Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat

Threat

Spammer Menyelundupkan LokiBot Melalui Taktik Obfuscation URL

by

Pelaku spam mulai menggunakan teknik penyamaran URL rumit untuk menghindari deteksi – dan pada akhirnya menginfeksi korban dengan trojan LokiBot.

Taktik itu ditemukan dalam email spear-phishing baru-baru ini dengan lampiran PowerPoint, yang berisi makro berbahaya.

Saat file PowerPoint dibuka, dokumen mencoba mengakses URL melalui binary Windows (mshta.exe), dan ini menyebabkan berbagai malware diinstal ke sistem.

Proses ini bukan hal baru untuk pengunduh makro. Namun, karena domain yang terkait dengan kampanye telah diketahui menghosting file dan data berbahaya, penyerang menggunakan serangan semantik unik pada URL kampanye untuk mengelabui penerima email dan menghindari dideteksi oleh email dan AV.

Serangan URL semantik adalah ketika klien secara manual menyesuaikan parameter permintaannya dengan mempertahankan sintaks URL – tetapi mengubah arti semantiknya.

Email berbahaya yang diamati oleh peneliti berjudul: “URGENT: REQUEST FOR OFFER (University of Auckland)” dan PowerPoint terlampir berjudul “Request For Offer.”

Para spammer di balik serangan ini telah menerobos salah satu komponen skema URI yang disebut komponen Authority, yang memegang bagian informasi pengguna opsional.

Contoh dari struktur Authority ini adalah sebagai berikut: otoritas=[userinfo @]host[:port].

Karena “userinfo” tidak umum digunakan, kadang-kadang diabaikan oleh server, kata peneliti. Dalam kampanye khusus ini, penyerang memanfaatkan fakta ini, memanfaatkan apa yang oleh peneliti disebut sebagai userinfo “dummy” untuk menyembunyikan maksud sebenarnya.

Dalam kampanye khusus ini, URL yang digunakan (j [.] Mp / kassaasdskdd) sebenarnya menggunakan layanan pemendekan URL Bit.ly dan mengarah ke Pastebin. Untuk menghindari deteksi, penyerang berulang kali menggunakan string pendek acak (“% 909123id”) di bagian userinfo di URL mereka.

“Aktor siber mencoba membuat domain tidak terlalu mencolok namun tetap sesuai dengan sintaks URI generik,” kata peneliti.

Credit: Trustwave

Baca berita selengkapnya pada tautan di bawah ini;
Source: The Threat Post

Bagaimana geng malware Cina menipu pengguna Facebook

by

Pada konferensi keamanan Virus Bulletin 2020, anggota tim keamanan Facebook telah mengungkapkan detail mengenai salah satu operasi malware paling canggih yang pernah menargetkan pengguna Facebook.

Dikenal sebagai SilentFade, geng malware ini aktif antara akhir 2018 dan Februari 2019, ketika tim keamanan Facebook mendeteksi keberadaan mereka dan turun tangan untuk menghentikan serangan mereka.

SilentFade menggunakan kombinasi trojan Windows, injeksi browser, scripting cerdik, dan bug di platform Facebook, menunjukkan modus operandi canggih yang jarang terlihat dengan geng malware yang menargetkan platform Facebook.

Tujuan operasi SilentFade adalah untuk menginfeksi pengguna dengan trojan, membajak browser pengguna, dan mencuri kata sandi dan cookie browser sehingga mereka dapat mengakses akun Facebook.

Setelah memiliki akses, grup tersebut menelusuri akun yang memiliki jenis metode pembayaran apa pun yang dilampirkan ke profil mereka. Untuk akun ini, SilentFade membeli iklan Facebook dengan dana korban.

Meskipun beroperasi hanya selama beberapa bulan, Facebook mengatakan grup tersebut berhasil menipu pengguna yang terinfeksi lebih dari $4 juta, yang mereka gunakan untuk memposting iklan Facebook berbahaya di seluruh jejaring sosial.

Geng malware ini menyebarkan versi modern SilentFade dengan menggabungkannya dengan perangkat lunak resmi yang mereka tawarkan untuk diunduh secara online.

Setelah pengguna terinfeksi, trojan SilentFade akan mengambil kendali atas komputer Windows korban, namun alih-alih menyalahgunakan sistem untuk operasi yang lebih mengganggu, malware hanya mengganti file DLL yang sah di dalam instalasi browser dengan versi jahat dari DLL yang sama yang memungkinkan geng SilentFade untuk mengontrol browser.

Browser yang ditargetkan termasuk Chrome, Firefox, Internet Explorer, Opera, Edge, Orbitum, Amigo, Touch, Kometa, dan Browser Yandex.

Facebook juga mengatakan SilentFade adalah bagian dari tren yang lebih besar dan generasi baru pelaku kejahatan siber yang tampaknya tinggal di China dan terus-menerus menargetkan platformnya.

Berita selengkapnya dapat dilihat di tautan di bawah ini;
Source: ZDNet

Varian Spyware Android Mengintai di WhatsApp dan Telegram

by

Para peneliti mengatakan mereka telah menemukan varian spyware Android baru dengan strategi komunikasi perintah-dan-kontrol yang diperbarui dan kemampuan pengawasan yang diperluas yang dapat mengintip aplikasi media sosial WhatsApp dan Telegram.

Malware, Android/SpyC32.A, saat ini sedang digunakan dalam kampanye aktif yang menargetkan korban di Timur Tengah oleh kelompok ancaman APT-C-23 (juga dikenal sebagai Two-Tailed Scorpion dan Desert Scorpion).

Versi yang diperbarui, Android/SpyC23.A, telah ada sejak Mei 2019 dan pertama kali terdeteksi oleh para peneliti pada Juni 2020.

Versi terdokumentasi sebelumnya dari spyware ini memiliki berbagai kemampuan, termasuk kemampuan untuk mengambil gambar, merekam audio, mengeluarkan log panggilan, pesan SMS dan kontak, dan banyak lagi. Mereka akan melakukannya dengan meminta sejumlah izin invasif, menggunakan teknik mirip manipulasi psikologis untuk menipu pengguna yang tidak berpengalaman secara teknis.

Versi terbaru ini memiliki kemampuan pengawasan yang lebih luas, khususnya menargetkan informasi yang dikumpulkan dari media sosial dan aplikasi perpesanan. Spyware ini sekarang mampu merekam layar korban dan mengambil tangkapan layar, merekam panggilan masuk dan keluar di WhatsApp dan membaca teks pemberitahuan dari aplikasi media sosial, termasuk WhatsApp, Facebook, Skype dan Messenger.

Untuk menghindari menjadi korban spyware, peneliti menyarankan pengguna Android untuk hanya menginstal aplikasi dari toko aplikasi Google Play resmi dan untuk memeriksa izin aplikasi.

“Pada kasus dimana privasi, masalah akses, atau batasan lain yang menghalangi pengguna untuk mengikuti saran ini, pengguna harus lebih berhati-hati saat mengunduh aplikasi dari sumber tidak resmi,” kata peneliti.

“Kami merekomendasikan untuk memeriksa pengembang aplikasi, memeriksa ulang izin yang diminta, dan menggunakan solusi keamanan seluler yang tepercaya dan mutakhir.”

Naga Cyber Defense memiliki layanan mobile protection yang dapat melindungi Anda dari spyware. Hubungi kami atau cek daftar layanan kami untuk lebih datailnya.

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: The Threat Post

Phishing menggunakan OAuth meningkat dengan Serangan Microsoft Office 365

by

APT yang dikenal sebagai TA2552 telah terlihat menggunakan OAuth2 atau metode otorisasi berbasis token lainnya untuk mengakses akun Office 365, dengan tujuan mencuri kontak dan email pengguna.

OAuth adalah standar terbuka untuk delegasi akses, biasanya digunakan sebagai cara bagi orang untuk masuk ke layanan tanpa memasukkan sandi – menggunakan status masuk di layanan atau situs web tepercaya lainnya. Contohnya seperti “Sign in with Google” atau “Sign in with Facebook”.

Menurut peneliti dari Proofpoint, target menerima umpan yang dibuat dengan baik yang meminta mereka untuk mengklik tautan yang membawa mereka ke halaman persetujuan aplikasi pihak ketiga Microsoft yang sah.

Di sana, mereka diminta untuk memberikan izin hanya-baca ke aplikasi pihak ketiga (berbahaya) yang menyamar sebagai aplikasi organisasi nyata.

Aplikasi berbahaya meminta akses hanya baca ke kontak, profil, dan email pengguna – semuanya dapat digunakan untuk mengintip akun, diam-diam mencuri data, atau bahkan mencegat pesan reset password dari akun lain, seperti perbankan online.

Peneliti Proofpoint menambahkan bahwa pengguna harus mengetahui izin yang diminta ini, dan semua aplikasi pihak ketiga lainnya.

Jika persetujuan diberikan, aplikasi pihak ketiga akan diizinkan untuk mengakses akun Office 365 yang saat ini diautentikasi. Jika persetujuan ditolak, browser akan dialihkan ke halaman yang dikendalikan penyerang, memberikan aktor kesempatan untuk mencoba lagi dengan taktik yang berbeda.

Proofpoint menambahkan bahwa meskipun pesan bertema pajak dan pemerintah Meksiko adalah target spoofing normal untuk kampanye tersebut, peneliti juga mengamati iming-iming dan aplikasi yang meniru Netflix Mexico dan Amazon Prime Mexico.

Pengguna dapat melindungi diri mereka dengan memastikan bahwa aplikasi apa pun yang mereka masuki benar-benar sah. Mereka juga dapat menerapkan strategi kesadaran phishing dasar, seperti mencari ejaan dan tata bahasa yang buruk pada email. Selain itu, nama aplikasi dan URL domain dapat memberikan tanda bahaya.

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: The Threat Post

Blackbaud: Geng ransomware yang memiliki akses ke info perbankan dan kata sandi

by

Blackbaud, penyedia software cloud terkemuka, mengonfirmasikan bahwa pelaku ancaman di balik serangan ransomware Mei 2020 memiliki akses ke informasi login dan perbankan yang tidak terenkripsi, serta nomor jaminan sosial.

Insiden keamanan yang dirujuk Blackbaud diungkapkan dalam siaran pers yang dikeluarkan pada 16 Juli 2020, ketika perusahaan mengatakan bahwa para penyerang diblokir sebelum sistem dienkripsi sepenuhnya tetapi tidak sebelum mereka dapat mencuri “salinan subset data” dari lingkungan self-hosted (cloud pribadi).

Sementara Blackbaud awalnya mengatakan bahwa geng ransomware di balik serangan itu tidak dapat “mengakses informasi kartu kredit, informasi rekening bank, atau nomor jaminan sosial,” kemudian ditemukan setelah penyelidikan forensik bahwa pelaku ancaman memiliki akses ke info perbankan yang tidak terenkripsi, kredensial dan SSN.

“Setelah 16 Juli, penyelidikan forensik lebih lanjut menemukan bahwa untuk beberapa pelanggan yang diberitahu, penjahat siber mungkin telah mengakses beberapa bidang tidak terenkripsi yang dimaksudkan untuk informasi rekening bank, nomor jaminan sosial, nama pengguna dan / atau kata sandi,” kata Blackbaud.

“Pelanggan yang kami yakini menggunakan bidang ini untuk informasi semacam itu akan dihubungi minggu tanggal 27 September 2020, dan sedang diberikan dukungan tambahan.”

Tergantung pada geng ransomware yang mencuri data Blackbaud, kesediaannya untuk benar-benar menghancurkannya, dan apa yang akan dilakukannya dengan data tersebut jika tidak benar-benar dihancurkan seperti yang dijanjikan, pelanggan perusahaan mungkin menghadapi berbagai macam risiko keamanan mengingat sifat informasi yang bocor sangat sensitif.

Baca berita selengkapnya pada tautan di bawah ini;
Source: Bleeping Computer

Korea Utara telah mencoba meretas 11 pejabat Dewan Keamanan PBB

by

Sebuah kelompok peretas yang sebelumnya terkait dengan rezim Korea Utara telah terlihat meluncurkan serangan spear-phishing untuk membahayakan pejabat bagian dari Dewan Keamanan Perserikatan Bangsa-Bangsa.

Serangan tersebut, yang diungkapkan dalam laporan PBB bulan lalu, telah terjadi tahun ini dan menargetkan setidaknya 28 pejabat PBB, termasuk setidaknya 11 individu yang mewakili enam negara Dewan Keamanan PBB.

Serangan tersebut dikaitkan dengan kelompok peretas Korea Utara yang dikenal di komunitas keamanan siber dengan nama sandi Kimsuky.

Operasi Kimsuky berlangsung sepanjang Maret dan April tahun ini dan terdiri dari serangkaian kampanye spear-phishing yang ditujukan ke akun Gmail pejabat PBB.

Email tersebut dirancang agar terlihat seperti peringatan keamanan PBB atau permintaan wawancara dari wartawan, keduanya dirancang untuk meyakinkan pejabat agar mengakses halaman phishing atau menjalankan file malware di sistem mereka.

Namun serangan ini tidak berhenti pada bulan April, seperti yang dinyatakan dalam laporan PBB terbaru tentang Korea Utara, dan kelompok Kimsuky terus menargetkan PBB, sebagai bagian dari upaya yang lebih luas untuk memata-matai pengambilan keputusan PBB sehubungan dengan urusan Korea Utara dan kemungkinan rencana untuk menjatuhkan sanksi baru.

Analis PwC, yang ahli dalam operasi Kimsuky, mengatakan sebagian besar operasi grup adalah serangan spear-phishing yang bertujuan untuk mendapatkan kredensial korban untuk berbagai akun online. Operasi spear-phishing lainnya juga bertujuan agar para korban terinfeksi malware.

Baca berita selengkapnya pada tautan di bawah ini;
Source: ZDNet

Adware Linkury tertangkap sedang mendistribusikan malware

by

Sebuah keluarga adware yang dikenal terutama karena mendistribusikan pembajak browser telah tertangkap sedang menyebarkan malware besar-besaran.

Sementara perusahaan keamanan siber seperti Malwarebytes, Microsoft, atau Trend Micro saat ini mendeteksi operasi Linkury sebagai “adware,” Sundaram dan Ravichandran berpendapat bahwa “kasus ini ditandai sebagai malware kuat berdasarkan bukti yang disajikan dalam makalah [mereka].”

APA ITU LINKURY?

Sebelum presentasi VirusBulletin K7 hari ini, Linkury dulunya dikenal sebagai operasi adware.
Metode distribusinya yang utama adalah widget SafeFinder, sebuah ekstensi browser yang secara ironis diiklankan sebagai cara untuk melakukan pencarian yang aman di internet.

Tetapi para peneliti K7 mengatakan bahwa dalam kasus baru-baru ini yang mereka analisis, widget SafeFinder kini juga mulai menginstal malware resmi yang lengkap, seperti trojan infostealer Socelars dan Kpot.

Dalam kasus lain, operasi Linkury juga menjatuhkan versi browser Opera pada host yang terinfeksi, yang mereka mulai secara diam-diam di latar belakang sistem operasi untuk menampilkan iklan pop-up dan menghasilkan keuntungan bagi operator Linkury.

K7 melaporkan Linkury secara paksa memasang ekstensi di Chrome dan Firefox, untuk pengguna Windows; dan Safari, Chrome, dan Firefox, untuk pengguna Mac.

Selain itu, peneliti K7 juga mencatat bahwa installer SafeFinder juga berisi banyak fitur khusus untuk malware, seperti skrip PowerShell untuk menonaktifkan Windows Defender, dan berfungsi untuk mendeteksi kapan installer dijalankan di dalam mesin virtual dan sandbox, lingkungan yang biasanya digunakan untuk analisis malware – yang mana itu jelas ingin dihindari.

Dan yang tak kalah pentingnya, widget SafeFinder Linkury tidak memiliki niatan untuk menghormati pilihan pengguna, dengan installernya yang dirancang khusus untuk menginstal muatannya bahkan jika pengguna mencoba menghindari proses instalasi, seperti menekan “Tidak” seperti pada gambar di bawah.

sumber: ZDNet

Baca berita selengkapnya pada tautan di bawah ini;
Source: ZDNet

Kampanye worm phishing ini mengubah permainan dalam pencurian kata sandi dan pengambilalihan akun

by

Pada tanggal 29 September, arsitek keamanan siber dan pemburu bug bounty Craig Hays menguraikan upaya phishing baru-baru ini yang jauh melampaui taktik spray-dan-pray biasa dan upaya dasar untuk menyusupi jaringan, untuk menjadi “pencuri sandi terbesar yang pernah dilihatnya”.

“Kami dapat melihat bahwa semua akun sedang diakses dari lokasi asing di seluruh dunia dan mengirimkan sejumlah besar email,” kata Hays. “Untuk begitu banyak akun yang terkena serangan sekaligus, itu adalah serangan phishing yang benar-benar efektif, atau seseorang telah menunggu waktu mereka setelah mencuri kredensial dalam waktu yang lama.”

“Email phishing dikirim sebagai balasan ke email asli,” jelas peneliti. “Email dipertukarkan antar karyawan dan pemasok kami, pelanggan kami, dan bahkan secara internal antar rekan kerja.”

Beginilah cara kerjanya: setelah satu akun email disusupi, kredensial untuk akun tersebut dikirim ke bot jarak jauh. Bot kemudian akan masuk ke akun dan menganalisis email yang dikirim dalam beberapa hari terakhir.

“Untuk setiap rantai email unik yang ditemukan, mereka membalas email terbaru dengan link ke halaman phishing untuk mendapatkan kredensial,” kata Hays. “Kata-katanya cukup umum untuk menyusaikan hampir semua skenario dan tautan ke ‘dokumen’ tidak terlihat aneh.”

Dikirim sebagai balasan ke semua, menggunakan akun email yang sah, dan mengingat riwayat percakapan, sulit untuk mencoba membedakan bot dan pemilik akun asli.

Teknik tersebut, yang menghasilkan pengambilalihan masal seperti worm, membuat Hays “kagum” dengan “jumlah akun fenomenal [yang] disusupi dalam beberapa jam.”

Email phishing juga dikirim ke orang lain di luar organisasi.

Otentikasi multi-faktor lalu dengan cepat diimplementasikan untuk akun email yang tidak mengaktifkan lapisan keamanan tambahan.

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: ZDNet