Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Software / Application

Software / Application

Peretas Cina Mengalihkan Aplikasi Obrolan MiMi untuk Menargetkan Pengguna Windows, Linux, macOS

by

Sepasang laporan dari perusahaan keamanan siber SEKOIA dan Trend Micro menyoroti kampanye baru yang dilakukan oleh aktor ancaman China bernama Lucky Mouse yang melibatkan pemanfaatan versi trojan dari aplikasi perpesanan lintas platform ke sistem pintu belakang.

Rantai infeksi memanfaatkan aplikasi obrolan yang disebut MiMi, dengan file penginstalnya dikompromikan untuk mengunduh dan menginstal sampel HyperBro untuk sistem operasi Windows dan artefak rshell untuk Linux dan macOS.

Sebanyak 13 entitas berbeda yang berlokasi di Taiwan dan Filipina telah menerima serangan, delapan di antaranya terkena rshell. Korban pertama rshell dilaporkan pada pertengahan Juli 2021.

Lucky Mouse, juga disebut APT27, Bronze Union, Utusan Panda, dan Iron Tiger, diketahui aktif sejak 2013 dan memiliki sejarah mendapatkan akses ke jaringan yang ditargetkan dalam mengejar tujuan pengumpulan intelijen politik dan militer yang selaras dengan China.

Aktor ancaman persisten (APT) tingkat lanjut juga mahir dalam mengekstrak informasi bernilai tinggi menggunakan berbagai macam implan khusus seperti SysUpdate, HyperBro, dan PlugX.

Perkembangan terbaru sangat signifikan, paling tidak karena menandai upaya pengenalan aktor ancaman untuk menargetkan macOS bersama Windows dan Linux.

Kampanye ini memiliki semua keunggulan serangan rantai pasokan di mana server backend yang menghosting penginstal aplikasi MiMi dikendalikan oleh Lucky Mouse, sehingga memungkinkan untuk men-tweak aplikasi untuk mengambil backdoors dari server jarak jauh.

Ini dibuktikan dengan fakta bahwa macOS versi 2.3.0 aplikasi telah dirusak untuk memasukkan kode JavaScript berbahaya pada 26 Mei 2022. Meskipun ini mungkin merupakan varian macOS pertama yang disusupi, versi 2.2.0 dan 2.2.1 dibuat untuk Windows telah ditemukan untuk memasukkan tambahan serupa pada 23 November 2021.

rshell, pada bagiannya, adalah pintu belakang standar yang dilengkapi dengan semua lonceng dan peluit biasa, memungkinkan eksekusi perintah arbitrer yang diterima dari server command-and-control (C2) dan mengirimkan hasil eksekusi kembali ke server.

Tidak segera jelas apakah MiMi adalah program obrolan yang sah, atau apakah itu “dirancang atau digunakan kembali sebagai alat pengawasan,” meskipun aplikasi tersebut telah digunakan oleh aktor berbahasa Cina lainnya yang dijuluki Earth Berberoka (alias GamblingPuppet) yang ditujukan untuk situs perjudian online. – sekali lagi menunjukkan pembagian alat yang lazim di antara grup APT Cina.

Koneksi operasi ke Lucky Mouse berasal dari tautan ke infrastruktur yang sebelumnya diidentifikasi seperti yang digunakan oleh perangkat intrusi China-nexus dan penyebaran HyperBro, pintu belakang yang secara eksklusif digunakan oleh kelompok peretas.

Seperti yang ditunjukkan SEKOIA, ini bukan pertama kalinya musuh menggunakan aplikasi perpesanan sebagai titik awal dalam serangannya. Pada akhir 2020, ESET mengungkapkan bahwa perangkat lunak obrolan populer bernama Able Desktop disalahgunakan untuk mengirimkan HyperBro, PlugX, dan trojan akses jarak jauh bernama Tmanger yang menargetkan Mongolia.

Sumber: The Hackernews

Penjahat siber menggunakan messaging apps untuk meluncurkan skema malware

by

Peneliti Intel 471 melaporkan bahwa penjahat siber memanfaatkan bot di dalam aplikasi perpesanan berbasis cloud populer seperti Discord dan Telegram untuk menyebarkan malware.

Bot biasanya digunakan untuk berbagi media, bermain game, saluran moderat, atau tugas otomatis lainnya yang dapat dibuat oleh pengembang.

Para peneliti mengatakan penjahat siber menggunakan platform tersebut untuk meng-host, mendistribusikan, dan menjalankan berbagai fungsi yang pada akhirnya memungkinkan mereka untuk mencuri kredensial atau informasi lain dari pengguna yang tidak sadar

Peneliti Intel 471 juga menemukan beberapa alat pencuri informasi yang tersedia secara bebas untuk diunduh yang mengandalkan Discord atau Telegram untuk fungsionalitasnya.

Salah satunya Blitzed Grabber, mereka menggunakan fitur webhook Discord sebagai cara untuk menyimpan data yang dieksfiltrasi melalui malware. Webhook menyediakan cara mudah untuk mengirim pesan otomatis dan pembaruan data dari mesin korban ke saluran pesan tertentu.

Pencuri ini dapat mencuri semua jenis informasi, termasuk data isi otomatis, bookmark, cookie browser, kredensial dari klien jaringan pribadi virtual (VPN), informasi kartu pembayaran, dompet cryptocurrency, informasi sistem operasi, kata sandi, dan kunci produk Microsoft Windows. Beberapa grabber, termasuk Blitzed Grabber, Mercurial Grabber, dan 44Caliber, juga menargetkan kredensial untuk platform game Minecraft dan Roblox.

Satu bot khusus Telegram, yang dikenal sebagai X-Files, memiliki fungsionalitas yang dapat diakses melalui perintah bot di dalam Telegram. Setelah malware dimuat ke sistem korban, pelaku jahat dapat menggesek kata sandi, cookie sesi, kredensial login, dan detail kartu kredit, dengan mengarahkan informasi itu ke saluran Telegram yang mereka pilih. X-Files dapat mengambil informasi dari berbagai browser, termasuk Google Chrome, Chromium, Opera, Slimjet, dan Vivaldi.

Peneliti Intel 471 juga telah mengamati pelaku ancaman yang menyalahgunakan infrastruktur cloud yang digunakan oleh aplikasi perpesanan untuk mendukung kampanye penyebaran malware. Banyak pelaku ancaman saat ini menggunakan jaringan pengiriman konten (CDN) Discord untuk meng-host muatan malware.

Sistem pengumpulan Intelijen Malware kami pertama kali mengamati teknik ini pada tahun 2019, tetapi berbagai pelaku ancaman masih menggunakannya. Operator malware tampaknya tidak menghadapi batasan apa pun saat mengunggah muatan berbahaya mereka ke CDN Discord untuk hosting file. Tautan terbuka untuk pengguna mana pun tanpa autentikasi, memberikan aktor ancaman domain web bereputasi tinggi untuk meng-host muatan berbahaya.

Keluarga malware yang diamati menggunakan Discord CDN untuk meng-host muatan berbahaya meliputi:

  • PrivateLoader
  • Discoloader
  • Colibri
  • Warzone RAT
  • Modi loader
  • Raccoon stealer
  • Smokeloader
  • Amadey
  • Agent Tesla stealer
  • GuLoader
  • Autohotkey
  • njRAT

Sebelumnya, Intel 471 telah mengamati peningkatan layanan di bawah tanah kejahatan dunia maya yang memungkinkan penyerang memanfaatkan bot Telegram dalam upaya untuk mencegat token kata sandi satu kali (OTP). Pelaku kejahatan terus membangun layanan ini, menjual aksesnya di berbagai forum kejahatan dunia maya.

Satu bot yang diamati oleh peneliti Intel 471 pada bulan April, yang dikenal sebagai Astro OTP, memungkinkan operator untuk mendapatkan kode verifikasi OTP dan layanan pesan singkat (SMS). Operator diduga dapat mengontrol bot secara langsung melalui antarmuka Telegram dengan menjalankan perintah sederhana.

Akses ke bot sangat murah, langganan satu hari dapat dibeli seharga US $25, dengan langganan seumur hidup tersedia seharga US $300.

Otomatisasi di platform perpesanan populer menurunkan bar-of-entry untuk aktor jahat. Sementara pencuri informasi saja tidak menyebabkan jumlah kerusakan yang sama seperti malware seperti penghapus data atau ransomware, mereka dapat menjadi langkah pertama dalam meluncurkan serangan yang ditargetkan terhadap perusahaan.

Sumber: Intel 471

Pemberitahuan tentang Pengaturan Ulang Kata Sandi Slack

by

Pada 4 Agustus 2022, kami memberi tahu sekitar 0,5% pengguna Slack bahwa kami telah menyetel ulang kata sandi mereka sebagai tanggapan atas bug yang terjadi saat pengguna membuat atau mencabut tautan undangan bersama untuk ruang kerja mereka. Ketika pengguna melakukan salah satu dari tindakan ini, Slack mengirimkan versi hash kata sandi mereka ke anggota ruang kerja lainnya. Kata sandi yang di-hash ini tidak terlihat oleh klien Slack mana pun; menemukannya diperlukan pemantauan secara aktif lalu lintas jaringan terenkripsi yang berasal dari server Slack. Bug ini ditemukan oleh peneliti keamanan independen dan diungkapkan kepada kami pada 17 Juli 2022. Bug ini memengaruhi semua pengguna yang membuat atau mencabut tautan undangan bersama antara 17 April 2017 dan 17 Juli 2022.

Setelah menerima laporan dari peneliti keamanan, kami segera memperbaiki bug yang mendasarinya dan kemudian mulai menyelidiki potensi dampak masalah ini pada pelanggan kami. Kami tidak memiliki alasan untuk percaya bahwa siapa pun dapat memperoleh kata sandi teks biasa karena masalah ini. Namun, demi kehati-hatian, kami telah menyetel ulang kata sandi Slack pengguna yang terpengaruh. Mereka perlu mengatur kata sandi Slack baru sebelum mereka dapat masuk lagi.

FAQ

Apa itu kata sandi yang di-hash?

Hash kata sandi tidak sama dengan kata sandi plaintext itu sendiri; itu adalah teknik kriptografi untuk menyimpan data dengan cara yang aman tetapi tidak dapat dibalik. Dengan kata lain, praktis tidak mungkin kata sandi diturunkan dari hash, dan tidak ada yang bisa langsung menggunakan hash untuk mengotentikasi. Kami menggunakan teknik yang disebut penggaraman untuk lebih melindungi hash ini.

Apa yang harus saya lakukan jika kata sandi saya direset oleh Slack?

Semua akun aktif yang memerlukan pengaturan ulang kata sandi akan diberitahukan secara langsung dengan instruksi. Untuk informasi tentang pengaturan ulang kata sandi setiap saat, silakan kunjungi Pusat Bantuan kami: https://get.slack.help/hc/en-us/articles/201909068

Bagaimana cara meninjau akses ke akun saya?

Setiap pengguna dapat meninjau log akses pribadi untuk akun mereka atau mengunduh ekspor CSV lengkap kapan saja dengan mengunjungi https://my.slack.com/account/logs. Pemilik dan administrator di semua langganan berbayar dapat mempelajari lebih lanjut tentang melihat log akses untuk ruang kerja mereka di Pusat Bantuan kami: https://get.slack.help/hc/en-us/articles/360002084807-View-Access-Logs-for -ruang kerja-Anda

Siapa yang dapat saya hubungi jika saya memiliki pertanyaan tambahan?

Jika Anda memiliki pertanyaan yang belum terjawab di sini, silakan hubungi kami di feedback@slack.com.

Langkah apa yang dapat saya ambil untuk lebih mengamankan akun saya?

Kami menyarankan semua pengguna menggunakan otentikasi dua faktor, memastikan bahwa perangkat lunak komputer dan perangkat lunak antivirus mereka mutakhir, membuat kata sandi baru yang unik untuk setiap layanan yang mereka gunakan dan menggunakan pengelola kata sandi.

Sumber: Slack

Pelanggaran Twitter Mengekspos Akun Anonim ke Peretas Negara Bangsa

by

Twitter mengkonfirmasi pada hari Jumat bahwa aktor jahat menggunakan kerentanan untuk mencocokkan informasi pribadi dengan akun Twitter yang berpotensi anonim, menimbulkan risiko bagi privasi pengguna.

Kerentanan memungkinkan seseorang untuk mencocokkan email atau nomor telepon ke akun Twitter mana pun yang terkait dengan informasi itu dan nama akun, tulis Twitter dalam blog pers.

“Kami dapat mengonfirmasi bahwa dampaknya bersifat global,” kata juru bicara Twitter dalam email. “Kami tidak dapat menentukan dengan tepat berapa banyak akun yang terpengaruh atau lokasi pemegang akun.”

Tidak ada kata sandi yang dikompromikan dalam pelanggaran.

Twitter mengatakan akan langsung memberi tahu pemilik akun yang dikonfirmasi terpengaruh. Perusahaan tidak memberikan sejumlah akun yang dikonfirmasi sebagai terpengaruh oleh pelanggaran keamanan. Namun, outlet berita Bleeping Computer melaporkan pada bulan Juli bahwa pelaku ancaman diduga menjual data dari 5,4 juta pengguna setelah mengeksploitasi pelanggaran tersebut. Twitter mencatat bahwa mereka mengetahui penyalahgunaan data melalui laporan pers tetapi tidak mengutip sumber atau detail tambahan apa pun.

“Jika Anda mengoperasikan akun Twitter dengan nama samaran, kami memahami risiko yang dapat ditimbulkan oleh insiden seperti ini dan sangat menyesalkan hal ini terjadi,” tulis Twitter dalam blognya, Jumat. “Untuk menjaga identitas Anda setertutup mungkin, kami sarankan untuk tidak menambahkan nomor telepon atau alamat email yang diketahui publik ke akun Twitter Anda.”

Sumber: CyberScoop

Lebih dari 3.200 aplikasi membocorkan kunci API Twitter, beberapa memungkinkan pembajakan akun

by

Peneliti keamanan siber telah menemukan 3.207 aplikasi seluler yang mengekspos kunci API Twitter ke publik, yang berpotensi memungkinkan aktor ancaman untuk mengambil alih akun Twitter pengguna yang terkait dengan aplikasi tersebut.

Penemuan itu milik perusahaan keamanan siber CloudSEK, yang meneliti kumpulan aplikasi besar untuk kemungkinan kebocoran data dan menemukan 3.207 aplikasi membocorkan Kunci Konsumen dan Rahasia Konsumen yang valid untuk API Twitter.

Saat mengintegrasikan aplikasi seluler dengan Twitter, pengembang akan diberikan kunci autentikasi khusus, atau token, yang memungkinkan aplikasi seluler mereka berinteraksi dengan API Twitter. Saat pengguna mengaitkan akun Twitter mereka dengan aplikasi seluler ini, tombol juga akan memungkinkan aplikasi untuk bertindak atas nama pengguna, seperti masuk melalui Twitter, membuat tweet, mengirim DM, dll.

Karena memiliki akses ke kunci autentikasi ini dapat memungkinkan siapa saja untuk melakukan tindakan sebagai pengguna Twitter terkait, tidak pernah disarankan untuk menyimpan kunci secara langsung di aplikasi seluler tempat pelaku ancaman dapat menemukannya.

Salah satu skenario penyalahgunaan akses yang paling menonjol, menurut CloudSEK, adalah pelaku ancaman menggunakan token terbuka ini untuk membuat pasukan Twitter dengan akun terverifikasi (dapat dipercaya) dengan banyak pengikut untuk mempromosikan berita palsu, kampanye malware , penipuan cryptocurrency, dll.

Perincian aplikasi yang rentan (CloudSEK)

CloudSEK menjelaskan bahwa kebocoran kunci API biasanya disebabkan oleh kesalahan pengembang aplikasi yang menyematkan kunci autentikasi mereka di API Twitter, tetapi lupa menghapusnya saat ponsel dirilis.

Dalam kasus ini, kredensial disimpan dalam aplikasi seluler di lokasi berikut:

  • resources/res/values/strings.xml
  • source/resources/res/values-es-rAR/strings.xml
  • source/resources/res/values-es-rCO/strings.xml
  • source/sources/com/app-name/BuildConfig.java

CloudSEK merekomendasikan pengembang menggunakan rotasi kunci API untuk melindungi kunci autentikasi, yang akan membatalkan kunci yang terbuka setelah beberapa bulan.

CloudSEK membagikan daftar aplikasi yang terpengaruh dengan BleepingComputer, dengan aplikasi antara 50.000 dan 5.000.000 unduhan, termasuk pendamping transportasi kota, penyetel radio, pembaca buku, pencatat acara, surat kabar, aplikasi e-banking, aplikasi GPS bersepeda, dan banyak lagi.

Sebagian besar aplikasi yang mengekspos kunci API mereka secara publik bahkan belum mengakui menerima pemberitahuan CloudSEK setelah sebulan sejak perusahaan keamanan siber memperingatkan mereka, dan sebagian besar belum mengatasi masalah tersebut.

Satu pengecualian penting adalah Ford Motors, yang merespons dan menerapkan perbaikan pada aplikasi ‘Ford Events’ yang juga membocorkan kunci API Twitter.

Sumber: Bleeping Computer

Ransomware LockBit Menyalahgunakan Windows Defender untuk Memuat Cobalt Strike

by Leave a Comment

Pelaku ancaman yang terkait dengan operasi ransomware LockBit 3.0 menyalahgunakan alat baris perintah Windows Defender untuk memuat suar Cobalt Strike pada sistem yang disusupi dan menghindari deteksi oleh perangkat lunak keamanan.

Cobalt Strike adalah rangkaian pengujian penetrasi yang sah dengan fitur ekstensif yang populer di kalangan pelaku ancaman untuk melakukan pengintaian jaringan tersembunyi dan gerakan lateral sebelum mencuri data dan mengenkripsinya.

Namun, solusi keamanan menjadi lebih baik dalam mendeteksi suar Cobalt Strike, menyebabkan pelaku ancaman mencari cara inovatif untuk menerapkan toolkit.

Dalam kasus respons insiden baru-baru ini untuk serangan ransomware LockBit, para peneliti di Sentinel Labs memperhatikan penyalahgunaan alat baris perintah Microsoft Defender “MpCmdRun.exe” untuk memuat DLL berbahaya yang mendekripsi dan menginstal beacon Cobalt Strike.

Kompromi jaringan awal dalam kedua kasus dilakukan dengan mengeksploitasi kelemahan Log4j pada Server VMWare Horizon yang rentan untuk menjalankan kode PowerShell.

Beacon Cobalt Strike yang dimuat di samping pada sistem yang disusupi bukanlah hal baru bagi LockBit, karena ada laporan tentang rantai infeksi serupa yang mengandalkan penyalahgunaan utilitas baris perintah VMware.
Menyalahgunakan Microsoft Defender

Setelah membuat akses ke sistem target dan mendapatkan hak pengguna yang diperlukan, pelaku ancaman menggunakan PowerShell untuk mengunduh tiga file: salinan bersih utilitas Windows CL, file DLL, dan file LOG.

MpCmdRun.exe adalah utilitas baris perintah untuk melakukan tugas Microsoft Defender, dan mendukung perintah untuk memindai malware, mengumpulkan informasi, memulihkan item, melakukan pelacakan diagnostik, dan banyak lagi.

Saat dijalankan, MpCmdRun.exe akan memuat DLL sah bernama “mpclient.dll” yang diperlukan agar program dapat beroperasi dengan benar.

Dalam kasus yang dianalisis oleh SentinelLabs, pelaku ancaman telah membuat versi mpclient.dll mereka sendiri yang dipersenjatai dan menempatkannya di lokasi yang memprioritaskan pemuatan versi berbahaya dari file DLL.

Kode yang dieksekusi memuat dan mendekripsi muatan Cobalt Strike terenkripsi dari file “c00000015.log”, yang dijatuhkan bersama dengan dua file lainnya dari tahap serangan sebelumnya.

Meskipun tidak jelas mengapa afiliasi LockBit beralih dari VMware ke alat baris perintah Windows Defender untuk pemuatan samping suar Cobalt Strike, mungkin saja untuk melewati perlindungan yang ditargetkan yang diterapkan sebagai tanggapan terhadap metode sebelumnya.

Menggunakan alat “hidup di luar negeri” untuk menghindari deteksi EDR dan AV sangat umum akhir-akhir ini; maka organisasi perlu memeriksa kontrol keamanan mereka dan menunjukkan kewaspadaan dengan melacak penggunaan executable yang sah yang dapat digunakan oleh penyerang.

Sumber: BleepingComputer

Pelanggaran Data Twitter Mengekspos Detail Kontak untuk 5,4 Juta Akun; Dijual Seharga $30k

by

Pelanggaran data Twitter telah memungkinkan penyerang mendapatkan akses ke detail kontak dari 5,4 juta akun. Twitter telah mengkonfirmasi kerentanan keamanan yang memungkinkan data diekstraksi.

Data – yang menghubungkan pegangan Twitter dengan nomor telepon dan alamat email – telah ditawarkan untuk dijual di forum peretasan, seharga $30.000.

Restore Privacy melaporkan bahwa pelanggaran itu dimungkinkan oleh kerentanan yang ditemukan kembali pada bulan Januari.

Kemungkinan penyerang memperoleh database nomor telepon dan alamat email yang ada yang diperoleh dari pelanggaran layanan lain, dan kemudian menggunakan detail ini untuk mencari ID Twitter yang sesuai.

Belum ada cara untuk memeriksa apakah akun Anda termasuk dalam pelanggaran data Twitter. Seperti biasa, perlu waspada terhadap serangan phishing – email yang mengaku berasal dari Apple, bank Anda, PayPal, penyedia email, dan sebagainya, dan yang meminta Anda untuk masuk ke akun Anda.

Taktik phishing yang umum adalah pesan yang memberi tahu Anda bahwa akun Anda berisiko dihapus, atau mengirim tanda terima palsu untuk pembelian bernilai tinggi, bersama dengan tautan untuk menyengketakan tagihan.

Perlindungan utama di sini adalah jangan pernah mengklik tautan yang dikirim melalui email. Selalu gunakan bookmark Anda sendiri, atau ketik URL yang dikenal.

Sumber: 9to5Mac

AS Mengajukan Tuntutan Pidana Pertamanya atas Perdagangan Orang dalam Cryptocurrency

by

Otoritas Amerika terus menindak perdagangan orang dalam aset digital. The New York Times melaporkan bahwa jaksa federal di New York City telah mendakwa tiga orang dengan penipuan yang berkaitan dengan skema perdagangan orang dalam untuk cryptocurrency, termasuk mantan karyawan pertukaran Coinbase Ishan Wahi. Ini adalah pertama kalinya para pejabat mengajukan tuntutan terkait dengan perdagangan orang dalam mata uang digital, menurut pengacara Distrik Selatan New York Damian Williams.

Seperti kasus perdata pendamping dari Komisi Sekuritas dan Bursa, jaksa menuduh Wahi berbagi informasi rahasia tentang pencatatan aset masa depan dengan saudaranya Nikhil Wahi dan teman saudaranya Sammer Ramani. Data yang dibagikan antara “setidaknya” Juni 2021 dan April 2022, membantu Nikhil dan temannya membeli aset sebelum listing tersebut meningkatkan nilainya. Keduanya kemudian akan menjual aset mereka untuk mendapatkan keuntungan. Pembelian 25 aset atau lebih menghasilkan laba lebih dari $ 1,1 juta, menurut SEC.

Coinbase memulai penyelidikan internal pada bulan April sebagai tanggapan atas posting Twitter tentang aktivitas perdagangan yang tidak biasa. Ishan Wahi memesan penerbangan ke India tepat sebelum Coinbase akan mewawancarainya, tetapi dia dan saudaranya ditangkap di Seattle pagi ini. Ramani masih buron dan diyakini berada di India, kata SEC.

Pengacara Wahi mempertahankan ketidakbersalahan klien mereka, dan mengatakan dia akan “keras” membela diri terhadap tuduhan tersebut. Ramani dan pengacara saudara laki-laki Wahi belum mengomentari tuduhan itu. Coinbase mengatakan telah menyerahkan informasi ke Departemen Kehakiman dan telah memecat Wahi sebagai bagian dari kebijakan “tanpa toleransi” untuk perilaku ini.

Sumber: Engadget