Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat

Threat

AS mengatakan peretas negara Rusia mengintai di jaringan kontraktor pertahanan selama berbulan-bulan

by

Peretas yang didukung oleh pemerintah Rusia telah menembus jaringan beberapa kontraktor pertahanan AS dalam kampanye berkelanjutan yang telah mengungkapkan informasi sensitif tentang infrastruktur komunikasi pengembangan senjata AS, kata pemerintah federal pada hari Rabu.

Kampanye dimulai pada Januari 2020 dan berlanjut hingga bulan ini, menurut penasihat bersama oleh FBI, Badan Keamanan Nasional, dan Badan Keamanan Cybersecurity dan Infrastruktur. Para peretas telah menargetkan dan berhasil meretas kontraktor pertahanan yang dibersihkan, atau CDC, yang mendukung kontrak untuk Departemen Pertahanan AS dan komunitas intelijen.

“Selama periode dua tahun ini, para aktor ini telah mempertahankan akses terus-menerus ke beberapa jaringan CDC, dalam beberapa kasus setidaknya selama enam bulan,” tulis para pejabat dalam nasihat tersebut. “Dalam kasus ketika para aktor telah berhasil memperoleh akses, FBI, NSA, dan CISA telah mencatat pemusnahan email dan data secara teratur dan berulang. Misalnya, pada saat kompromi pada tahun 2021, pelaku ancaman melakukan eksfiltrasi ratusan dokumen terkait produk perusahaan, hubungan dengan negara lain, serta personel internal dan masalah hukum.”

Dokumen-dokumen yang diekstraksi telah memasukkan informasi eksklusif CDC dan dikendalikan ekspor yang tidak terklasifikasi. Informasi ini memberikan pemerintah Rusia “wawasan yang signifikan” ke dalam pengembangan platform senjata AS dan jadwal waktu penyebaran, rencana infrastruktur komunikasi, dan teknologi khusus yang digunakan oleh pemerintah dan militer AS. Dokumen tersebut juga mencakup email yang tidak diklasifikasikan di antara karyawan dan pelanggan pemerintah mereka yang membahas perincian kepemilikan tentang penelitian teknologi dan ilmiah.

Para peretas telah menggunakan berbagai metode untuk menembus target mereka. Metodenya termasuk memanen kata sandi jaringan melalui spear-phishing, pelanggaran data, teknik cracking, dan eksploitasi kerentanan perangkat lunak yang belum ditambal.

Setelah mendapatkan pijakan di jaringan yang ditargetkan, pelaku ancaman meningkatkan hak sistem mereka dengan memetakan Direktori Aktif dan menghubungkan ke pengontrol domain. Dari sana, mereka dapat mengekstrak kredensial untuk semua akun lain dan membuat akun baru.

Peretas menggunakan server pribadi virtual untuk mengenkripsi komunikasi mereka dan menyembunyikan identitas mereka, tambah penasihat itu. Mereka juga menggunakan perangkat “kantor kecil dan kantor rumah (SOHO), sebagai simpul operasional untuk menghindari deteksi.” Pada tahun 2018, Rusia ketahuan menginfeksi lebih dari 500.000 router konsumen sehingga perangkat tersebut dapat digunakan untuk menginfeksi jaringan tempat mereka terhubung, mengekstrak kata sandi, dan memanipulasi lalu lintas yang melewati perangkat yang disusupi.

“Dalam beberapa kasus, pelaku ancaman mempertahankan akses terus-menerus selama setidaknya enam bulan,” kata penasihat bersama. “Meskipun para pelaku telah menggunakan berbagai malware untuk mempertahankan persistensi, FBI, NSA, dan CISA juga telah mengamati intrusi yang tidak bergantung pada malware atau mekanisme persistensi lainnya. Dalam kasus ini, kemungkinan pelaku ancaman mengandalkan kepemilikan kredensial yang sah untuk bertahan, memungkinkan mereka untuk beralih ke akun lain, sesuai kebutuhan, untuk mempertahankan akses ke lingkungan yang disusupi.”

Penasihat berisi daftar indikator teknis yang dapat digunakan admin untuk menentukan apakah jaringan mereka telah disusupi dalam kampanye. Selanjutnya mendesak semua CDC untuk menyelidiki aktivitas mencurigakan di lingkungan perusahaan dan cloud mereka.

Sumber : Arstechnica

Peretas China terkait dengan serangan berbulan-bulan di sektor keuangan Taiwan

by

Sebuah kelompok peretas yang berafiliasi dengan pemerintah China diyakini telah melakukan serangan selama berbulan-bulan terhadap sektor keuangan Taiwan dengan memanfaatkan kerentanan dalam solusi perangkat lunak keamanan yang digunakan oleh sekitar 80% dari semua organisasi keuangan lokal.

Serangan itu diyakini telah dimulai pada akhir November 2021 dan masih berlangsung bulan ini, Perusahaan menghubungkan penyusupan—yang dilacak dengan nama sandi Operation Cache Panda—dengan kelompok spionase siber China yang terkenal di industri keamanan siber sebagai APT10.

Perusahaan keamanan mengatakan bahwa mereka tidak dapat membagikan nama produk yang dieksploitasi dalam serangan saat ini karena penyelidikan penegakan hukum yang sedang berlangsung dan karena upaya untuk merilis dan memasang patch di seluruh keuangan lokal.

Sebaliknya, perusahaan mengatakan bahwa serangan awalnya tidak terdeteksi karena salah klasifikasi.

Investigasi terhadap serangan November 2021 melewatkan bagian di mana peretas mengeksploitasi kerentanan perangkat lunak dan hanya melihat serangan isian kredensial yang digunakan APT10 sebagai kedok dan cara untuk mendapatkan akses ke beberapa akun perdagangan, yang mereka gunakan untuk melakukan transaksi besar di Hong Kong. pasar saham.

Namun peneliti CyCraft mengatakan bahwa serangan credential stuffing hanya digunakan sebagai kedok. Pada kenyataannya, APT10 mengeksploitasi kerentanan di antarmuka web dari alat keamanan, menanam versi shell web ASPXCSharp, dan kemudian menggunakan alat yang disebut Impacket untuk memindai jaringan internal perusahaan target.

Penyerang kemudian menggunakan teknik yang disebut pemuatan kode reflektif untuk menjalankan kode berbahaya pada sistem lokal dan menginstal versi Quasar RAT yang memungkinkan penyerang terus-menerus mengakses sistem yang terinfeksi menggunakan terowongan RDP terbalik.

CyCraft mengatakan dapat mengungkap kebenaran di balik serangan November 2021 setelah salah satu pelanggannya diserang pada Februari 2022.

“Tujuan dari serangan itu tampaknya bukan untuk keuntungan finansial, melainkan pemusnahan informasi perantara, data PII, dan gangguan investasi selama periode pertumbuhan ekonomi untuk Taiwan,” tambahnya.

Serangan itu tidak mengejutkan, karena kelompok spionase siber China telah mengincar Taiwan selama bertahun-tahun, setelah berulang kali dan tanpa henti menyerang hampir semua sektor pemerintah lokal dan ekonominya.

Sumber : The Record Media

Pengguna OpenSea kehilangan NFT senilai $2 juta dalam serangan phishing

by

Pasar non-fungible token (NFT) OpenSea sedang menyelidiki serangan phishing yang menyebabkan 17 penggunanya tidak memiliki lebih dari 250 NFT senilai sekitar $2 juta.

NFT mewakili data yang disimpan di blockchain, Ethereum dalam hal ini, yang menyatakan kepemilikan file digital, biasanya file media karya seni.

Para peneliti di Check Point mengatakan bahwa pelaku phishing mengetahui tentang OpenSea yang meningkatkan sistem kontrak pintarnya untuk membersihkan daftar lama dan tidak aktif di platform dan bersiap untuk migrasi dengan email dan situs web mereka sendiri.

OpenSea memberi tahu penggunanya bahwa mereka harus memperbarui daftar mereka antara 18 – 25 Februari jika mereka ingin terus menggunakan platform.

Untuk membantu mereka dalam prosesnya, platform mengirim email kepada semua pengguna dengan instruksi tentang cara mengonfirmasi migrasi daftar.

Pelaku phishing mengambil keuntungan dari proses ini dan menggunakan alamat email mereka sendiri untuk mengirim pesan dari OpenSea ke pengguna yang divalidasi, menipu mereka dengan berpikir bahwa konfirmasi asli mereka tidak berhasil.

Email phishing yang dikirim oleh pelaku ancaman terlihat identik dengan yang asli (Check Point)

Tautan yang disematkan ke dalam email palsu itu mengarah ke situs web phishing tempat para korban diminta untuk menandatangani transaksi, yang diduga terkait dengan migrasi.

Permintaan transaksi asli dan berbahaya berdampingan (Check Point)

Seperti yang dijelaskan oleh Check Point, aktor tersebut bahkan melakukan uji coba pada 21 Januari 2022, untuk memverifikasi bahwa serangan itu akan berhasil sebagaimana dimaksud.

OpenSea dengan cepat menunjukkan bahwa serangan itu tidak mengeksploitasi kerentanan apa pun pada platform atau sistem perdagangannya, melainkan hanya mengandalkan menipu pengguna melalui phishing.

Dengan demikian, platform telah menyarankan pengguna untuk tetap waspada dan menghindari mengikuti tautan apa pun yang bukan milik domain opensea.io.

Selain itu, email phishing dikonfirmasi berasal dari luar platform, yang mengonfirmasi bahwa sistem distribusi email platform tidak disusupi.

Menandatangani transaksi tanpa memperhatikan memberikan izin kepada orang lain untuk mentransfer kepemilikan aset digital Anda. Permintaan dari platform pertukaran dikecualikan, semua permintaan transaksi lainnya harus ditolak.

Sumber : Bleeping Computer

Malware Android Xenomorph baru menargetkan pelanggan dari 56 bank

by

Malware baru bernama Xenomorph yang didistribusikan melalui Google Play Store telah menginfeksi lebih dari 50.000 perangkat Android untuk mencuri informasi perbankan.

Xenomorph menyasar pengguna puluhan lembaga keuangan di Spanyol, Portugal, Italia, dan Belgia. ThreatFabric menganalisis Xenomorph menemukan kode yang mirip dengan trojan perbankan Alien

Kesamaan kode antara Xenomorph dan Alien (ThreatFabric)

Trojan perbankan seperti Xenomorph bertujuan untuk mencuri informasi keuangan yang sensitif, mengambil alih akun, melakukan transaksi yang tidak sah, dan operator kemudian menjual data yang dicuri kepada pembeli yang tertarik.

Malware Xenomorph memasuki Google Play Store melalui aplikasi peningkatan kinerja umum seperti “Pembersih Cepat”, yang menghitung 50.000 instalasi.

Untuk menghindari penolakan selama peninjauan aplikasi dari Play Store, Fast Cleaner mengambil muatan setelah penginstalan, sehingga aplikasi bersih pada waktu pengiriman.

Pembersih Cepat di Play Store (ThreatFabric)

Fungsionalitas Xenomorph tidak sepenuhnya berkembang pada saat ini, karena trojan sedang dalam pengembangan yang berat. Namun, itu masih merupakan ancaman yang signifikan karena dapat memenuhi tujuan mencuri informasi dan menargetkan tidak kurang dari 56 bank Eropa yang berbeda.

Misalnya, malware dapat mencegat notifikasi, mencatat SMS, dan menggunakan suntikan untuk melakukan serangan overlay, sehingga malware tersebut sudah dapat mengambil kredensial dan kata sandi satu kali yang digunakan untuk melindungi rekening perbankan.

Setelah penginstalannya, tindakan pertama yang diambil oleh aplikasi adalah mengirim kembali daftar paket yang diinstal pada perangkat yang terinfeksi untuk memuat overlay yang sesuai.

Untuk mencapai hal di atas, malware meminta pemberian izin Layanan Aksesibilitas saat penginstalan, dan kemudian menyalahgunakan hak istimewa untuk memberikan izin tambahan sesuai kebutuhan.

Aplikasi Trojan yang meminta izin Aksesibilitas (ThreatFabric)

Contoh perintah yang ada dalam kode tetapi belum diimplementasikan mengacu pada fungsi keylogging dan pengumpulan data perilaku.

Mesin Aksesibilitasnya sangat detail, dan dirancang dengan pendekatan modular. Ini berisi modul untuk setiap tindakan spesifik yang diperlukan oleh bot, dan dapat dengan mudah diperluas untuk mendukung lebih banyak fungsi. Tidak mengherankan melihat kemampuan bot sport semi-ATS ini dalam waktu dekat.

ThreatFabric menilai bahwa Xenomorph bukanlah ancaman yang kuat saat ini karena statusnya “dalam pengembangan”. Namun, pada waktunya, ia dapat mencapai potensi penuhnya, “sebanding dengan trojan Perbankan Android modern lainnya.”

Sumber :

Malware CryptBot yang diubah yang disebarkan oleh situs perangkat lunak bajakan

by

Versi baru dari pencuri info CryptBot terlihat didistribusikan melalui beberapa situs web yang menawarkan unduhan gratis untuk game dan perangkat lunak kelas pro.

CryptBot adalah malware Windows yang mencuri informasi dari perangkat yang terinfeksi, termasuk kredensial browser yang disimpan, cookie, riwayat browser, dompet cryptocurrency, kartu kredit, dan file.

Analis keamanan di Ahn Lab melaporkan pelaku ancaman CryptBot mendistribusikan malware melalui situs web yang berpura-pura menawarkan celah perangkat lunak, generator kunci, atau utilitas lainnya.

Untuk mendapatkan visibilitas yang luas, para pelaku ancaman memanfaatkan optimisasi mesin pencari untuk menentukan peringkat situs distribusi malware di bagian atas hasil pencarian Google, memberikan aliran calon korban yang stabil.

Menurut tangkapan layar yang dibagikan dari situs distribusi malware, pelaku ancaman menggunakan domain khusus atau situs web yang dihosting di Amazon AWS.

Beberapa situs web yang baru-baru ini digunakan untuk distribusi CryptoBot
Sumber: Ahn Lab

Pengunjung situs ini dibawa melalui serangkaian pengalihan sebelum mereka berakhir di halaman pengiriman, sehingga halaman arahan bisa berada di situs sah yang disusupi yang disalahgunakan untuk serangan keracunan SEO.

Sampel baru CryptBot menunjukkan bahwa pembuatnya ingin menyederhanakan fungsinya dan membuat malware lebih ringan, lebih ramping, dan kecil kemungkinannya untuk dideteksi.

Dalam konteks ini, rutinitas anti-kotak pasir telah dihapus, hanya menyisakan pemeriksaan jumlah inti CPU anti-VM di versi terbaru.

Juga, koneksi C2 kedua yang berlebihan dan folder eksfiltrasi kedua keduanya dihapus, dan varian baru hanya menampilkan C2 pencuri info tunggal.

Fitur lain yang telah dihapus oleh penulis CryptBot adalah fungsi tangkapan layar dan opsi untuk mengumpulkan data pada file TXT di desktop, yang terlalu berisiko dan mungkin mudah dideteksi selama eksfiltrasi.

Di sisi lain, versi terbaru CryptBot membawa beberapa tambahan dan peningkatan yang ditargetkan yang membuatnya jauh lebih kuat.

Pada versi sebelumnya, malware hanya dapat berhasil mengekstrak data saat diterapkan pada Chrome versi antara 81 dan 95.

Keterbatasan ini muncul dari penerapan sistem yang mencari data pengguna di jalur file tetap, dan jika jalurnya berbeda, malware mengembalikan kesalahan.

Perbandingan sistem penemuan pathname (kanan baru) – ASEC

Sekarang, ia mencari di semua jalur file, dan jika data pengguna ditemukan di mana saja, ia akan mengekstraknya terlepas dari versi Chrome.

Mempertimbangkan bahwa Google meluncurkan chrome 96 pada November 2021, CryptBot tetap tidak efektif terhadap sebagian besar targetnya selama kira-kira tiga bulan, jadi memperbaiki masalah ini sudah terlambat bagi operatornya.

Sumber : Bleeping Computer

Tim Microsoft Diincar Oleh Trojan yang Mengambil Alih Perangkat

by

Pelaku ancaman menargetkan pengguna Microsoft Teams dengan menanam dokumen berbahaya di utas obrolan yang mengeksekusi Trojan yang pada akhirnya dapat mengambil alih mesin pengguna akhir, menurut temuan para peneliti.

Pada bulan Januari, para peneliti di Avanan, sebuah Perusahaan Check Point, mulai melacak kampanye, yang menjatuhkan file berbahaya yang dapat dieksekusi dalam percakapan Teams yang, ketika diklik, akhirnya mengambil alih komputer pengguna, menurut laporan yang diterbitkan Kamis.

“Menggunakan file yang dapat dieksekusi, atau file yang berisi instruksi untuk dieksekusi sistem, peretas dapat menginstal file DLL dan memungkinkan program untuk mengatur sendiri dan mengambil kendali atas komputer,” tulis peneliti dan analis keamanan siber di Avanan Jeremy Fuchs dalam sebuah laporan. “Dengan melampirkan file ke serangan Teams, peretas telah menemukan cara baru untuk menargetkan jutaan pengguna dengan mudah.”

Penjahat dunia maya telah lama menargetkan suite pembuatan dan berbagi dokumen Microsoft yang ada di mana-mana – Office lawas dan versi berbasis cloud-nya, Office 365 – dengan serangan terhadap aplikasi individual dalam suite seperti PowerPoint serta kompromi email bisnis dan penipuan lainnya.

Sekarang Microsoft Teams – rangkaian komunikasi dan kolaborasi bisnis – muncul sebagai permukaan serangan yang semakin populer bagi penjahat dunia maya, kata Fuchs.

Minat ini dapat dikaitkan dengan lonjakan penggunaannya selama pandemi COVID-19, karena banyak karyawan organisasi yang bekerja dari jarak jauh mengandalkan aplikasi untuk berkolaborasi. Memang, jumlah pengguna aktif harian Teams hampir dua kali lipat selama setahun terakhir, meningkat dari 75 juta pengguna pada April 2020 menjadi 145 juta pada kuartal kedua 2021, menurut Statista.

Selengkapnya: Threat Post

Kerentanan dalam program Linux memungkinkan eskalasi hak istimewa lokal, lapor peneliti

by

Kerentanan yang baru diungkapkan dalam program Linux dapat dieksploitasi untuk peningkatan hak istimewa lokal — dan pada akhirnya untuk memperoleh hak akses root, kata peneliti di vendor keamanan siber Qualys hari ini.

Kerentanan (CVE-2021-44731) — yang memengaruhi sistem Snap Canonical untuk mengemas dan menyebarkan perangkat lunak — tidak dapat dieksploitasi dari jarak jauh. Namun, “jika penyerang dapat masuk sebagai pengguna yang tidak memiliki hak istimewa, kerentanan dapat dengan cepat dieksploitasi untuk mendapatkan hak akses root,” kata para peneliti dalam sebuah posting blog.

Snap digunakan untuk sistem operasi berbasis Linux seperti Ubuntu, dan paketnya disebut sebagai “snaps.” Platform snap “telah dikembangkan untuk membawa instalasi aplikasi yang aman ke Ubuntu dan distribusi Linux lainnya,” kata Canonical dalam sebuah pernyataan yang diberikan kepada VentureBeat pada hari Kamis.

Melalui publikasi Pengembang XDA baru-baru ini, “Aplikasi Snap lebih portabel daripada perangkat lunak Linux tradisional, dan kebanyakan dari mereka dikemas untuk mencegah beberapa masalah keamanan umum.”

Alat untuk menggunakan snap, sementara itu, disebut snapd – dan alat ini bekerja “di berbagai distribusi Linux dan memungkinkan pengembang perangkat lunak hulu untuk mendistribusikan aplikasi mereka langsung ke pengguna,” kata peneliti Qualys dalam posting tersebut.

Selengkapnya: Venture Beat

Pejabat DOJ memperingatkan perusahaan ‘bodoh’ untuk tidak menopang keamanan siber di tengah ketegangan Rusia

by

Seorang pejabat tinggi Departemen Kehakiman mengeluarkan peringatan keras pada hari Kamis kepada perusahaan-perusahaan di AS dan luar negeri, menyerukan mereka untuk segera menopang pertahanan keamanan siber mereka di tengah potensi invasi Rusia ke Ukraina.

“Mengingat ketegangan yang sangat tinggi yang kami alami, perusahaan dari berbagai ukuran dan ukuran akan bodoh jika tidak bersiap sekarang saat kita berbicara — untuk meningkatkan pertahanan mereka, melakukan hal-hal seperti menambal, meningkatkan sistem peringatan mereka, untuk memantau keamanan siber mereka secara real-time,” kata wakil jaksa agung Lisa Monaco dalam sambutannya di Konferensi Keamanan Siber Munich.

“Mereka harus seperti yang kita katakan, ‘melindungi’ dan benar-benar berada pada tingkat kewaspadaan paling tinggi yang mereka bisa dan mengambil semua tindakan pencegahan yang diperlukan.”

Monaco mengatakan ancaman itu sama sekali tidak “hipotetis,” mengutip serangan siber NotPetya yang menghancurkan pada tahun 2017 yang dimulai di Ukraina sebelum menyebar secara global dan menyebabkan kerusakan senilai miliaran dolar.

“Saya pikir penjahat dunia maya perlu tahu bahwa – dan pelaku kejahatan dunia maya perlu tahu – bahwa serangan terhadap infrastruktur penting tidak dapat diterima dan akan ditanggapi,” kata Monaco.

Itu terjadi ketika berbagai lembaga AS memperingatkan awal pekan ini tentang serangan siber yang terjadi pada saat yang sama dengan potensi invasi Rusia ke Ukraina.

Pada panggilan telepon dengan pejabat negara bagian dan lokal pada hari Senin, pejabat tinggi keamanan siber dari Departemen Keamanan Dalam Negeri dan FBI memperingatkan potensi serangan terhadap infrastruktur siber AS bersamaan dengan invasi fisik ke Ukraina, menurut seseorang yang mengetahui panggilan tersebut.

Selengkapnya: ABC News