

Malware, yang diduga merupakan hasil karya aktor ancaman yang disebut Golden Chickens (alias Venom Spider), adalah suite backdoor modular yang tersembunyi yang mampu mencuri informasi berharga dan melakukan gerakan lateral di seluruh jaringan yang dikompromikan.

“More_eggs mencapai eksekusi dengan meneruskan kode berbahaya ke proses windows yang sah dan membiarkan proses windows tersebut melakukan pekerjaan untuk mereka,” kata Keplinger. Tujuannya adalah untuk memanfaatkan resume sebagai umpan untuk meluncurkan malware dan menghindari deteksi.

“Aktor ancaman di balik more_eggs menggunakan pendekatan spear-phishing yang terukur yang mempersenjatai komunikasi yang diharapkan, seperti resume, yang sesuai dengan harapan manajer perekrutan atau tawaran pekerjaan, menargetkan kandidat yang penuh harapan yang sesuai dengan jabatan mereka saat ini atau masa lalu,” kata Keplinger.

Sumber: The Hacker News

LinkedIn paling banyak ditiru dalam serangan phishing

by

Peneliti keamanan memperingatkan bahwa LinkedIn telah menjadi merek yang paling dipalsukan dalam serangan phishing, terhitung lebih dari 52% dari semua insiden semacam itu di tingkat global.

Data tersebut berasal dari perusahaan keamanan siber Check Point, yang mencatat peningkatan dramatis dalam penyalahgunaan merek LinkedIn dalam insiden phishing pada kuartal pertama tahun ini.

Menurut perusahaan, pada kuartal terakhir tahun 2021, LinkedIn menempati posisi kelima dalam daftar, jumlah serangan meniru menjadi jauh lebih rendah 8%.

Statistik peniruan identitas phishing untuk Q1 2022 (Check Point)

Menggabungkan DHL dengan FedEx, Maersk, dan Ali Express, pesan phishing terkait pengiriman menyumbang 21,8% dalam tiga bulan pertama tahun 2022, masih memegang porsi yang signifikan.

Dalam sampel peniruan identitas LinkedIn yang disediakan oleh Check Point, email phishing yang mencapai kotak masuk target menampilkan logo LinkedIn dan gaya khusus perusahaan, dengan permintaan palsu untuk terhubung dengan perusahaan buatan.

Pesan phishing yang menampilkan branding LinkedIn
(Titik Periksa)

Mengklik tombol “Terima” akan membawa korban ke situs web phishing yang terlihat seperti halaman login LinkedIn yang sebenarnya yang dihosting di URL tidak resmi – carriermasr.com/public/linkedin.com/linkedin.com/login.php

Situs phishing bertema LinkedIn (Check Point)

Phishing media sosial sedang meningkat, seperti juga dilaporkan perusahaan cybersecurity Vade baru-baru ini. Ini karena pengambilalihan akun pada platform ini membuka sejumlah kemungkinan praktis bagi para pelaku ancaman.

Misalnya, peretas dapat menggunakan akun media sosial yang disusupi untuk melakukan serangan spear-phishing yang sangat efektif, mengeposkan tautan ke situs hosting malware, atau mengirim spyware langsung ke pengguna yang memercayainya.

Dalam kasus LinkedIn, yang merupakan platform media sosial yang berfokus pada profesional, pelaku ancaman kemungkinan besar bertujuan untuk melakukan serangan spear-phishing pada target dengan minat tinggi, karyawan dari perusahaan dan organisasi tertentu.

Skenario eksploitasi potensial lainnya adalah mengirim dokumen yang disamarkan sebagai tawaran pekerjaan ke target tertentu, meyakinkan mereka untuk membuka file dan mengaktifkan kode makro berbahaya.

Sumber : Bleeping Computer

Serangan Browser-in-the Browser (BITB) Baru Membuat Phishing Hampir Tidak Terdeteksi

by

Teknik phishing baru yang disebut serangan browser-in-the-browser (BitB) dapat dimanfaatkan untuk mensimulasikan jendela browser di dalam browser untuk menipu domain yang sah, sehingga memungkinkan untuk melakukan serangan phishing yang meyakinkan.

Menurut penguji penetrasi dan peneliti keamanan, yang menggunakan pegangan mrd0x_, metode ini memanfaatkan opsi masuk tunggal (SSO) pihak ketiga yang disematkan di situs web seperti “Masuk dengan Google” (atau Facebook, Apple, atau Microsoft ).

Sementara perilaku default ketika pengguna mencoba untuk masuk melalui metode ini akan disambut oleh jendela pop-up untuk menyelesaikan proses otentikasi, serangan BitB bertujuan untuk mereplikasi seluruh proses ini menggunakan campuran kode HTML dan CSS untuk membuat jendela browser yang sepenuhnya dibuat-buat.

“Gabungkan desain jendela dengan iframe yang menunjuk ke server jahat yang menghosting halaman phishing, dan itu pada dasarnya tidak dapat dibedakan,” kata mrd0x_ dalam penulisan teknis yang diterbitkan minggu lalu. “JavaScript dapat dengan mudah digunakan untuk membuat jendela muncul pada tautan atau klik tombol, pada pemuatan halaman, dll.”

Meskipun metode ini secara signifikan mempermudah pemasangan kampanye manipulasi psikologis yang efektif, perlu diperhatikan bahwa calon korban perlu dialihkan ke domain phishing yang dapat menampilkan jendela autentikasi palsu untuk pengambilan kredensial.

“Tapi begitu mendarat di situs web milik penyerang, pengguna akan merasa nyaman saat mereka mengetikkan kredensial mereka di situs yang tampaknya sah (karena URL yang dapat dipercaya mengatakan demikian),” tambah mrd0x_.

Sumber : The Hacker News

Cheat Valorant Palsu di YouTube menginfeksi Anda dengan pencuri RedLine

by

Analis keamanan Korea telah melihat kampanye distribusi malware yang menggunakan umpan cheat Valorant di YouTube untuk mengelabui pemain agar mengunduh RedLine, pencuri informasi yang kuat.

Kampanye yang ditemukan oleh ASEC menargetkan komunitas game Valorant, penembak orang pertama gratis untuk Windows, menawarkan tautan untuk mengunduh bot yang bertujuan otomatis pada deskripsi video.

Video yang mempromosikan bot tujuan otomatis palsu (ASEC)

Cheat ini diduga merupakan add-on yang dipasang di game untuk membantu para pemain membidik musuh dengan kecepatan dan presisi, memenangkan headshots tanpa menunjukkan keterampilan apa pun.

Bot yang bertujuan otomatis sangat dicari untuk game multipemain populer seperti Valorant karena memungkinkan peningkatan peringkat yang mudah.

Pengguna yang mencoba mengunduh file dalam deskripsi video akan dibawa ke halaman anonfiles dari mana mereka akan mendapatkan arsip RAR yang berisi executable bernama “Cheat installer.exe”.

File ini, pada kenyataannya, adalah salinan pencuri RedLine, salah satu infeksi malware pencuri kata sandi yang paling banyak digunakan yang mengambil data berikut dari sistem yang terinfeksi:

  • Informasi dasar: Nama komputer, nama pengguna, alamat IP, versi Windows, informasi sistem (CPU, GPU, RAM, dll.), dan daftar proses
    Browser web: Kata sandi, nomor kartu kredit, formulir IsiOtomatis, bookmark, dan cookie, dari Chrome, browser berbasis Chrome, dan Firefox
    Dompet Cryptocurrency: Armory, AtomicWallet, BitcoinCore, Bytecoin, DashCore, Electrum, Ethereum, LitecoinCore, Monero, Exodus, Zcash, dan Jaxx
  • Klien VPN: ProtonVPN, OpenVPN, dan NordVPN
  • Lainnya: FileZilla (alamat host, nomor port, nama pengguna, dan kata sandi), Minecraft (kredensial akun, level, peringkat), Steam (sesi klien), Discord (informasi token)
    Setelah mengumpulkan informasi ini, RedLine dengan rapi mengemasnya dalam arsip ZIP bernama “().zip” dan mengekstrak file melalui permintaan POST API WebHook ke server Discord.
Mengeksfiltrasi informasi yang dicuri melalui Discord WebHook (ASEC)

Tak satu pun dari alat cheat ini dibuat oleh entitas yang dapat dipercaya, tidak ada yang ditandatangani secara digital (jadi peringatan AV pasti akan diabaikan), dan banyak yang memang malware.

Laporan ASEC berisi contoh terbaru, tetapi itu hanya setetes tautan unduhan berbahaya di bawah video YouTube yang mempromosikan berbagai jenis perangkat lunak gratis.

Video yang mempromosikan alat ini sering dicuri dari tempat lain dan diposting ulang dari pengguna jahat di saluran yang baru dibuat untuk bertindak sebagai umpan.

Sumber : Bleeping Computer

Meta: Pejabat Ukraina, militer yang ditargetkan oleh peretas Ghostwriter

by

Facebook (sekarang dikenal sebagai Meta) mengatakan telah menghapus akun yang digunakan oleh kelompok peretas yang terkait dengan Belarusia (UNC1151 atau Ghostwriter) untuk menargetkan pejabat Ukraina dan personel militer di platformnya.

Pada November 2021, peneliti keamanan Mandiant menghubungkan kelompok ancaman UNC1151 dengan kepercayaan tinggi kepada pemerintah Belarusia, serta operasi peretasan yang dilacak perusahaan sebagai Ghostwriter.

Facebook telah memblokir beberapa domain phishing yang digunakan oleh pelaku ancaman untuk mencoba dan menyusupi akun pengguna Ukraina.

“Kami juga memblokir domain phishing yang digunakan peretas ini untuk mencoba menipu orang-orang di Ukraina agar mengkompromikan akun online mereka.”

Akun yang diyakini menjadi target dalam kampanye ini telah diamankan oleh tim keamanan Facebook, dan pengguna telah diberitahu tentang upaya peretasan.

Facebook juga menghapus jaringan kecil dari beberapa lusin Halaman dan Grup Facebook dan Instagram yang beroperasi dari Rusia dan Ukraina dan menargetkan warga Ukraina melalui akun palsu di berbagai platform media sosial, termasuk Facebook, Instagram, Twitter, YouTube, Telegram, Odnoklassniki, dan VK.

Operasi ini juga berada di balik sejumlah kecil situs yang menyamar sebagai portal berita independen dan menerbitkan klaim tentang Ukraina yang dikhianati oleh Barat dan “menjadi negara gagal.”

Laporan Meta mengkonfirmasi peringatan yang dikeluarkan oleh Computer Emergency Response Team of Ukraine (CERT-UA) pada hari Jumat mengenai serangan spearphishing yang menargetkan akun email pribadi militer Ukraina.

Akun email yang dikompromikan dalam serangan ini kemudian digunakan untuk menargetkan kontak korban dengan pesan phishing serupa yang mengancam untuk menonaktifkan akun mereka secara permanen kecuali mereka memverifikasi informasi kontak mereka.

Layanan Komunikasi Khusus dan Perlindungan Informasi Negara Ukraina (SSSCIP) juga memperingatkan serangkaian serangan phishing yang terpisah dan berkelanjutan yang menargetkan warga Ukraina dengan dokumen berbahaya.

Perusahaan keamanan internet Slovakia ESET mengeluarkan peringatannya sendiri pada hari yang sama mengenai penjahat dunia maya yang menyamar sebagai organisasi kemanusiaan untuk menipu donor organisasi yang berfokus membantu Ukraina selama perang yang dimulai Kamis oleh invasi Rusia.

Serangan ini mengikuti serangan penghapusan data terhadap jaringan Ukraina dengan malware HermeticWiper dan umpan ransomware yang bertujuan untuk menghancurkan data dan membuat perangkat tidak dapat di-boot. Pada bulan Januari, Ukraina juga terkena wiper data ketika wiper WhisperGate dikerahkan dalam serangan yang disamarkan sebagai ransomware.

Selama akhir pekan, Wakil Perdana Menteri Ukraina Mykhailo Fedorov mengumumkan pembentukan “tentara TI” untuk membantu Ukraina “bertarung di front cyber.”

Sumber : Bleeping Computer

Metode phishing yang licik melewati MFA menggunakan perangkat lunak akses jarak jauh

by

Teknik phishing baru yang licik memungkinkan musuh untuk melewati otentikasi multi-faktor (MFA) dengan secara diam-diam meminta korban masuk ke akun mereka secara langsung di server yang dikendalikan penyerang menggunakan sistem berbagi layar VNC.

Untuk mendapatkan akses ke akun target yang dilindungi MFA, kit phishing telah diperbarui untuk menggunakan proxy terbalik atau metode lain untuk mengumpulkan kode MFA dari korban tanpa disadari.

Namun, perusahaan menangkap metode ini dan mulai memperkenalkan langkah-langkah keamanan yang memblokir login atau menonaktifkan akun ketika proxy terbalik terdeteksi.

Saat melakukan uji penetrasi untuk pelanggan, peneliti keamanan mr.d0x berusaha membuat serangan phishing pada karyawan klien untuk mendapatkan kredensial akun perusahaan.

Karena semua akun dikonfigurasi dengan MFA, mr.d0x menyiapkan serangan phishing menggunakan kerangka kerja serangan Evilginx2 yang bertindak sebagai proxy terbalik untuk mencuri kredensial dan kode MFA.

Saat melakukan pengujian, peneliti menemukan bahwa Google mencegah login saat mendeteksi proxy terbalik atau serangan man-in-the-middle (MiTM).

Masuk Google Chrome memblokir serangan MiTM
Sumber: mr.d0x

Untuk mengatasi kendala ini, mr.d0x datang dengan teknik phishing baru yang licik yang menggunakan perangkat lunak akses jarak jauh noVNC dan browser yang berjalan dalam mode kios untuk menampilkan permintaan login email yang berjalan di server penyerang tetapi ditampilkan di browser korban.

VNC adalah perangkat lunak akses jarak jauh yang memungkinkan pengguna jarak jauh untuk terhubung dan mengontrol desktop pengguna yang masuk. Kebanyakan orang terhubung ke server VNC melalui klien VNC khusus yang membuka desktop jarak jauh dengan cara yang mirip dengan Windows Remote Desktop.

Namun, sebuah program yang disebut noVNC memungkinkan pengguna untuk terhubung ke server VNC langsung dari dalam browser hanya dengan mengklik tautan, saat itulah teknik phishing baru peneliti ikut bermain.

Dengan menggunakan konfigurasi ini, pelaku ancaman dapat mengirimkan email spear-phishing yang ditargetkan yang berisi tautan yang secara otomatis meluncurkan browser target dan masuk ke server VNC jarak jauh penyerang.

Tautan ini sangat dapat disesuaikan dan memungkinkan penyerang membuat tautan yang tidak terlihat seperti URL masuk VNC yang mencurigakan, seperti di bawah ini:

Contoh[.]com/index.html?id=VNCPASSWORD
Contoh[.]com/auth/login?name=password

Karena server VNC penyerang dikonfigurasi untuk menjalankan browser dalam mode kios, yang menjalankan browser dalam mode layar penuh, ketika korban mengklik tautan, mereka hanya akan melihat layar login untuk layanan email yang ditargetkan dan login seperti biasa.

Demonstrasi teknik phishing VNC
Sumber: mr.d0x

Namun, karena prompt login sebenarnya sedang ditampilkan oleh server VNC penyerang, semua upaya login akan dilakukan langsung di server jauh. mr.d0x memberi tahu bahwa begitu pengguna masuk ke akun, penyerang dapat menggunakan berbagai alat untuk mencuri kredensial dan token keamanan.

Lebih berbahaya lagi, teknik ini akan melewati MFA karena pengguna akan memasukkan kode akses satu kali langsung di server penyerang, yang mengizinkan perangkat untuk mencoba login di masa mendatang.

Alternatif lain adalah saya menyuntikkan JS ke browser sebelum mengirim tautan phishing. Ketika pengguna mulai menggunakan browser, itu menjalankan JS saya. Ada lebih banyak opsi karena pada akhirnya pengguna mengautentikasi ke server Anda.”

Jika serangan digunakan secara terbatas untuk menargetkan hanya beberapa orang, cukup masuk ke akun email mereka melalui sesi VNC penyerang akan mengizinkan perangkat untuk terhubung ke akun di masa mendatang.

Karena VNC memungkinkan banyak orang untuk memantau sesi yang sama, penyerang dapat memutuskan sesi korban setelah akun masuk dan menyambung ke sesi yang sama nanti untuk mengakses akun dan semua emailnya.

Adapun cara melindungi diri Anda dari jenis serangan ini, semua saran phishing tetap sama: jangan klik URL dari pengirim yang tidak dikenal, periksa tautan yang disematkan untuk domain yang tidak biasa, dan perlakukan semua email sebagai mencurigakan, terutama saat meminta Anda untuk masuk ke akun Anda.

Sumber : Bleeping Computer