Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat

Threat

Waspadalah: Teks phishing PayPal menyatakan akun Anda ‘terbatas’

by

Kampanye phishing pesan teks PayPal sedang berlangsung yang berupaya mencuri kredensial akun Anda dan informasi sensitif lainnya yang dapat digunakan untuk pencurian identitas.

Phishing baru tersebut berpura-pura berasal dari PayPal, yang menyatakan bahwa akun Anda telah dibatasi secara permanen kecuali Anda memverifikasi akun dengan mengeklik tautan.

Saat PayPal mendeteksi aktivitas mencurigakan atau penipuan di akun, status akun akan disetel ke “terbatas/limited”, yang akan memberi batasan sementara pada penarikan, pengiriman, atau penerimaan uang.

Pesan teks smishing itu berbunyi, “PayPal: Kami telah membatasi akun Anda secara permanen, silakan klik tautan di bawah untuk memverifikasi”.

Mengklik tautan terlampir akan membawa Anda ke halaman phishing yang meminta Anda untuk masuk ke akun Anda, seperti yang ditunjukkan di bawah ini.

Sumber: BleepingComputer

Jika Anda masuk di halaman phishing, kredensial PayPal yang dimasukkan akan dikirim ke pelaku ancaman. Halaman phishing kemudian melangkah lebih jauh dan akan mencoba mengumpulkan detail lebih lanjut dari Anda, termasuk nama, tanggal lahir, alamat, detail bank, dan lainnya.

Informasi yang dikumpulkan digunakan untuk melakukan serangan pencurian identitas, mendapatkan akses ke akun Anda yang lain, atau melakukan serangan spear-phishing yang ditargetkan.

Sumber: Bleeping Computer

Akun Backdoor ditemukan di lebih dari 100.000 firewall Zyxel, gateway VPN

by

Lebih dari 100.000 firewall Zyxel, gateway VPN, dan pengontrol titik akses berisi akun backdoor tingkat admin yang di-hardcode yang dapat memberi penyerang akses root ke perangkat melalui antarmuka SSH atau panel administrasi web.

Akun backdoor, yang ditemukan oleh tim peneliti keamanan Belanda dari Eye Control, dianggap seburuk kerentanannya.

Pemilik perangkat disarankan untuk memperbarui sistem segera setelah waktu memungkinkan.

Ini termasuk lini produk Zyxel seperti:

  • seri Advanced Threat Protection (ATP) – digunakan terutama sebagai firewall
  • seri Unified Security Gateway (USG) – digunakan sebagai firewall hibrid dan gateway VPN
  • seri USG FLEX – digunakan sebagai firewall hibrid dan gateway VPN
  • seri VPN – digunakan sebagai gateway VPN
  • seri NXC – digunakan sebagai pengontrol titik akses WLAN

sumber : ZDNET

Peretas SolarWinds mengakses source code Microsoft, kata perusahaan itu

by

WASHINGTON (Reuters) -Kelompok peretas di balik kompromi SolarWinds mampu membobol Microsoft Corp dan mengakses beberapa source code-nya, kata Microsoft pada Kamis, sesuatu yang dikatakan para ahli mengirimkan sinyal mengkhawatirkan tentang ambisi mata-mata.

source code – sekumpulan instruksi mendasar yang menjalankan perangkat lunak atau sistem operasi – biasanya merupakan salah satu rahasia perusahaan teknologi yang paling dijaga ketat dan Microsoft secara historis sangat berhati-hati dalam melindunginya.

Tidak jelas seberapa banyak atau bagian mana dari repositori source code Microsoft yang dapat diakses peretas, tetapi pengungkapan tersebut menunjukkan bahwa peretas yang menggunakan perusahaan perangkat lunak SolarWinds sebagai batu loncatan untuk masuk ke jaringan sensitif pemerintah AS juga memiliki kepentingan untuk menemukan cara kerja internal produk Microsoft juga.

Memodifikasi source code – yang menurut Microsoft tidak dilakukan oleh peretas – dapat menimbulkan konsekuensi yang berpotensi bencana mengingat produk Microsoft ada di mana-mana, yang mencakup rangkaian produktivitas Office dan sistem operasi Windows. Tetapi para ahli mengatakan bahwa bahkan hanya dengan dapat meninjau kode dapat menawarkan wawasan peretas yang dapat membantu mereka menumbangkan produk atau layanan Microsoft.

“source code adalah cetak biru arsitektural tentang bagaimana perangkat lunak itu dibuat,” kata Andrew Fife dari Cycode yang berbasis di Israel, sebuah perusahaan perlindungan source code.

“Jika Anda memiliki cetak birunya, jauh lebih mudah untuk merekayasa serangan.”

sumber : Reuters

Malware Emotet menyerang Pusat Kesehatan Umum Nasional Lituania

by

Jaringan internal Pusat Kesehatan Masyarakat Nasional (NVSC) Lituania dan beberapa kota telah terinfeksi malware Emotet setelah kampanye besar-besaran yang menargetkan lembaga negara bagian.

“Ketika penerima yang terinfeksi membuka pesan yang terinfeksi, virus memasuki jaringan internal institusi,” kata pejabat NVSC dalam sebuah pernyataan yang diterbitkan hari ini.

“Komputer yang terinfeksi, setelah mengunduh file tambahan, mulai mengirim email palsu atau terlibat dalam jenis aktivitas berbahaya lainnya.”

Pejabat pemerintah Lithuania, perwakilan kementerian, dan ahli diagnostik epidemiologi yang sebelumnya telah dihubungi oleh spesialis NVSC melalui email semuanya telah menerima email yang terinfeksi Emotet dari sistem yang terinfeksi.

Sistem email NVSC telah ditutup sementara pada hari Selasa untuk menghentikan penyebaran virus lebih lanjut.

Spesialis teknologi informasi NVSC, bersama dengan para ahli dari Pusat Telekomunikasi Negara Bagian dan Pusat Keamanan Siber Nasional saat ini bekerja untuk membersihkan sistem yang terkena infeksi Emotet, serta memulihkan email NVSC dan memulihkan akses email.

Ini adalah kampanye Emotet besar kedua yang menargetkan Lituania tahun ini, yang sebelumnya terdeteksi oleh NKSC pada bulan Oktober.

NKSC menerbitkan sebuah laporan pada saat itu yang merekomendasikan target potensial (termasuk namun tidak terbatas pada lembaga negara dan perusahaan) untuk mengaktifkan dan mengkonfigurasi otentikasi email Sender Policy Framework (SPF) dengan benar.

Sumber: Bleeping Computer

Data breach T-Mobile mengeskpos nomor telepon serta catatan panggilan

by

T-Mobile telah mengumumkan pelanggaran data yang mengekspos informasi jaringan milik pelanggan (CPNI), termasuk nomor telepon dan catatan panggilan.

Mulai kemarin, T-Mobile mulai mengirim pesan kepada pelanggan nya bahwa “insiden keamanan” membongkar informasi akun mereka.

Menurut T-Mobile, tim keamanannya baru-baru ini menemukan “akses tidak sah dan berbahaya” ke sistem mereka. Setelah membawa firma keamanan siber untuk melakukan penyelidikan, T-Mobile menemukan bahwa pelaku ancaman memperoleh akses ke informasi telekomunikasi yang dihasilkan oleh pelanggan, yang dikenal sebagai CPNI.

Informasi yang terungkap dalam pelanggaran ini termasuk nomor telepon, catatan panggilan, dan jumlah saluran pada akun.

T-Mobile menyatakan bahwa pelanggaran data ini tidak mengungkap nama pemegang akun, alamat fisik, alamat email, data keuangan, informasi kartu kredit, nomor jaminan sosial, ID pajak, kata sandi, atau PIN.

Dalam sebuah pernyataan kepada BleepingComputer, T-Mobile menyatakan bahwa pelanggaran ini mempengaruhi “sejumlah kecil pelanggan (kurang dari 0,2%)”. T-Mobile memiliki sekitar 100 juta pelanggan, yang setara dengan sekitar 200.000 orang yang terkena dampak pelanggaran ini.

Sumber: Bleeping Computer

Whirlpool raksasa peralatan rumah tangga terkena serangan ransomware Nefilim

by

Whirlpool raksasa peralatan rumah tangga mengalami serangan ransomware oleh geng ransomware Nefilim yang mencuri data sebelum mengenkripsi perangkat.

Whirlpool adalah salah satu pembuat aplikasi rumah terbesar di dunia dengan peralatan di bawah namanya dan KitchenAid, Maytag, Brastemp, Consul, Hotpoint, Indesit, dan Bauknecht. Whirlpool mempekerjakan 77.000 orang di 59 pusat penelitian manufaktur & teknologi di seluruh dunia dan menghasilkan pendapatan sekitar $20 miliar untuk tahun 2019.

Selama akhir pekan, geng ransomware Nefilim menerbitkan file yang dicuri dari Whirlpool selama serangan ransomware. Data yang bocor termasuk dokumen terkait tunjangan karyawan, permintaan akomodasi, permintaan informasi medis, pemeriksaan latar belakang, dan banyak lagi.

Sumber: BleepingComputer

Sebuah sumber di industri keamanan siber mengatakan kepada BleepingComputer bahwa geng ransomware Nefilim menyerang Whirlpool pada akhir pekan pertama bulan Desember.

Sumber: BleepingComputer

Nefilim bukanlah operasi ransomware yang sangat aktif tetapi dikenal karena serangan terhadap korban besar dan terkenal lainnya di masa lalu. Korban lain yang diserang oleh Nefilim termasuk Orange S.A., Dussman Group, Luxottica, dan Toll Group.

Sumber: Bleeping Computer

930.000 data Anak-Anak dalam Pelanggaran Data dari Yayasan Amal Bill & Melinda Gates, GetSchooled

by

Financial Times adalah yang pertama merilis berita (29 Desember 2020) mengenai pelanggaran data yang terjadi pada GetSchooled, sebuah badan amal yang didirikan oleh Bill & Melinda Gates Foundation yang bekerja sama dengan Viacom.

Pelanggaran ini terjadi saat GetSchooled (getschooled.com) membiarkan database mereka terbuka dan dapat diakses oleh siapa saja dengan browser dan koneksi internet.

Menurut TurgenSec, pelanggaran data tersebut berdampak pada 930 ribu individu, terdiri dari anak-anak (10-16 tahun), beberapa adalah dewasa muda, dan beberapa mahasiswa.

Informasi yang dibobol berisi detail pribadi ekstensif anak-anak, remaja, dan dewasa muda termasuk: alamat lengkap, sekolah, PII siswa lengkap termasuk nomor telepon dan email siswa, detail kelulusan, usia, jenis kelamin, dan banyak lagi.

Pelanggaran tersebut diungkapkan oleh TurgenSec (turgensec.com) kepada GetSchooled pada tanggal 18 November 2020 dan GetSchooled menutup pelanggaran pada tanggal 21 Desember, lebih dari sebulan kemudian.

Menurut Financial Times, Get Schooled membantah ukuran pelanggaran, dengan mengatakan bahwa hanya sekitar 250.000 akun dibiarkan terbuka. Mereka menambahkan bahwa di bawah sepertiga dari akun tersebut, sekitar 75.000, ditautkan ke alamat email yang tetap aktif. Diperkirakan sekitar 20.000 nomor telepon dan 12.000 alamat surat dapat diakses, tetapi tidak ada tanggal lahir atau rincian keuangan yang dimasukkan dalam database yang telah disusupi.

Sumber: Threat Technology

Malware yang dihosting di GitHub menghitung muatan Cobalt Strike dari gambar Imgur

by

Serangkaian malware baru ditemukan menggunakan file Word dengan makro untuk mengunduh skrip PowerShell dari GitHub.

Skrip PowerShell ini selanjutnya mengunduh file gambar yang sah dari layanan hosting gambar Imgur untuk memecahkan kode skrip Cobalt Strike pada sistem Windows.

Beberapa peneliti mengaitkan strain ini dengan MuddyWater (alias SeedWorm dan TEMP.Zagros), kelompok advanced persistent threat (APT) yang didukung pemerintah, pertama kali diamati pada tahun 2017 sementara terutama menargetkan entitas Timur Tengah.

Malware yang terlihat “seperti MuddyWater”, menurut peneliti Arkbird, dikirimkan sebagai makro yang disematkan dalam file Microsoft Word (*.doc) lama, dengan gaya grup APT. Dalam pengujian oleh BleepingComputer, ketika dokumen Word dibuka, dokumen tersebut menjalankan makro yang disematkan. Makro selanjutnya meluncurkan PowerShell.exe dan memberinya lokasi dari skrip PowerShell yang dihosting di GitHub.

Sumber: BleepingComputer

Skrip single-line PowerShell memiliki instruksi untuk mengunduh file PNG asli dari layanan hosting gambar Imgur. Meskipun gambar ini sendiri mungkin tidak berbahaya, nilai pikselnya digunakan oleh skrip PowerShell dalam menghitung muatan tahap berikutnya. Skrip yang didekodekan yang diperoleh dari manipulasi nilai piksel PNG adalah skrip Cobalt Strike.

Teknik menyembunyikan kode, data rahasia, atau muatan berbahaya dalam file biasa, seperti gambar, dikenal sebagai steganografi.

Peneliti telah menyediakan YARA rule yang dapat digunakan untuk mendeteksi varian di lingkungan Anda.

IOC yang terkait dengan dokumen Word yang berisi makro yang digunakan dalam kampanye malware ini diberikan di bawah ini:
d1c7a7511bd09b53c651f8ccc43e9c36ba80265ba11164f88d6863f0832d8f81
ed93ce9f84dbea3c070b8e03b82b95eb0944c44c6444d967820a890e8218b866

Jika Anda menerima dokumen Word yang mencurigakan dalam email phishing atau melalui cara lain, jangan membukanya atau menjalankan “makro” di dalamnya.

Sumber: Bleeping Computer