Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat

Threat

Peretas dapat mengambil alih beberapa ponsel Samsung atau Pixel hanya dengan nomor telepon Anda

by

mereka mengaktifkan eksekusi kode jarak jauh hanya dengan nomor telepon korban. Hanya satu dari eksploitasi paling serius yang memiliki nomor Common Vulnerabilities and Exposures (CVE) yang ditetapkan secara publik, dengan Google menahan sejumlah CVE yang terkait dengan kerentanan ini dalam pengecualian yang jarang terjadi pada protokol pengungkapan bug normal.

Perangkat berikut terpengaruh, menurut Project Zero Google.

  • Samsung; S22, M33, M13, M12, A71, A53, A33, A21s, A13, A12 and A04 series;
  • Vivo; S16, S15, S6, X70, X60 and X30 series;
  • Seri perangkat Pixel 6 dan Pixel 7 dari Google; Dan
  • kendaraan apa pun yang menggunakan chipset Exynos Auto T5123.

Bug ini telah diperbaiki dalam pembaruan keamanan bulan Maret, yang sudah dimiliki oleh seri Pixel 7. Namun, seri Pixel 6 belum memilikinya, dan Google mengatakan bahwa pengguna yang menggunakan perangkat yang belum ditambal harus menonaktifkan Panggilan VoLTE dan Wi-Fi.

Adapun eksploitasi utama yang kami miliki informasinya, CVE-2023-24033, deskripsinya hanya mengatakan bahwa chipset modem baseband yang terpengaruh

Empat belas kerentanan lainnya (CVE-2023-26072, CVE-2023-26073, CVE-2023-26074, CVE-2023-26075, CVE-2023-26076, dan sembilan lainnya menunggu CVE) tidak begitu kritis tetapi masih membawa risiko kepada pengguna akhir. Agar eksploitasi berhasil, mereka membutuhkan “operator jaringan seluler jahat atau penyerang dengan akses lokal ke perangkat.”

Untuk pengguna yang menunggu pembaruan dan menggunakan perangkat yang terpengaruh, pastikan untuk menonaktifkan Panggilan VoLTE dan Wi-Fi untuk saat ini. Jika Anda memiliki pembaruan keamanan bulan Maret yang tersedia tetapi belum diperbarui, mungkin sudah waktunya untuk melakukannya.

selengkapnya : xda-developers.com

Geng Ransomware BianLian Mengalihkan Fokus ke Pemerasan Data Murni

by

Laporan yang disunting bahwa operator BianLian tetap mempertahankan akses awal dan teknik gerakan lateral yang sama dan terus menerapkan backdoor berbasis Go kustom yang memberi mereka akses jarak jauh pada perangkat yang disusupi, meskipun versinya sedikit lebih baik.

Pelaku ancaman memposting korban mereka dalam bentuk topeng secepat 48 jam setelah pelanggaran di situs pemerasan mereka, memberi mereka kira-kira sepuluh hari untuk membayar uang tebusan.

Pada 13 Maret 2023, BianLian telah mendaftarkan total 118 organisasi korban di portal pemerasan mereka, dengan sebagian besar (71%) adalah perusahaan yang berbasis di A.S.

Pada 13 Maret 2023, BianLian telah mendaftarkan total 118 organisasi korban di portal pemerasan mereka, dengan sebagian besar (71%) adalah perusahaan yang berbasis di A.S.

Korban BianLian sejak Juli 2022

Perbedaan utama yang terlihat dalam serangan baru-baru ini adalah bahwa BianLian berupaya memonetisasi pelanggarannya tanpa mengenkripsi file korban. Sebaliknya, sekarang hanya mengandalkan ancaman untuk membocorkan data yang dicuri.

“Grup berjanji bahwa setelah mereka dibayar, mereka tidak akan membocorkan data yang dicuri atau mengungkap fakta bahwa organisasi korban telah mengalami pelanggaran. BianLian menawarkan jaminan ini berdasarkan fakta bahwa “bisnis” mereka bergantung pada reputasi mereka,” sebut Disunting dalam laporan.

Tidak diketahui apakah BianLian mengabaikan taktik enkripsi karena Avast merusak enkripsi mereka atau karena peristiwa ini membantu mereka menyadari bahwa mereka tidak memerlukan bagian rantai serangan itu untuk memeras korban agar membayar uang tebusan.

Perlu disebutkan bahwa ketika Avast merilis decryptor gratisnya, BianLian meremehkan pentingnya, mengatakan itu hanya akan bekerja pada versi awal “musim panas 2022” dari ransomware dan akan merusak file yang dienkripsi oleh semua build berikutnya.

selengkapnya : bleepingcomputer

Pasien kanker menggugat rumah sakit setelah geng ransomware membocorkan foto medis bugilnya

by

seorang pasien kanker yang foto dan catatan medis telanjangnya diposting online setelah dicuri oleh geng ransomware, telah menuntut penyedia layanan kesehatan karena membiarkan kebocora yang “dapat dicegah” dan “sangat merusak”.

Gugatan class action yang diusulkan berasal dari intrusi Februari di mana kru malware BlackCat (juga dikenal sebagai ALPHV) masuk ke salah satu jaringan dokter Lehigh Valley Health Network (LVHN), mencuri gambar pasien yang menjalani perawatan onkologi radiasi bersama dengan kesehatan sensitif lainnya. catatan milik lebih dari 75.000 orang, dan kemudian meminta pembayaran uang tebusan untuk mendekripsi file dan mencegahnya memposting data kesehatan secara online.

Grup perawatan kesehatan Pennsylvania, salah satu yang terbesar di negara bagian AS, mengawasi 13 rumah sakit, 28 pusat kesehatan, dan lusinan klinik dokter, apotek, pusat rehabilitasi, layanan pencitraan dan lab lainnya. LVHN menolak untuk membayar uang tebusan, dan awal bulan ini BlackCat mulai membocorkan info pasien, termasuk gambar dari setidaknya dua pasien kanker payudara, telanjang dari pinggang ke atas.

Menurut gugatan tersebut, LaRock juga memberi tahu Doe bahwa alamat fisik dan emailnya, bersama dengan tanggal lahir, nomor jaminan sosial, penyedia asuransi kesehatan, diagnosis medis dan informasi perawatan, serta hasil lab juga kemungkinan dicuri dalam pelanggaran tersebut.

Pengacara Pennsylvania Patrick Howard, yang mewakili Doe dan penggugat lainnya dalam gugatan kelompok yang diusulkan, mengatakan dia memperkirakan jumlah pasien yang terkena dampak pelanggaran tersebut mencapai “ratusan, jika tidak ribuan.”

Menurut para pengacara, ini adalah pelanggaran data kedua yang memengaruhi pasien kelompok perawatan kesehatan Pennsylvania selama beberapa tahun terakhir. Pada tahun 2021, LVHN mengakui bahwa informasi pribadi pasien dicuri dari salah satu vendornya.

selengkapnya : the register

Spionase yang didukung China semakin sulit dikenali, kata para peneliti

by

Kelompok peretas yang diduga terkait dengan China terus membangun taktik baru yang menargetkan alat keamanan yang menghadap ke internet sebagai cara untuk secara diam-diam membobol beberapa organisasi yang paling kaya data, para peneliti di Mandiant milik Google memperingatkan.

Dari berita: Dalam sebuah laporan Kamis, para peneliti mengatakan mereka telah menemukan bug baru yang menargetkan perusahaan keamanan perangkat lunak Fortinet, yang membuat firewall, program antivirus, dan alat serupa. The Wall Street Journal pertama kali melaporkan bug baru tersebut.

  • Laporan baru ini adalah yang kelima yang dirilis Mandiant dalam dua tahun di mana tersangka peretas yang berafiliasi dengan China telah menargetkan alat keamanan yang terhubung ke internet. Pembuat produk lain yang terpengaruh termasuk SonicWall, VMware dan Citrix.
  • Charles Carmakal, chief technology officer di Mandiant, mengatakan kepada WSJ kemungkinan bahwa “masalahnya jauh lebih besar daripada yang kita ketahui sekarang.”

Apa yang mereka katakan: “Mengingat betapa sulitnya mereka ditemukan, sebagian besar organisasi tidak dapat mengidentifikasi mereka sendiri,” kata Carmakal dalam sebuah pernyataan kepada Axios. “Tidak jarang kampanye China berakhir sebagai gangguan selama bertahun-tahun.”

Gambaran besarnya: Pemerintahan Biden telah berfokus pada laser untuk menindak ancaman spionase dan peretasan yang terkait dengan China.

  • Pekan lalu, komunitas intelijen mengatakan dalam laporan ancaman di seluruh dunia tahun 2023 bahwa China adalah ancaman spionase siber “terluas, paling aktif, dan gigih” ke AS.
  • Awal pekan ini, Komite Investasi Asing di Amerika Serikat dilaporkan memberi tahu TikTok bahwa, karena pengawasan dan masalah keamanan nasional lainnya, itu akan dilarang di AS jika perusahaan induknya di China, ByteDance, menolak untuk menjual sahamnya.

Selengkapnya: Axios

Penjahat dunia maya mendaftarkan domain baru untuk memangsa SVB, korban Credit Suisse

by

Flashpoint telah melihat sekitar 20 domain berbahaya baru seperti login-svb[.]com terdaftar, dengan pelaku ancaman juga membuat domain untuk bank pesaing seperti Revolut.

“Aktor ancaman yang bermotivasi finansial akan bertindak oportunistik, menggunakan teknik akses awal tingkat rendah yang sama seperti phishing, untuk memangsa mereka yang paling terkena dampak kegagalan,” kata analis intelijen senior Flashpoint, Ashley Alloca.

Alloca memberikan wawasan dan komentar tentang masalah di bawah ini:

“Aktor ancaman yang bermotivasi finansial sering bertindak oportunistik, berusaha memanfaatkan peristiwa yang layak diberitakan. Peristiwa ini dapat memengaruhi tema berbagai taktik rekayasa sosial yang digunakan untuk mendapatkan akses awal ke korban kompromi. Secara umum, pelaku ancaman cenderung mengeksekusi serangan rekayasa sosial bertema SVB atau Credit Suisse dengan penekanan pada penipuan phishing dan umpan malware. Kami melihat potensi penggunaan domain yang baru didaftarkan yang dapat digunakan dalam serangan phishing untuk mengumpulkan informasi sensitif atau memaksa korban untuk berbagi informasi atau mengirim dana ke akun yang dikendalikan aktor.”

“Kami telah melihat aktor ancaman telah mendaftarkan domain baru ini agar terlihat seperti halaman sah yang berafiliasi dengan SVB. Misalnya, pada hari Sabtu 11 Maret, hari setelah SVB runtuh, domain baru seperti login-svb[.]com, svbbailout[.]com, svbdividendpayout[.]com, dan svbfail[.]com didaftarkan. Setidaknya 16 domain lain yang menggunakan ‘SVB’ telah didaftarkan. Sangat mungkin tidak semua domain ini akan dimanfaatkan untuk tujuan jahat, tetapi jelas dalam kasus login-svb[.]com bahwa halaman tersebut kemungkinan akan berubah menjadi halaman login untuk afiliasi SVB, berbahaya atau lainnya.”

Selengkapnya: IT Wire

Perpesanan yang tidak terlalu pribadi: Aplikasi WhatsApp dan Telegram yang di-Trojan mengejar dompet mata uang kripto

by

Peneliti ESET telah menemukan lusinan peniru Telegram dan situs web WhatsApp yang menargetkan terutama pengguna Android dan Windows dengan versi trojan dari aplikasi pesan instan ini. Sebagian besar aplikasi jahat yang kami identifikasi adalah pemangkas – jenis malware yang mencuri atau mengubah konten papan klip.

Semuanya mengejar dana cryptocurrency korban, dengan beberapa dompet cryptocurrency penargetan. Ini adalah pertama kalinya peneliti melihat gunting Android yang berfokus secara khusus pada perpesanan instan.

Selain itu, beberapa aplikasi ini menggunakan pengenalan karakter optik (OCR) untuk mengenali teks dari tangkapan layar yang disimpan di perangkat yang disusupi, yang merupakan yang pertama untuk malware Android.

Sebelum pembentukan Aliansi Pertahanan Aplikasi, peneliti menemukan pemangkas Android pertama di Google Play, yang membuat Google meningkatkan keamanan Android dengan membatasi operasi papan klip di seluruh sistem untuk aplikasi yang berjalan di latar belakang untuk Android versi 10 dan lebih tinggi.

Seperti yang sayangnya ditunjukkan oleh temuan terbaru peneliti, tindakan ini tidak berhasil menghilangkan masalah sepenuhnya: peneliti tidak hanya mengidentifikasi pemotong pesan instan pertama, peneliti menemukan beberapa kelompoknya.

Tujuan utama clippers yang peneliti temukan adalah untuk mencegat komunikasi perpesanan korban dan mengganti alamat dompet cryptocurrency yang dikirim dan diterima dengan alamat milik penyerang. Selain aplikasi Android WhatsApp dan Telegram yang di-trojan, peneliti juga menemukan versi Windows yang di-trojan dari aplikasi yang sama.

Tentu saja, ini bukan satu-satunya aplikasi peniru yang mengejar mata uang kripto – baru pada awal tahun 2022, peneliti mengidentifikasi pelaku ancaman yang berfokus pada pengemasan ulang aplikasi mata uang kripto sah yang mencoba mencuri frase pemulihan dari dompet korban mereka.

Selengkapnya: We Live Security

Google memperingatkan pengguna untuk mengambil tindakan guna melindungi dari kelemahan yang dapat dieksploitasi dari jarak jauh di ponsel Android populer

by

Unit riset keamanan Google membunyikan alarm pada serangkaian kerentanan yang ditemukan di chip Samsung tertentu yang disertakan dalam lusinan model Android, perangkat yang dapat dikenakan, dan kendaraan, karena khawatir kelemahan tersebut dapat segera ditemukan dan dieksploitasi.

Dengan mendapatkan kemampuan untuk menjalankan kode dari jarak jauh pada tingkat baseband perangkat — pada dasarnya modem Exynos yang mengonversi sinyal sel menjadi data digital — penyerang akan dapat memperoleh akses yang hampir tak terbatas ke data yang mengalir masuk dan keluar dari perangkat yang terpengaruh, termasuk panggilan seluler, pesan teks, dan data seluler, tanpa memberi tahu korban.

Saat pengungkapan berlangsung, jarang melihat Google — atau firma riset keamanan mana pun — membunyikan alarm pada kerentanan dengan tingkat keparahan tinggi sebelum ditambal. Google mencatat risikonya kepada publik, menyatakan bahwa penyerang yang terampil “akan dapat dengan cepat membuat eksploitasi operasional” dengan penelitian dan upaya yang terbatas.

Peneliti Project Zero Maddie Stone menulis di Twitter bahwa Samsung memiliki waktu 90 hari untuk menambal bug, tetapi belum.

Samsung mengonfirmasi dalam daftar keamanan Maret 2023 bahwa beberapa modem Exynos rentan, memengaruhi beberapa produsen perangkat Android, tetapi memberikan sedikit detail lainnya.

Menurut Project Zero, perangkat yang terpengaruh mencakup hampir selusin model Samsung, perangkat Vivo, dan handset Pixel 6 dan Pixel 7 milik Google. Perangkat yang terpengaruh juga termasuk perangkat yang dapat dikenakan dan kendaraan yang mengandalkan chip Exynos untuk terhubung ke jaringan seluler.

Google mengatakan bahwa tambalan akan bervariasi tergantung pabrikannya, tetapi mencatat bahwa perangkat Pixel-nya sudah ditambal dengan pembaruan keamanan bulan Maret.

Sampai produsen yang terkena dampak mendorong pembaruan perangkat lunak kepada pelanggan mereka, Google mengatakan pengguna yang ingin melindungi diri mereka sendiri dapat mematikan panggilan Wi-Fi dan Voice-over-LTE (VoLTE) di pengaturan perangkat mereka, yang akan “menghilangkan risiko eksploitasi dari kerentanan ini. ”

Google mengatakan 14 kerentanan yang tersisa tidak terlalu parah karena memerlukan akses ke perangkat atau memiliki akses orang dalam atau akses istimewa ke sistem operator seluler.

selengkapnya : techcrunch.com

300K Taylor Swift, kata sandi terkait Bad Bunny yang ditargetkan oleh Hacker

by

Sebuah laporan baru mengungkapkan bahwa 300.000 kata sandi yang terkait dengan Taylor Swift dan Bad Bunny berisiko diretas pada tahun 2022.

“Kata sandi yang terkait dengan tren budaya pop juga tetap populer, dengan SpyCloud memulihkan lebih dari 327.000 kata sandi yang terkait dengan artis Taylor Swift dan Bad Bunny,” lapor Business Wire.

Kata kunci yang terkait dengan dua artis paling banyak streaming tahun 2022 termasuk “Taylor”, “Swiftie”, “Benito”, “Me Porto Bonito”, dan “Midnights”.

Musisi populer bukan satu-satunya kata sandi terkait budaya pop yang rentan.

Business Wire menambahkan bahwa ada “lebih dari 261.000 terkait dengan layanan streaming seperti Netflix dan Hulu dan lebih dari 167.000 terkait dengan kematian Ratu Elizabeth dan keluarga kerajaan Inggris.”

Keduanya adalah dua dari penghibur bayaran terbaik termuda tahun 2022, menurut Forbes, keduanya membuat sejarah dengan Swift sebagai satu-satunya wanita dalam daftar dan Bad Bunny sebagai satu-satunya orang Latin.

Hanya di AS pada tahun 2022, Bad Bunny menjadi artis ketiga yang paling banyak diputar di Spotify Wrapped setelah masing-masing Drake dan Swift.

sumber : nypost.com