Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat

Threat

FBI membagikan detail teknis untuk ransomware Hive

by

Biro Investigasi Federal (FBI) telah merilis beberapa detail teknis dan indikator kompromi yang terkait dengan serangan ransomware Hive.

Dalam kejadian yang jarang terjadi, FBI telah menyertakan tautan ke situs kebocoran tempat geng ransomware menerbitkan data yang dicuri dari perusahaan yang tidak membayar.

Hive ransomware bergantung pada beragam taktik, teknik, dan prosedur, yang mempersulit organisasi untuk mempertahankan diri dari serangannya, kata FBI.

Di antara metode yang digunakan geng untuk mendapatkan akses awal dan bergerak secara lateral di jaringan, ada email phishing dengan lampiran berbahaya dan Remote Desktop Protocol (RDP).

Sebelum menerapkan rutinitas enkripsi, ransomware Hive mencuri file yang mereka anggap berharga, untuk menekan korban agar membayar uang tebusan di bawah ancaman kebocoran data.

FBI mengatakan bahwa aktor ancaman mencari proses untuk pencadangan, penyalinan file, dan solusi keamanan (seperti Windows Defender) yang akan menghalangi tugas enkripsi data dan menghentikannya.

Tahap ini diikuti dengan menjatuhkan skrip hive.bat yang melakukan pembersihan rutin dengan menghapus dirinya sendiri setelah menghapus malware Hive yang dapat dieksekusi.

Skrip lain yang disebut shadow.bat bertugas menghapus salinan bayangan, file cadangan, dan snapshot sistem dan kemudian menghapus dirinya sendiri dari host yang disusupi.

FBI mengatakan bahwa beberapa korban ransomware Hive melaporkan telah dihubungi oleh penyerang yang meminta mereka untuk membayar uang tebusan sebagai ganti file yang dicuri.

Selengkapnya: Bleeping Computer

Bug Razer memungkinkan Anda menjadi admin Windows 10 dengan mencolokkan mouse

by

Kerentanan zero-day Razer Synapse telah diungkapkan di Twitter, memungkinkan Anda untuk mendapatkan hak istimewa admin Windows hanya dengan mencolokkan mouse atau keyboard Razer.

Razer adalah produsen periferal komputer yang sangat populer yang dikenal dengan mouse dan keyboard gamingnya.

Saat mencolokkan perangkat Razer ke Windows 10 atau Windows 11, sistem operasi akan secara otomatis mengunduh dan mulai menginstal perangkat lunak Razer Synapse di komputer. Razer Synapse adalah perangkat lunak yang memungkinkan pengguna untuk mengkonfigurasi perangkat keras mereka, mengatur makro, atau tombol peta.

Razer mengklaim bahwa perangkat lunak Razer Synapse mereka digunakan oleh lebih dari 100 juta pengguna di seluruh dunia.

Peneliti keamanan jonhat menemukan kerentanan zero-day di instalasi Razer Synapse plug-and-play yang memungkinkan pengguna untuk mendapatkan hak istimewa SISTEM pada perangkat Windows dengan cepat.

Setelah tidak menerima tanggapan dari Razer, jonhat mengungkapkan kerentanan zero-day di Twitter dan menjelaskan cara kerja bug dengan video pendek.

Seperti yang dijelaskan oleh Will Dormann, Analis Kerentanan di CERT/CC, bug serupa kemungkinan besar ditemukan di perangkat lunak lain yang diinstal oleh proses plug-and-play Windows.

Setelah kerentanan zero-day ini mendapat perhatian luas di Twitter, Razer telah menghubungi peneliti keamanan untuk memberi tahu mereka bahwa mereka akan mengeluarkan perbaikan.

Selengkapnya: Bleeping Computer

Peringatan keamanan siber: Kelemahan Realtek membuat lusinan merek terkena serangan rantai pasokan

by

Sebuah cacat baru-baru ini diungkapkan dalam chipset dari perusahaan semikonduktor Taiwan Realtek sedang ditargetkan oleh botnet berdasarkan malware IoT lama, Mirai.

Perusahaan keamanan Jerman IoT Inspector melaporkan bahwa bug Realtek, dilacak sebagai CVE-2021-35395, memengaruhi lebih dari 200 produk Wi-Fi dan router dari 65 vendor, termasuk Asus, Belkin, China Mobile, Compal, D-Link, LG, Logitec, Netgear, ZTE, dan Zyxel.

Cacat ini terletak di perangkat pengembang perangkat lunak Realtek (SDK) dan saat ini sedang diserang dari kelompok yang menggunakan varian malware IoT, Mirai, yang dirancang untuk berfungsi pada perangkat dengan budget prosesor dan sedikit memori.

Jika serangan berhasil, penyerang akan mendapatkan kontrol penuh atas modul Wi-Fi dan akses root ke sistem operasi perangkat.

Serangan tersebut menyoroti kerentanan dalam rantai pasokan perangkat lunak yang diharapkan oleh Presiden AS Joe Biden dapat ditambal dengan miliaran dolar yang dijanjikan minggu ini oleh Microsoft dan Google.

Sementara Mirai menimbulkan beberapa ancaman terhadap informasi yang disimpan di perangkat seperti router, kerusakan yang lebih besar disebabkan oleh serangan penolakan layanan terdistribusi (DDoS) bertenaga tinggi di situs web yang menggunakan perangkat yang disusupi.

Realtek telah merilis tambalan, tetapi merek perangkat (OEM) perlu mendistribusikannya ke pengguna akhir pada perangkat yang, sebagian besar, tidak memiliki antarmuka pengguna, dan oleh karena itu tidak dapat digunakan untuk mengomunikasikan bahwa tambalan tersedia. Vendor perlu menganalisis firmware mereka untuk memeriksa keberadaan kerentanan.

Selengkapnya: ZDNet

Hampir 73.500 data pasien terkena serangan ransomware di klinik mata di Singapura

by

Serangan ransomware awal bulan ini telah memengaruhi data pribadi dan informasi klinis hampir 73.500 pasien di klinik mata swasta, insiden ketiga yang dilaporkan dalam sebulan.

Informasi tersebut meliputi nama, alamat, nomor kartu identitas, detail kontak dan informasi klinis seperti catatan klinis pasien dan pemindaian mata, kata Eye & Retina Surgeons (ERS) pada Rabu (25 Agustus).

Tetapi klinik mengatakan belum membayar uang tebusan, menambahkan bahwa tidak ada informasi kartu kredit atau rekening bank yang diakses atau dikompromikan.

Kementerian Kesehatan (MOH) mengatakan bahwa sistem TI klinik yang disusupi tidak terhubung ke sistem TI kementerian, seperti Catatan Kesehatan Elektronik Nasional, dan tidak ada serangan siber serupa pada sistem TI Kementerian Kesehatan.

Kementerian menambahkan bahwa mereka telah meminta ERS untuk menyelidiki insiden itu, melakukan tinjauan menyeluruh terhadap sistemnya dan bekerja dengan Badan Keamanan Siber (CSA) untuk “mengambil tindakan mitigasi segera untuk memperkuat pertahanan sibernya”.

Klinik tersebut mengatakan dalam sebuah pernyataan bahwa ia menggunakan “penyedia layanan TI eksternal yang bereputasi dan mapan untuk memberi saran dan memelihara sistem TI-nya, dan berlangganan anti-virus yang sesuai dan perangkat lunak pelindung lainnya, yang diperbarui secara berkala”.

Server dan beberapa terminal komputer di klinik cabang Camden terpengaruh, tetapi sistem TI di cabang Novena tidak.

Meskipun tidak ada data yang bocor ke publik untuk saat ini, klinik tersebut mengatakan akan memantau situasi dengan cermat.

Selengkapnya: The Straits Times

Mod WhatsApp berbahaya menginfeksi perangkat Android dengan malware

by

Versi jahat dari mod FMWhatsappWhatsApp memberikan muatan Triadatrojan, kejutan buruk yang menginfeksi perangkat mereka dengan malware tambahan, termasuk trojan xHelper yang sangat sulit dihapus.

FMWhatsApp berjanji untuk meningkatkan pengalaman pengguna WhatsApp dengan fitur tambahan seperti privasi yang lebih baik, tema obrolan khusus, akses ke paket emoji jejaring sosial lain, dan penguncian aplikasi menggunakan PIN, kata sandi, atau touch ID.

Namun, seperti yang ditemukan oleh peneliti Kaspersky, versi FMWhatsapp 16.80.0 juga akan menginstall trojan Triada di perangkat pengguna dengan bantuan SDK iklan.

“Aplikasi ini tersedia di beberapa situs distribusi mod WhatsApp populer. Kami tidak dapat membagikan tautan ke sana,” kata pakar keamanan Kaspersky Igor Golovin kepada BleepingComputer.

“Untuk [kloning FMWhatsApp] di Google Play – aplikasi ini biasanya hanya berisi berbagai iklan dan menginstruksikan pengguna tentang cara mengunduh dan menginstal mod, sementara sebenarnya tidak mengandung mod jahat itu sendiri.”

Setelah diinstal, Triada mulai mengumpulkan informasi perangkat dan mengirimkannya ke server perintah-dan-kontrolnya, yang membalas dengan tautan ke muatan tambahan yang akan diunduh dan diluncurkan trojan pada perangkat Android yang disusupi.

Malware yang dijatuhkan oleh Triada di perangkat Android pengguna FMWhatsApp dapat dengan mudah mendaftarkan mereka ke langganan premium mengingat aplikasi tersebut meminta akses ke pesan teks korban saat diinstal.

Di antara malware yang dikirimkan oleh Triada, xHelper sangat menonjol melalui kemampuannya yang luar biasa untuk menginfeksi ulang perangkat Android beberapa jam setelah dihapus atau setelah perangkat yang terinfeksi direset ke pengaturan pabrik.

Selengkapnya: Bleeping Computer

Microsoft: Bug ProxyShell “mungkin dieksploitasi”, tambal server Anda sekarang!

by

Microsoft akhirnya menerbitkan panduan hari ini untuk kerentanan ProxyShell yang dieksploitasi secara aktif yang berdampak pada beberapa versi Microsoft Exchange lokal.

ProxyShell adalah kumpulan dari tiga kelemahan keamanan (ditambal pada bulan April dan Mei) yang ditemukan oleh peneliti keamanan Devcore Orange Tsai, yang mengeksploitasinya untuk menyusup ke server Microsoft Exchange selama kontes peretasan Pwn2Own 2021:

  • CVE-2021-34473 – Pre-auth path confusion leads to ACL Bypass (Patched in April by KB5001779)
  • CVE-2021-34523 – Elevation of privilege on Exchange PowerShell backend (Patched in April by KB5001779)
  • CVE-2021-31207 – Post-auth Arbitrary-File-Write leads to RCE (Patched in May by KB5003435)

Meskipun Microsoft sepenuhnya menambal bug ProxyShell pada Mei 2021, mereka tidak menetapkan ID CVE untuk kerentanan hingga Juli, mencegah beberapa organisasi dengan server yang belum ditambal mengetahui bahwa mereka memiliki sistem yang rentan di jaringan mereka.

Microsoft mengatakan bahwa pelanggan harus menginstal SETIDAKNYA SATU dari pembaruan kumulatif terbaru yang didukung dan SEMUA pembaruan keamanan yang berlaku untuk memblokir serangan ProxyShell.

Per Microsoft, server Exchange rentan jika salah satu dari kondisi berikut ini benar:

  • Server menjalankan CU yang lebih lama dan tidak didukung;
  • Server menjalankan pembaruan keamanan untuk versi Exchange yang lebih lama dan tidak didukung yang dirilis pada Maret 2021; atau
  • Server menjalankan CU yang lebih lama dan tidak didukung, dengan penerapan mitigasi EOMT Maret 2021.

Selengkapnya: Bleeping Computer

Serangan zero-click NSO baru menghindari perlindungan keamanan iPhone Apple, kata Citizen Lab

by

IPhone seorang aktivis hak asasi manusia Bahrain diretas secara diam-diam awal tahun ini oleh spyware kuat yang dijual ke negara-bangsa, mengalahkan perlindungan keamanan baru yang dirancang Apple untuk menahan kompromi rahasia, kata para peneliti di Citizen Lab.

Aktivis, yang tetap berada di Bahrain dan meminta untuk tidak disebutkan namanya, adalah anggota Pusat Hak Asasi Manusia Bahrain, sebuah organisasi nirlaba pemenang penghargaan yang mempromosikan hak asasi manusia di negara Teluk. Kelompok itu terus beroperasi meskipun ada larangan yang diberlakukan oleh kerajaan pada tahun 2004 menyusul penangkapan direkturnya karena mengkritik perdana menteri negara itu.

Citizen Lab, pengawas internet yang berbasis di University of Toronto, menganalisis iPhone 12 Pro aktivis dan menemukan bukti bahwa itu diretas mulai Februari menggunakan apa yang disebut serangan “zero-click”, karena tidak memerlukan interaksi pengguna untuk menginfeksi perangkat korban.

Serangan zero-click memanfaatkan kerentanan keamanan yang sebelumnya tidak diketahui di iMessage Apple, yang dieksploitasi untuk mendorong spyware Pegasus, yang dikembangkan oleh perusahaan Israel NSO Group, ke telepon aktivis.

Peretasan itu signifikan, paling tidak karena peneliti Citizen Lab mengatakan menemukan bukti bahwa serangan zero-click berhasil mengeksploitasi perangkat lunak iPhone terbaru pada saat itu, baik iOS 14.4 dan iOS 14.6 yang lebih baru, yang dirilis Apple pada bulan Mei.

Tetapi peretasan juga menghindari fitur keamanan perangkat lunak baru yang ada di semua versi iOS 14, dijuluki BlastDoor, yang seharusnya mencegah peretasan perangkat semacam ini dengan memfilter data berbahaya yang dikirim melalui iMessage.

Karena kemampuannya untuk menghindari BlastDoor, para peneliti menyebut eksploitasi terbaru ini ForcedEntry.

Bill Marczak dari Citizen Lab mengatakan kepada TechCrunch bahwa para peneliti membuat Apple mengetahui upaya untuk menargetkan dan mengeksploitasi iPhone terbaru. Ketika dihubungi oleh TechCrunch, Apple tidak secara eksplisit mengatakan jika telah menemukan dan memperbaiki kerentanan yang dieksploitasi NSO.

Selengkapnya: Tech Crunch

FBI mengirimkan peringatan pertamanya tentang ‘afiliasi ransomware’

by

Biro Investigasi Federal AS hari ini telah menerbitkan nasihat publik pertamanya yang merinci modus operandi “afiliasi ransomware.”

Istilah yang relatif baru, afiliasi ransomware mengacu pada orang atau kelompok yang menyewa akses ke platform Ransomware-as-a-Service (RaaS), mengatur intrusi ke dalam jaringan perusahaan, mengenkripsi file dengan “ransomware sewaan”, dan kemudian mendapatkan komisi dari pemerasan yang berhasil.

Dengan nama OnePercent Group, FBI mengatakan hari ini aktor ancaman ini telah aktif setidaknya sejak November 2020.

Menurut laporan FBI, secara historis, kelompok tersebut terutama mengandalkan taktik berikut untuk serangannya:

  • Menggunakan kampanye email phishing untuk menginfeksi korban dengan trojan IcedID.
  • Menggunakan trojan IcedID untuk menyebarkan muatan tambahan pada jaringan yang terinfeksi.
  • Menggunakan penetration testing framework Cobalt Strike untuk bergerak secara lateral melintasi jaringan korban.
  • Menggunakan RClone untuk mengekstrak data sensitif dari server korban.
  • Data terenkripsi dan meminta tebusan.
  • Menelepon atau mengirim email kepada korban untuk mengancam akan menjual data curian mereka di web gelap jika mereka tidak membayar tepat waktu.

Meskipun FBI tidak secara spesifik menyebut grup tersebut sebagai afiliasi ransomware, sumber di industri keamanan siber mengatakan kepada The Record bahwa OnePercent telah lama berkolaborasi dengan pencipta dan operator ransomware REvil (Sodinokibi) dan juga bekerja dengan operasi Maze dan Egregor.

Selengkapnya: The Record