Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Region / Russia

Russia

Rusia Tuntut 8 Tersangka Anggota Geng Ransomware REvil

by

Delapan anggota operasi ransomware REvil yang telah ditahan oleh petugas Rusia saat ini menghadapi tuntutan pidana atas aktivitas ilegal mereka.

Pada hari Jumat, Dinas Keamanan Federal (FSB) Federasi Rusia – dinas intelijen domestik negara itu, mengumumkan penggerebekan di rumah 14 orang yang diduga menjadi bagian dari geng ransomware REvil.

Operasi itu dilakukan bekerja sama dengan Kementerian Dalam Negeri Rusia setelah pihak berwenang AS melaporkan pemimpin kelompok itu dan menuntut tindakan terhadap penjahat dunia maya yang tinggal di Rusia.

Nama-nama para tersangka tidak diketahui sampai hari ini ketika Pengadilan Tverskoi Moskow mengidentifikasi delapan orang dari dokumen penangkapan mereka:

  • Muromsky Romawi
  • Bessonov Andrey
  • Golovachuk Mikhail A.
  • Zayets Artem N.
  • Khansvyarov Ruslan A.
  • Korotayev Dmitry V.
  • Puzyrevsky D.D.
  • Malozemov Alexei V.

Para tersangka telah dipenjara selama dua bulan sebagai tindakan pencegahan dan semuanya diselidiki karena peredaran ilegal alat pembayaran (kartu kredit palsu dan dokumen pembayaran lainnya, cryptocurrency).

Yelisey Boguslavskiy, kepala penelitian di advIntel threat prevention, mengatakan bahwa individu yang ditangkap kemungkinan adalah afiliasi tingkat rendah dan bukan inti dari operasi REvil, yang mengembangkan malware dan mempertahankan operasi ransomware-as-a-service (RaaS).

Semua orang yang ditangkap dituduh melakukan kejahatan berdasarkan Bagian 2 dari Pasal 187 KUHP Federasi Rusia, kata Kantor Berita Rusia TASS, yang membawa hukuman antara lima dan delapan tahun penjara.

Menurut Martin Matishak dari The Record, seorang pejabat senior pemerintahan Biden mengatakan bahwa salah satu dari 14 tersangka yang digerebek juga bertanggung jawab atas serangan ransomware yang mengganggu operasi Colonial Pipeline. Malware ini digunakan oleh geng ransomware DarkSide, kemudian berganti nama menjadi BlackMatter.

Selengkapnya: Bleepingcomputer

Rusia Mengatakan Membongkar Kelompok Peretas REvil atas Permintaan AS

by

Rusia pada hari Jumat mengatakan telah membongkar kelompok peretas terkemuka REvil, yang melakukan serangan tingkat tinggi tahun lalu terhadap perusahaan perangkat lunak TI Kaseya, menyusul permintaan dari Washington.

Keamanan siber adalah salah satu isu utama dalam agenda pertemuan puncak antara Presiden Rusia Vladimir Putin dan Presiden AS Joe Biden Juni lalu.

Layanan Keamanan Federal Rusia (FSB) mengatakan dalam sebuah pernyataan bahwa mereka telah “menekan kegiatan ilegal” anggota kelompok selama penggerebekan di 25 alamat yang menyapu 14 orang.

Pencarian dilakukan setelah “banding dari otoritas AS yang relevan.”

Anggota kelompok itu “mengembangkan malware, mengorganisir penggelapan dana dari rekening bank warga negara asing,” kata FSB.

Setara dengan 426 juta rubel ($5,5 juta atau 4,8 juta euro) dan 20 mobil mewah disita dalam operasi tersebut, tambah pernyataan itu.

Selama panggilan telepon pada bulan Juli, Biden mengatakan kepada Putin untuk “mengambil tindakan” terhadap kelompok ransomware yang beroperasi di Rusia, memperingatkan bahwa jika tidak, Washington akan mengambil “tindakan apa pun yang diperlukan” untuk membela orang Amerika.

Serangan yang belum pernah terjadi sebelumnya yang menargetkan perusahaan perangkat lunak AS Kaseya mempengaruhi sekitar 1.500 bisnis.

Serangan Kaseya, yang dilaporkan pada 2 Juli, menutup jaringan supermarket besar Swedia dan memantul di seluruh dunia, berdampak pada bisnis di setidaknya 17 negara, dari apotek hingga pompa bensin, serta puluhan taman kanak-kanak Selandia Baru.

Tak lama setelah serangan itu, halaman “web gelap” REvil menjadi offline, memicu spekulasi tentang apakah langkah tersebut merupakan hasil dari tindakan yang dipimpin oleh pemerintah.

Selengkapnya: The Moscow Time

Google Mengganggu Botnet Glupteba Besar-besaran, Menuntut Operator Rusia

by

Google mengumumkan hari ini bahwa mereka telah mengambil tindakan untuk mengganggu botnet Glupteba yang sekarang mengendalikan lebih dari 1 juta PC Windows di seluruh dunia, tumbuh oleh ribuan perangkat baru yang terinfeksi setiap hari.

Glupteba adalah malware yang mendukung blockchain dan modular yang telah menargetkan perangkat Windows di seluruh dunia setidaknya sejak 2011, termasuk AS, India, Brasil, dan negara-negara dari Asia Tenggara.

Aktor ancaman di balik strain malware ini terutama mendistribusikan muatan ke perangkat target melalui jaringan pay-per-install (PPI) dan lalu lintas yang dibeli dari sistem distribusi lalu lintas (TDS) yang disamarkan sebagai “perangkat lunak, video, atau film gratis yang dapat diunduh.”

Setelah menginfeksi host, ia dapat menambang cryptocurrency, mencuri kredensial dan cookie pengguna, dan menyebarkan proxy pada sistem Windows dan perangkat IoT, yang kemudian dijual sebagai ‘proxy perumahan’ ke penjahat dunia maya lainnya.

Sebagai bagian dari upaya bersama Google untuk mengganggu botnet, perusahaan mengambil alih infrastruktur perintah dan kontrol utama Glupteba (C2), yang menggunakan mekanisme cadangan blockchain Bitcoin untuk menambah ketahanan jika server C2 utama berhenti merespons.

“Kami percaya tindakan ini akan berdampak signifikan pada operasi Glupteba,” kata Shane Huntley dan Luca Nagy dari Google Threat Analysis Group.

“Namun, operator Glupteba kemungkinan akan mencoba untuk mendapatkan kembali kendali atas botnet menggunakan perintah cadangan dan mekanisme kontrol yang menggunakan data yang dikodekan pada blockchain Bitcoin.”

Tindakan hukum terhadap gangguan botnet

Google juga mengajukan perintah penahanan sementara dan pengaduan di Distrik Selatan New York terhadap dua terdakwa Rusia (Dmitry Starovikov dan Alexander Filippov) dan 15 orang tak dikenal lainnya.

Keluhan tersebut mengklaim bahwa 17 terdakwa adalah orang-orang yang mengoperasikan dan mengkoordinasikan serangan Glupteba dengan tujuan akhir mencuri akun pengguna dan info kartu kredit, menjual penempatan iklan dan akses proxy pada perangkat yang terinfeksi, dan menambang cryptocurrency dalam penipuan dan penyalahgunaan komputer, pelanggaran merek dagang, dan skema lainnya.

Di antara layanan online yang ditawarkan oleh operator botnet Glupteba, Google menyebutkan “menjual akses ke mesin virtual yang sarat dengan kredensial curian (jangan [.] farm), akses proxy (awmproxy), dan menjual nomor kartu kredit (extracard) untuk digunakan untuk kegiatan berbahaya lainnya seperti menayangkan iklan berbahaya dan penipuan pembayaran di Google Ads.

“Sifat blockchain yang terdesentralisasi memungkinkan botnet pulih lebih cepat dari gangguan, membuat mereka jauh lebih sulit untuk ditutup. “Kami bekerja sama dengan industri dan pemerintah saat kami memerangi perilaku semacam ini, sehingga bahkan jika Glupteba kembali, internet akan lebih terlindungi darinya.”

Pada hari Senin, Microsoft juga menyita puluhan situs berbahaya yang digunakan oleh kelompok peretasan yang berbasis di Nickel China (alias KE3CHANG, APT15, Vixen Panda, Royal APT, dan Playful Dragon) untuk menargetkan server milik organisasi pemerintah, entitas diplomatik, dan organisasi non-pemerintah (LSM) di AS dan 28 negara lain di seluruh dunia.

Sumber: Bleepingcomputer

Geng ransomware Rusia mulai berkolaborasi dengan peretas China

by

Beberapa aktivitas tidak biasa muncul di forum cybercrime berbahasa Rusia, di mana peretas tampaknya menjangkau rekan-rekan China untuk berkolaborasi. Upaya untuk merekrut aktor ancaman Tiongkok ini terlihat di forum peretasan RAMP.

Menurut laporan Flashpoint, pengguna tingkat tinggi dan administrator RAMP sekarang secara aktif mencoba berkomunikasi dengan anggota forum baru dalam bahasa Mandarin. Forum tersebut memiliki sekitar 30 pendaftaran pengguna baru yang tampaknya berasal dari China

Para peneliti menyatakan penyebab yang paling mungkin adalah bahwa geng ransomware Rusia berusaha membangun aliansi dengan aktor China untuk meluncurkan serangan siber terhadap target AS, memperdagangkan kerentanan, atau bahkan merekrut bakat baru untuk operasi Ransomware-as-a-Service (RaaS) mereka. Inisiatif ini dimulai oleh admin RAMP yang dikenal sebagai Kajit, baru-baru ini mengaku menghabiskan beberapa waktu di China dan dapat berbicara bahasa tersebut.

Dalam RAMP versi sebelumnya, dia telah mengisyaratkan bahwa dia akan mengundang aktor ancaman China ke forum, yang tampaknya sedang berlangsung.

Namun, peretas Rusia yang mencoba berkolaborasi dengan aktor ancaman China tidak terbatas pada forum peretasan RAMP karena Flashpoint juga telah melihat kolaborasi serupa di forum peretasan XSS.

“Pada tangkapan layar di bawah, pengguna XSS “hoffman” menyapa dua anggota forum yang menyatakan diri mereka sebagai orang Cina,” jelas penelitian baru oleh Flashpoint.

Posting di forum peretasan XSS
Sumber: Flashpoint

Bulan lalu, seorang admin RAMP yang dikenal sebagai ‘Oranye’ atau ‘boriselcin’ dan yang menjalankan situs “Groove”, menerbitkan sebuah posting yang menyerukan para pelaku ancaman untuk menyerang AS.

Aktor Groove mengklaim bahwa operasi itu palsu sejak awal dan dibuat untuk menjebak dan memanipulasi media dan peneliti keamanan. Peneliti keamanan dari McAfee dan Intel 471 percaya bahwa ini kemungkinan hanya pelaku ancaman yang mencoba menutupi fakta bahwa upaya pelaku ransomware-as-a-service tidak berjalan sesuai rencana.

Namun, operasi ransomware Conti baru-baru ini diposting ke forum RAMP untuk merekrut afiliasi dan membeli akses awal ke jaringan. Geng tersebut mengatakan bahwa mereka biasanya hanya bekerja dengan peretas yang berbahasa Rusia, tetapi membuat pengecualian untuk pelaku ancaman yang berbahasa China untuk menghormati admin RAMP.

“Iklan ini dalam bahasa Rusia, karena kami hanya bekerja dengan penutur bahasa Rusia. TAPI, untuk menghormati admin, kami akan membuat pengecualian untuk pengguna berbahasa Sino dan bahkan menerjemahkan pesan ini dalam bahasa Mandarin (Anda bahkan dapat menggandakannya dalam bahasa Mandarin dan Canotonese!)”- Operasi ransomware Conti.

Conti bersedia bekerja dengan aktor ancaman berbahasa Mandarin
Sumber: BleepingComputer melalui analis ancaman anonim

Dengan demikian, tampaknya forum RAMP secara aktif mengundang aktor ancaman berbahasa China untuk berpartisipasi dalam percakapan dan serangan.

RAMP didirikan musim panas lalu oleh anggota inti geng ransomware Babuk asli, yang bertujuan untuk berfungsi sebagai tempat baru untuk membocorkan data berharga yang dicuri dari serangan siber dan merekrut afiliasi ransomware.

Kasus penting dari kebocoran semacam itu terjadi pada bulan September ketika admin RAMP memposting 498.908 kredensial Fortinet VPN untuk mengakses 12.856 perangkat di berbagai jaringan perusahaan.

Meskipun banyak dari kredensial ini sudah tua, peneliti keamanan menyatakan bahwa banyak kredensial yang masih valid dan memungkinkan forum RAMP membangun reputasi di lapangan.

Flashpoint melaporkan bahwa RAMP telah mencapai iterasi ketiga, menggunakan domain .onion baru dan mengharuskan semua pengguna sebelumnya untuk mendaftar ulang.

Selengkapnya : Bleeping Computer

Geng Peretas TrickBot dari Russia Diekstradisi ke AS, Didakwa dengan Kejahatan Dunia Maya

by

Seorang warga negara Rusia, yang ditangkap di Korea Selatan bulan lalu dan diekstradisi ke AS pada 20 Oktober, muncul di pengadilan federal di negara bagian Ohio pada hari Kamis (28/10/2021) untuk menghadapi dakwaan atas dugaan perannya sebagai anggota kelompok TrickBot yang terkenal.

Dokumen pengadilan menunjukkan bahwa Vladimir Dunaev, 38, bersama dengan anggota lain dari organisasi kejahatan dunia maya transnasional, mencuri uang dan informasi rahasia dari korban yang tidak menaruh curiga, termasuk individu, lembaga keuangan, distrik sekolah, perusahaan utilitas, entitas pemerintah, dan bisnis swasta.

Dimulai dari trojan perbankan pada tahun 2016, TrickBot telah berkembang menjadi solusi crimeware modular multi-tahap berbasis Windows yang mampu mencuri informasi pribadi dan keuangan yang berharga, dan bahkan menjatuhkan ransomware dan toolkit pasca-eksploitasi pada perangkat yang disusupi. Malware ini juga terkenal karena ketahanannya, setelah selamat dari setidaknya dua pencopotan yang dipelopori oleh Microsoft dan US Cyber ​​Command setahun yang lalu.

Namun, di bidang hukum, pemerintah AS awal tahun ini mendakwa seorang wanita Latvia berusia 55 tahun, bernama Alla Witte, yang menurut jaksa bekerja sebagai programmer “mengawasi pembuatan kode yang terkait dengan pemantauan dan pelacakan pengguna yang berwenang. dari malware Trickbot.” Dunaev adalah terdakwa Trickbot kedua yang ditangkap pada tahun 2021.

Dunaev, secara khusus, dikatakan telah bekerja sebagai pengembang untuk grup tersebut, yang bertugas membuat, menyebarkan, dan mengelola malware Trickbot mulai November 2015, sembari juga mengawasi eksekusi malware, serta merancang modifikasi browser web Firefox dan membantu untuk menyembunyikan malware dari deteksi oleh perangkat lunak keamanan.

Selengkapnya: The Hacker News

Bagaimana Peretasan Menjadi Layanan Profesional di Rusia

by

Operasi peretasan paling terkenal dari DarkSide mungkin terbukti menjadi yang terakhir: pada awal Mei, grup tersebut meluncurkan serangan ransomware terhadap Perusahaan Colonial Pipeline, yang menyediakan sebanyak setengah pasokan bahan bakar untuk Pantai Timur Amerika Serikat. DarkSide dilaporkan pergi dengan uang tebusan lima juta dolar, tetapi menerima pembayaran tampaknya harus dibayar mahal.

Pada tanggal 14 Mei, situs DarkSide ditutup, dan grup tersebut mengatakan bahwa mereka telah kehilangan akses ke banyak alat komunikasi dan pembayarannya — sebagai akibat dari pembalasan dari AS atau keputusan oleh anggota yang mendanai organisasi untuk berhenti.

Pada 10 Mei, Biden mengatakan intelijen AS percaya bahwa DarkSide berlokasi di Rusia, meskipun tidak ada “bukti” yang menghubungkannya dengan negara Rusia.

Seperti banyak aliran pendapatan di dunia kejahatan dunia maya, ransomware-as-a-service sebagian besar, meskipun tidak sepenuhnya, didominasi oleh peretas berbahasa Rusia yang berasal dari Rusia dan negara-negara bekas Soviet lainnya.

Alasan untuk situasi ini berasal dari runtuhnya Uni Soviet, pada tahun sembilan belas-sembilan puluhan, ketika engineer, programmer, dan teknisi yang sangat kompeten tiba-tiba terombang-ambing.

Puluhan tahun kemudian, ceritanya tidak banyak berubah: generasi muda Rusia memiliki akses ke pendidikan khusus di bidang fisika, ilmu komputer, dan matematika, tetapi hanya memiliki sedikit saluran untuk mewujudkan bakat tersebut, setidaknya tidak untuk jenis gaji yang tersedia bagi programmer di , katakanlah, Silicon Valley.

“Dan apa yang mereka lihat saat online? Bahwa dengan pengetahuan dan keterampilan mereka dapat menghasilkan jutaan dolar, begitu saja”, kata Sergey Golovanov, kepala pakar keamanan di Kaspersky Lab, sebuah perusahaan keamanan siber yang berbasis di Moskow. “Persentase tertentu dari orang-orang ini memutuskan bahwa ini layak untuk melanggar hukum”.

Karier seperti itu bisa terlihat lebih menarik mengingat risikonya tampak agak kecil, setidaknya jika Anda fokus pada target Barat. Meskipun badan penegak hukum Rusia secara berkala melakukan operasi yang ditujukan untuk penjahat dunia maya domestik, mereka umumnya menutup mata terhadap mereka yang menggunakan Rusia sebagai basis untuk menyusup ke jaringan asing.

Untuk memastikan bahwa mereka tidak mengalami masalah di wilayah asalnya, sebagian besar situs ransomware-as-a-service melarang penargetan perusahaan atau institusi di Rusia atau di dalam wilayah bekas Uni Soviet.

Namun ada juga satu alasan lain yang sangat penting mengapa penjahat dunia maya mungkin merasa relatif bebas untuk beroperasi dari dalam Rusia. Layanan keamanan Rusia tergoda untuk melihat peretas yang menargetkan perusahaan, pemerintah, dan individu Barat bukan sebagai ancaman melainkan sebagai sumber daya.

Selengkapnya: New Yorker

Alat penyadap seharga $40 ditanam pada iPhone aktivis Rusia

by Leave a Comment

Sebuah perangkat kecil yang menarik ditemukan ditanam di iPhone manajer kampanye aktivis anti-korupsi Rusia Lyubov Sobol selama tahun baru. Pada 21 Desember 2020, manajer kampanye Sobol Olga Klyuchnikova ditahan oleh FSB Rusia. Dia menghabiskan seminggu di penjara atas “biaya administrasi” dan dibebaskan – tetapi ada sesuatu yang salah.

Dalam sebuah video yang dirilis minggu ini, Sobol dan rekannya menunjukkan komponen internal dari smartphone-nya, termasuk apa yang tampak seperti alat pelacak yang ditanam. Dia rupanya memperhatikan ada sesuatu yang aneh ketika iPhone-nya diberikan kepadanya setelah ditahan. Diijinkan untuk menggunakan ponsel cerdasnya sendiri selama dalam tahanan cukup aneh – tetapi perangkat mulai “terasa tidak berfungsi” hingga dia menjadi curiga.

Ini sangat mirip dengan perangkat dengan nama “TOPIN Kecil ZX620 PCB Wifi LBS GSM Tracker Positioning kartu TF”. Anda akan menemukan perangkat ini tersedia untuk dijual di tempat-tempat seperti AliExpress dengan harga sekitar $ 40 USD.

Yang menarik dari perangkat kecil ini adalah kemampuannya yang belum sempurna. Anda perlu menempatkan kartu SIM Anda sendiri di perangkat untuk mengakses internet – tetapi di luar itu, yang dibutuhkan hanyalah daya.

Di dalam smartphone, pengguna hanya perlu menghubungkan beberapa kabel dari baterai perangkat untuk menjaga perangkat tetap aktif, lalu membiarkannya bekerja. Sederhana seperti itu.

Mereka mencopot perangkat keras kartu SIM asli perangkat dan langsung menyolder kartu SIM, memberi mereka sedikit ruang ekstra.Mereka kemudian mengganti baterai tersebut dengan yang lebih kecil. Ini memberi ruang yang lebih dari cukup untuk memberi jalan bagi pelacak.

Setelah pelacak ditanam, mereka akan memiliki akses ke informasi pelacakan GPS dan kemampuan merekam suara melalui telepon. Dan tentu saja ada cara yang jauh lebih mudah untuk melakukan semua bisnis ini, jika mereka lebih paham dengan perangkat lunak. Namun bukan itu masalahnya – intinya adalah, perangkat kecil ini ada, dan mereka ada di luar sana di alam liar, untuk diakses siapa saja dengan relatif mudah.

Source : slashgear

Krebs: AS harus ‘berhati-hati’ tentang meningkatnya perang dunia maya dengan Rusia

by

Mantan kepala Cybersecurity and Infrastructure Security Agency (CISA) Christopher Krebs dalam sebuah wawancara pada hari Minggu mengungkapkan pada seruan anggota parlemen untuk pembalasan sebagai tanggapan atas intrusi dunia maya di berbagai lembaga pemerintah yang diyakini dilakukan oleh Rusia. Berbicara dengan Jake Tapper dari CNN tentang “State of the Union,” Krebs mengatakan bahwa anggota parlemen seperti Senator Mitt Romney (R-Utah,) harus waspada dengan pernyataan “tanggapan dunia maya yang besarnya sama atau lebih besar” di awal program,

“Saya akan sangat berhati-hati untuk meningkatkan ini,” jawab Krebs.

Mantan kepala keamanan siber AS itu menambahkan. “Diperlukan adanya percakapan di antara negara-negara yang berpikiran sama” tentang apa bentuk spionase dunia maya yang dapat diterima, Krebs juga ditanyai selama wawancara tentang tweet pada hari Sabtu dari Presiden Trump, yang bertentangan dengan pejabat tinggi AS dan menyarankan keterlibatan China dalam serangan dunia maya serta tuduhan intrusi yang tidak berdasar ke dalam sistem pemungutan suara AS.

Krebs juga ditanyai selama wawancara tentang tweet pada hari Sabtu dari Presiden Trump, yang bertentangan dengan pejabat tinggi AS dan menyarankan keterlibatan China dalam serangan dunia maya serta tuduhan intrusi yang tidak berdasar ke dalam sistem pemungutan suara AS. “Ini Rusia,” jawab Krebs pada hari Minggu, sebelum menambahkan dinas intelijen Rusia, SVR: “Mereka sangat ahli dalam hal itu.”
Peretasan itu mungkin terjadi, tambahnya, karena sistem lama masih digunakan di seluruh lembaga pemerintah yang belum meningkatkan kemampuannya selama bertahun-tahun dan tidak “dioptimalkan” untuk dipertahankan dengan mudah.

Source : The Hill