Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat

Threat

Peretas SolarWinds mengakses source code Microsoft, kata perusahaan itu

by

WASHINGTON (Reuters) -Kelompok peretas di balik kompromi SolarWinds mampu membobol Microsoft Corp dan mengakses beberapa source code-nya, kata Microsoft pada Kamis, sesuatu yang dikatakan para ahli mengirimkan sinyal mengkhawatirkan tentang ambisi mata-mata.

source code – sekumpulan instruksi mendasar yang menjalankan perangkat lunak atau sistem operasi – biasanya merupakan salah satu rahasia perusahaan teknologi yang paling dijaga ketat dan Microsoft secara historis sangat berhati-hati dalam melindunginya.

Tidak jelas seberapa banyak atau bagian mana dari repositori source code Microsoft yang dapat diakses peretas, tetapi pengungkapan tersebut menunjukkan bahwa peretas yang menggunakan perusahaan perangkat lunak SolarWinds sebagai batu loncatan untuk masuk ke jaringan sensitif pemerintah AS juga memiliki kepentingan untuk menemukan cara kerja internal produk Microsoft juga.

Memodifikasi source code – yang menurut Microsoft tidak dilakukan oleh peretas – dapat menimbulkan konsekuensi yang berpotensi bencana mengingat produk Microsoft ada di mana-mana, yang mencakup rangkaian produktivitas Office dan sistem operasi Windows. Tetapi para ahli mengatakan bahwa bahkan hanya dengan dapat meninjau kode dapat menawarkan wawasan peretas yang dapat membantu mereka menumbangkan produk atau layanan Microsoft.

“source code adalah cetak biru arsitektural tentang bagaimana perangkat lunak itu dibuat,” kata Andrew Fife dari Cycode yang berbasis di Israel, sebuah perusahaan perlindungan source code.

“Jika Anda memiliki cetak birunya, jauh lebih mudah untuk merekayasa serangan.”

sumber : Reuters

Malware Emotet menyerang Pusat Kesehatan Umum Nasional Lituania

by

Jaringan internal Pusat Kesehatan Masyarakat Nasional (NVSC) Lituania dan beberapa kota telah terinfeksi malware Emotet setelah kampanye besar-besaran yang menargetkan lembaga negara bagian.

“Ketika penerima yang terinfeksi membuka pesan yang terinfeksi, virus memasuki jaringan internal institusi,” kata pejabat NVSC dalam sebuah pernyataan yang diterbitkan hari ini.

“Komputer yang terinfeksi, setelah mengunduh file tambahan, mulai mengirim email palsu atau terlibat dalam jenis aktivitas berbahaya lainnya.”

Pejabat pemerintah Lithuania, perwakilan kementerian, dan ahli diagnostik epidemiologi yang sebelumnya telah dihubungi oleh spesialis NVSC melalui email semuanya telah menerima email yang terinfeksi Emotet dari sistem yang terinfeksi.

Sistem email NVSC telah ditutup sementara pada hari Selasa untuk menghentikan penyebaran virus lebih lanjut.

Spesialis teknologi informasi NVSC, bersama dengan para ahli dari Pusat Telekomunikasi Negara Bagian dan Pusat Keamanan Siber Nasional saat ini bekerja untuk membersihkan sistem yang terkena infeksi Emotet, serta memulihkan email NVSC dan memulihkan akses email.

Ini adalah kampanye Emotet besar kedua yang menargetkan Lituania tahun ini, yang sebelumnya terdeteksi oleh NKSC pada bulan Oktober.

NKSC menerbitkan sebuah laporan pada saat itu yang merekomendasikan target potensial (termasuk namun tidak terbatas pada lembaga negara dan perusahaan) untuk mengaktifkan dan mengkonfigurasi otentikasi email Sender Policy Framework (SPF) dengan benar.

Sumber: Bleeping Computer

Data breach T-Mobile mengeskpos nomor telepon serta catatan panggilan

by

T-Mobile telah mengumumkan pelanggaran data yang mengekspos informasi jaringan milik pelanggan (CPNI), termasuk nomor telepon dan catatan panggilan.

Mulai kemarin, T-Mobile mulai mengirim pesan kepada pelanggan nya bahwa “insiden keamanan” membongkar informasi akun mereka.

Menurut T-Mobile, tim keamanannya baru-baru ini menemukan “akses tidak sah dan berbahaya” ke sistem mereka. Setelah membawa firma keamanan siber untuk melakukan penyelidikan, T-Mobile menemukan bahwa pelaku ancaman memperoleh akses ke informasi telekomunikasi yang dihasilkan oleh pelanggan, yang dikenal sebagai CPNI.

Informasi yang terungkap dalam pelanggaran ini termasuk nomor telepon, catatan panggilan, dan jumlah saluran pada akun.

T-Mobile menyatakan bahwa pelanggaran data ini tidak mengungkap nama pemegang akun, alamat fisik, alamat email, data keuangan, informasi kartu kredit, nomor jaminan sosial, ID pajak, kata sandi, atau PIN.

Dalam sebuah pernyataan kepada BleepingComputer, T-Mobile menyatakan bahwa pelanggaran ini mempengaruhi “sejumlah kecil pelanggan (kurang dari 0,2%)”. T-Mobile memiliki sekitar 100 juta pelanggan, yang setara dengan sekitar 200.000 orang yang terkena dampak pelanggaran ini.

Sumber: Bleeping Computer

Whirlpool raksasa peralatan rumah tangga terkena serangan ransomware Nefilim

by

Whirlpool raksasa peralatan rumah tangga mengalami serangan ransomware oleh geng ransomware Nefilim yang mencuri data sebelum mengenkripsi perangkat.

Whirlpool adalah salah satu pembuat aplikasi rumah terbesar di dunia dengan peralatan di bawah namanya dan KitchenAid, Maytag, Brastemp, Consul, Hotpoint, Indesit, dan Bauknecht. Whirlpool mempekerjakan 77.000 orang di 59 pusat penelitian manufaktur & teknologi di seluruh dunia dan menghasilkan pendapatan sekitar $20 miliar untuk tahun 2019.

Selama akhir pekan, geng ransomware Nefilim menerbitkan file yang dicuri dari Whirlpool selama serangan ransomware. Data yang bocor termasuk dokumen terkait tunjangan karyawan, permintaan akomodasi, permintaan informasi medis, pemeriksaan latar belakang, dan banyak lagi.

Sumber: BleepingComputer

Sebuah sumber di industri keamanan siber mengatakan kepada BleepingComputer bahwa geng ransomware Nefilim menyerang Whirlpool pada akhir pekan pertama bulan Desember.

Sumber: BleepingComputer

Nefilim bukanlah operasi ransomware yang sangat aktif tetapi dikenal karena serangan terhadap korban besar dan terkenal lainnya di masa lalu. Korban lain yang diserang oleh Nefilim termasuk Orange S.A., Dussman Group, Luxottica, dan Toll Group.

Sumber: Bleeping Computer

930.000 data Anak-Anak dalam Pelanggaran Data dari Yayasan Amal Bill & Melinda Gates, GetSchooled

by

Financial Times adalah yang pertama merilis berita (29 Desember 2020) mengenai pelanggaran data yang terjadi pada GetSchooled, sebuah badan amal yang didirikan oleh Bill & Melinda Gates Foundation yang bekerja sama dengan Viacom.

Pelanggaran ini terjadi saat GetSchooled (getschooled.com) membiarkan database mereka terbuka dan dapat diakses oleh siapa saja dengan browser dan koneksi internet.

Menurut TurgenSec, pelanggaran data tersebut berdampak pada 930 ribu individu, terdiri dari anak-anak (10-16 tahun), beberapa adalah dewasa muda, dan beberapa mahasiswa.

Informasi yang dibobol berisi detail pribadi ekstensif anak-anak, remaja, dan dewasa muda termasuk: alamat lengkap, sekolah, PII siswa lengkap termasuk nomor telepon dan email siswa, detail kelulusan, usia, jenis kelamin, dan banyak lagi.

Pelanggaran tersebut diungkapkan oleh TurgenSec (turgensec.com) kepada GetSchooled pada tanggal 18 November 2020 dan GetSchooled menutup pelanggaran pada tanggal 21 Desember, lebih dari sebulan kemudian.

Menurut Financial Times, Get Schooled membantah ukuran pelanggaran, dengan mengatakan bahwa hanya sekitar 250.000 akun dibiarkan terbuka. Mereka menambahkan bahwa di bawah sepertiga dari akun tersebut, sekitar 75.000, ditautkan ke alamat email yang tetap aktif. Diperkirakan sekitar 20.000 nomor telepon dan 12.000 alamat surat dapat diakses, tetapi tidak ada tanggal lahir atau rincian keuangan yang dimasukkan dalam database yang telah disusupi.

Sumber: Threat Technology

Malware yang dihosting di GitHub menghitung muatan Cobalt Strike dari gambar Imgur

by

Serangkaian malware baru ditemukan menggunakan file Word dengan makro untuk mengunduh skrip PowerShell dari GitHub.

Skrip PowerShell ini selanjutnya mengunduh file gambar yang sah dari layanan hosting gambar Imgur untuk memecahkan kode skrip Cobalt Strike pada sistem Windows.

Beberapa peneliti mengaitkan strain ini dengan MuddyWater (alias SeedWorm dan TEMP.Zagros), kelompok advanced persistent threat (APT) yang didukung pemerintah, pertama kali diamati pada tahun 2017 sementara terutama menargetkan entitas Timur Tengah.

Malware yang terlihat “seperti MuddyWater”, menurut peneliti Arkbird, dikirimkan sebagai makro yang disematkan dalam file Microsoft Word (*.doc) lama, dengan gaya grup APT. Dalam pengujian oleh BleepingComputer, ketika dokumen Word dibuka, dokumen tersebut menjalankan makro yang disematkan. Makro selanjutnya meluncurkan PowerShell.exe dan memberinya lokasi dari skrip PowerShell yang dihosting di GitHub.

Sumber: BleepingComputer

Skrip single-line PowerShell memiliki instruksi untuk mengunduh file PNG asli dari layanan hosting gambar Imgur. Meskipun gambar ini sendiri mungkin tidak berbahaya, nilai pikselnya digunakan oleh skrip PowerShell dalam menghitung muatan tahap berikutnya. Skrip yang didekodekan yang diperoleh dari manipulasi nilai piksel PNG adalah skrip Cobalt Strike.

Teknik menyembunyikan kode, data rahasia, atau muatan berbahaya dalam file biasa, seperti gambar, dikenal sebagai steganografi.

Peneliti telah menyediakan YARA rule yang dapat digunakan untuk mendeteksi varian di lingkungan Anda.

IOC yang terkait dengan dokumen Word yang berisi makro yang digunakan dalam kampanye malware ini diberikan di bawah ini:
d1c7a7511bd09b53c651f8ccc43e9c36ba80265ba11164f88d6863f0832d8f81
ed93ce9f84dbea3c070b8e03b82b95eb0944c44c6444d967820a890e8218b866

Jika Anda menerima dokumen Word yang mencurigakan dalam email phishing atau melalui cara lain, jangan membukanya atau menjalankan “makro” di dalamnya.

Sumber: Bleeping Computer

GoDaddy Memenangkan Penghargaan Tahun 2020 kami untuk Email Perusahaan Paling Jahat

by

Lelucon paling kejam apa yang dapat Anda lakukan terhadap karyawan yang berjuang selama pandemi global ketika jutaan orang kehilangan pekerjaan atau nyawa? GoDaddy – pencatatan domain web yang pernah terkenal karena iklan seksisnya – mencoba mencari tahu ketika mengirimkan email palsu kepada karyawan yang memberi tahu mereka bahwa mereka akan menerima bonus liburan $ 650. Seperti yang awalnya dilaporkan The Copper Courier, GoDaddy mengirimkan “tes” phishing email kepada karyawannya dengan menjanjikan uang yang sangat dibutuhkan; “2020 telah menjadi tahun rekor bagi GoDaddy, terima kasih!”, Katanya. “Meskipun kami tidak dapat merayakan bersama selama Pesta Liburan tahunan, kami ingin menunjukkan penghargaan kami dan berbagi bonus Liburan satu kali sebesar $ 650!”

Karyawan yang mengklik tautan tersebut kemudian dilaporkan menerima email dua hari kemudian yang memberi tahu mereka bahwa mereka gagal dalam ujian. Alih-alih menerima bonus liburan, mereka malah diwajibkan untuk mengikuti kursus pelatihan tentang manipulasi psikologis.

Note by Chief Geek:

– Pertama GODADDY tidak membaca artikel ini Phishing busuk yang merusak Pengalaman Karyawan dan

– Kedua Kejahatan terkait Business eMail Compromise (BEC) adalah faktor serangan terkemuka saat ini untuk mendapatkan keuntungan dengan Ransomware menyusul. Kami mendorong untuk mencegah hal ini lebih merugikan daripada menguntungkan tim keamanan siber di mana pun

Pekerja lembur mendapatkan rasa takut atau ketidakpercayaan untuk mengklik berdasarkan kemungkinan hukuman yang terkait dengan Tes Phishing. Dari pengalaman di kehidupan lampau dan kemudian diperkuat dengan artikel WSJ terkini. Mengapa Perusahaan Harus Berhenti Menakuti Karyawan Tentang Keamanan Siber (mungkin di balik paywall atau akses yang dikontrol lokasi pembaca)

Seperti yang dinyatakan sebelumnya dalam tanggapan. Agar tujuan keamanan perusahaan terpenuhi, SELURUH tim harus bekerja sebagai satu kesatuan. Kehilangan kepercayaan dari rekan kerja dan manajemen atas jenis tindakan ini perlu dicegah. Lebih dari 33 tahun yang lalu kami memiliki di unit Angkatan Udara peran mentor / teman yang sama seperti yang dibahas dalam artikel WSJ. Saya tidak dapat memastikan apakah mereka saat ini memiliki atau tidak masih memiliki gulungan ini, tetapi tidak melihat alasan mengapa mereka menghentikannya. Di peran inilah saya mulai menganggap serius keamanan siber. Tugas kami adalah membimbing dan membantu rekan-rekan kami dengan masalah dan pertanyaan keamanan sehari-hari saat mereka muncul.

Pekerjaannya adalah untuk memperjuangkan keamanan di komputer dan jaringan dalam kehidupan kita sehari-hari. Tidak semua orang dengan peran tersebut berasal dari IT. Kami pergi ke pelatihan berkelanjutan bersama tentang bagaimana mengidentifikasi ancaman dan risiko secara teratur. Kami membantu rekan-rekan kami untuk tidak melakukan hal yang salah tanpa rasa malu atau takut. Saya sangat yakin bahwa kita perlu mengembalikan level mentor ini ke dalam pelatihan kesadaran keamanan normal kita.

Tidak semua orang memahami komputer yang mereka gunakan, apalagi memahami pelatihan kesadaran keamanan siber lebih lama daripada lulus ujian. Mengajar orang-orang untuk mempercayai anggota keamanan tim mereka yang juga merupakan bagian dari tim harian normal mereka kurang menakutkan dan lebih mudah dilakukan untuk beberapa orang. Tim IT yang kelebihan beban hari ini di sebagian besar perusahaan memiliki beberapa tangan ekstra untuk menangani pertanyaan dan menyediakan filter / asisten dalam mengurangi kejadian adalah keuntungan besar.

Kami memiliki Petugas Keselamatan departemen sukarelawan di perusahaan yang memiliki kotak P3K dan mereka mungkin memiliki tugas ekstra selama kebakaran atau bencana alam. Mengapa bukan satu atau dua orang per departemen atau bagian yang secara sukarela melakukan hal yang sama untuk keamanan siber untuk rekan-rekan mereka. Bagi saya, mereka harus mendapatkan bayaran ekstra atau keuntungan lain, tetapi sejujurnya saya ingin melihat peran ini kembali ke perusahaan saat ini lebih cepat daripada nanti.

Dukungan dan dorongan positif diperlukan agar setiap organisasi tumbuh lebih aman. Yang lama adalah yang baru dan yang baru adalah yang lama. Terkadang kami tidak perlu melupakan atau mengganti solusi lama. Kami hanya perlu membangunnya kembali menggunakan praktik terbaik yang disesuaikan seiring berjalannya waktu.

Terima kasih telah membaca ini dan tetap aman by Chief Geek

sumber :
Phish busuk yang merusak Pengalaman Karyawan
Mengapa Perusahaan Harus Berhenti Menakuti Karyawan Tentang Keamanan Siber

Serangan baru oleh grup UltraRank

by

Pada bulan Agustus 2020, Group-IB menerbitkan laporan “UltraRank: twist tak terduga dari ancaman 3 rangkap JS-sniffer”. Laporan tersebut menggambarkan operasi kelompok penjahat dunia maya UltraRank, yang dalam lima tahun aktivitasnya telah berhasil menyerang 691 toko eCommerce dan 13 penyedia layanan situs web.

Pada November 2020, pakar Grup-IB menemukan gelombang baru serangan UltraRank. Meskipun serangan baru terdeteksi pada saat itu, sebagian dari infrastruktur grup tetap aktif dan beberapa situs masih terinfeksi. Penjahat dunia maya tidak menggunakan domain yang ada untuk serangan baru tetapi beralih ke infrastruktur baru untuk menyimpan kode berbahaya dan mengumpulkan data pembayaran yang dicegat.

Sebagai bagian dari kampanye baru UltraRank, tim Group-IB Threat Intelligence dan Attribution menemukan 12 situs web eCommerce yang terinfeksi dengan JavaScript-sniffer. Delapan dari mereka tetap terinfeksi pada saat publikasi. Group-IB telah mengirimkan pemberitahuan ke situs web yang terinfeksi.

Kali ini kode sniffer JS dikaburkan menggunakan obfuscation Radix. Pola kebingungan ini telah digunakan hanya oleh beberapa kelompok penjahat dunia maya, salah satunya adalah kelompok UltraRank. Setelah menyederhanakan kode, Grup-IB menemukan bahwa serangan tersebut menggunakan sniffer dari keluarga SnifLite, yang sudah diketahui oleh para ahli Grup-IB dan digunakan oleh aktor ancaman UltraRank. Karena jumlah situs web yang terinfeksi relatif kecil, penyerang kemungkinan besar menggunakan kredensial di panel administratif CMS, yang, pada gilirannya, dapat disusupi menggunakan malware atau sebagai akibat dari serangan brute force.

Selama rangkaian serangan terbaru mereka, UltraRank menyimpan kode berbahaya mereka di situs web yang meniru domain Google Tag Manager yang sah. Analisis infrastruktur aktor ancaman mengungkapkan bahwa server utama dihosting oleh Media Land LLC, yang terhubung dengan perusahaan hosting antipeluru.

sumber : UltraRank