Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat

Threat

Mengapa Phishing Masih Merupakan Teknik Peretasan Yang Paling Sukses?

by

Sebagian besar dari kita tidak akan mengklik email yang mengklaim bahwa kita adalah pemenang lotere saat ini. Namun, serangan phishing berkembang dan tetap menjadi serangan siber paling berbahaya bagi individu atau perusahaan sejak serangan phishing pertama pada tahun 1995.

Menurut laporan oleh perusahaan keamanan email Valimail, lebih dari tiga miliar pesan spoofing dikirim setiap hari, hampir 1% dari semua lalu lintas email. Dan ini menimbulkan kerugian yang cukup besar bagi masyarakat kita.

Pada tahun 2021, kerusakan kejahatan dunia maya global akan meningkat dari $ 3 triliun pada tahun 2015 menjadi $ 6 triliun setiap tahun, menurut perkiraan dari Official Annual Cybercrime Report 2020 oleh Cybersecurity Ventures.

Apa yang membuat serangan ini begitu sukses?

1# Manusia adalah Celah Terlemah dalam Keamanan Siber

Rekayasa sosial memanfaatkan elemen psikologis kita untuk membangun akses ke informasi atau keuntungan finansial dari kita. Email phishing adalah salah satu jenis cara paling umum yang digunakan peretas untuk mencoba mendapatkan informasi atau keuntungan finansial dari individu.

Tidak ada Signature untuk diperbarui atau firewall yang akan dipasang. Dengan demikian, peretas mengeksploitasi kerentanan psikologis yang belum ditambal, dan cara termudah untuk melakukannya adalah dengan phishing.

2# Work From Home + BYOD (Bring Your Own Device)

Bekerja dari rumah yang berarti bahwa karyawan lebih santai dan mungkin sering menggunakan perangkat mereka sendiri untuk bekerja (yaitu, BYOD), yang berarti bahwa, jika penjahat dunia maya menyusupi perangkat karyawan, mereka dapat memperoleh akses tidak hanya ke data yang ada di dalam perangkat, tetapi juga akses ke jaringan perusahaan.

3# Mudah untuk Memulai

Ketersediaan kit phishing online dan munculnya ransomware-as-a-service (RaaS) menurunkan peringkat untuk memulai. Hal ini mengakibatkan ledakan ransomware dan eksploitasi lainnya yang berasal dari rawa penjahat dunia maya amatir yang terus berkembang.

Selengkapnya: Technology Hits on Medium

Grup peretasan Lemon Duck mengadopsi kerentanan Microsoft Exchange Server dalam serangan baru

by

Para peneliti telah menjelajahi aktivitas terbaru dari grup peretasan Lemon Duck, termasuk pemanfaatan kerentanan Microsoft Exchange Server dan penggunaan umpan domain tingkat atas.

Eksploitasi aktif dari kerentanan Server Microsoft Exchange zero-day di alam liar adalah bencana keamanan bagi ribuan organisasi.

Pada akhir Maret, Microsoft mengatakan botnet Lemon Duck telah diamati mengeksploitasi server yang rentan dan menggunakan sistem untuk menambang cryptocurrency.

Sekarang, para peneliti dari Cisco Talos telah mendalami taktik para penyerang dunia maya saat ini.

Operator Lemon Duck menggabungkan alat baru untuk “memaksimalkan efektivitas kampanye mereka” dengan menargetkan kerentanan tingkat tinggi di Microsoft Exchange Server dan data telemetri mengikuti kueri DNS ke domain Lemon Duck menunjukkan bahwa aktivitas kampanye melonjak pada bulan April.

Mayoritas kueri datang dari AS, diikuti oleh Eropa dan Asia Tenggara. Lonjakan besar dalam kueri ke satu domain Lemon Duck juga tercatat di India.

Lemon Duck juga telah membuat umpan domain tingkat atas (TLD) untuk China, Jepang, dan Korea Selatan untuk mencoba dan mengaburkan infrastruktur pusat perintah dan kontrol (C2).

Tumpang tindih antara botnet Lemon Duck dan malware cryptocurrency Beapy / Pcastle juga telah diamati.

Selengkapnya: ZDNet

Serangan Colonial Pipeline meningkatkan permainan ransomware

by

Pada hari Jumat, Perusahaan Colonial Pipeline menemukan bahwa mereka telah terkena serangan ransomware.

Bertanggung jawab untuk mengirimkan gas, minyak pemanas, dan bentuk minyak bumi lainnya ke rumah dan organisasi, perusahaan tersebut menyumbang 45% dari bahan bakar Pantai Timur. Serangan tersebut memaksa Colonial Pipeline untuk mematikan sistem tertentu, menghentikan sementara semua operasi pipeline.

Dalam sebuah pernyataan yang dirilis pada hari Minggu, perusahaan mengatakan bahwa mereka menyewa perusahaan keamanan siber pihak ketiga untuk menyelidiki serangan itu dan menghubungi penegak hukum serta lembaga federal, termasuk Departemen Energi. Selain menangani insiden itu sendiri, Colonial Pipeline juga siap untuk menjalankan operasinya kembali online dengan aman dan terjamin.

James Shank, ketua komite Ransomware Task Force (RTF) untuk skenario terburuk, mengatakan bahwa jenis serangan terhadap infrastruktur atau layanan kritis ini menunjukkan munculnya ransomware sebagai ancaman terhadap keamanan nasional, terutama saat kita terus bergulat dengan COVID-19.

Colonial Pipeline telah mengontrak firma keamanan FireEye Mandiant untuk menyelidiki serangan itu. Seorang juru bicara FireEye mengatakan kepada TechRepublic bahwa perusahaan tidak mengomentari insiden tersebut pada saat ini. Sementara itu, FBI telah menunjuk geng ransomware DarkSide sebagai penyebab di balik serangan ini.

Selengkapnya: Tech Republic

Celah Keamanan Baru TsuNAME Dapat Membiarkan Penyerang Menghancurkan Server DNS Authoritative

by

Peneliti keamanan pada hari Kamis mengungkapkan kerentanan kritis baru yang memengaruhi resolver Domain Name System (DNS) yang dapat dimanfaatkan oleh musuh untuk melakukan serangan denial-of-service berbasis refleksi terhadap authoritative nameservers.

Celah keamanan, yang disebut ‘TsuNAME,’ ditemukan oleh peneliti dari SIDN Labs dan InternetNZ, yang mengelola domain internet tingkat atas nasional ‘.nl’ dan ‘.nz’ masing-masing untuk Belanda dan Selandia Baru.

Dengan TsuNAME, idenya adalah bahwa kesalahan konfigurasi selama pendaftaran domain dapat membuat putaran ketergantungan sehingga record nameserver untuk dua zona menunjuk satu sama lain, menyebabkan resolver yang rentan untuk “hanya memantul kembali dari zona ke zona, mengirimkan kueri non-stop ke server authoritative dari kedua zona induk,” sehingga membanjiri server authoritative zona induk mereka.

Data yang dikumpulkan dari domain .nz menemukan bahwa dua domain yang salah dikonfigurasi saja menyebabkan peningkatan 50% dalam keseluruhan volume lalu lintas untuk server authoritative .nz.

Google Public DNS (GDNS) dan Cisco OpenDNS – yang disalahgunakan untuk menargetkan domain .nz dan .nl pada tahun 2020 – telah mengatasi masalah ini di perangkat lunak resolver DNS mereka.

Untuk mengurangi dampak TsuNAMI di alam liar, para peneliti telah menerbitkan alat sumber terbuka yang disebut CycleHunter yang memungkinkan operator server DNS authoritative untuk mendeteksi putaran ketergantungan.

Selengkapnya: The Hacker News

Bagaimana APT Kimsuky Korea Utara Mengembangkan Taktiknya

by

Grup APT Korea Utara Kimsuky mengadopsi taktik, teknik, dan prosedur baru dalam serangan global, lapor peneliti yang temuannya menunjukkan operasi grup memiliki perbedaan yang cukup untuk menjamin pemisahannya menjadi dua subkelompok yang lebih kecil: CloudDragon dan KimDragon.

Kimsuky bukanlah kelompok baru tetapi telah mengadopsi metode baru untuk mendukung misinya dalam mengumpulkan intelijen. Peringatan pemerintah AS yang dikeluarkan pada Oktober 2020 melaporkan bahwa grup tersebut telah beroperasi sejak 2012 dan sering menggunakan rekayasa sosial, spear-phishing, dan serangan lubang air untuk mengumpulkan informasi dari target yang sebagian besar berlokasi di Korea Selatan, Jepang, dan AS.

Sebuah tim peneliti yang mengamati kelompok APT Korea Utara telah mengumpulkan bukti yang menunjukkan ada beberapa perbedaan signifikan dalam cara berbagai aspek Kimsuky beroperasi. Hari ini di acara virtual Black Hat Asia, Jhih-Lin Kuo dan Zin-Cing Lao, keduanya peneliti intelijen ancaman senior di TeamT5, membagi kelompok menjadi dua kelompok kecil berdasarkan target, malware, dan infrastruktur mereka, dan berbagi detail tentang bagaimana operasi kelompok telah berkembang.

Grup Kimsuky yang diungkapkan Kaspersky pada tahun 2013 telah dijuluki KimDragon oleh tim; Kimsuky yang lebih dikenal publik yang terlihat di berita utama dan laporan vendor adalah CloudDragon.

selengkapnya : beta.darkreading.com

Fasilitas Riset Terkena Ransomware Setelah Siswa Menginstal Software Bajakan

by

Berhati-hatilah saat menggunakan software bajakan. Seorang siswa di sebuah lembaga penelitian bio-molekuler yang tidak disebutkan namanya di Eropa secara tidak sengaja membuka pintu untuk serangan ransomware pada organisasi tersebut setelah menginstal sebuah perangkat lunak yang sudah di “crack”, menurut firma keamanan Sophos.

Lembaga penelitian telah melakukan penelitian COVID-19 dan memiliki kemitraan erat dengan universitas lokal, memungkinkan mahasiswa untuk terhubung ke jaringan internal fasilitas melalui klien akses jarak jauh dari Citrix. Sayangnya, seorang siswa dengan akses ke jaringan mengunduh perangkat lunak bajakan, yang membantu mengekspos fasilitas penelitian ke serangan itu.

Menurut Sophos, siswa yang tidak disebutkan namanya itu “menginginkan salinan pribadi dari perangkat lunak visualisasi data yang telah mereka gunakan untuk bekerja”. Namun, satu lisensi untuk perangkat lunak dapat menghabiskan biaya ratusan dolar per tahun. Hasilnya, siswa tersebut mencari versi “crack” dari produk perangkat lunak untuk digunakan pada laptop Windows.

“Namun, file tersebut sebenarnya adalah malware murni dan upaya penginstalan segera memicu peringatan keamanan dari Windows Defender”, kata Sophos.

Tiga belas hari setelah perangkat lunak bajakan dipasang, sambungan protokol desktop jarak jauh yang misterius dibuat ke lembaga penelitian menggunakan kredensial masuk siswa. “Sepuluh hari setelah koneksi ini dibuat, ransomware Ryuk diluncurkan,” tambah Sophos.

Selengkapnya: PCmag

Kerentanan modem memungkinkan peretas mendengarkan panggilan Anda di jutaan ponsel Android

by

Google dan pabrikan Android lainnya mencoba untuk tetap memantau keamanan perangkat keras dan perangkat lunak, pada berbagai tingkat intensitas. Tetapi kerentanan di Qualcomm SoC yang banyak digunakan yang diungkapkan oleh Check Point Research hari ini sangat mengkhawatirkan. Secara teoritis, itu dapat memungkinkan aplikasi jahat untuk menambal perangkat lunak untuk chip modem MSM Qualcomm, memberinya akses ke riwayat panggilan dan teks atau bahkan kemampuan untuk merekam percakapan.

Rincian masalah Check Point sangat teknis. Tetapi untuk membuatnya dalam istilah awam, kerentanan ditemukan dalam koneksi antara lapisan perangkat lunak Qualcomm Modem Interface (QMI) dari modem dan layanan debugger, memungkinkannya untuk secara dinamis menambal perangkat lunak dan melewati mekanisme keamanan yang biasa. Aplikasi pihak ketiga standar tidak memiliki hak keamanan untuk mengakses QMI, tetapi jika aspek Android yang lebih kritis disusupi, serangan ini dapat digunakan.

Dengan kerentanan yang mereka temukan, para peneliti menentukan bahwa aplikasi berbahaya dapat mendengarkan dan merekam panggilan telepon aktif, mendapatkan catatan panggilan dan SMS, atau bahkan membuka kunci kartu SIM. Check Point memperkirakan bahwa perangkat lunak QMI yang dianggap rentan hadir di sekitar 40% smartphone, dari vendor termasuk Samsung, Google, LG, OnePlus, Xiaomi, dan banyak lagi.

Meskipun metode untuk serangan ini dijelaskan secara luas, informasi khusus yang diperlukan dirahasiakan dari laporan untuk mencegah siapa pun dengan mudah menduplikasi proses tersebut. Sampai sekarang, tidak ada indikasi bahwa metode serangan ini benar-benar digunakan “di alam liar”.

selengkapnya : www.androidpolice.com

Penyebaran Crypto-Stealer Baru bernama ‘Panda’ melalui Discord

by

Pencuri informasi baru lainnya – Panda Stealer – sedang disebarkan melalui kampanye spam di seluruh dunia.

Pada hari Selasa, peneliti Trend Micro mengatakan bahwa mereka pertama kali melihat pencuri baru pada bulan April. Gelombang terbaru kampanye spam memiliki dampak terbesar di Australia, Jerman, Jepang, dan AS.

Email spam menyamar sebagai permintaan kutipan bisnis untuk memikat korban agar mengklik file Excel yang berbahaya. Para peneliti menemukan 264 file yang mirip dengan Panda Stealer di VirusTotal, dengan beberapa di antaranya dibagikan oleh pelaku ancaman di Discord.

Namun, pelaku ancaman juga dapat menggunakan Discord untuk berbagi build Panda Stealer satu sama lain, kata Trend Micro.

Setelah Panda merasa nyaman, ia mencoba untuk meningkatkan detail seperti private keys dan transaksi sebelumnya dari dompet cryptocurrency, termasuk Bytecoin (BCN), Dash (DASH), Ethereum (ETH) dan Litecoin (LTC).

Selain mencuri dompet, ia juga dapat mengambil kredensial dari aplikasi, termasuk NordVPN, Telegram, Discord, dan Steam. Panda juga dapat mengambil tangkapan layar dari komputer yang terinfeksi dan menghapus data dari peramban, termasuk cookies dan kata sandi.

Panda Stealer adalah tweak dari malware Collector Stealer, juga dikenal sebagai DC Stealer, yang telah ditemukan dijual di forum bawah tanah dan melalui Telegram hanya dengan $ 12.

Selengkapnya: Threat Post