Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat

Threat

Lonjakan ancaman ransomware, Ryuk menyerang sekitar 20 org per minggu

by

Peneliti malware yang memantau ancaman ransomware melihat peningkatan tajam dalam beberapa serangan ransomware selama beberapa bulan terakhir dibandingkan dengan enam bulan pertama tahun 2020.

Di bagian atas daftar adalah keluarga ransomware Maze, Ryuk, dan REvil (Sodinokibi), menurut data yang baru-baru ini diterbitkan dari Check Point dan tim IBM Security X-Force Incident Response.

Data dari Check Point mengacu pada kuartal ketiga tahun ini menunjukkan bahwa Maze dan Ryuk adalah keluarga ransomware yang paling umum, dengan ransomware menyerang rata-rata 20 perusahaan per minggu.

Perusahaan mengatakan bahwa serangan ransomware meningkat sebesar 50% pada tingkat global pada kuartal ketiga tahun 2020, Ryuk dan Maze adalah ancaman yang paling umum.

Di Amerika, serangan ini hampir dua kali lipat pada kuartal ketiga, menempatkannya di lima besar negara yang paling terpengaruh di Q3:

  • Amerika Serikat (98,1% meningkat)
  • India (39,2% meningkat)
  • Sri Lanka (436% meningkat)
  • Rusia (57,9% meningkat)
  • Turki (32,5% meningkat)

Serangan ransomware sangat menguntungkan bagi penjahat siber sehingga hampir tidak ada peluang ancaman ini menghilang dalam waktu dekat, terutama dengan taktik yang berkembang (mencuri data dan membocorkan atau menjualnya di web gelap) yang dirancang untuk memaksa membayar tebusan.

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: Bleeping Computer

Botnet HEH baru dapat menghapus router dan perangkat IoT

by

Dinamakan HEH, botnet ini menyebar dengan meluncurkan serangan brute force terhadap sistem yang terhubung ke internet yang memiliki port SSH (23 dan 2323) yang terbuka secara online.

Jika perangkat menggunakan kredensial SSH default atau yang mudah ditebak, botnet mendapatkan akses ke sistem, di mana ia segera mengunduh salah satu dari tujuh binary yang kemudian dapat menginstal malware HEH.

Malware HEH ini tidak mengandung fitur ofensif.

Satu-satunya fitur yang ada adalah fungsi yang menjerat perangkat yang terinfeksi dan memaksa mereka untuk melakukan serangan brute force SSH di internet untuk membantu memperkuat botnet; fitur yang memungkinkan penyerang menjalankan perintah Shell pada perangkat yang terinfeksi; dan variasi dari fitur kedua ini yang menjalankan daftar operasi Shell yang telah ditentukan sebelumnya yang menghapus semua partisi perangkat.

HEH ditemukan oleh peneliti keamanan dari Netlab, divisi keamanan jaringan raksasa teknologi China Qihoo 360, dan dirinci untuk pertama kalinya dalam laporan yang diterbitkan pada 6 Oktober 2020.

Karena ini adalah botnet yang relatif baru, peneliti Netlab tidak dapat mengetahui apakah operasi penghapusan perangkat disengaja atau apakah itu hanya rutinitas penghancuran diri dengan kode yang buruk.

Saat ini, Netlab mengatakan telah mendeteksi sampel HEH yang dapat dijalankan pada arsitektur CPU berikut x86 (32/64), ARM (32/64), MIPS (MIPS32 / MIPS-III), dan PPC.

Botnet ini masih menyebar. HEH, meskipun belum memblokir perangkat apa pun, tidak akan menjadi botnet pertama yang menghapus perangkat IoT. Dua yang pertama adalah BirckerBot dan Silex.

Baca berita selengkapnya pada tautan di bawah ini;
Source: ZDNet

Black-T Malware Muncul Dari Cryptojacker Group TeamTNT

by

Para peneliti telah menemukan langkah awal malware cryptojacking terbaru dari TeamTNT, yang disebut Black-T. Varian ini dibangun di atas pendekatan khas grup, dengan beberapa tambahan baru – dan canggih.

TeamTNT dikenal dengan penargetan kredensial Amazon Web Services (AWS), untuk membobol cloud dan menggunakannya untuk menambang cryptocurrency Monero.

Namun menurut para peneliti dari Palo Alto Network’s Unit 42, menggunakan Black-T, kelompok tersebut telah menambahkan kemampuan tambahan pada taktik, teknik dan prosedur (TTP). Ini termasuk penambahan pemindai jaringan yang canggih; penargetan alat penambangan XMR pesaing di jaringan; dan penggunaan pengikis kata sandi.

Apa yang akan dilakukan TeamTNT dengan kata sandi yang disimpan dan kemampuan tambahan masih belum jelas, tetapi perkembangan menandakan bahwa grup tidak berencana untuk melambat dalam waktu dekat.

Setelah diterapkan, urutan bisnis pertama untuk Black-T adalah menonaktifkan malware lain yang bersaing untuk mendapatkan kekuatan pemrosesan, termasuk Kinsing, Kswapd0, ntpd miner, redis-backup miner, auditd miner, Migration miner, the Crux worm dan Crux worm miner.

Ironisnya, fakta bahwa TeamTNT mengidentifikasi pesaing ini dalam malware mereka memberi para profesional keamanan peringatan kritis untuk mewaspadai potensi ancaman dari kelompok-kelompok ini, kata Unit 42.

Setelah menghilangkan pesaing mereka, Black-T menginstal masscan, libpcap untuk mendengarkan berbagai sumber daya di jaringan, termasuk pnscan, zgrab, Docker dan jq.

Berikutnya, Black-T mengambil berbagai download: Beta untuk membuat direktori baru; alat pengikis sandi mimipy dan mimipenquin; dan perangkat lunak penambangan XMR yang disebut bd.

Karena pekerjaan jarak jauh dan penghematan biaya terus mendorong komputasi ke cloud, lebih banyak grup seperti TeamTNT pasti akan muncul dan siap untuk memanfaatkan, menurut Quist.

Baca berita selengkapnya pada tautan di bawah ini;
Source: The Threat Post

MosaicRegressor: Rootkit UEFI kedua ditemukan di alam liar

by

Rootkit UEFI kedua yang digunakan di alam liar ditemukan oleh peneliti keamanan selama investigasi seputar serangan dari tahun 2019 terhadap dua organisasi non-pemerintah (LSM).

Firmware UEFI (Unified Extensible Firmware Interface) memungkinkan malware yang sangat persisten mengingat bahwa itu diinstal dalam penyimpanan flash SPI yang disolder ke motherboard komputer sehingga tidak mungkin untuk dihilangkan melalui instalasi ulang OS atau penggantian hard drive.

Bootkit UEFI, dijuluki MosaicRegressor oleh peneliti Kaspersky Mark Lechtik dan Igor Kuznetsov yang menemukannya, adalah kerangka kerja malware modular dan multi-stage yang digunakan oleh peretas berbahasa Mandarin dalam operasi pencurian data dan spionase.

Hanya satu contoh lain dari bootkit UEFI yang digunakan di alam liar yang diketahui, yaitu LoJax, rootkit yang ditemukan oleh ESET pada tahun 2018.

LoJax disuntikkan oleh kelompok peretas APT28 berbahasa Rusia dalam perangkat lunak anti-theft LoJack yang sah dalam bentuk modul UEFI yang ditambal.

MosaicRegressor mempunyai beberapa downloader dan, terkadang, beberapa pemuat perantara yang tujuan akhirnya adalah mengunduh dan mengeksekusi muatan berbahaya pada mesin target.

Laporan lengkap Kaspersky (termasuk detail teknis) tentang bootkit MosaicRegressor UEFI multi-stage dan modular dapat ditemukan di sini (PDF).

Baca berita selengkapnya pada tautan di bawah ini;
Source: Bleeping Computer

Chip T2 Apple memiliki kerentanan yang tidak dapat diperbaiki yang memungkinkan akses root

by

Perangkat macOS Apple dengan prosesor Intel dan chip T2 rentan terhadap eksploitasi yang tidak dapat diperbaiki yang dapat memberi penyerang akses root, klaim peneliti keamanan siber.

Chip T2, hadir di sebagian besar perangkat macOS modern, adalah silicon co-processor Apple yang menangani operasi boot dan keamanan, bersama dengan fitur yang berbeda seperti pemroses audio.

Niels H., seorang peneliti keamanan independen, menunjukkan bahwa chip T2 memiliki cacat serius yang tidak dapat ditambal. Menurut Niels H., karena chip T2 didasarkan pada prosesor Apple A10, itu rentan terhadap eksploitasi checkm8 yang sama yang memengaruhi perangkat berbasis iOS. Kerentanan tersebut memungkinkan penyerang untuk menghindari kunci aktivasi dan melakukan serangan berbahaya lainnya.

Setelah penyerang mendapatkan akses ke chip T2, mereka akan memiliki akses root penuh dan hak eksekusi kernel. Meskipun mereka tidak dapat mendekripsi file yang dilindungi oleh enkripsi FileVault, mereka dapat menyuntikkan keylogger dan mencuri kata sandi karena chip T2 mengelola akses keyboard.

Apple juga tidak dapat menambal kerentanan tanpa revisi perangkat keras, karena sistem operasi yang mendasari T2 (SepOS) menggunakan memori hanya-baca untuk alasan keamanan. Di sisi lain, itu juga berarti kerentanannya tidak terus-menerus – ini akan membutuhkan komponen perangkat keras, seperti kabel USB-C yang berbahaya dan dibuat khusus.

Karena sifat kerentanan dan eksploitasi terkait, akses fisik diperlukan agar serangan dapat dilakukan.

Jadi, rata-rata pengguna dapat menghindari eksploitasi dengan menjaga keamanan fisik, dan tidak mencolokkan perangkat USB-C dengan sumber yang tidak diverifikasi.

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: Apple Insider

Peringatan! Steker pintar ini dapat diretas dan menyalakan api

by

Sebuah studi baru-baru ini menemukan beberapa kelemahan keamanan utama dengan steker pintar yang diuji. Jika Anda menggunakan steker pintar di rumah, Anda mungkin ingin mencatat masalahnya.

Organisasi yang berbasis di Inggris, Which?, baru-baru ini menyelesaikan studi tentang steker pintar, dan apa yang ditemukan cukup mengganggu.

Ternyata beberapa steker pintar murah yang ditemukan di pasar online dapat datang dengan masalah keamanan kritis yang membuat Anda rentan terhadap peretas. Lebih buruk lagi? Beberapa kekurangan desain bahkan dapat memicu kebakaran.

Sebagai bagian dari studi, Which? membeli 10 steker pintar dari pengecer online populer untuk pengujian.

Mulai dari merek populer seperti TP-Link dan Hive hingga merek yang kurang terkenal seperti Hictkon, Meross, dan Ajax Online. Sembilan dari 10 steker pintar yang diuji memiliki masalah, dan total 13 kerentanan ditemukan secara bersamaan.

Steker pintar dengan masalah keamanan:
  • Hictkon Smart Plug

    • Masalah utamanya adalah steker yang dirancang dengan buruk menimbulkan risiko kebakaran, terutama untuk rumah dengan kabel yang lebih tua. Jika Anda menggunakan steker pintar ini, Which? merekomendasikan Anda untuk mencabutnya dan segera berhenti menggunakannya.

Steker pintar dengan masalah keamanan:
  • TP Link Kasa Smart Plug

    • Masalah utama adalah Cacat keamanan kritis dapat memungkinkan peretas untuk mengambil kendali penuh atas steker dan daya yang mengalir ke perangkat yang terhubung. Kerentanan khusus ini adalah hasil dari enkripsi yang lemah. Menurut Which?, TP-Link telah mengembangkan perbaikan untuk masalah dengan steker pintar Kasa. Patch akan diluncurkan bulan ini (Oktober).

  • Meross Smart Plug

    • Masalah utama yang diidentifikasi Which? adalah bahwa sandi Wi-Fi pengguna tidak dienkripsi selama penyiapan steker pintar. Itu berarti seorang peretas dapat, secara teori, mencuri mereka dan menggunakan koneksi Wi-Fi atau membahayakan perangkat lain. Meross memberi tahu Which? bahwa mereka akan bekerja untuk memperbaiki masalah tersebut, tetapi belum ada tanggal untuk perbaikan yang telah dicatat.

Untuk beberapa kerentanan pada steker pintar yang lain dapat di baca pada tautan di bawah ini;
Source: Komando

Upaya Google memperingatkan kelemahan keamanan Android di perangkat non-Pixel

by

Google telah berupaya untuk meningkatkan keamanan Android, seperti mempercepat pembaruan dan menawarkan bug bounty, tetapi sekarang Google meningkatkannya dengan mengungkap kerentanan untuk perangkat lunak yang tidak ditulisnya.

Perusahaan raksasa itu telah meluncurkan Android Partner Vulnerability Initiative (melalui XDA-Developers) untuk mengelola kelemahan keamanan yang ditemukannya khusus untuk perangkat Android pihak ketiga.

Perusahaan menambahkan bahwa inisiatifnya telah mengatasi sejumlah masalah Android. Mereka tidak menyebutkan nama perusahaan dalam blognya, namun pelacak bug untuk program menyebutkan beberapa produsen.

Misalnya seperti, Huawei mengalami masalah dengan cadangan perangkat yang tidak aman pada tahun 2019. Ponsel Oppo dan Vivo memiliki kerentanan sideloading. ZTE memiliki kelemahan dalam layanan pesan dan pengisian otomatis browser. Vendor lain yang terpengaruh termasuk Meizu, pembuat chip MediaTek, Digitime, dan Transsion.

Google memberi tahu semua vendor sebelum mengungkapkan kekurangannya, dan sebagian besar, jika tidak semua, tampaknya telah diperbaiki.

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: Endgadget

Aplikasi Threema & Telegram palsu yang menyembunyikan spyware untuk serangan yang ditargetkan

by

Dimulai dari sampel malware yang tidak banyak diketahui, peneliti keamanan melacak spyware Android baru yang didistribusikan melalui aplikasi perpesanan palsu seperti Threema, Telegram, dan WeMessage.

Pada April 2020, peneliti keamanan MalwareHunterTeam membuat tweet tentang spyware untuk Android yang memiliki tingkat deteksi sangat rendah di VirusTotal. Memeriksa sampel, para peneliti di ESET menemukan bahwa itu adalah bagian dari malware toolkit yang digunakan oleh aktor ancaman APT-C-23.

Sekitar dua bulan kemudian, pada bulan Juni, MalwareHunterTeam menemukan sampel baru dari malware yang sama yang disembunyikan di file instalasi aplikasi olahpesan Telegram yang tersedia dari DigitalApps, toko Android tidak resmi.

Karena solusi keamanan mereka termasuk di antara beberapa yang mendeteksi spyware baru dari APT-C-23, ESET mulai menyelidiki dan menemukan bahwa malware juga disembunyikan di aplikasi lain yang terdaftar di toko.

Mereka menemukannya di Threema, platform perpesanan yang aman, dan di AndroidUpdate, aplikasi yang menyamar sebagai pembaruan sistem untuk platform seluler.

Dengan Threema dan Telegram, korban akan mendapatkan fungsionalitas penuh dari aplikasi bersama dengan malware, sehingga menyembunyikan sifat jahat dari aplikasi palsu tersebut.

ESET mengamati bahwa daftar fitur sekarang mencakup kemungkinan aplikasi untuk membungkam pemberitahuan dari aplikasi keamanan yang terintegrasi dengan perangkat dari Samsung, Xiaomi, dan Huawei, memungkinkannya untuk tetap tersembunyi bahkan jika aktivitasnya terdeteksi.

Selain itu, spyware versi baru ini dapat membaca pemberitahuan dari aplikasi perpesanan (WhatsApp, Facebook, Telegram, Instagram, Skype, Messenger, Viber), secara efektif mencuri pesan masuk.

Spyware juga dapat merekam layar (video dan gambar) serta panggilan masuk dan keluar melalui WhatsApp. Itu juga dapat melakukan panggilan secara diam-diam, dengan membuat overlay layar hitam yang meniru telepon yang tidak aktif.

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: Bleeping Computer