Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat

Threat

Serangan Flipper Zero Phishing yang Menargetkan Komunitas Infosec

by

Kampanye phishing baru memanfaatkan meningkatnya minat anggota komunitas keamanan terhadap Flipper Zero untuk mencuri informasi pribadi dan mata uang kripto mereka.

Flipper Zero adalah alat keamanan siber multi-fungsi portabel untuk penguji pena dan penggemar peretasan. Alat ini memungkinkan peneliti untuk mengutak-atik berbagai perangkat keras dengan mendukung emulasi RFID, kloning kunci akses digital, komunikasi radio, NFC, inframerah, Bluetooth, dan banyak lagi.

Pengembang meluncurkan perangkat setelah kampanye Kickstarter 2020 yang sangat sukses, yang melampaui target pendanaan sebesar $60.000 sebanyak 81 kali, setelah menerima $4.882.784 dalam janji.

Menargetkan peneliti keamanan siber
Aktor ancaman sekarang memanfaatkan minat besar pada Flipper Zero dan kurangnya ketersediaannya dengan membuat toko palsu yang berpura-pura menjualnya.

Kampanye phishing ini ditemukan oleh analis keamanan Dominic Alvieri, yang melihat tiga akun Twitter palsu dan dua toko Flipper Zero palsu.

Sekilas, salah satu akun Twitter palsu itu tampak memiliki pegangan yang sama dengan akun resmi Flipper Zero. Namun, pada kenyataannya, ia menggunakan huruf besar “I” pada namanya, yang terlihat seperti huruf “l” di Twitter.

Akun Twitter palsu (kiri) Akun Twitter asli (kanan)
Flipper Zero shop palsu

Tujuannya adalah membawa pembeli ke halaman checkout phishing, di mana mereka diminta untuk memasukkan alamat email, nama lengkap, dan alamat pengiriman.

Para korban kemudian diberikan pilihan untuk membayar menggunakan cryptocurrency Ethereum atau Bitcoin dan diberitahu bahwa pesanan mereka akan diproses dalam waktu 15 menit setelah penyerahan.

Pelaku ancaman sejak itu beralih menggunakan faktur plisio.net untuk menerima pembayaran crypto, yang sekarang termasuk Litecoin. Namun, faktur tersebut tidak berfungsi, yang menyatakan bahwa pesanan telah kedaluwarsa.

sangat penting untuk mencari promosi ini dan toko yang mengklaim ketersediaan produk langsung dan hanya membeli dari toko resmi.

sumber : bleepingcomputer

Kampanye Malware BitRAT Menggunakan Data Bank Curian Untuk Phishing

by Leave a Comment

Pelaku ancaman di balik kampanye malware baru-baru ini telah menggunakan informasi yang dicuri dari nasabah bank di Kolombia sebagai umpan dalam email phishing yang dirancang untuk menginfeksi target dengan trojan BitRAT, menurut perusahaan keamanan cloud Qualys.

Infrastruktur bank koperasi Kolombia yang dirahasiakan telah dibajak oleh penyerang saat menyelidiki umpan BitRAT dalam serangan phishing aktif. Sejumlah 418.777 catatan berisi data sensitif pelanggan dicuri dari server yang dilanggar.

Qualys juga menemukan bukti bahwa penyerang telah mengakses data pelanggan, termasuk log yang menunjukkan bahwa mereka mencari bug injeksi SQL menggunakan alat sqlmap.

Belum ada informasi yang dicuri dari server bank Kolombia yang ditemukan di web yang dipantau oleh Qualys.

Malware dikirim ke komputer korban melalui file Excel berbahaya yang menjatuhkan dan mengeksekusi file INF, disandikan dalam makro yang disamarkan, dibundel dengan lampiran.

Umpan BitRAT Excel (Qualys)

Pada tahap terakhir serangan, malware RAT memindahkan pemuatnya ke folder startup Windows untuk mendapatkan persistensi dan memulai ulang secara otomatis setelah sistem dinyalakan ulang.

Setidaknya Agustus 2020, BitRAT telah dijual sebagai malware siap pakai di pasar web gelap dan forum kejahatan dunia maya dengan harga $20 untuk akses seumur hidup.

BitRAT dapat digunakan untuk berbagai tujuan jahat, seperti merekam video dan audio, pencurian data, serangan DDoS, penambangan mata uang kripto, dan mengirimkan muatan tambahan.

Selengkapnya: BleepingComputer

Polandia Memperingatkan Serangan Oleh Kelompok Hacker Ghostwriter yang Terkait dengan Rusia

by

Pemerintah Polandia memperingatkan lonjakan serangan dunia maya dari peretas yang terkait dengan Rusia, termasuk kelompok peretasan yang disponsori negara yang dikenal sebagai GhostWriter.

Polandia yakin peretas Rusia menargetkan negara mereka karena dukungan berkelanjutan yang mereka berikan kepada Ukraina dalam konflik militer yang sedang berlangsung dengan Rusia.

Cyberattack Terbaru
Kasus pertama yang disorot oleh pos pemerintah Polandia adalah serangan DDoS (distributed denial of service) terhadap situs web parlemen (‘sejm.gov.pl’), yang dikaitkan dengan NoName057(16) aktivis peretas pro-Rusia.’

Serangan itu terjadi sehari setelah parlemen mengadopsi resolusi yang mengakui Rusia sebagai negara sponsor terorisme, membuat situs web tidak dapat diakses oleh publik.

Menurut orang Polandia, para peretas Rusia membuat situs web yang menyamar sebagai domain pemerintah gov.pl, mempromosikan kompensasi keuangan palsu untuk penduduk Polandia yang diduga didukung oleh dana Eropa.

Mengklik tombol tersemat untuk mempelajari lebih lanjut tentang program membawa korban ke situs phishing di mana mereka diminta membayar sedikit biaya untuk verifikasi.

Kampanye ’22 Desember yang menyamar sebagai administrasi pajak Polandia (gov.pl)

GhostWriter telah aktif setidaknya sejak 2017, sebelumnya diamati meniru jurnalis dari Lituania, Latvia, dan Polandia, untuk menyebarkan informasi palsu dan narasi anti-NATO kepada khalayak lokal.

Menanggapi meningkatnya ancaman dunia maya, Perdana Menteri Polandia telah meningkatkan tingkat ancaman keamanan dunia maya menjadi ‘CHARLIE-CRP’, memperkenalkan berbagai langkah seperti mempertahankan daftar 24 jam di kantor yang ditunjuk dan organisasi administrasi publik.

sumber : BleepingComputBleepingComputer

Raspberry Robin Worm Berevolusi Menyerang Sektor Keuangan dan Asuransi di Eropa

by

Sektor keuangan dan asuransi di Eropa telah menjadi sasaran worm Raspberry Robin, karena malware terus mengembangkan kemampuan pasca-eksploitasi sambil tetap berada di bawah radar.

Raspberry Robin, juga disebut worm QNAP, digunakan oleh beberapa pelaku ancaman sebagai sarana untuk mendapatkan pijakan ke dalam jaringan target. Menyebar melalui drive USB yang terinfeksi dan metode lainnya, kerangka tersebut baru-baru ini digunakan dalam serangan yang ditujukan pada sektor telekomunikasi dan pemerintah.

Microsoft melacak operator Raspberry Robin di bawah moniker DEV-0856.

Investigasi forensik Security Joes terhadap salah satu serangan tersebut telah mengungkapkan penggunaan file 7-Zip, yang diunduh dari browser korban melalui rekayasa sosial dan berisi file penginstal MSI yang dirancang untuk menghapus beberapa modul.

Dalam contoh lain, file ZIP dikatakan telah diunduh oleh korban melalui iklan penipuan yang dihosting di domain yang diketahui mendistribusikan adware.

File arsip, disimpan di server Discord, berisi kode JavaScript yang disandikan yang, setelah dieksekusi, menjatuhkan pengunduh yang dilindungi dengan banyak lapisan penyamaran dan enkripsi untuk menghindari deteksi.

Pengunduh kode shell terutama direkayasa untuk mengambil executable tambahan, Ini melibatkan pengumpulan Pengidentifikasi Unik Universal (UUID) host, dalam beberapa kasus bahkan beralih ke bentuk tipu daya dengan menyajikan malware palsu.

Data pengintaian kemudian dienkripsi menggunakan kunci berkode keras dan dikirim ke server perintah-dan-kontrol (C2), yang merespons kembali dengan biner Windows yang kemudian dijalankan di mesin.

sumber : the hacker news

Ransomware Royal Mengklaim Menyerang Universitas Teknologi Queensland

by

Geng ransomware Royal telah mengaku bertanggung jawab atas serangan dunia maya baru-baru ini di Universitas Teknologi Queensland dan mulai membocorkan data yang diduga dicuri selama pelanggaran keamanan.

Queensland University of Technology (QUT) adalah salah satu universitas terbesar di Australia dengan jumlah mahasiswa (52.672). Berfokus pada studi ilmiah, teknologi, teknik, dan matematika ini telah menerima dana pemerintah yang signifikan untuk mendukung penelitiannya beberapa tahun terakhir.

Serangan ransomware diumumkan QUT pada 1 Januari 2023, memperingatkan mahasiswa dan staf akademik akan gangguan layanan yang tak terhindarkan akibat insiden keamanan.

QUT mengambil tindakan utama dengan mematikan semua sistem TI untuk mencegah penyebaran serangan, dan universitas bekerja sama dengan pakar eksternal terkait insiden keamanan tersebut.

Semua siswa dan personel telah diberitahu tentang situasi ini dan halaman status layanan telah dibuat untuk melaporkan kemajuan pemulihan dan ketersediaan layanan.

Geng Royal Merilis Data Yang Diduga Dicuri
Sementara universitas mengatakan tidak ada bukti data yang dicuri, operasi ransomware Royal mulai menerbitkan data yang mereka klaim telah dicuri dari QUT.

Dalam entri baru di situs kebocoran data mereka, grup ransomware membocorkan file SDM, email dan surat, kartu dan ID, dokumen keuangan dan administrasi yang mereka nyatakan mewakili 10% dari data yang dicuri selama serangan.

Operasi ransomware Royal dimulai pada September 2022 sebagai spin-off dari grup ransomware Conti yang terkenal, yang ditutup pada Mei 2022.

Geng tersebut dengan cepat mendapat perhatian para peneliti dan pemerintah setelah meluncurkan beberapa serangan terhadap organisasi kesehatan.

Selengkapnya: BleepingComputer

Apa Itu Kerentanan Eskalasi Privilege CVE-2021-4034 Polkit?

by

Linux dikenal sebagai sistem operasi yang sangat aman. Namun, Linux juga bisa menjadi mangsa celah dan eksploitasi, yang terburuk adalah kerentanan eskalasi hak istimewa yang memungkinkan musuh meningkatkan izin mereka dan berpotensi mengambil alih seluruh organisasi.

Polkit CVE-2021-4034 adalah kerentanan eskalasi hak istimewa kritis yang tidak diketahui selama lebih dari 12 tahun dan mempengaruhi semua distribusi Linux utama.

Kerentanan Eskalasi Privilege CVE-2021-4034 Polkit?
Kerentanan eskalasi hak istimewa Polkit mempersenjatai pkexec, bagian yang dapat dieksekusi dari komponen PolicyKit Linux. pkexec adalah executable yang memungkinkan pengguna mengeksekusi perintah sebagai pengguna lain. Kode sumber pkexec memiliki celah yang dapat dieksploitasi oleh siapa saja untuk mendapatkan hak istimewa maksimum pada sistem Linux, yaitu menjadi pengguna root. Bug ini disebut “Pwnkit” dan dilacak sebagai CVE-2021-4034.

Bagaimana CVE-2021-4034 Kerentanan Eskalasi Hak Istimewa Polkit Dieksploitasi?
Polkit adalah paket yang dikirimkan dengan semua distribusi Linux utama dan distribusi server seperti RHEL dan CentOS.

Komponen Polkit memiliki bagian yang dapat dieksekusi, pkexec, menangani bagaimana pengguna dapat menjalankan perintah sebagai pengguna lain. Akar kerentanan terletak pada kode sumber yang dapat dieksekusi.

Eksploitasi Pwnkit menyalahgunakan cara sistem *NIX memproses argumen dan menggunakan mekanisme baca dan tulis di luar batas untuk menyuntikkan variabel lingkungan yang tidak aman untuk mendapatkan hak akses root.

Siapa yang Terdampak Kerentanan CVE-2021-4034?
Kerentanan ini mudah dieksploitasi dan tersebar luas sebagai komponen yang terpengaruh, Penyerang secara agresif mencoba dan mendapatkan pengaruh dengan mengeksploitasi kerentanan ini di lingkungan cloud, ruang operasi bisnis utama. Korban dari kerentanan ini tidak terbatas pada, Ubuntu, Fedora, CentOS, dan Red Hat 8.

Bagaimana Cara Memperbaiki Kerentanan Eskalasi Hak Istimewa Polkit CVE-2021-4034 dan Apakah Anda Aman?
Tidak perlu khawatir mengenai kerentanan Polkit jika menjalankan versi terbaru dari distribusi Linux. Sebagai pemeriksaan keamanan, terdapat beberapa perintah untuk memeriksa versi paket PolicyKit yang terinstal di sistem.

Amankan Server dan Sistem Linux Anda Dari Eksploitasi yang Menghancurkan
Statistik server Linux menunjukkan bahwa Linux adalah sistem operasi yang memberdayakan lebih dari satu juta server web.

Individu dan pengelola server disarankan untuk memperbarui, meningkatkan sistem, dan memutakhirkan paket polkit satu per satu untuk meningkatkan keamanan server.

Selengkapnya: MakeUsOf

Ransomware Mempengaruhi Lebih Dari 200 Organisasi Pemerintah, Pendidikan, Kesehatan Pada Tahun 2022

by

Serangan ransomware pada tahun 2022 berdampak pada lebih dari 200 organisasi yang lebih besar di sektor publik AS di vertikal pemerintahan, pendidikan, dan perawatan kesehatan.

Berdasarkan data yang dikumpulkan dari laporan yang tersedia untuk umum, pernyataan pengungkapan, kebocoran di web gelap, dan intelijen pihak ketiga, menunjukkan bahwa peretas mencuri data di sekitar setengah dari serangan ransomware ini.

Tidak Ada Gambaran Jelas Tentang Serangan Ransomware
Berdasarkan data yang tersedia, ancaman ransomware di AS menyerang 105 kabupaten, 44 universitas dan perguruan tinggi, 45 distrik sekolah, dan 24 penyedia layanan kesehatan.

Tidak semua korban mengungkapkan insiden ini dan beberapa di antaranya mungkin luput dari perhatian para peneliti. Namun, insiden yang mempengaruhi sektor publik lebih mungkin diungkapkan.

Ransomware Mempengaruhi 105 Negara
Pada tahun 2022, serangan ransomware terhadap pemerintah daerah meningkat dari 77 menjadi 105. Angka tersebut dipengaruhi secara dramatis oleh satu insiden di Miller County, AK yang menyebar ke komputer di 55 kabupaten terpisah.

Emsisoft menyoroti bahwa Quincy, MA, adalah satu-satunya pemerintah daerah yang diketahui membayar para peretas, kehilangan $500.000 kepada mereka.

Peretas Mencuri Data Dalam 58 Serangan Terhadap Organisasi Pendidikan
Ransomware menyerang 89 organisasi sektor pendidikan di AS, 44 universitas dan perguruan tinggi, dan 45 distrik sekolah. Peretas mencuri data dalam setidaknya 58 serangan.

Emisoft mengatakan bahwa tiga organisasi pendidikan membayar uang tebusan kepada para peretas untuk memulihkan data terenkripsi.

290 Rumah Sakit Berpotensi Terkena Ransomware
Menurut Emisoft, sangat sulit melacak insiden ransomware di sektor kesehatan, alasan utamanya adalah pengungkapan yang tidak jelas.

Karena itu, mereka hanya menghitung serangan terhadap rumah sakit dan sistem kesehatan multi-rumah sakit, yang bertambah menjadi 24 pada tahun 2022.

Statistik ini tidak memberikan gambaran lengkap tentang serangan ransomware di sektor publik karena akan ada beberapa insiden yang tidak menjadi perhatian perusahaan.

Selengkapnya: BleepingComputer

Peringatan Keamanan WordPress: Malware Linux Baru Mengeksploitasi Lebih dari Dua Lusin Kelemahan CMS

by

Situs WordPress menjadi sasaran malware Linux yang sebelumnya tidak dikenal yang mengeksploitasi kelemahan di lebih dari dua lusin plugin dan tema untuk mengkompromikan sistem yang rentan.

Menurut vendor keamanan Rusia, Doctor Web, penggunaan situs versi lama dari add-on tanpa perbaikan penting, dapat menjadi target yang akan disuntikkan JavaScript berbahaya. Pengguna yang mengklik area mana pun dari halaman yang diserang, dialihkan ke situs lain.

Serangan melibatkan mempersenjatai daftar kerentanan keamanan yang diketahui di 19 plugin dan tema berbeda, kemungkinan dipasang di situs WordPress, digunakan untuk menyebarkan implan yang dapat menargetkan situs web tertentu untuk memperluas jaringan lebih lanjut.

Doctor Web telah mengidentifikasi versi kedua dari backdoor, yang menggunakan domain command-and-control (C2) baru serta daftar kelemahan yang diperbarui yang mencakup 11 plugin tambahan, sehingga totalnya menjadi 30.

Bulan lalu, Sucuri mencatat bahwa lebih dari 15.000 situs WordPress telah dilanggar sebagai bagian dari kampanye berbahaya untuk mengarahkan pengunjung ke portal Q&A palsu, dengan jumlah infeksi aktif saat ini mencapai 9.314.

Pengguna WordPress disarankan untuk selalu memperbarui semua komponen platform, termasuk add-on dan tema pihak ketiga, dan menggunakan login dan kata sandi yang kuat dan unik untuk mengamankan akun mereka.

Selengkapnya: The Hacker News