Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat

Threat

Malware sekarang menggunakan sertifikat penandatanganan kode NVIDIA yang dicuri

by

Pelaku ancaman menggunakan sertifikat penandatanganan kode NVIDIA yang dicuri untuk menandatangani malware agar tampak tepercaya dan memungkinkan driver jahat dimuat di Windows.

Minggu ini, NVIDIA mengonfirmasi bahwa mereka mengalami serangan siber yang memungkinkan pelaku ancaman mencuri kredensial karyawan dan data kepemilikan.

Kelompok pemerasan, yang dikenal sebagai Lapsus$, menyatakan bahwa mereka mencuri 1TB data selama serangan dan mulai membocorkan data secara online setelah NVIDIA menolak untuk bernegosiasi dengan mereka.

Setelah Lapsus$ membocorkan sertifikat penandatanganan kode NVIDIA, peneliti keamanan dengan cepat menemukan bahwa sertifikat tersebut digunakan untuk menandatangani malware dan alat lain yang digunakan oleh pelaku ancaman.

Menurut sampel yang diunggah ke layanan pemindaian malware VirusTotal, sertifikat yang dicuri digunakan untuk menandatangani berbagai malware dan alat peretasan, seperti suar Cobalt Strike, Mimikatz, pintu belakang, dan trojan akses jarak jauh.

Misalnya, satu aktor ancaman menggunakan sertifikat untuk menandatangani trojan akses jarak jauh Quasar [VirusTotal], sementara orang lain menggunakan sertifikat untuk menandatangani driver Windows [VirusTotal].

Selengkapnya: Bleeping Computer

Peretas membocorkan 190GB dugaan data Samsung, kode sumber

by

Kelompok pemerasan data Lapsus hari ini membocorkan sejumlah besar data rahasia yang mereka klaim berasal dari Samsung Electronics, perusahaan elektronik konsumen raksasa Korea Selatan.

Kebocoran terjadi kurang dari seminggu setelah Lapsus$ merilis arsip dokumen 20GB dari 1TB data yang dicuri dari desainer GPU Nvidia.

Dalam catatan yang diposting sebelumnya hari ini, geng pemerasan menggoda tentang merilis data Samsung dengan snapshot dari arahan C/C++ dalam perangkat lunak Samsung.

Tak lama setelah menggoda pengikut mereka, Lapsus$ menerbitkan deskripsi kebocoran yang akan datang, mengatakan bahwa itu berisi “kode sumber rahasia Samsung” yang berasal dari pembobolan.

Kode sumber tersebut terdiri dari: kode sumber untuk setiap Trusted Applet (TA) yang dipasang di lingkungan TrustZone Samsung yang digunakan untuk operasi sensitif (misalnya kriptografi perangkat keras, enkripsi biner, kontrol akses); algoritma untuk semua operasi buka kunci biometrik; kode sumber bootloader untuk semua perangkat Samsung terbaru; kode sumber rahasia dari Qualcomm; kode sumber untuk server aktivasi Samsung; kode sumber lengkap untuk teknologi yang digunakan untuk mengesahkan dan mengautentikasi akun Samsung, termasuk API dan layanan.

Jika detail di atas akurat, Samsung telah mengalami pelanggaran data besar yang dapat menyebabkan kerusakan besar pada perusahaan.

Lapsus$ membagi data yang bocor menjadi tiga file terkompresi yang menambah hampir 190GB dan membuatnya tersedia dalam torrent yang tampaknya sangat populer, dengan lebih dari 400 rekan berbagi konten.

Kelompok pemerasan juga mengatakan bahwa mereka akan menyebarkan lebih banyak server untuk meningkatkan kecepatan unduhan.

Selengkapnya: Bleeping Computer

Peretas mengklaim kebocoran besar Samsung, termasuk kunci enkripsi dan kode sumber

by

Kebocoran baru ini dirinci dalam laporan dari Bleeping Computer, yang menyebut Lapsus$ sebagai “geng pemerasan” dan mengatakan kelompok itu awalnya memposting tangkapan layar kode untuk perangkat lunak Samsung, kemudian merinci apa yang telah dieksfiltrasi dari server raksasa elektronik Korea Selatan.

Info yang dicuri tampaknya mencakup informasi penting, termasuk algoritme untuk semua operasi pembukaan kunci biometrik, kode sumber untuk bootloader untuk produk Samsung yang lebih baru, dan semua kode sumber di balik proses otorisasi dan otentikasi akun Samsung.

Ini adalah pelanggaran yang buruk jika semua klaim itu benar. Data tersebut diduga tersedia untuk torrent, dengan Lapsus$ mengemasnya ke dalam file terkompresi yang totalnya hampir 190GB.

Menurut Bleeping Computer, peretasan tersebut bukanlah penculikan seperti halnya Nvidia, karena pada hari Sabtu tidak ada bukti permintaan tebusan.

Ini adalah pertanyaan terbuka tentang bagaimana konsumen akan melihat peretasan ini, tetapi Anda tidak perlu memahami pemrograman atau detail seluk beluk keamanan siber untuk melihat mengapa ini bisa menjadi pukulan bagi salah satu merek elektronik global terbesar.

Samsung mungkin mengetahui nilai dolar sebenarnya dari kerusakan yang terjadi saat pasar dibuka pada hari Senin.

Selengkapnya: Android Police

Trojan perbankan TeaBot yang berbahaya menargetkan ratusan aplikasi keuangan

by

Pakar keamanan siber dengan Cleafy baru-baru ini menerbitkan laporan baru tentang TeaBot yang seharusnya membuat pengguna Android waspada.

Tim menemukan bahwa ada lompatan besar dalam jumlah target TeaBot — setidaknya 400 aplikasi yang digunakan untuk perbankan, transaksi cryptocurrency, dan asuransi digital — dan malware tersebut mulai menargetkan korban di Rusia, Hong Kong, dan Amerika Serikat.

TeaBot beroperasi menggunakan “penipuan pada perangkat,” memanipulasi layanan aksesibilitas dan kemampuan streaming langsung perangkat yang terinfeksi dengan cara yang memungkinkan penyerang untuk berinteraksi dari jarak jauh dengan ponsel dan memantaunya melalui pencatatan kunci.

Salah satu inkarnasi terbarunya yang diketahui muncul melalui aplikasi kode QR di Play Store, berfungsi sebagai penetes seperti pil racun untuk malware.

Setelah diunduh, aplikasi mengeluarkan popup yang meminta Anda menginstal add-on. Meskipun itu bukan tanda bahaya, aplikasi yang tidak bersalah biasanya menginstal perangkat lunak semacam itu melalui Google Play Store, sementara yang ini mencoba menipu Anda untuk melakukan sideload.

Pengalihan seperti itu dapat menandakan kemungkinan adanya dropper trojan, dan di sini add-on berisi TeaBot.

Setelah masuk, malware mulai bekerja, mengakses izin untuk layanan aksesibilitas ponsel Anda, yang memungkinkannya menguasai layar Anda.

Kemudian dapat merekam hal-hal fatal seperti login, SMS, dan kode otentikasi dua faktor.

Jika Anda telah menginstal aplikasi ini, yang terdaftar sebagai produk “QR Barcode Scanner Bussiness [sic] LLC,” segera hapus untuk menghindari orang asing membeli siapa-tahu-apa dengan uang receh Anda (dan jujur, mungkin berpikir tentang pabrik penuh menghapus).

Selengkapnya: Android Police

Decryptor gratis dirilis untuk korban HermeticRansom di Ukraina

by

Avast telah merilis decryptor untuk jenis ransomware HermeticRansom yang digunakan dalam serangan yang ditargetkan terhadap sistem Ukraina selama sepuluh hari terakhir.

Decryptor ditawarkan sebagai alat unduh gratis dari situs web Avast dan dapat membantu orang Ukraina memulihkan data mereka dengan cepat dan andal.

Tanda-tanda pertama distribusi HermeticRansom diamati oleh para peneliti ESET pada 23 Februari, hanya beberapa jam sebelum invasi pasukan Rusia terjadi di Ukraina.

Jenis ransomware dikirimkan bersama dengan worm komputer bernama HermeticWizard dan lebih berfungsi sebagai umpan dalam serangan penghapus daripada alat untuk mendukung pemerasan finansial. Namun, infeksinya telah mengganggu sistem vital Ukraina.

Crowdstrike dengan cepat menemukan kelemahan dalam skema kriptografi dari strain yang ditulis GO dan menawarkan skrip untuk mendekripsi file yang dienkripsi oleh HermeticRansom (alias PartyTicket).

HermeticRansom berisi banyak nama string berorientasi politik dalam biner ransomware, catatan tebusan, dan email kontak (vote2024forjb@protonmail.com dan stephanie.jones2024@protonmail.com).

HermeticRansom tidak pernah dimaksudkan untuk berfungsi sebagai jenis ransomware modern yang akan menjadi dasar bagi pemerasan ganda, yang menimbulkan kerusakan finansial dan reputasi.

Di atas tidak berarti bahwa infeksi HermeticRansom tidak berdampak pada mesin yang ditargetkan.

Sebaliknya, jenis ini masih dapat mengenkripsi file berharga di luar File Program dan folder Windows, menggunakan kunci RSA-2048.

Catatan tebusan yang dilihat oleh para korban memiliki bentuk dan isi yang khas, meminta mereka untuk menghubungi alamat ProtonMail untuk mendapatkan decryptor.

Catatan tebusan HermeticRansom/PartyTicket

Meskipun skrip Crowdstrike dapat diandalkan, tidak mudah bagi semua orang untuk menggunakannya dalam situasi ini. Untuk mempermudahnya, Avast telah merilis GUI decryptor yang memudahkan untuk mendekripsi file yang dienkripsi oleh HermeticRansom.

Selain itu, alat ini menawarkan opsi untuk mencadangkan file yang dienkripsi untuk menghindari berakhirnya file yang rusak secara permanen jika terjadi kesalahan dengan proses enkripsi.

Dekripsi grafis Avast

Sumber : Bleeping Computer

Rusia meminta Google untuk mengakhiri “informasi yang salah” pada “operasi khusus” di Ukraina

by

Roskomnadzor, pengawas telekomunikasi Rusia, meminta Google untuk menghentikan kampanye iklan yang menyebarkan informasi yang salah tentang invasi Rusia ke Ukraina di video YouTube.

Seperti yang diklaim oleh pengawas telekomunikasi Rusia, iklan online dengan konten yang tidak akurat dan tanpa label usia digunakan untuk menanamkan “suasana protes” dan mendorong info palsu tentang “operasi khusus” Angkatan Darat Rusia di Ukraina.

“Roskomnadzor mengirim surat ke Google LLC (bertanggung jawab atas aktivitas periklanan Google di Rusia) dengan permintaan untuk segera menghentikan penyebaran informasi palsu yang bersifat politik tentang operasi khusus Angkatan Bersenjata Rusia di Ukraina di wilayah Rusia,” internet pengawas menjelaskan.

“Pesan iklan tersebut ditampilkan kepada pengguna Rusia dari situs hosting video YouTube dan berisi informasi yang salah yang bertujuan untuk membentuk persepsi yang menyimpang dari peristiwa yang terjadi dan menciptakan sentimen protes di antara penonton Internet Rusia.”

Roskomnadzor juga memberi tahu media independen Rusia pada 26 Februari (misalnya, Ekho Moskvy, InoSMI, Mediazona, New Times, Dozhd, Svobodnaya Pressa, Krym. Realii, Novaya Gazeta, Jurnalis, dan Lenizdatnot) untuk tidak menyebarkan informasi palsu tentang penembakan kota-kota Ukraina, serta menyebut “operasi yang sedang berlangsung” sebagai serangan, invasi, atau deklarasi perang.

Rusia ingin memperkenalkan undang-undang baru yang akan menghukum penyebaran berita palsu tentang operasi militer angkatan bersenjata Rusia di Ukraina dengan hukuman hingga 15 tahun penjara.

Namun, Google telah mengambil tindakan untuk menghentikan misinformasi, menghapus kampanye disinformasi terkait invasi Rusia, dan memblokir saluran YouTube milik Russia Today (RT) dan Sputnik di seluruh Eropa atas permintaan otoritas Uni Eropa.

Roskomnadzor memprotes keputusan YouTube, menuntut penghapusan segera semua pembatasan akses ke akun resmi media Rusia (termasuk RT dan Sputnik) di Eropa.

Sebelumnya, Google juga mendemonstrasikan media yang didanai pemerintah Rusia di semua platformnya, sebuah tindakan yang juga memblokir mereka dari menjalankan kampanye iklan.

YouTube juga telah menghapus ratusan saluran dengan ribuan video yang melanggar Pedoman Komunitasnya, termasuk saluran yang terlibat dalam praktik penipuan terkoordinasi.

“Ketika orang-orang di seluruh dunia menelusuri topik yang terkait dengan perang di Ukraina di Penelusuran atau YouTube, sistem kami secara mencolok menampilkan informasi, video, dan konteks penting lainnya dari sumber berita resmi,” kata Google.

Untuk saat ini, Google mengatakan bahwa sebagian besar layanannya, termasuk Penelusuran, YouTube, dan Maps, masih tersedia di Rusia untuk memberi orang Rusia akses ke informasi dan perspektif global.

Sumber : Bleeping Computer

Pelanggaran data NVIDIA mengekspos kredensial lebih dari 71.000 karyawan

by

Lebih dari 71.000 kredensial karyawan dicuri dan bocor secara online menyusul pelanggaran data yang diderita oleh raksasa pembuat chip AS Nvidia bulan lalu.

Layanan pemberitahuan pelanggaran data Have I Been Pwned telah menambahkan data milik 71.335 akun yang disusupi ke databasenya pada hari Rabu.

Have I Been Pwned mengatakan data yang dicuri berisi “alamat email dan hash kata sandi NTLM, banyak di antaranya kemudian diretas dan diedarkan dalam komunitas peretasan.”

Nvidia mengkonfirmasi pada 1 Maret bahwa jaringannya dibobol bulan lalu, dengan penyerang mendapatkan akses ke data login karyawan dan informasi kepemilikan.

Nvidia mengatakan sedang menyelidiki “insiden” yang dilaporkan berdampak pada beberapa sistemnya, menyebabkan pemadaman dua hari setelah berita tentang insiden itu pertama kali terungkap hampir seminggu yang lalu.

Pada hari yang sama, kelompok pemerasan data yang dijuluki Lapsus$ mengklaim serangan tersebut dan memberikan rincian mengenai insiden tersebut, termasuk bahwa mereka mencuri 1TB data dari jaringan Nvidia.

Selama akhir pekan, Lapsus$ membagikan lebih banyak detail tentang intrusi dan kebocoran arsip 20GB yang berisi data yang dicuri dari sistem Nvidia, serta hash kata sandi karyawan perusahaan,

Grup tersebut mengancam akan membocorkan info spesifikasi perangkat keras kecuali batasan lite hash rate (LHR) dari firmware GeForce RTX 30 Series tidak dihapus.

Lapsus$ juga meminta Nvidia untuk berkomitmen membuka sumber driver GPU mereka untuk perangkat Windows, macOS, dan Linux hingga Jumat, 4 Maret, untuk menghindari pencurian informasi di semua GPU terbaru, termasuk RTX 3090Ti, bocor secara online.

Lapsus$ mengklaim serangan terhadap Nvidia (BleepingComputer)

Setelah menolak untuk mengkonfirmasi klaim pemeras, Nvidia mengatakan bahwa mereka mendeteksi “insiden keamanan siber yang berdampak pada sumber daya TI” pada 23 Februari.

Perusahaan menambahkan bahwa mereka tidak menemukan bukti serangan ransomware, meskipun pelaku ancaman masih berhasil mencuri kredensial karyawan dan data kepemilikan, membenarkan klaim Lapsus$.

“Kami tidak mengantisipasi gangguan apa pun pada bisnis kami atau kemampuan kami untuk melayani pelanggan kami sebagai akibat dari insiden tersebut.”

Sumber : Bleeping Computer

Eksploitasi Log4shell sekarang sebagian besar digunakan untuk botnet DDoS, cryptominers

by

Kerentanan Log4Shell dalam perangkat lunak Log4j yang banyak digunakan masih dimanfaatkan oleh aktor ancaman saat ini untuk menyebarkan berbagai muatan malware, termasuk merekrut perangkat sebagai botnet DDoS dan untuk menanam cryptominers.

Menurut sebuah laporan oleh Barracuda, beberapa bulan terakhir ditandai dengan penurunan dan lonjakan penargetan Log4Shell, tetapi volume upaya eksploitasi tetap relatif konstan.

Setelah menganalisis serangan ini, Barracuda menetapkan bahwa sebagian besar upaya eksploitasi berasal dari alamat IP yang berbasis di AS, diikuti oleh Jepang, Eropa tengah, dan Rusia.

Peneliti Barracuda telah melihat berbagai muatan yang menargetkan penyebaran Log4j yang rentan, tetapi turunan botnet Mirai tampaknya mengambil bagian terbesar saat ini.

Pada Desember 2021, para peneliti menemukan Log4j versi 2.14.1 dan semua versi sebelumnya rentan terhadap CVE-2021-44228, dijuluki “Log4Shell,” kesalahan eksekusi kode jarak jauh nol hari yang kritis.

Apache, pengembang Log4j, mencoba menyelesaikan masalah dengan merilis versi 2.15.0. Namun, penemuan kerentanan dan celah keamanan berikutnya memperpanjang perlombaan penambalan hingga akhir tahun, ketika versi 2.17.1 akhirnya mengatasi semua masalah.

Namun, menurut Barracuda, banyak sistem terus menjalankan versi lama Log4j dan dengan demikian rentan terhadap eksploitasi.

Cara paling sederhana untuk melindungi dari jenis serangan ini adalah dengan memperbarui Log4j ke versi 2.17.1 atau yang lebih baru dan selalu memperbarui semua aplikasi web Anda secara umum.

Selengkapnya: Bleeping Computer