Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat

Threat

Total $590 juta pembayaran ransomware dilaporkan ke A.S. pada tahun 2021 saat serangan melonjak

by

Data baru yang keluar pada hari Jumat menunjukkan $590 juta dalam pembayaran terkait ransomware dilaporkan ke otoritas AS pada paruh pertama tahun 2021, menetapkan kecepatan untuk mengalahkan total untuk dekade sebelumnya ketika pemerasan dunia maya sedang booming.

Menurut laporan Departemen Keuangan AS, angka tersebut 42 persen lebih tinggi dari jumlah yang dilaporkan oleh lembaga keuangan sepanjang tahun 2020.

“Jika tren saat ini berlanjut, (laporan) yang diajukan pada tahun 2021 diproyeksikan memiliki nilai transaksi terkait ransomware yang lebih tinggi daripada (laporan) yang diajukan dalam gabungan 10 tahun sebelumnya,” kata Departemen Keuangan.

Kejahatan itu melibatkan pembobolan jaringan entitas untuk mengenkripsi datanya, kemudian menuntut tebusan, biasanya dibayar melalui cryptocurrency dengan imbalan kunci digital untuk membukanya.

Washington telah berusaha untuk menindak peningkatan tajam dalam serangan, termasuk mengeluarkan sanksi pertamanya terhadap pertukaran online di mana operator gelap diduga menukar cryptocurrency dengan uang tunai.

Data baru tentang skala pembayaran yang terkait dengan peretasan muncul setelah lebih dari dua lusin negara memutuskan untuk bersama-sama memerangi ransomware selama pertemuan puncak yang dipimpin Washington.

Amerika Serikat mengumpulkan negara-negara – dengan pengecualian Rusia – untuk menyatukan dan meningkatkan upaya memerangi kejahatan dunia maya yang transnasional, meningkat dan berpotensi menghancurkan.

Keamanan digital yang lebih kuat dan pencadangan offline serta secara kolektif menargetkan pencucian hasil serangan diidentifikasi sebagai langkah penting dalam pertarungan.

Selengkapnya: Japan Today

Ransomware REvil tutup lagi setelah situs Tor dibajak

by

Operasi ransomware REvil kemungkinan telah ditutup sekali lagi setelah orang tak dikenal membajak portal pembayaran Tor dan blog kebocoran data mereka.

Situs Tor offline, dengan aktor ancaman yang berafiliasi dengan operasi REvil memposting ke forum peretasan XSS bahwa seseorang membajak domain geng.

Hal ini pertama kali ditemukan oleh Dmitry Smilyanets dari Recorded Future, dan menyatakan bahwa orang yang tidak dikenal membajak layanan tersembunyi Tor (domain onion) dengan kunci pribadi yang sama dengan situs Tor REvil dan kemungkinan memiliki cadangan situs tersebut.

Aktor ancaman mengatakan bahwa mereka tidak menemukan tanda-tanda kompromi ke server mereka tetapi akan mematikan operasi untuk sementara.

Pelaku ancaman kemudian mengatakan kepada afiliasi untuk menghubunginya untuk mendapatkan kunci dekripsi melalui Tox, kemungkinan agar afiliasi dapat terus memeras korban mereka dan memberikan dekripsi jika uang tebusan dibayarkan.

Untuk meluncurkan layanan tersembunyi Tor (domain .onion), Anda perlu membuat pasangan kunci privat dan publik, yang digunakan untuk menginisialisasi layanan.

Kunci pribadi harus diamankan dan hanya dapat diakses oleh admin tepercaya, karena siapa pun yang memiliki akses ke kunci ini dapat menggunakannya untuk meluncurkan layanan .onion yang sama di server mereka sendiri.

Karena pihak ketiga dapat membajak domain, itu berarti mereka juga memiliki akses ke kunci pribadi layanan tersembunyi.

Malam ini, 0_neday sekali lagi memposting ke topik forum peretasan, tetapi kali ini mengatakan bahwa server mereka telah disusupi dan bahwa siapa pun yang melakukannya menargetkan pelaku ancaman.

Saat ini, tidak diketahui siapa yang mengkompromikan server mereka.

Ketika Bitdefender dan penegak hukum memperoleh akses ke kunci master dekripsi REvil dan merilis dekripsi gratis, beberapa pelaku ancaman percaya bahwa FBI atau penegak hukum lainnya telah memiliki akses ke server sejak itu diluncurkan kembali.

Karena tidak ada yang tahu apa yang terjadi pada Unknown, ada kemungkinan juga pelaku ancaman mencoba untuk mendapatkan kembali kendali atas operasi tersebut.

Selengkapnya: Bleeping Computer

Mantan Analis Keamanan Microsoft Mengklaim Office 365 Sengaja Menghosting Malware Selama Bertahun-tahun

by

Pada hari Jumat, peneliti keamanan siber TheAnalyst menjelaskan di Twitter bagaimana malware BazarLoader mengarah ke ransomware yang dapat sangat memengaruhi industri kesehatan, di antara industri lainnya.

Dia kemudian memanggil Microsoft, menanyakan apakah perusahaan memiliki “tanggung jawab dalam hal ini ketika mereka TAHU bahwa mereka meng-hosting ratusan file yang mengarah ke hal ini,” di samping hal yang tampaknya menjadi file berbahaya yang di-host di OneDrive.

Untuk mendukung ini, mantan analis keamanan Microsoft Kevin Beaumont menjawab, mengatakan bahwa Microsoft tidak dapat menyebut dirinya sebagai pemimpin keamanan karena penyalahgunaan Office365 dan OneDrive terjadi selama bertahun-tahun.

Dia melanjutkan, menjelaskan bahwa menghapus sesuatu dari OneDrive adalah proses mimpi buruk dengan waktu reaksi yang agak lambat, menjadikan Microsoft “hoster malware terbaik di dunia selama sekitar satu dekade, karena O365.”

Namun, ini bukan masalah eksklusif Microsoft atau masalah baru, karena kita juga telah melihat malware yang dihosting di platform lain di masa lalu.

Menurut penelitian oleh Bern University of Applied Sciences, Google dan Cloudflare saat ini berada di antara jaringan hosting malware online teratas. Dengan demikian, seluruh industri teknologi harus lebih baik dalam menemukan konten berbahaya yang dihosting di servernya sebelum mencari masalah di tempat lain.

Bagaimanapun, semoga, insiden ini akan mendorong Microsoft untuk mengambil tindakan tegas yang dapat membantu melindungi jutaan orang dan ribuan organisasi dari serangan malware.

Sumber: Hot Hardware

Penipuan romantis dengan twist cryptocurrency – penelitian baru dari SophosLabs

by

Ada sudut lain yang diambil oleh scammer situs kencan akhir-akhir ini, dimana para penjahat dengan sengaja menaruh uang di atas cinta.

Mereka masih menggunakan situs kencan untuk memilih, menguntit, dan merawat korban mereka, tetapi alih-alih menghabiskan waktu berminggu-minggu atau berbulan-bulan untuk berkembang dari persahabatan, melalui cinta, romansa, dan mungkin bahkan pertunangan yang curang, ke fase “melarikan diri” mereka menjalin pertemanan, menggunakan permainan kencan sebagai tipu muslihat, tetapi kemudian dengan cepat beralih ke uang, kali ini dengan kedok mereka membantu Anda dengan menawarkan Anda kesempatan untuk bergabung dengan peluang investasi yang “tak terkalahkan”.

Seperti yang dapat Anda bayangkan, “investasi” yang mereka usulkan biasanya melibatkan cryptocoin, tetapi untuk menambahkan lapisan legitimasi, penjahat CryptoRom ini, seperti yang kami sebut mereka (crypto- dari “cryptocurrency” dan -rom dari “romance scam”) , mengundang Anda untuk menginstal aplikasi “resmi” untuk bergabung dengan skema.

Faktanya, penipu cryptorom bahkan akan menawarkan Anda sebuah aplikasi jika Anda memiliki iPhone, di mana pendekatan “Walled Garden” Apple yang mengharuskan semua unduhan aplikasi konsumen berasal dari Apple App Store hampir pasti meyakinkan banyak korban bahwa aplikasi cryptorom memang harus memilikinya. semacam otorisasi atau persetujuan resmi.

Jadi penjahat ini melewati App Store sepenuhnya, menggunakan serangkaian trik yang dijelaskan dalam laporan penelitian SophosLabs baru berjudul CryptoRom aplikasi cryptocurrency iOS palsu menghantam AS, korban Eropa setidaknya $ 1,4 juta.

Selengkapnya: Naked Security

Malware BlackByte yang ‘Kikuk’ Menggunakan Kembali Kunci Crypto, Worms Ke Jaringan

by

Ransomware baru yang dijuluki BlackByte memiliki semua keunggulan dari upaya pengembangan pertama oleh pengembang malware amatir, membuat kesalahan signifikan — seperti mengaburkan kode dengan cara yang mudah dilewati dan menggunakan kunci enkripsi yang sama untuk setiap korban.

Malware ini memiliki beberapa kesamaan dengan ransomware lain yang terkait dengan Rusia, seperti menghindari sistem berbahasa Rusia dengan cara yang sama seperti REvil dan menggunakan eksploitasi jaringan untuk menyebar di dalam jaringan dengan cara yang sama seperti Ryuk, menurut para peneliti di Trustwave, yang menerbitkan analisis mereka. varian minggu ini.

Para peneliti, yang menemukan program jahat ketika menanggapi insiden keamanan, juga menemukan bahwa program tersebut menggunakan kunci enkripsi simetris yang diunduh dari server publik. Itu memungkinkan mereka untuk membuat utilitas dekripsi untuk membantu korban memulihkan data mereka.

Pilihan desain yang buruk itu menunjukkan bahwa ransomware bukanlah varian dari keluarga ransomware sebelumnya dan bahwa para pengembang relatif tidak berpengalaman dalam merancang ransomware, kata Karl Sigler, manajer riset keamanan senior di Trustwave.

“Sepertinya mereka menulis ini dari awal,” katanya. “Tapi itu kikuk. Ini sangat kikuk.”

Pertumbuhan serangan ransomware mungkin telah meyakinkan para pengembang di balik BlackByte untuk membuat kerangka kerja malware mereka sendiri, kata Sigler dari Trustwave.

Selengkapnya: Dark Reading

Peretas baru saja mencuri data pribadi dari jutaan pelanggan Acer

by

Acer baru saja mengkonfirmasi bahwa servernya ditembus oleh sekelompok peretas bernama Desorden. Peretas berhasil mencuri lebih dari 60 gigabyte data yang berisi informasi sensitif tentang jutaan pelanggan Acer.

Informasi yang dikompromikan termasuk nama, alamat, dan nomor telepon beberapa juta klien, tetapi juga membatasi data keuangan perusahaan.

Peretasan itu baru-baru ini dilaporkan oleh peretas itu sendiri dan kemudian dikonfirmasi kebenarannya oleh Acer. Desorden telah berhasil menembus server Acer di India dan mendapatkan sejumlah besar data. Data tersebut terdiri dari akun konsumen dan perusahaan. Menurut Desorden, “data pelanggan yang terpengaruh berjumlah jutaan.”

Sebagai bukti pencurian data, kelompok peretas menerbitkan lebih dari 10.000 akun data pelanggan pribadi. Data yang tersisa akan dijual, dan pos tersebut telah menarik minat dari pembeli potensial. Peretas belum menjelaskan apakah mereka ingin menjual data di pasar bawah tanah, atau mereka hanya ingin Acer membayar uang tebusan untuk itu.

Menurut Acer, perusahaan telah segera menerapkan langkah-langkah keamanan dan melakukan pemindaian penuh terhadap sistemnya. Serangan memengaruhi sistem layanan purna jual lokal Acer di India. Perusahaan kemudian mulai memberi tahu semua pelanggan yang berpotensi terkena dampak.

Dalam pernyataannya kepada Privacy Affairs, Acer mengklaim bahwa insiden ini tidak akan berdampak pada kelangsungan bisnisnya. Itu kemungkinan besar benar, tetapi ini tentu saja waktu yang buruk untuk merek, karena ini adalah pencurian data besar kedua yang dideritanya tahun ini.

Selengkapnya: Digital Trends

Google memperingatkan lonjakan aktivitas oleh peretas yang didukung negara

by

Google telah memperingatkan lonjakan aktivitas peretas yang didukung pemerintah tahun ini, termasuk serangan dari kelompok Iran yang menargetkan universitas Inggris.

Grup pencari mengatakan bahwa sejauh ini pada tahun 2021 telah mengirim lebih dari 50.000 peringatan kepada pemegang akun bahwa mereka telah menjadi target upaya phishing atau malware yang didukung pemerintah. Ini merupakan peningkatan sepertiga pada periode yang sama tahun lalu, kata Google dalam sebuah blogpost, dengan kenaikan yang dikaitkan dengan “kampanye yang luar biasa besar” oleh kelompok peretasan Rusia yang dikenal sebagai APT28, atau Fancy Bear.

Namun, pos Google berfokus pada kelompok yang terkait dengan Pengawal Revolusi Iran, yang dikenal sebagai APT35, atau Charming Kitten, yang secara teratur melakukan serangan phishing – di mana, misalnya, email digunakan untuk mengelabui seseorang agar menyerahkan informasi sensitif atau memasang malware.

“Ini adalah salah satu kelompok yang kami ganggu selama siklus pemilihan AS 2020 karena menargetkan staf kampanye,” tulis Ajax Bash, dari grup analisis ancaman Google. “Selama bertahun-tahun kelompok ini telah membajak akun, menyebarkan malware, dan menggunakan teknik baru untuk melakukan spionase yang selaras dengan kepentingan pemerintah Iran.”

Dalam satu serangan di awal tahun 2021, APT35 menyerang situs web yang berafiliasi dengan universitas Inggris menggunakan teknik yang telah dicoba dan diuji: mengarahkan pengguna ke halaman web yang disusupi di mana mereka didorong untuk masuk melalui penyedia layanan email mereka – Gmail, Hotmail atau Yahoo misalnya – untuk melihat webinar. Pengguna juga diminta kode otentikasi faktor kedua, yang langsung menuju ke APT35.

Selengkapnya: The Guardian

Kampanye MirrorBlast Baru yang Eksplosif Menargetkan Perusahaan Keuangan

by

Tim Morphisec Labs telah melacak versi baru kampanye yang menargetkan organisasi keuangan. Dijuluki “MirrorBlast” oleh ET Labs, kampanye serangan saat ini yang dilacak tim Labs dimulai pada awal September. Ada kegiatan serupa pada April 2021 juga, tetapi kampanye saat ini dimulai baru-baru ini.

Rantai serangan infeksi memiliki kesamaan dengan taktik, teknik, dan prosedur yang biasa digunakan oleh kelompok ancaman TA505 yang diduga berbasis di Rusia. Kesamaan meluas ke rantai serangan, fungsionalitas GetandGo, muatan akhir, dan kesamaan dalam pola nama domain.

Pada bulan September peneliti mengamati kampanye malspam yang mengirimkan dokumen Excel sebagai lampiran. Kampanye ini menargetkan beberapa sektor dari Kanada, Amerika Serikat, Hong Kong, Eropa, dan banyak lagi.

Rantai serangan dimulai dengan dokumen lampiran email, tetapi pada tahap selanjutnya, itu berubah untuk menggunakan URL proksi umpan Google dengan SharePoint dan umpan OneDrive, yang bertindak sebagai permintaan berbagi file. URL ini mengarah ke SharePoint yang disusupi atau situs OneDrive palsu yang digunakan penyerang untuk menghindari deteksi, selain persyaratan masuk (SharePoint) yang membantu menghindari sandboxing.

MirrorBlast memiliki deteksi yang rendah pada VirusTotal karena makro yang sangat ringan yang tertanam dalam file Excel-nya, membuatnya sangat berbahaya bagi organisasi yang bergantung pada keamanan berbasis deteksi dan sandboxing

Selengkapnya: Security Boulevard