Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat

Threat

Grup peretasan mengeksploitasi ZeroLogon di otomotif, gelombang serangan industri

by

Serangan dunia maya aktif dianggap sebagai hasil karya Cicada, juga dilacak sebagai APT10, Stone Panda, dan Cloud Hopper.

Secara historis, kelompok ancaman – pertama kali ditemukan pada 2009 dan yang diyakini AS mungkin disponsori oleh pemerintah China – telah menargetkan organisasi yang terhubung ke Jepang, dan gelombang serangan terbaru ini tampaknya tidak berbeda. Peneliti Symantec telah mendokumentasikan perusahaan dan anak perusahaannya di 17 wilayah, yang terlibat dalam industri otomotif, farmasi, teknik, dan penyedia layanan terkelola (MSP), yang baru-baru ini menjadi sasaran Cicada.

Menurut perusahaan, gelombang serangan terbaru Cicada telah aktif sejak pertengahan Oktober 2019 dan berlanjut hingga setidaknya Oktober tahun ini.

sumber : ZDNET

Worm Lama Tapi Teknik Obfuscation Baru

by

Kemarin saya menemukan skrip JavaSvript yang menarik yang dikirim melalui kampanye phishing biasa (SHA256: 70c0b9d1c88f082bad6ae01fef653da6266d0693b24e08dcb04156a629dd6f81) dan memiliki skor VT 17/61.

Penyamaran skrip sederhana namun efektif: kode berbahaya didekodekan dan diteruskan ke fungsi eval () untuk dieksekusi. Payload adalah string karakter Unicode yang diubah satu per satu melalui fungsi wrwrwrwererw (). Karakter pertama adalah ‘huruf kapital cyrillic ef’ yang memiliki kode desimal 1060. Karakter yang dikembalikan akan menjadi ‘/’ (kode ASCII 47). Anda tidak perlu mendekode ini secara manual, cukup ganti eval () dengan echo () dan Anda akan mendapatkan skrip yang didekodekan. Mari kita lihat. Skrip baru juga dikaburkan tetapi tetap mudah dibaca.
Worm ini telah digunakan berkali-kali dalam berbagai kampanye dan tampaknya masih aktif sampai sekarang. Server C2 adalah hxxp: // dhanaolaipallets [.] Com: 7974 /.

sumber : SANS.EDU

Malware Chaes menyerang pelanggan platform e-commerce terbesar di Amerika Latin

by

Malware yang sebelumnya tidak dikenal telah terdeteksi dalam serangan yang meluas terhadap pelanggan e-commerce di Amerika Latin.

Malware, yang dijuluki Chaes oleh para peneliti Cybereason Nocturnus, digunakan oleh pelaku ancaman di seluruh wilayah LATAM (Latin America) untuk mencuri informasi keuangan.

Dalam sebuah posting blog, tim keamanan siber mengatakan pelanggan Brasil dari perusahaan e-commerce terbesar di kawasan itu, MercadoLivre, adalah fokus dari malware infostealing tersebut.

Pertama kali terdeteksi pada akhir tahun 2020 oleh Cybereason, Chaes disebarkan melalui kampanye phishing, di mana email mengklaim bahwa pembelian di platform MercadoLivre telah berhasil. Untuk mencoba dan meningkatkan tampilan email agar terlihat sah, pelaku ancaman juga menambahkan “dipindai oleh Avast” pada footer.

Pesan tersebut berisi lampiran file .docx berbahaya. Assaf Dahan, Kepala Peneliti di Cybereason, mengatakan kepada ZDNet bahwa lampiran tersebut memanfaatkan “teknik injeksi template, menggunakan fitur bawaan Microsoft Word untuk mengambil muatan dari server jarak jauh.”

Jika korban mengklik file tersebut, kerentanan digunakan untuk membuat sambungan dengan server command-and-control (C2) penyerang, serta mendownload muatan berbahaya pertama, file .msi.

File ini kemudian menyebarkan file .vbs yang digunakan untuk menjalankan proses lain, serta uninstall.dll dan engine.bin, yang keduanya bertindak sebagai “engine” malware. Trio file yang lain – hhc.exe, hha.dll dan chaes1.bin – diinstal yang menyatukan komponen utama Chaes. Modul penambangan cryptocurrency juga dicatat.

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: ZDNet

Peretas dapat menginstal firmware berbahaya pada PC menggunakan bug Intel yang baru saja diperbaiki

by

Awal pekan ini, Intel memperbaiki serangkaian bug yang memungkinkan penyerang menginstal firmware berbahaya di jutaan komputer yang menggunakan CPU-nya.

Kerentanan tersebut memungkinkan peretas dengan akses fisik untuk mengganti perlindungan yang dibangun Intel ke dalam CPU modern yang mencegah firmware tidak resmi berjalan selama proses boot. Dikenal sebagai Boot Guard, ukuran ini dirancang untuk menghubungkan rantai kepercayaan langsung ke silikon untuk memastikan bahwa semua firmware yang dimuat ditandatangani secara digital oleh produsen komputer. Boot Guard melindungi dari kemungkinan seseorang merusak chip flash yang tersambung ke SPI yang menyimpan UEFI, yang merupakan bagian rumit dari firmware yang menjembatani firmware perangkat PC dengan sistem operasinya.

Jenis peretasan ini biasanya terjadi ketika penyerang memasang perangkat keras ke bagian dalam komputer dan menggunakan Dediprog atau alat pemrograman chip serupa untuk mengganti firmware resmi dengan firmware berbahaya.

Penyerang yang dapat melewati Boot Guard dapat melakukan sejumlah aktivitas berbahaya. salah satunya mendapatkan kunci yang digunakan untuk mengenkripsi hard drive. Dengan itu, penyerang bisa mendapatkan versi yang didekripsi dari semua data yang disimpan di komputer tanpa memerlukan kata sandi pengguna.

Penyerang juga dapat menginfeksi komputer dengan rootkit, kode berbahaya yang sulit dideteksi — yang akan berjalan dalam mode pengelolaan sistem hingga boot ulang berikutnya. Implan SMM semacam itu adalah jenis yang dilaporkan dimiliki oleh NSA.

Intel tidak mengatakan bagaimana cara memperbaiki kerentanan yang berasal dari pengaturan sekering yang tidak dapat diatur ulang. Hudson mencurigai bahwa Intel melakukan perubahan menggunakan firmware yang berjalan di Intel Management Engine, koprosesor keamanan dan manajemen di dalam chipset CPU yang menangani akses ke sekering OTP.

Source : arstechnica

Peretas yang disponsori oleh Rusia dan Korea Utara menargetkan peneliti COVID-19

by

Peretas yang disponsori oleh pemerintah Rusia dan Korea Utara telah menargetkan perusahaan yang terlibat langsung dalam penelitian vaksin dan perawatan untuk COVID-19, dan dalam beberapa kasus, serangan telah berhasil, kata Microsoft pada hari Jumat.

Secara keseluruhan, ada tujuh perusahaan terkemuka yang menjadi target, kata Wakil Presiden Perusahaan Microsoft untuk Keamanan & Kepercayaan Pelanggan Tom Burt. 7 perusahaan tersebut termasuk pembuat vaksin dengan vaksin COVID-19 dalam berbagai tahap uji klinis, organisasi penelitian klinis yang terlibat dalam uji coba, dan pengembang uji COVID-19.

Yang juga menjadi sasaran adalah organisasi dengan kontrak atau investasi dari lembaga pemerintah di seluruh dunia untuk pekerjaan terkait COVID-19. Sasarannya berada di AS, Kanada, Prancis, India, dan Korea Selatan.

Salah satu kelompok penyerang yang terlibat adalah Strontium, sebutan Microsoft untuk peretas yang disponsori oleh pemerintah Rusia. Mereka menggunakan password spraying dan serangan login brute force yang membombardir server dengan sejumlah besar kredensial dengan harapan dapat menebak yang benar.

Dua kelompok lain — dijuluki Zinc dan Cerium — bekerja atas nama pemerintah Korea Utara. Keduanya menggunakan email spear phishing, dengan email dari perekrut pekerjaan fabrikasi Zinc dan email dari Cerium yang menyamar sebagai perwakilan dari Organisasi Kesehatan Dunia (WHO).

Serangan lain, kata Burt, menargetkan rumah sakit di Republik Ceko, Prancis, Spanyol, Thailand, dan AS. Pada bulan September, seorang pasien meninggal setelah serangan ransomware mengalihkannya ke rumah sakit terpencil di Jerman.

Baca berita selengkapnya pada tautan berikut:
Sumber: Ars Technica

Pompa infus Alaris milik BD ditandai karena adanya kerentanan keamanan siber

by

Unit pompa infus Alaris BD telah menjadi subjek pemberitahuan penarikan di bawah keputusan persetujuan yang diubah dengan FDA. Penasihat Medis ICS yang dikeluarkan oleh DHS pada hari Kamis tidak terkait dengan masalah tersebut. Sebaliknya, pemberitahuan tersebut berkaitan dengan kerentanan sesi jaringan yang memengaruhi proses otentikasi antara versi tertentu dari Unit PC Alaris dan Manajer Sistem.

Penyerang dengan akses ke jaringan yang terkait dengan perangkat BD yang terpengaruh dapat mengeksploitasi kerentanan untuk membuat sesi jaringan langsung antara Alaris PC Unit dan Manajer Sistem, asalkan mereka dapat mengarahkan permintaan otentikasi dan menyelesaikan jabat tangan otentikasi, sejenis pemeriksaan identitas.

Eksploitasi yang berhasil memungkinkan serangan DoS yang menyebabkan penurunan fungsi nirkabel Unit PC. Pengguna kemudian perlu mengoperasikan Unit PC secara manual tetapi akan terus berfungsi seperti yang diprogram.

Mungkin tidak ada pengguna yang akan menghadapi masalah tersebut. BD belum menerima laporan serangan dunia nyata dan telah mengatasi kerentanan di lebih dari 60% penginstalan Manajer Sistem melalui peningkatan server normalnya. Sebuah patch untuk perangkat lunak Unit PC direncanakan. Untuk sementara, BD menyarankan pengguna untuk mempertimbangkan mitigasi termasuk penggunaan firewall dan penonaktifan protokol dan layanan akun yang tidak perlu.

Capcom menkonfirmasi adanya data breach data breach dalam serangan siber

by

Jika anda tumbuh di masa-masa permainan arcade, maka anda pasti mengenal Capcom, pengembang waralaba game terkenal seperti Street Fighter, Resident Evil, Ghosts and Goblins, Devil May Cry, dan Mega Man. Raksasa game Jepang tersebut telah mengumumkan databreach setelah mengonfirmasi bahwa penyerang mencuri informasi sensitif pelanggan dan karyawan selama serangan ransomware baru-baru ini.

Diketahui bahwa malware yang menyebabkan insiden tersebut adalaj ransomware Ragnar Locker, yang menyebabkan serangan cyber Capcom setelah peneliti keamanan menemukan sampel malware yang digunakan dalam serangan mereka.

Capcom menyatakan tidak ada indikasi bahwa data apa pun telah dicuri.
“Lebih lanjut, disebutkan bahwa saat ini tidak ada indikasi bahwa informasi pelanggan telah dilanggar,” kata Capcom dalam siaran pers 4 November.
Namun, pernyataan mereka bertentangan dengan sampel data yang dicuri yang dilihat oleh BleepingComputer dan diterbitkan oleh Ragnar Locker di situs web dan catatan tebusan mereka.

Capcom mengakui bahwa tidak hanya dokumen rahasia perusahaan yang dicuri, tetapi pelaku ancaman juga mencuri data pelanggan dan karyawan.

Selama serangan itu, para peretas memperoleh akses ke nama pelanggan, alamat, jenis kelamin, nomor telepon, alamat email, tanggal lahir, nama investor, dan jumlah kepemilikan saham, dan foto.
Bagi karyawan, informasi yang terekspos dapat mencakup nama, alamat, informasi paspor, tanda tangan, tanggal lahir, nomor telepon, foto, alamat email, dan lainnya.

Jika anda pernah mendaftarkan akun anda ke Capcom, kami menyarankan untuk mengubah kata sandi Anda dan memastikannya tidak digunakan di situs lain

Heartbleed, BlueKeep dan kerentanan lainnya tidak hilang hanya karena tidak pernah dibicarakan lagi.

by

Karena kerentanan kritis baru ditemukan dan dipublikasikan hampir setiap hari, maka tidak heran jika profesional keamanan dan media berorientasi keamanan cenderung berfokus pada hal ini dan tidak kembali ke kerentanan yang muncul sebelumnya. Kecuali jika ada kampanye eksploitasi besar-besaran. Hal ini tidak menimbulkan masalah bagi organisasi, yang berhasil menambal kerentanan tepat waktu, tetapi bagi banyak orang lainnya kerentanan “historis” masih menimbulkan bahaya yang nyata dan nyata.

Jan Kaprova, penulis di Internet Storm Center melihat jumlah mesin yang yang masih terpengaruh oleh CVE-2020-0796, juga dikenal sebagai SMBGhost. Melihat sangat tinggi membuat jan berpikir tentang seberapa tinggi angka tersebut untuk kerentanan berdampak tinggi lainnya (dan yang lebih lama). dan menghasilkan report top 10 kerentanan “lawas” dengan CVE-2019-0211 yang masih terdapat pada 3357835 sistem dengan skor CVSSv3 7.8.

bahkan CVE-2014-0160, atau yang dikenal dengan Heartbleed. masih beradmpak pada 204878 sistem dengan skor CVSSv3 7.5. Angka yang cukup tinggi untuk kerentanan yang berusia 6 Tahun. Jan memperingatkan salah satu dari kerentanan ini mungkin berpotensi mengancam kemanan sistem suatu hari nanti.

Source : Internet Storm Center