Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat

Threat

Malware Bootkit “ESPecter” Menghantui Korban dengan Spionase Persisten

by

Bootkit berbahaya baru, yang oleh para peneliti di ESET dinamai ESPecter, ditempatkan di bagian EFI System Partition (ESP) dari teknologi yang disematkan. ESP berisi boot loader atau image kernel yang digunakan UEFI untuk memulai OS yang diinstal dan berbagai utilitas pada saat proses boot.

“Penyerang [dengan demikian] mencapai eksekusi pada tahap awal proses boot sistem, sebelum sistem operasi dimuat penuh,” menurut analisis ESPecter ESET, yang dikeluarkan Selasa (5/10/2021). “Ini memungkinkan ESPecter untuk mem-bypass Windows Driver Signature Enforcement (DSE) untuk menjalankan drivernya sendiri yang tidak ditandatangani saat startup sistem.”

Driver tersebut kemudian menyuntikkan komponen user-mode lainnya ke dalam proses sistem tertentu, catat para peneliti; dan yang pada gilirannya digunakan untuk terhubung dengan server command-and-control (C2). Setelah koneksi dibuat, penyerang dapat mulai mengunduh dan menjalankan malware tambahan atau menjalankan berbagai perintah untuk mengambil kendali penuh atas mesin.

Menurut ESET, tujuan utama driver adalah memuat dua user-mode payload yang berbeda (WinSys.dll dan Client.dll) dan untuk mengatur keylogger yang merekam semua aktivitas keyboard. Setelah itu, itu menghapus dirinya sendiri.

Payload WinSys.dll secara berkala melakukan ping ke server C2 (menemukan alamatnya di file konfigurasi malware) untuk mengunduh malware tambahan atau menjalankan perintah sederhana. C2 dapat memintanya untuk mengunggah informasi sistem (nama CPU, versi OS, ukuran memori, alamat MAC ethernet, daftar perangkat lunak yang diinstal, dan sebagainya), mengambil dan menjalankan file baru, memulai ulang PC, atau mengunduh konfigurasi baru.

Selengkapnya: Threat Post

Peretas Rusia di balik peretasan SolarWinds mencoba menyusup ke jaringan pemerintah AS dan Eropa

by

Peretas Rusia di balik pelanggaran agen federal AS pada tahun 2020 yang sukses dalam beberapa bulan terakhir mencoba menyusup ke jaringan pemerintah AS dan Eropa, kata analis keamanan siber yang melacak kelompok itu kepada CNN.

Kelompok Rusia telah melanggar beberapa perusahaan teknologi dalam aktivitas yang sebelumnya tidak dilaporkan, kata Charles Carmakal, wakil presiden senior dan CTO di perusahaan keamanan siber Mandiant. Para peretas juga telah menggunakan alat dan teknik baru dalam beberapa operasi mereka tahun ini, kata Carmakal.

Tidak jelas data apa, jika ada, yang diakses peretas. Tetapi kegiatan tersebut merupakan pengingat akan tantangan yang dihadapi pemerintahan Biden ketika mencoba untuk menumpulkan upaya musuh digital utama Amerika untuk mengakses data pemerintah yang sensitif.

“Kelompok ini telah mengkompromikan beberapa entitas pemerintah, organisasi yang fokus pada masalah politik dan kebijakan luar negeri, dan penyedia teknologi yang menyediakan akses langsung atau tidak langsung ke organisasi target utama di Amerika Utara dan Eropa,” kata Carmakal kepada CNN. Dia menolak untuk mengidentifikasi penyedia teknologi.

Grup Rusia terkenal karena menggunakan malware yang dibuat oleh kontraktor federal SolarWinds untuk melanggar setidaknya sembilan agen AS dalam aktivitas yang terungkap pada Desember 2020.

Para penyerang tidak terdeteksi selama berbulan-bulan di jaringan email yang tidak diklasifikasikan dari departemen Kehakiman, Keamanan Dalam Negeri, dan lainnya, dan FireEye, mantan perusahaan induk Mandiant, bukan agen pemerintah, yang menemukan kampanye peretasan tersebut.

Sumber: CNN

Peretas menguras akun cryptocurrency dari ribuan pengguna Coinbase

by

Coinbase, platform yang digunakan untuk membeli, menjual, dan menyimpan cryptocurrency, memberi tahu lebih dari 6.000 pelanggan mereka bahwa mereka menjadi korban kampanye yang ditargetkan untuk mendapatkan akses ke akun mereka yang melibatkan kombinasi serangan phishing dan kelemahan dalam sistem otorisasi dua faktor Coinbase.

Antara Maret dan Mei 2021, peretas berhasil masuk ke akun dan memindahkan dana dari platform, menguras beberapa akun. Ribuan pelanggan sudah mulai mengeluh kepada Coinbase bahwa dana telah hilang dari akun mereka.

Menurut surat yang dikirim ke pengguna, inilah cara Coinbase mengklaim peretas masuk ke akun yang disusupi:

“Untuk mengakses akun Coinbase Anda, pihak ketiga ini terlebih dahulu membutuhkan pengetahuan sebelumnya tentang alamat email, kata sandi, dan nomor telepon yang terkait dengan akun Coinbase Anda, serta akses ke kotak masuk email pribadi Anda. Meskipun kami tidak dapat menentukan secara meyakinkan bagaimana pihak ketiga ini memperoleh akses ke informasi ini, jenis kampanye ini biasanya melibatkan serangan phishing atau teknik rekayasa sosial lainnya untuk mengelabui korban agar secara tidak sadar mengungkapkan kredensial login kepada pelaku. Kami belum menemukan bukti bahwa pihak ketiga ini memperoleh informasi ini dari Coinbase sendiri.”

Beberapa kabar baik untuk para korban: Coinbase sudah mulai mengganti dana untuk beberapa pelanggan dan berjanji bahwa semua pelanggan akan menerima nilai penuh dari dana yang hilang.

“Kami memberi tahu pelanggan secara langsung yang kehilangan dana sebagai akibat dari masalah khusus ini dan membantu mengganti kerugian mereka yang terjadi selama serangan. Harap dicatat, penggantian ini terbatas pada pelanggan yang telah kami konfirmasi sebagai korban serangan ini dan akibatnya kehilangan dana.”

Selengkapnya: PC Gamer

Peretasan Twitch Besar-besaran: Kode sumber dan laporan pembayaran bocor

by

Kode sumber Twitch dan informasi sensitif streamer dan pengguna diduga dibocorkan secara online oleh pengguna anonim di 4chan imageboard.

Orang yang membocorkan membagikan tautan torrent yang mengarah ke arsip 125GB yang berisi data yang diduga dicuri dari sekitar 6.000 repositori internal Twitch Git.

Menurut pengguna anonim 4chan, data Twitch yang bocor berisi:

  • Keseluruhan twitch.tv, dengan sejarah komit kembali ke awal
  • Klien Twitch konsol seluler, desktop, dan video game
  • Berbagai SDK eksklusif dan layanan AWS internal yang digunakan oleh Twitch
  • Setiap properti lain yang dimiliki Twitch, termasuk IGDB dan CurseForge
  • Pesaing Steam yang belum dirilis dari Amazon Game Studios
  • Twitch SOC internal red teaming tools (lol)
  • Laporan pembayaran kreator dari tahun 2019 hingga sekarang.

Poster anonim itu menamai utasnya “twitch leaks part one,” yang mengisyaratkan data Twitch yang dicuri lebih lanjut kemungkinan akan bocor di masa depan.

Kebocoran itu kemungkinan merupakan balasan langsung terhadap kurangnya respons Twitch dan alat yang efektif untuk menangkis serangan kebencian yang menargetkan streamer pada bulan Agustus, mengingat anonim yang membocorkan juga menggunakan tagar #DoBetterTwitch.

Selengkapnya: Bleeping Computer

Grup Peretasan APT Baru yang Menargetkan Industri Bahan Bakar, Energi, dan Penerbangan

by

Aktor ancaman yang sebelumnya tidak terdokumentasi telah diidentifikasi berada di balik serangkaian serangan yang menargetkan industri produksi bahan bakar, energi, dan penerbangan di Rusia, AS, India, Nepal, Taiwan, dan Jepang dengan tujuan mencuri data dari jaringan yang disusupi.

Perusahaan keamanan siber Positive Technologies menjuluki kelompok ancaman persisten (APT) canggih tersebut sebagai ChamelGang – mengacu pada kemampuan bunglon mereka, termasuk menyamarkan “malware dan infrastruktur jaringannya di bawah layanan sah Microsoft, TrendMicro, McAfee, IBM, dan Google.”

“Untuk mencapai tujuan mereka, para penyerang menggunakan metode penetrasi yang sedang tren—rantai pasokan,” kata para peneliti tentang salah satu insiden yang diselidiki oleh perusahaan.

“Grup tersebut menyusup ke anak perusahaan dan menembus jaringan perusahaan target melaluinya. Serangan hubungan tepercaya jarang terjadi saat ini karena kompleksitas eksekusi mereka. Dengan menggunakan metode ini […], grup ChamelGang dapat mencapai tujuannya dan mencuri data dari jaringan yang disusupi.”

Penyusupan yang dipasang oleh musuh diyakini telah dimulai pada akhir Maret 2021, dengan serangan berikutnya pada bulan Agustus memanfaatkan apa yang disebut rantai kerentanan ProxyShell yang memengaruhi Server Microsoft Exchange, detail teknis yang pertama kali diungkapkan di keamanan Black Hat USA 2021 konferensi awal bulan itu.

Selengkapnya: The Hacker News

Mengapa ancaman keamanan siber saat ini lebih berbahaya

by

Selama dua tahun terakhir, munculnya serangan ransomware besar-besaran dan pengungkapan infeksi rantai pasokan perangkat lunak berbahaya telah meningkatkan keamanan siber menjadi agenda utama pemerintah.

Pada saat yang sama, perusahaan Amerika dan bahkan masyarakat umum telah sadar akan bahaya digital baru yang ditimbulkan oleh aktor negara-bangsa dan organisasi kriminal.

Maka tidak mengherankan bahwa dua utas yang berjalan melalui Aspen Cyber Summit tahun ini adalah sifat rumit dari ancaman keamanan siber yang sekarang kita hadapi dan bagaimana mereka mungkin berbeda dari tantangan yang kita hadapi di masa lalu.

Tidak seperti 20 tahun yang lalu, bahkan ketika sistem TI yang ekstensif secara komparatif berdiri sendiri dan langsung, sistem yang saling ketergantungan sekarang membuat penanganan dan pertahanan terhadap ancaman menjadi proposisi yang jauh lebih sulit.

Salah satu variabel baru yang dilemparkan ke dalam campuran digital adalah pertumbuhan meteroik ransomware, yang membuatnya tampak bahwa serangan siber semakin buruk.

Terlebih lagi, permukaan serangan saat ini tidak hanya jauh lebih luas daripada sebelumnya, tetapi juga mencakup perangkat internet-of-things (IoT), yang, tidak seperti komputer mainframe dan laptop dan bahkan perangkat seluler, sulit diperbarui dari perspektif keamanan.

Jay Healey, peneliti senior di Universitas Columbia, mengatakan bahwa interkoneksi sektor infrastruktur kritis yang hampir ada di mana-mana saat ini dengan jaringan digital memang menimbulkan ancaman yang lebih gelap daripada Trojan dan virus.

Perubahan signifikan lainnya dari 20 tahun lalu adalah pergeseran sifat kejahatan dunia maya, kata Kevin Mandia, CEO FireEye. “Ketika Anda melihat para penjahat, saya pikir mungkin 20 tahun yang lalu mereka harus sangat teknis.” Sekarang hambatan masuk kejahatan dunia maya rendah dan kejahatan dunia maya menjadi layanan.

Selengkapnya: CSO Online

Dua operator ransomware ditangkap di Ukraina

by

Dua anggota geng ransomware ditangkap di Ukraina setelah operasi penegakan hukum internasional bersama dilakukan.

Penangkapan tersebut terjadi pekan lalu, pada 28 September, di Kyiv, ibu kota Ukraina, dan dilakukan oleh petugas Kepolisian Nasional Ukraina, dengan bantuan dari Gendarmerie Prancis, FBI, Europol, dan Interpol.

Dua tersangka ditangkap, termasuk seorang pria berusia 25 tahun yang diyakini sebagai anggota penting dari operasi ransomware besar.

Pejabat menolak menyebutkan afiliasi tersangka ke geng ransomware tertentu, mengutip penyelidikan resmi yang sedang berlangsung, kata juru bicara Europol kepada The Record.

Pejabat Ukraina mengatakan dalam siaran pers tersangka bertanggung jawab atas serangan terhadap lebih dari 100 perusahaan di seluruh dunia dan telah menyebabkan kerusakan lebih dari $150 juta.

Dalam siaran pers, Europol mengatakan para tersangka telah aktif sejak April 2020 dan bahwa kelompok mereka “dikenal karena tuntutan tebusan mereka yang terlalu tinggi (antara €5 hingga €70 juta).”

Beberapa peneliti keamanan menduga bahwa dua tersangka yang ditangkap minggu lalu adalah anggota geng ransomware REvil.

Selengkapnya: The Record

Ransomware Atom Silo baru menargetkan server Confluence yang rentan

by

Atom Silo, grup ransomware yang baru ditemukan, menargetkan kerentanan Confluence Server dan Pusat Data yang baru-baru ini ditambal dan dieksploitasi secara aktif untuk menyebarkan muatan ransomware mereka.

Atlassian Confluence adalah ruang kerja tim perusahaan berbasis web yang sangat populer yang membantu karyawan berkolaborasi dalam berbagai proyek.

Pada 25 Agustus, Atlassian mengeluarkan pembaruan keamanan untuk menambal kerentanan eksekusi kode jarak jauh (RCE) Confluence yang dilacak sebagai CVE-2021-26084 dan sedang aktif dieksploitasi.

Eksploitasi yang berhasil memungkinkan penyerang yang tidak diautentikasi untuk menjalankan perintah pada server yang belum ditambal dari jarak jauh.

Penemuan ini dibuat oleh para peneliti SophosLabs saat menyelidiki insiden baru-baru ini. Mereka juga menemukan bahwa ransomware yang digunakan oleh grup baru ini hampir identik dengan LockFile, yang sangat mirip dengan yang digunakan oleh grup ransomware LockBit.

Namun, operator Atom Silo menggunakan “beberapa teknik baru yang membuatnya sangat sulit untuk diselidiki, termasuk side-loading library dynamic-link berbahaya yang dirancang untuk mengganggu perangkat lunak perlindungan titik akhir.”

Setelah mengkompromikan server Confluence dan memasang backdoor, pelaku ancaman menjatuhkan backdoor tersembunyi tahap kedua menggunakan side-loading DLL untuk meluncurkannya pada sistem yang dilanggar.

Payload Ransomware yang disebarkan oleh Atom Silo juga dilengkapi dengan driver kernel berbahaya yang digunakan untuk mengganggu solusi perlindungan titik akhir dan menghindari deteksi.

Rincian teknis lebih lanjut tentang Atom Silo dan taktik gerakan lateral dapat ditemukan dalam laporan SophosLabs.

Sumber: Bleeping Computer