Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat

Threat

Peretas APT BlueNoroff Menggunakan Cara Baru Untuk Memotong Perlindungan MotW Windows

by

BlueNoroff, subcluster dari Grup Lazarus yang terkenal kejam, telah diamati mengadopsi teknik baru ke dalam buku pedomannya yang memungkinkannya melewati perlindungan Windows Mark of the Web (MotW).

Kapersky mengungkapkan bahwa ini termasuk penggunaan format file image disk optik (ekstensi .ISO) dan hard disk virtual (ekstensi .VHD) sebagai bagian dari rantai infeksi baru.

Penemuan domain palsu meniru ABF Capital, Angel Bridge, ANOBAKA, Bank of America, dan Mitsubishi UFJ Financial Group, menandakan adanya minat di wilayah tersebut.

Sejak 2018, BlueNoroff tampaknya telah mengalami perubahan taktis. Dari bank yang mencolok beralih fokus pada entitas mata uang kripto untuk menghasilkan pendapatan ilegal.

Kaspersky awal tahun ini mengungkapkan detail kampanye SnatchCrypto yang diatur oleh kolektif musuh untuk menguras dana digital dari dompet cryptocurrency korban.

Aktivitas utama lainnya adalah AppleJeus.Perusahaan cryptocurrency palsu dibentuk untuk memikat korban tanpa disadari agar memasang aplikasi yang tampak jinak yang pada akhirnya menerima pembaruan dari belakang.

Aktivitas terbaru diidentifikasi oleh perusahaan cybersecurity Rusia, memperkenalkan sedikit modifikasi untuk menyampaikan muatan terakhirnya, menukar lampiran dokumen Microsoft Word dengan file ISO di email spear-phishing untuk memicu infeksi.

Penggunaan nama file Jepang untuk salah satu dokumen dan pembuatan domain tipuan yang disamarkan sebagai perusahaan modal ventura Jepang yang sah menunjukkan bahwa perusahaan keuangan di negara kepulauan tersebut kemungkinan besar menjadi target BlueNoroff.

Perang dunia maya telah menjadi fokus utama Korea Utara dalam menanggapi sanksi ekonomi. Menurut National Intelligence Service (NIS) Korea Selatan, peretas Korea Utara yang disponsori negara diperkirakan telah mencuri $1,2 miliar dalam cryptocurrency dan aset digital lainnya dari target di seluruh dunia selama lima tahun terakhir.

Selengkapnya: The Hacker News

Hacker Akan Menjual Data 400 Juta Pengguna Twitter

by

Pelaku ancaman mengklaim menjual data publik dan pribadi dari 400 juta pengguna Twitter yang diambil pada tahun 2021 menggunakan kerentanan API yang sekarang telah diperbaiki. Mereka meminta $200.000 untuk penjualan eksklusif.

Aktor ancaman, Ryushi, diduga menjual dump data di forum peretasan terlarang, situs untuk menjual data pengguna yang dicuri dalam pelanggaran data.

Pelaku ancaman memperingatkan Elon Musk dan Twitter bahwa mereka harus membeli data tersebut sebelum dikenakan denda besar berdasarkan undang-undang privasi GDPR Eropa.

Postingan forum yang menjual data untuk dugaan 400 juta pengguna Twitter (BleepingComputer)

Pelaku ancaman juga menjelaskan bagaimana data tersebut dapat disalahgunakan untuk serangan phishing, penipuan crypto, dan serangan BEC.

Profil pengguna berisi data Twitter publik dan pribadi, alamat email, username, nama pengguna, jumlah pengikut, tanggal pembuatan, dan nomor telepon. Hampir semua data ini dapat diakses publik oleh semua pengguna Twitter.

Ryushi mencoba menjual data Twitter secara eksklusif kepada satu orang/Twitter seharga $200.000 dan kemudian akan menghapus data tersebut. Jika pembelian eksklusif tidak dilakukan, mereka akan menjual salinannya ke banyak orang seharga $60.000 per penjualan.

Data Dikumpulkan Menggunakan Kerentanan API Yang Sekarang Sudah Diperbaiki
Pelaku ancaman mengumpulkan data menggunakan kerentanan API yang diperbaiki Twitter pada Januari 2022 dan sebelumnya dikaitkan dengan pelanggaran data 5,4 juta pengguna.

Kerentanan ini memungkinkan seseorang memasukkan nomor telepon dan alamat email ke API Twitter dan menerima ID pengguna Twitter terkait. Pelaku ancaman kemudian menggunakan ID ini dengan IP lain untuk mengambil data profil publik pengguna, membangun profil pengguna Twitter yang terdiri dari data publik dan pribadi.

Pengawas privasi UE, Komisi Perlindungan Data Irlandia (DPC), telah memulai penyelidikan terhadap penerbitan baru-baru ini dari 5,4 juta catatan korban pada tahun 2021 menggunakan kerentanan ini.

Pelaku ancaman lain juga mengklaim menggunakan kerentanan ini untuk mengorek data dari dugaan 17 juta pengguna. Bocoran ini masih dirahasiakan dan tidak diperjualbelikan.

Hingga saat ini belum ada tanggapan lebih lanjut dari Twitter mengenai penjualan data ini.

Selengkapnya: BLEEPINGCOMPUTER

Facebook Membayar $725 Juta untuk Menyelesaikan Gugatan atas Kebocoran Data Cambridge Analytica

by

Meta Platforms, perusahaan induk dari Facebook, Instagram, dan WhatsApp, telah setuju untuk membayar $725 juta untuk menyelesaikan gugatan class action yang diajukan pada tahun 2018.

Penyelesaian yang diusulkan, pertama kali dilaporkan oleh Reuters minggu lalu, adalah hukuman terbaru yang dibayarkan oleh perusahaan setelah sejumlah kesalahan privasi selama bertahun-tahun. Itu masih membutuhkan persetujuan dari hakim federal di Pengadilan Distrik AS divisi San Francisco.

Skandal pengambilan data, yang terungkap pada Maret 2018, melibatkan aplikasi kuis kepribadian bernama “thisisyourdigitallife” yang memungkinkan profil publik pengguna, suka halaman, tanggal lahir, jenis kelamin, lokasi, dan bahkan pesan (dalam beberapa kasus) menjadi dikumpulkan untuk membangun profil psikografis.

Dibuat oleh seorang dosen Universitas Cambridge bernama Aleksandr Kogan pada tahun 2013, aplikasi tersebut mengklaim dapat mengungkapkan ciri-ciri kepribadian pengguna berdasarkan apa yang mereka sukai di Facebook dengan mengorek informasi profil mereka dengan imbalan pembayaran kecil.

Sementara sekitar 300.000 pengguna dikatakan telah mengikuti tes psikologis, aplikasi tersebut mengumpulkan data pribadi dari mereka yang menginstal aplikasi serta teman Facebook mereka tanpa meminta izin eksplisit, yang mengarah ke kumpulan data yang mencakup 87 juta profil.

Meta – yang tidak mengakui kesalahan apa pun sehubungan dengan praktik berbagi data yang bermasalah – telah mengambil langkah-langkah untuk membatasi akses pihak ketiga ke informasi pengguna.

Raksasa teknologi selanjutnya meluncurkan alat yang disebut Aktivitas di Luar Facebook bagi pengguna untuk “melihat ringkasan aplikasi dan situs web yang mengirimkan informasi kepada kami tentang aktivitas Anda, dan menghapus informasi ini dari akun Anda jika Anda mau.”

sumber : TheHackerNews

Hacker Mencuri $8 Juta dari Pengguna Aplikasi Trojanized BitKeep

by

Beberapa pengguna dompet crypto BitKeep melaporkan bahwa dompet mereka dikosongkan selama Natal setelah peretas memicu transaksi yang tidak memerlukan verifikasi.

BitKeep adalah dompet DeFi web3 multi-rantai terdesentralisasi yang mendukung lebih dari 30 blockchain, 76 jaringan utama, 20.000 aplikasi terdesentralisasi, dan lebih dari 223.000 aset. Ini digunakan oleh lebih dari delapan juta orang di 168 negara untuk manajemen aset dan penanganan transaksi.

“Jika dana Anda dicuri, aplikasi yang Anda unduh atau perbarui mungkin merupakan versi yang tidak dikenal (unofficial release version) yang dibajak.”

Pemberitahuan BitKeep di Telegram

Mereka yang mengunduh paket APK trojan disarankan untuk memindahkan semua dana mereka ke toko resmi setelah mengunduh aplikasi resmi dari Google Play atau App Store, membuat alamat dompet baru dan memindahkan semua dana mereka ke sana.

Platform memperingatkan bahwa setiap alamat dompet yang dibuat menggunakan APK jahat harus diperlakukan sebagai disusupi.

Terakhir, mereka yang menjadi korban peretasan diminta mengisi formulir ini agar tim dukungan BitKeep mencoba menawarkan solusi tepat waktu.

Transaksi mencurigakan yang ditemukan oleh PeckShield termasuk 4373 $BNB, 5,4 juta $USDT, 196k $DAI, dan 1233,21 $ETH.

tracing transaksisi illegal (PeckShield)

Pada Oktober 2022, BitKeep mengalami kerugian sekitar $1 juta setelah seorang peretas mengeksploitasi kerentanan dalam layanan yang memungkinkan mereka melakukan pertukaran token secara sewenang-wenang.

Saat itu, BitKeep berjanji akan mengganti kerugian sepenuhnya bagi mereka yang terkena dampak insiden tersebut. Namun, karena serangan saat ini diakibatkan oleh pengguna yang ditipu oleh APK yang di-trojanisasi, kecil kemungkinan akan ada pengembalian dana.

sumber : bleeping computer

Pusat Panggilan Desi Ilegal Di Balik Kerugian Rs 6.400 Crore Orang Amerika Dalam Penipuan ‘Tech Support’ di 2022

by

Penipuan terkait asmara dan pop up ‘tech support’, yang sebagian besar berasal dari call center ilegal dan geng phising di India, telah menyebabkan kerugian lebih dari $3 miliar (Rs 25.000 crore) bagi warga lansia AS yang mudah tertipu dalam dua tahun terakhir sendiri, menurut data FBI. Tren ini bertahan, dengan total uang yang hilang oleh orang Amerika dalam semua penipuan terkait internet/pusat panggilan dalam 11 bulan terakhir diperkirakan mencapai $10,2 miliar, meningkat 47% dibandingkan tahun lalu sebesar $6,9 miliar.

Biro Investigasi Federal (FBI) menugaskan perwakilan tetap di kedutaan besar AS di New Delhi untuk bekerja sama dengan CBI, Interpol dan Polisi Delhi untuk menangkap geng phising dan membekukan uang yang ditransfer melalui kabel dan mata uang kripto ke sindikat yang beroperasi dari tanah India.

Suhel Daud, atase Hukum Kedutaan Besar AS dan Kepala FBI Asia Selatan, mengatakan kepada TOI bahwa penipuan terkait asmara yang dilaporkan di situs web FBI oleh para korban menunjukkan perkiraan kerugian sebesar Rs 8.000 crore dalam 23 bulan sejak tahun 2021. Sebagian besar korban penipuan ini adalah lansia di atas usia 60 tahun.

Kasus ‘tech support’ mengalami peningkatan lebih dari 130% tiap tahunnya dan kembali meningkat 137% pada tahun 2021. Hal ini merugikan orang Amerika sebesar 9.200 crore dalam dua tahun terakhir. Kejahatan ini berasal dari pop-up yang muncul di komputer korban dengan berkedok memberikan dukungan teknis.

Kepala FBI Asia Selatan berbicara tentang peningkatan kerja sama Biro dengan agen-agen India untuk menangkap geng phising ilegal yang telah menempatkan ekonomi terbesar kelima di dunia dalam resiko dicap sebagai pengekspor bersih internet dan penipuan terkait pusat panggilan.

Selengkapnya: THE TIMES OF INDIA

ENLBufferPwn: Kerentanan Kritis Diungkapkan Dalam Game 3DS, Wii U, dan Switch

by

Peretas Nintendo, PabloMK7, telah merilis ENLBufferPwn, sebuah eksploit termasuk bukti kode konsep, yang menunjukkan kerentanan kritis di beberapa game pihak pertama Nintendo. Video demo eksploit menunjukkan bahwa Anda dapat mengambil kendali penuh atas konsol target, cukup dengan mengajak mereka bergabung dalam game multipemain.

Game yang terpengaruh termasuk Mario Kart 7, Mario Kart 8, Splatoon 1, 2, 3, Nintendo Switch Sports, dan judul pihak pertama Nintendo lainnya. Kecuali game Switch dan 3DS yang terdaftar, karena telah menerima pembaruan penambalan kerentanan.

Apa itu ENLBufferPwn untuk Nintendo Switch, Wii U, dan 3DS?
ENLBufferPwn adalah kerentanan dalam kode jaringan umum dari beberapa game Nintendo pihak pertama sejak Nintendo 3DS yang memungkinkan penyerang mengeksekusi kode secara remote di konsol korban hanya dengan membawa game online. Kerentanan ini mendapatkan skor 9,8/10 (Kritis) dalam kalkulator CVSS 3.1.

Selama tahun 2021, hal ini banyak ditemukan secara mandiri dan dilaporkan ke Nintendo. Kemudian Nintendo menambal kerentanan di banyak game yang rentan. PabloMK7 menambahkan, apabila dikombinasikan dengan kerentanan OS lainnya, pengambilalihan konsol remote penuh dapat dicapai.


Detail Teknis ENLBufferPwn
Menurut readme eksploit, kerentanan ENLBufferPwn mengeksploitasi buffer overflow di kelas C++ NetworkBuffer yang ada di pustaka jaringan enl (Net di Mario Kart 7) yang digunakan oleh banyak game Nintendo pihak pertama.

Konsekuensi dari buffer overflow bervariasi pada game, dari modifikasi sederhana yang tidak berbahaya, memori game, hingga tindakan yang lebih parah seperti mengambil kendali penuh atas konsol.

Eksploitasi dapat digunakan untuk mengganggu pemain lain di game online, seperti menekan tombol home secara remote pada pengontrol mereka di tengah permainan

Bisakah meretas Nintendo Switch dengan ENLBufferPwn?
Eksploit tidak dapat dengan mudah dimanfaatkan untuk meretas Nintendo Switch karena perlu dirantai dengan kerentanan lain untuk mendapatkan eskalasi hak istimewa, dan sejauh ini tidak ada eksploitasi kernel yang diketahui publik di firmware terbaru.

Fakta bahwa ini mengharuskan untuk bergabung dengan game online, kemungkinan Nintendo memiliki banyak cara untuk mencegah hal ini. Menambal game bukan satu-satunya. Saat eksploitasi tersebut diungkapkan kepada publik, itu sudah mati.

Mengenai 3DS dan Wii U, keduanya dapat diretas dengan cukup mudah, sehingga manfaat peretasan terbatas dalam konteks itu, dari perspektif pengguna akhir.

Selengkapnya: Wololo.net

Layanan PPI PrivateLoader Ditemukan Mendistribusikan Info-Mencuri Malware RisePro

by

Layanan pengunduh malware bayar-per-instal (PPI) yang dikenal sebagai PrivateLoader digunakan untuk mendistribusikan malware pencuri informasi yang didokumentasikan sebelumnya yang dijuluki RisePro.

Setelah menemukan beberapa set log yang diekstraksi menggunakan malware di pasar kejahatan dunia maya ilegal, Pasar Rusia, Flashpoint dapat melihat pencuri yang baru diidentifikasi pada 13 Desember lalu.

Malware RisePro dikatakan memiliki kesamaan dengan malware pencuri info lainnya yang disebut sebagai Vidar stealer, merupakan cabang dari pencuri dengan nama kode Arkei yang muncul pada tahun 2018.

Perusahaan Keamanan Siber, SEKOIA, merilis analisisnya terhadap RisePro, mengidentifikasi lebih lanjut sebagian kode sumber tumpang tindih dengan PrivateLoader. Proses identifikasi mencakup mekanisme pengacakan string, metode HTTP dan pengaturan port, dan metode penyamaran pesan HTTP.

PrivateLoader adalah layanan unduhan yang memungkinkan pelanggannya mengirimkan muatan berbahaya ke host target.

Malware Wireshark

Tidak berbeda dengan pencuri lainnya, RisePro mampu mencuri berbagai data dari sebanyak 36 browser web, termasuk cookie, kata sandi, kartu kredit, dompet crypto, serta mengumpulkan file yang menarik dan memuat lebih banyak muatan.

Pengembang malware menyediakan saluran telegram untuk saranapelaku kriminal berinteraksi dengan sistem terinfeksi. Begitu pula dengan RisePro yang juga menawarkan data curiannya di telegram.

Belum diketahui jelas penulis RisePro, entah sekelompok pelaku ancaman yang sama di balik PrivateLoader, dan apakah RisePro dibundel secara eksklusif bersama dengan layanan PPI.

Selengkapnya: The Hacker News

Pencuri W4SP Ditemukan di Beberapa Paket PyPI dengan Berbagai Nama

by

Pelaku ancaman telah menerbitkan putaran paket berbahaya lainnya ke Python Package Index (PyPI) dengan tujuan mengirimkan malware pencuri informasi pada mesin pengembang yang disusupi.

Perusahaan cybersecurity, Phylum, menemukan bahwa sejumlah malware yang menggunakan nama seperti ANGEL Stealer, Celestial Stealer, Fade Stealer, Leaf $tealer, PURE Stealer, Satan Stealer, dan @skid Stealer, adalah salinan dari W4SP Stealer.

Fungsi utama W4SP Stealer adalah menyedot data pengguna, termasuk kredensial, dompet cryptocurrency, token Discord, dan file menarik lainnya. Dibuat dan diterbitkan oleh seorang aktor yang menggunakan alias BillyV3, BillyTheGoat, dan billythegoat356.

Sekitar Oktober 2022, kampanye pendistribusian W4SP Stelaer sudah memiliki daya tarik. Meskipun terdapat indikasi sudah dimulai sejak pertengahan Agustus 2022. Sejak ini, lusinan paket palsu tambahan yang berisi W4SP Stealer telah diterbitkan di PyPI oleh para pelaku ancaman.

Perusahaan keamanan rantai pasokan perangkat lunak yang mengawasi saluran Discord aktor ancaman, mencatat bahwa paket yang sebelumnya ditandai dengan nama pystyle telah di-trojan oleh BillyTheGoat untuk mendistribusikan si pencuri.

Selain mengumpulkan ribuan unduhan setiap bulan, modul ini juga dimulai sebagai utilitas yang tidak berbahaya pada bulan September 2021 untuk membantu pengguna mendesain keluaran konsol. Modifikasi berbahaya diperkenalkan di versi 2.1 dan 2.2 yang dirilis pada 28 Oktober 2022.

Para peneliti memperingatkan adanya paket yang jinak selama bertahun-tahun bukan berarti dia akan jinak selamanya. Aktor ancaman telah menunjukkan kesabaran dalam membangun paket yang sah, untuk meracuni mereka dengan malware setelah mereka cukup populer.

Selengkapnya: The Hacker News