Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat

Threat

Maret 2023 memecahkan rekor serangan ransomware dengan 459 insiden

by

Maret 2023 adalah bulan paling produktif yang dicatat oleh analis keamanan siber dalam beberapa tahun terakhir, dengan mencatat 459 serangan, meningkat 91% dari bulan sebelumnya dan 62% dibandingkan Maret 2022.

Menurut NCC Group, yang menyusun laporan berdasarkan statistik yang diperoleh dari pengamatannya, alasan bulan lalu memecahkan semua rekor serangan ransomware adalah CVE-2023-0669.

Aktivitas Maret 2023 melanjutkan tren kenaikan yang diamati oleh NCC Group sejak awal tahun (Januari dan Februari), dengan jumlah insiden peretasan dan kebocoran data tertinggi yang tercatat dalam tiga tahun terakhir.

Grafik serangan ransomware bulanan, biru tua: 2022, biru muda: 2023 (NCC Group)

Clop melakukan 129 serangan yang tercatat bulan lalu, memuncaki grafik NCC Group dengan geng ransomware paling aktif untuk pertama kalinya dalam sejarah operasionalnya.

Grup ransomware lain yang memiliki aktivitas relatif signifikan selama Maret 2023 adalah Royal ransomware, BlackCat (ALPHV), Bianlian, Play, Blackbasta, Stormous, Medusa, dan Ransomhouse.

Menutup lonjakan aktivitas ransomware (NCC Group)

Lonjakan aktivitas yang terekam pada bulan Maret 2023 menyoroti pentingnya menerapkan pembaruan keamanan sesegera mungkin, mengurangi celah keamanan yang berpotensi tidak diketahui seperti nol hari dengan menerapkan tindakan tambahan dan memantau lalu lintas jaringan dan log untuk aktivitas yang mencurigakan.

selengkapnya : bleepingcomputer.com

AS dan Inggris Peringatkan Peretas Rusia yang Mengeksploitasi Cacat Router Cisco untuk Spionase

by

Badan keamanan siber dan intelijen Inggris dan AS telah memperingatkan aktor negara-bangsa Rusia yang mengeksploitasi kelemahan yang sekarang telah ditambal dalam peralatan jaringan dari Cisco untuk melakukan pengintaian dan menyebarkan malware terhadap target tertentu.

Gangguan tersebut, menurut pihak berwenang, terjadi pada tahun 2021 dan menargetkan sejumlah kecil entitas di Eropa, lembaga pemerintah AS, dan sekitar 250 korban Ukraina.

Aktivitas tersebut dikaitkan dengan aktor ancaman yang dilacak sebagai APT28, yang juga dikenal sebagai Fancy Bear, Forest Blizzard (sebelumnya Strontium), FROZENLAKE, dan Sofacy, dan berafiliasi dengan Direktorat Intelijen Utama (GRU) Staf Umum Rusia.

Dalam serangan yang diamati oleh agensi, pelaku ancaman mempersenjatai kerentanan untuk menyebarkan malware non-persisten yang dijuluki Jaguar Tooth pada router Cisco yang mampu mengumpulkan informasi perangkat dan memungkinkan akses pintu belakang yang tidak diautentikasi.

Meskipun masalah tersebut telah ditambal oleh Cisco pada Juni 2017, masalah tersebut telah dieksploitasi publik sejak 11 Januari 2018, menggarisbawahi perlunya praktik manajemen tambalan yang kuat untuk membatasi permukaan serangan.

Awal tahun ini, Mandiant milik Google menyoroti upaya yang dilakukan oleh aktor ancaman yang disponsori negara China untuk menyebarkan malware yang dipesan lebih dahulu pada perangkat Fortinet dan SonicWall yang rentan.

selengkapnya : thehackernews.com

Malware Android Chameleon baru meniru aplikasi bank, pemerintah, dan crypto

by

Trojan Android baru yang disebut ‘Chameleon’ telah menargetkan pengguna di Australia dan Polandia sejak awal tahun, meniru pertukaran cryptocurrency CoinSpot, lembaga pemerintah Australia, dan bank IKO.

Malware seluler ditemukan oleh perusahaan cybersecurity Cyble, yang melaporkan melihat distribusi melalui situs web yang disusupi, lampiran Discord, dan layanan hosting Bitbucket.

Chameleon menyertakan berbagai fungsi berbahaya, termasuk mencuri kredensial pengguna melalui injeksi overlay dan keylogging, cookie, dan teks SMS dari perangkat yang terinfeksi.

Cyble juga mengamati kode yang memungkinkan Chameleon mengunduh payload selama runtime dan menyimpannya di host sebagai file “.jar”, untuk dieksekusi nanti melalui DexClassLoader. Namun, fitur ini saat ini tidak digunakan.

Chameleon adalah ancaman yang muncul yang dapat menambahkan lebih banyak fitur dan kemampuan di versi mendatang.

Pengguna Android disarankan untuk berhati-hati dengan aplikasi yang dipasang di perangkat mereka, hanya mengunduh perangkat lunak dari toko resmi, dan memastikan bahwa Google Play Protect selalu diaktifkan.

selengkapnya : bleepingcomputer.com

Dalam surat kepada UE, badan sumber terbuka mengatakan Cyber Resilience Act dapat memiliki ‘efek dingin’ pada pengembangan perangkat lunak

by

Lebih dari selusin badan industri open source telah menerbitkan surat terbuka yang meminta Komisi Eropa (EC) untuk mempertimbangkan kembali aspek-aspek dari Cyber Resilience Act (CRA) yang diusulkan, dengan mengatakan bahwa itu akan memiliki “efek dingin” pada pengembangan perangkat lunak open source jika diterapkan di bentuknya saat ini.

Tiga belas organisasi, termasuk Eclipse Foundation, Linux Foundation Europe, dan Open Source Initiative (OSI), juga mencatat bahwa Cyber Resilience Act sebagaimana tertulis “menimbulkan risiko ekonomi dan teknologi yang tidak perlu bagi UE.”

Tampaknya, tujuan dari surat tersebut adalah agar komunitas open source mendapatkan suara yang lebih besar dalam evolusi CRA seiring perkembangannya melalui Parlemen Eropa.

Adapun Undang-Undang Ketahanan Cyber, pesan dari komunitas perangkat lunak open source cukup jelas – mereka merasa bahwa suara merek tidak didengar, dan jika perubahan tidak dilakukan pada undang undang yang diusulkan maka itu bisa berdampak besar.

selengkapnya : techcrunch.com

NCR sedang Menyelidiki Insiden Ransomware yang Menyebabkan Pemadaman POS

by

Raksasa pemrosesan pembayaran NCR mengungkapkan serangan ransomware akhir pekan ini yang menyebabkan pemadaman pada teknologi titik penjualannya yang digunakan secara luas oleh restoran.

NCR menemukan serangan ransomware saat pemadaman pusat data berdampak pada beberapa pelanggan mereka pada 13 April.

Insiden tersebut memengaruhi layanan Aloha perusahaan yang menyediakan restoran dengan sistem untuk mengelola perangkat keras tempat penjualan, pesanan online, alat pemasaran, dan lainnya.

Juru bicara menegaskan bahwa serangan ransomware telah mempengaruhi kemampuan beberapa restoran untuk mengelola fungsi administratif. Perusahaan sekarang bekerja untuk menciptakan alternatif bagi pelanggan tersebut dan memulihkan alat yang terkena dampak.

NCR merespon insiden ini dengan menghubungi pelanggan, memberlakukan protokol keamanan sibernya dan melibatkan pakar dari luar untuk mengatasi insiden tersebut dan memulai proses pemulihan.

Investigasi atas insiden tersebut termasuk pakar NCR, pakar keamanan dunia maya forensik eksternal, dan penegak hukum federal, ”kata seorang juru bicara.

Pada 15 April, pakar keamanan dunia maya Dominic Alvieri mengatakan grup ransomware BlackCat/AlphV mengambil pujian atas serangan tersebut, memposting perusahaan di situs kebocorannya.

Cuitan twitter pakar keamanan siber Dominic Alvieri mengenai grup ransomware BlackCat/AlphV
Cuitan twitter pakar keamanan siber Dominic Alvieri mengenai grup ransomware BlackCat

Grup tersebut berbagi pesan yang diduga antara perwakilan NCR dan peretas BlackCat, mengklaim bahwa meskipun tidak ada data yang dicuri selama serangan, mereka dapat mencuri kredensial yang digunakan pelanggan untuk mengakses sistem mereka.

Selengkapnya: The Record

Malware Android menyusup ke 60 aplikasi Google Play dengan 100 juta pemasangan

by

Malware Android baru bernama ‘Goldoson’ telah menyusup ke Google Play melalui 60 aplikasi resmi yang secara kolektif memiliki 100 juta unduhan.

Komponen malware jahat adalah bagian dari perpustakaan pihak ketiga yang digunakan oleh semua enam puluh aplikasi yang tanpa disadari pengembang ditambahkan ke aplikasi mereka.

Beberapa aplikasi yang terpengaruh adalah:

  • L.POINT with L.PAY
  • Swipe Brick Breaker
  • Money Manager Expense & Budget
  • GOM Player
  • LIVE Score, Real-Time Score
  • Pikicast
  • Compass 9: Smart Compass
  • GOM Audio – Music, Sync lyrics
  • LOTTE WORLD Magicpass
  • Infinite Slice
  • Bounce Brick Breaker
  • Korea Subway Info: Metroid
  • SomNote

Banyak aplikasi yang terpengaruh dibersihkan oleh pengembang mereka, yang menghapus perpustakaan yang melanggar, dan aplikasi yang tidak merespons tepat waktu dihapus dari Google Play karena tidak mematuhi kebijakan toko.

Google mengonfirmasi tindakan tersebut kepada BleepingComputer, menyatakan bahwa aplikasi tersebut melanggar kebijakan Google Play.

“Keamanan pengguna dan pengembang adalah inti dari Google Play. Saat kami menemukan aplikasi yang melanggar kebijakan kami, kami mengambil tindakan yang sesuai,” kata Google kepada BleepingComputer.

“Kami telah memberi tahu pengembang bahwa aplikasi mereka melanggar kebijakan Google Play dan perbaikan diperlukan agar sesuai.”

Pengguna yang memasang aplikasi yang terpengaruh dari Google Play dapat memulihkan risiko dengan menerapkan pembaruan terbaru yang tersedia.

Namun, Goldoson juga ada di toko aplikasi Android pihak ketiga, dan kemungkinan mereka masih menyimpan perpustakaan berbahaya itu tinggi.

selengkapnya : bleepingcomputer.com

Ransomware Vice Society menggunakan alat pencurian data PowerShell baru dalam serangan

by

Alat pencurian data baru ditemukan oleh Palo Alto Networks Unit 42 selama respons insiden pada awal 2023, saat responden memulihkan file bernama “w1.ps1” dari jaringan korban dan, lebih khusus lagi, direferensikan dalam ID Peristiwa 4104: Script Blokir acara Logging.

Skrip menggunakan PowerShell untuk mengotomatiskan eksfiltrasi data dan terdiri dari beberapa fungsi, termasuk Work(), Show(), CreateJobLocal(), dan fill().

Keempat fungsi ini digunakan untuk mengidentifikasi direktori potensial untuk eksfiltrasi, memproses grup direktori, dan akhirnya mengekstraksi data melalui permintaan HTTP POST ke server Vice Society.

Meskipun tampaknya ada beberapa fungsi otomatis dalam skrip untuk menentukan file apa yang dicuri, masih ada daftar pengecualian dan penyertaan master untuk membantu menyempurnakan file apa yang dicuri.

Misalnya, skrip tidak akan mencuri data dari folder yang namanya menyertakan string umum untuk cadangan, folder instalasi program, dan folder sistem operasi Windows.

Namun, ini secara khusus akan menargetkan folder yang berisi lebih dari 433 string dalam bahasa Inggris, Ceko, Jerman, Lituania, Luksemburg, Portugis, dan Polandia, menekankan bahasa Jerman dan Inggris.

Pada bulan Desember 2022, SentinelOne memperingatkan tentnag VIce Society yang telah beralih ke enkripsi file baru yang canggih yang dijuluki “PolyVice”, yang mungkin dipasok oleh pengembang kontrak yang juga menjual malware-nya ke ransomware Chilly dan SunnyDay.

Sayangnya,dengan pengadopsian alat yang canggih, Vice Society telah menjadi ancaman yang lebih besar bagi organisasi di seluruh dunia, memberikan lebih sedikit kesempatan bagi para pembela HAM untuk mendeteksi dan menghentikan serangan.

selengkapnya : bleepingcomputer.com

Linux kernel Logic Mengizinkan serangan Spectre pada ‘penyedia cloud utama’

by

Kerentanan Spectre yang menghantui pembuat perangkat keras dan perangkat lunak sejak 2018 terus menentang upaya untuk menguburnya.

Pada hari Kamis, Eduardo (sirdarckcat) Vela Nava, dari tim respons keamanan produk Google, mengungkapkan kelemahan terkait Spectre di versi 6.2 kernel Linux.

Bug, yang disebut tingkat keparahan sedang, awalnya dilaporkan ke penyedia layanan cloud – yang paling mungkin terpengaruh – pada 31 Desember 2022, dan ditambal di Linux pada 27 Februari 2023.

Pemburu bug yang mengidentifikasi masalah tersebut menemukan bahwa proses userspace Linux untuk bertahan melawan Spectre v2 tidak bekerja pada VM dari “setidaknya satu penyedia cloud utama”.

Seperti yang dijelaskan oleh pengungkapan, di bawah IBRS dasar, kernel 6.2 memiliki logika yang memilih keluar dari STIBP (Single Thread Indirect Branch Predictors), pertahanan terhadap pembagian prediksi cabang antara prosesor logis pada inti.

“Bit IBRS secara implisit melindungi dari injeksi target cabang lintas-utas,” laporan bug menjelaskan. “Namun, dengan IBRS lama, bit IBRS dihapus saat kembali ke ruang pengguna, karena alasan kinerja, yang menonaktifkan STIBP implisit dan membuat utas ruang pengguna rentan terhadap injeksi target cabang lintas-utas yang dilindungi oleh STIBP.”

Register memahami bahwa masalah ini muncul dari kesalahpahaman tentang IBRS yang ditingkatkan, yang tidak memerlukan STIBP untuk melindungi diri dari utas lain (serangan multithreading secara bersamaan).

Perbaikan menghapus IBRS dasar dari pemeriksaan spectre_v2_in_ibrs_mode() , agar STIBP tetap aktif secara default.

Cacat hantu diidentifikasi oleh Rodrigo Rubira Branco (BSDaemon), ketika dia berada di Google, dan José Luiz. KP Singh, bagian dari tim kernel Google, yang mengerjakan perbaikan dan berkoordinasi dengan pengelola Linux untuk mengatasi masalah tersebut.

selengkapnya : theregister.com