Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat

Threat

Peretas Cina menargetkan skrip kiddies dengan trojan pencuri info

by

Peneliti keamanan siber telah menemukan kampanye baru yang dikaitkan dengan kelompok peretasan “Tropic Trooper” China, yang menggunakan pemuat baru bernama Nimbda dan varian baru trojan Yahoyah.

Trojan dibundel dalam alat greyware bernama ‘SMS Bomber,’ yang digunakan untuk serangan penolakan layanan (DoS) terhadap ponsel, membanjiri mereka dengan pesan. Alat seperti ini biasanya digunakan oleh pelaku ancaman “pemula” yang ingin melancarkan serangan terhadap situs.

Menurut sebuah laporan oleh Check Point, pelaku ancaman juga menunjukkan pengetahuan kriptografi yang mendalam, memperluas spesifikasi AES dalam implementasi khusus.

Infeksi dimulai dengan mengunduh versi berbahaya dari SMS Bomber, yang berisi fungsi biner dan standar alat. Namun, unduhan telah dimodifikasi untuk menyertakan kode tambahan yang dimasukkan ke dalam proses notepad.exe.

Eksekusi yang diunduh sebenarnya adalah pemuat ‘Nimbda’, yang menggunakan ikon SMS Bomber, dan berisi SMS Bomber sebagai executable yang disematkan.

Alat GUI Bomber SMS (Titik Periksa)

Di latar belakang, loader menyuntikkan shellcode ke dalam proses notepad untuk mencapai repositori GitHub, mengambil executable yang dikaburkan, mendekodekannya, dan kemudian menjalankannya melalui proses lekukan di ‘dllhost.exe.’

Payload ini adalah varian Yahoyah baru, yang mengumpulkan data tentang host dan mengirimkannya ke server C2.

Payload terakhir, dijatuhkan oleh executable Yahoyah, dikodekan dalam gambar JPG menggunakan steganografi. Check Point mengidentifikasinya sebagai ‘TClient’, Trooper Tropic pintu belakang yang digunakan dalam kampanye sebelumnya.

Rantai infeksi lengkap (Check Point)

Enkripsi yang digunakan untuk membungkus Yahoyah adalah implementasi kustom dari AES, yang melakukan urutan terbalik dari operasi putaran dua kali; maka Check Point menamakannya AEES.

Cuplikan kode AES yang aneh
(Titik Cek)

Ini tidak membuat enkripsi menjadi lebih kuat tetapi membuat analisis sampel menjadi sangat sulit, membuat para peneliti yang tidak memiliki tekad yang kuat atau membuat pekerjaan mereka jauh lebih membosankan.

Tropic Trooper adalah aktor ancaman canggih yang berfokus pada spionase, yang sebelumnya terlihat menjalankan kampanye phishing terhadap pejabat Rusia.

Trojanizing ‘SMS Bomb’ menunjukkan tepat, penargetan sempit, sehingga kemungkinan keputusan berdasarkan intelijen yang dikumpulkan selama spionase sebelumnya.

Meskipun cakupan penargetan yang tepat tidak diketahui, kampanye ini menunjukkan kemampuan Tropic Trooper untuk membuat umpan apa pun yang diperlukan untuk operasi, pengetahuan kriptografi, dan aktivitas pengembangan malware mereka.

Sumber: Bleeping Computer

Server Microsoft Exchange diretas oleh geng APT ToddyCat baru

by

Grup ancaman persisten tingkat lanjut (APT) yang dijuluki ToddyCat telah menargetkan server Microsoft Exchange di seluruh Asia dan Eropa selama lebih dari setahun, setidaknya sejak Desember 2020.

Saat melacak aktivitas grup, peneliti keamanan dengan Global Research & Analysis Team (GReAT) Kaspersky juga telah menemukan backdoor pasif yang sebelumnya tidak dikenal yang mereka beri nama Samurai dan malware trojan baru yang dijuluki Ninja Trojan.

Kedua jenis malware memungkinkan penyerang untuk mengendalikan sistem yang terinfeksi dan bergerak secara lateral di dalam jaringan korban.

Serangan ToddyCat juga telah terlihat di masa lalu oleh perusahaan keamanan siber Slovakia ESET, yang telah melacaknya sebagai sekelompok aktivitas yang mereka sebut Websiic mulai Maret 2021.

Pada saat itu, kelompok peretas mengeksploitasi kelemahan ProxyLogon Exchange yang memungkinkan mereka mendapatkan eksekusi kode jarak jauh pada server yang rentan untuk menyebarkan cangkang web China Chopper.

Meskipun tidak terlalu aktif hingga Februari 2021, mereka dengan cepat meningkatkan serangan mereka setelah mulai memindai dan menargetkan server Microsoft Exchange yang belum ditambal di seluruh Eropa dan Asia dengan eksploitasi ProxyLogon.

Alur serangan ToddyCat (Kaspersky)

“Bagaimanapun, perlu dicatat bahwa semua mesin yang ditargetkan terinfeksi antara Desember dan Februari adalah server Microsoft Windows Exchange; penyerang mengkompromikan server dengan eksploitasi yang tidak diketahui, dengan sisa rantai serangan sama seperti yang digunakan pada bulan Maret.”

Target favorit kelompok tersebut adalah organisasi tingkat tinggi, termasuk entitas pemerintah dan militer, serta kontraktor militer.

Sementara gelombang serangan pertama (antara Desember 2020 dan Februari 2021) hanya menargetkan sejumlah kecil organisasi pemerintah di Vietnam dan Taiwan, gelombang berikutnya (antara Februari 2021 dan Mei 2021) dengan cepat meluas ke entitas dari daftar panjang negara di seluruh dunia. , termasuk Rusia, India, Iran, dan Inggris.

Pada fase berikutnya (hingga Februari 2022), ToddyCat menargetkan kelompok negara yang sama tetapi juga menambahkan organisasi dari Indonesia, Uzbekistan, dan Kirgistan ke dalam daftar.

Dalam serangan gelombang ketiga ini, grup APT juga memperluas fokus mereka untuk memasukkan sistem desktop, sementara sebelumnya, mereka secara eksklusif menargetkan server Microsoft Exchange.

Kaspersky mengatakan para korban ToddyCat terkait dengan sektor industri dan negara-negara yang juga ditargetkan oleh beberapa kelompok berbahasa China.

Namun, beberapa entitas yang mereka langgar (di tiga negara berbeda) juga diretas pada waktu yang hampir bersamaan oleh peretas yang didukung Tiongkok menggunakan pintu belakang FunnyDream.

Sumber: Bleeping Computer

Pemadaman Cloudflare besar-besaran yang disebabkan oleh kesalahan konfigurasi jaringan

by

Cloudflare mengatakan pemadaman besar-besaran yang memengaruhi lebih dari selusin pusat data dan ratusan platform dan layanan online utama saat ini disebabkan oleh perubahan yang seharusnya meningkatkan ketahanan jaringan.

Menurut laporan pengguna, daftar lengkap situs web dan layanan yang terpengaruh termasuk, tetapi tidak terbatas pada, Amazon, Twitch, Amazon Web Services, Steam, Coinbase, Telegram, Discord, DoorDash, Gitlab, dan banyak lagi.

Perusahaan mulai menyelidiki insiden ini sekitar pukul 06:34 UTC setelah laporan konektivitas ke jaringan Cloudflare yang terganggu mulai datang dari pelanggan dan pengguna di seluruh dunia.

Meskipun tidak ada rincian mengenai apa yang menyebabkan pemadaman dalam laporan insiden yang dipublikasikan di situs status sistem Cloudflare, perusahaan membagikan lebih banyak info tentang pemadaman 21 Juni di blog resmi.

Meskipun lokasi yang terpengaruh hanya mewakili 4% dari seluruh jaringan Cloudflare, pemadaman mereka memengaruhi sekitar 50% dari semua permintaan HTTP yang ditangani oleh Cloudflare secara global.

Dampak pemadaman Cloudflare (Cloudflare)

Perubahan yang menyebabkan pemadaman hari ini adalah bagian dari proyek yang lebih besar yang akan mengubah pusat data di lokasi tersibuk Cloudlfare menjadi arsitektur yang lebih tangguh dan fleksibel, yang secara internal dikenal sebagai Multi-Colo PoP (MCP).

Daftar pusat data yang terpengaruh dalam insiden hari ini termasuk Amsterdam, Atlanta, Ashburn, Chicago, Frankfurt, London, Los Angeles, Madrid, Manchester, Miami, Milan, Mumbai, Newark, Osaka, São Paulo, San Jose, Singapura, Sydney, dan Tokyo.

Garis waktu pemadaman:
3:56 UTC: Kami menerapkan perubahan ke lokasi pertama kami. Tidak ada lokasi kami yang terpengaruh oleh perubahan, karena ini menggunakan arsitektur lama kami.
06:17: Perubahan diterapkan ke lokasi tersibuk kami, tetapi bukan lokasi dengan arsitektur MCP.
06:27: Peluncuran mencapai lokasi yang mendukung MCP, dan perubahan diterapkan ke punggung kami. Saat itulah insiden dimulai, karena ini dengan cepat membuat 19 lokasi ini offline.
06:32: Insiden Cloudflare internal diumumkan.
06:51: Perubahan pertama dilakukan pada router untuk memverifikasi akar penyebab.
06:58: Akar penyebab ditemukan dan dipahami. Pekerjaan mulai mengembalikan perubahan yang bermasalah.
07:42: Pengembalian terakhir telah selesai. Ini tertunda karena insinyur jaringan berjalan di atas perubahan satu sama lain, mengembalikan pengembalian sebelumnya, menyebabkan masalah muncul kembali secara sporadis.

Sumber: Bleeping Computer

Adobe Acrobat dapat memblokir alat antivirus dari pemantauan file PDF

by

Peneliti keamanan menemukan bahwa Adobe Acrobat sedang mencoba untuk memblokir perangkat lunak keamanan agar tidak terlihat ke dalam file PDF yang dibukanya, menciptakan risiko keamanan bagi pengguna.

Agar alat keamanan berfungsi, diperlukan visibilitas ke semua proses pada sistem, yang dicapai dengan menyuntikkan pustaka tautan dinamis (DLL) ke dalam produk perangkat lunak yang diluncurkan pada mesin.

File PDF telah disalahgunakan di masa lalu untuk mengeksekusi malware pada sistem. Salah satu metode tersebut adalah menambahkan perintah di bagian ‘OpenAction’ dokumen untuk menjalankan perintah PowerShell untuk aktivitas jahat, jelas para peneliti di perusahaan keamanan siber Minerva Labs.

Menurut laporan minggu ini, daftar tersebut telah berkembang menjadi 30 DLL dari produk keamanan dari berbagai vendor. Di antara yang lebih populer dengan konsumen adalah Bitdefender, Avast, Trend Micro, Symantec, Malwarebytes, ESET, Kaspersky, F-Secure, Sophos, Emsisoft.

Sementara Chromium DLL hadir dengan daftar pendek komponen yang akan masuk daftar hitam karena menyebabkan konflik, vendor yang menggunakannya dapat membuat modifikasi dan menambahkan DLL apa pun yang mereka inginkan.

Daftar DLL hardcoded Chromium, sumber: Minerva Labs

Para peneliti menjelaskan bahwa “libcef.dll dimuat oleh dua proses Adobe: AcroCEF.exe dan RdrCEF.exe” sehingga kedua produk memeriksa sistem untuk komponen produk keamanan yang sama.

Melihat lebih dekat pada apa yang terjadi dengan DLL yang disuntikkan ke dalam proses Adobe, Minerva Labs menemukan bahwa Adobe memeriksa apakah nilai bBlockDllInjection di bawah kunci registri ‘SOFTWARE\Adobe\Adobe Acrobat\DC\DLLInjection\’ diatur ke 1. Jika demikian, itu akan mencegah DLL perangkat lunak antivirus disuntikkan ke dalam proses.

Perlu dicatat bahwa nilai kunci registri saat Adobe Reader dijalankan untuk pertama kalinya adalah ‘0’ dan dapat dimodifikasi kapan saja.

Menurut peneliti Minerva Labs Natalie Zargarov, nilai default untuk kunci registri diatur ke ‘1’ – menunjukkan pemblokiran aktif. Pengaturan ini mungkin bergantung pada sistem operasi atau versi Adobe Acrobat yang diinstal, serta variabel lain pada sistem.

Dalam sebuah posting di forum Citrix pada tanggal 28 Maret, seorang pengguna yang mengeluh tentang kesalahan Sophos AV karena menginstal produk Adobe mengatakan bahwa perusahaan “menyarankan untuk menonaktifkan injeksi DLL untuk Acrobat dan Reader.

Adobe menanggapi pengguna Citrix yang mengalami kesalahan pada mesin dengan Sophos AV

Adobe mengonfirmasi bahwa pengguna telah melaporkan mengalami masalah karena komponen DLL dari beberapa produk keamanan tidak kompatibel dengan penggunaan perpustakaan CEF oleh Adobe Acrobat.

Perusahaan menambahkan bahwa saat ini sedang bekerja dengan vendor untuk mengatasi masalah dan “untuk memastikan fungsionalitas yang tepat dengan desain kotak pasir CEF Acrobat ke depan.”

Peneliti Minerva Labs berpendapat bahwa Adobe memilih solusi yang memecahkan masalah kompatibilitas tetapi memperkenalkan risiko serangan nyata dengan mencegah perangkat lunak keamanan melindungi sistem.

Sumber: Bleeping Computer

Serangan Relay DFSCoerce NTLM baru memungkinkan pengambilalihan domain Windows

by

Serangan relai DFSCoerce Windows NTLM baru telah ditemukan yang menggunakan MS-DFSNM, Sistem File Terdistribusi Microsoft, untuk sepenuhnya mengambil alih domain Windows.

Banyak organisasi menggunakan Layanan Sertifikat Direktori Aktif Microsoft, layanan infrastruktur kunci publik (PKI) yang digunakan untuk mengautentikasi pengguna, layanan, dan perangkat di domain Windows.

Namun, layanan ini rentan terhadap serangan relai NTLM, yaitu ketika aktor ancaman memaksa, atau memaksa, pengontrol domain untuk mengautentikasi terhadap relai NTLM berbahaya di bawah kendali penyerang.

Server jahat ini kemudian akan menyampaikan, atau meneruskan, permintaan otentikasi ke Layanan Sertifikat Direktori Aktif domain melalui HTTP dan akhirnya diberikan tiket pemberian tiket (TGT) Kerberos. Tiket ini memungkinkan pelaku ancaman untuk mengasumsikan identitas perangkat apa pun di jaringan, termasuk pengontrol domain.

Setelah mereka menyamar sebagai pengontrol domain, mereka akan memiliki hak istimewa yang lebih tinggi yang memungkinkan penyerang mengambil alih domain dan menjalankan perintah apa pun.

Untuk memaksa server jarak jauh mengautentikasi terhadap relai NTLM yang berbahaya, pelaku ancaman dapat menggunakan berbagai metode, termasuk protokol MS-RPRN, MS-EFSRPC (PetitPotam), dan MS-FSRVP.

Sementara Microsoft telah menambal beberapa protokol ini untuk mencegah pemaksaan yang tidak diautentikasi, bypass biasanya ditemukan yang memungkinkan protokol untuk terus disalahgunakan.

Minggu ini, peneliti keamanan Filip Dragovic merilis skrip proof-of-concept untuk serangan relai NTLM baru yang disebut ‘DFSCoerce’ yang menggunakan protokol Sistem File Terdistribusi (MS-DFSNM) Microsoft untuk menyampaikan otentikasi terhadap server arbitrer.

Skrip DFSCoerce didasarkan pada eksploitasi PetitPotam, tetapi alih-alih menggunakan MS-EFSRPC, skrip ini menggunakan MS-DFSNM, sebuah protokol yang memungkinkan Windows Distributed File System (DFS) dikelola melalui antarmuka RPC.

Peneliti keamanan yang telah menguji serangan relai NTLM baru telah mengatakan kepada BleepingComputer bahwa itu dengan mudah memungkinkan pengguna dengan akses terbatas ke domain Windows untuk menjadi admin domain.

Para peneliti memberi tahu BleepingComputer bahwa cara terbaik untuk mencegah jenis serangan ini adalah dengan mengikuti saran Microsoft dalam mengurangi serangan relai PetitPotam NTLM.

Mitigasi ini termasuk menonaktifkan NTLM pada pengontrol domain dan mengaktifkan Perlindungan yang Diperpanjang untuk Otentikasi dan fitur penandatanganan, seperti penandatanganan SMB, untuk melindungi kredensial Windows.

Metode mitigasi lainnya termasuk menggunakan Filter RPC bawaan Windows atau Firewall RPC untuk mencegah server dipaksa melalui protokol MS-DFSNM.

Namun, tidak diketahui saat ini apakah memblokir koneksi DFS RPC akan menyebabkan masalah pada jaringan.

Sumber: Bleeping Computer

Ekstensi Google Chrome dapat mengambil fingerprint untuk melacak Anda secara online

by

Seorang peneliti telah membuat situs web yang menggunakan ekstensi Google Chrome yang Anda pasang untuk menghasilkan sidik jari perangkat Anda yang dapat digunakan untuk melacak Anda secara online.

Untuk melacak pengguna di web, dimungkinkan untuk membuat sidik jari, atau melacak hash, berdasarkan berbagai karakteristik perangkat yang terhubung ke situs web. Karakteristik ini mencakup kinerja GPU, aplikasi Windows yang diinstal, resolusi layar perangkat, konfigurasi perangkat keras, dan bahkan font yang diinstal.

Kemudian dimungkinkan untuk melacak perangkat di seluruh situs menggunakan metode sidik jari yang sama.

Kemarin, pengembang web ‘z0ccc’ membagikan situs sidik jari baru yang disebut ‘Sidik Jari Ekstensi’ yang dapat menghasilkan hash pelacakan berdasarkan ekstensi Google Chrome yang dipasang di browser.

Saat membuat ekstensi browser Chrome, Anda dapat mendeklarasikan aset tertentu sebagai ‘sumber daya yang dapat diakses web’ yang dapat diakses oleh halaman web atau ekstensi lainnya.

Sumber daya ini biasanya berupa file gambar, yang dideklarasikan menggunakan properti ‘web_accessible_resources’ dalam file manifes ekstensi browser.

Seperti yang diungkapkan sebelumnya pada tahun 2019, dimungkinkan untuk menggunakan sumber daya yang dapat diakses melalui web untuk memeriksa ekstensi yang diinstal dan menghasilkan sidik jari browser pengunjung berdasarkan kombinasi ekstensi yang ditemukan.

Untuk mencegah deteksi, z0ccc mengatakan bahwa beberapa ekstensi menggunakan token rahasia yang diperlukan untuk mengakses sumber daya web. Namun, peneliti menemukan metode ‘Perbandingan waktu sumber daya’ yang masih dapat digunakan untuk mendeteksi jika ekstensi dipasang.

Untuk mengilustrasikan metode sidik jari ini, z0ccc membuat situs web Extension Fingerprints yang akan memeriksa keberadaan sumber daya yang dapat diakses web di 1.170 ekstensi populer yang tersedia di Google Chrome Web Store di browser pengunjung.

Beberapa ekstensi yang akan diidentifikasi oleh situs web adalah uBlock, LastPass, Adobe Acrobat, Honey, Grammarly, Rakuten, dan ColorZilla.

Berdasarkan kombinasi ekstensi yang diinstal, situs web akan menghasilkan hash pelacakan yang dapat digunakan untuk melacak browser tertentu, seperti yang ditunjukkan di bawah ini.

Menghasilkan Sidik Jari Ekstensi
Sumber: BleepingComputer

Beberapa ekstensi populer, seperti MetaMask, tidak mengekspos sumber daya apa pun, tetapi z0ccc masih dapat mengidentifikasi apakah ekstensi tersebut diinstal dengan memeriksa apakah “typeof window.ethereum sama dengan undefined.”

Sementara mereka yang tidak memasang ekstensi akan memiliki sidik jari yang sama dan kurang berguna untuk pelacakan, mereka yang memiliki banyak ekstensi akan memiliki sidik jari yang kurang umum yang dapat digunakan untuk melacaknya di web.

Namun, menambahkan karakteristik lain ke model sidik jari dapat lebih menyempurnakan sidik jari, menjadikan hash unik per pengguna.

Situs Sidik Jari Ekstensi hanya berfungsi dengan browser Chromium yang memasang ekstensi dari Toko Web Chrome. Meskipun metode ini akan bekerja dengan Microsoft Edge, metode ini perlu dimodifikasi untuk menggunakan ID ekstensi dari toko ekstensi Microsoft.

Metode ini tidak berfungsi dengan add-on Mozilla Firefox karena ID ekstensi Firefox unik untuk setiap instance browser.

Sementara z0ccc tidak mengumpulkan data apa pun mengenai ekstensi yang diinstal, pengujiannya sendiri menunjukkan bahwa uBlock yang diinstal adalah sidik jari ekstensi yang paling umum.

Dalam pengujian kami, memasang tiga hingga empat ekstensi membawa persentase pengguna yang menggunakan ekstensi yang sama serendah 0,006%. Jelas, semakin banyak ekstensi yang dipasang, semakin sedikit orang yang memasang kombinasi yang sama.

z0ccc mengatakan persentase 0,006% menunjukkan bahwa Anda adalah satu-satunya pengguna dengan kombinasi ekstensi itu, tetapi ini akan berubah seiring semakin banyak orang mengunjungi situs tersebut.

Sidik Jari Ekstensi telah dirilis sebagai proyek React sumber terbuka di GitHub, memungkinkan siapa saja untuk melihat cara menanyakan keberadaan ekstensi yang diinstal.

Pembaruan 19/06/22: Mengklarifikasi bahwa z0ccc tidak menemukan metode untuk mendeteksi ekstensi yang diinstal melainkan metode perbandingan waktu.

Sumber: Bleeping Computer

Malware BRATA yang menghapus Android berkembang menjadi ancaman yang terus-menerus

by

Pelaku ancaman di balik trojan perbankan BRATA telah mengembangkan taktik mereka dan meningkatkan malware dengan kemampuan mencuri informasi.

Perusahaan keamanan seluler Italia Cleafy telah melacak aktivitas BRATA dan memperhatikan perubahan kampanye terbaru yang menyebabkan persistensi lebih lama pada perangkat.

Malware itu sendiri juga telah diperbarui dengan teknik phishing baru, kelas baru untuk meminta izin tambahan pada perangkat, dan sekarang juga menjatuhkan payload tahap kedua dari server command and control (C2).

Malware BRATA juga lebih bertarget, karena para peneliti menemukan bahwa malware itu berfokus pada satu lembaga keuangan pada satu waktu dan hanya berporos ke lembaga lain ketika serangan mereka dianggap tidak efisien oleh tindakan pencegahan.

Misalnya, BRATA kini telah dimuat sebelumnya dengan overlay phishing tunggal alih-alih memperoleh daftar aplikasi yang diinstal dan mengambil suntikan yang tepat dari C2.

Hamparan yang digunakan dalam kampanye baru-baru ini (Cleafy)

Dalam versi yang lebih baru, BRATA menambahkan lebih banyak izin yang memungkinkannya mengirim dan menerima SMS, yang dapat membantu penyerang mencuri kode sementara seperti kata sandi satu kali (OTP) dan otentikasi dua faktor (2FA) yang dikirimkan bank kepada pelanggan mereka.

Setelah bersarang ke perangkat, BRATA mengambil arsip ZIP dari server C2 yang berisi paket JAR (“unrar.jar”).

Utilitas keylogging ini memantau peristiwa yang dihasilkan aplikasi dan menyimpannya secara lokal di perangkat dengan data teks dan stempel waktu yang cocok.

Modul keylogging baru di BRATA (Cleafy)

Analis Cleafy melihat tanda-tanda bahwa alat ini masih dalam pengembangan awal dan para peneliti berpikir bahwa tujuan akhir penulis adalah menyalahgunakan Layanan Aksesibilitas untuk mendapatkan data dari aplikasi lain.

BRATA dimulai sebagai trojan perbankan di Brasil pada tahun 2019, mampu melakukan tangkapan layar, menginstal aplikasi baru, dan mematikan layar untuk membuat perangkat tampak mati.

Pada Juni 2021, BRATA muncul pertama kali di Eropa, menggunakan aplikasi anti-spam palsu sebagai iming-iming dan mempekerjakan agen pendukung palsu yang menipu korban dan menipu mereka agar memberi mereka kendali penuh atas perangkat mereka.

Pada Januari 2022, versi baru BRATA muncul di alam liar, menggunakan pelacakan GPS, beberapa saluran komunikasi C2, dan versi yang disesuaikan untuk pelanggan perbankan di berbagai negara. Versi itu juga menampilkan perintah reset pabrik yang menghapus perangkat setelah semua data dicuri.

Sekarang, selain versi BRATA baru dan perubahan taktik, Cleafy juga menemukan proyek baru: aplikasi pencuri SMS yang berkomunikasi dengan infrastruktur C2 yang sama.

Perbandingan berdampingan BRATA dan pencuri SMS (Cleafy)

Ini menggunakan kerangka kerja yang sama dengan BRATA dan nama kelas yang sama, tetapi tampaknya hanya berfokus pada menyedot pesan teks pendek. Saat ini, pihaknya menargetkan Inggris, Italia, dan Spanyol.

Layar pemilihan bahasa pada aplikasi SMS stealer (Cleafy)

Untuk mencegat SMS yang masuk, aplikasi meminta pengguna untuk mengaturnya sebagai aplikasi perpesanan default sambil juga meminta izin untuk mengakses kontak di perangkat.

Pencuri SMS meminta selama instalasi (Cleafy)

Untuk saat ini, tidak jelas apakah ini hanya percobaan dari upaya tim BRATA untuk membuat aplikasi sederhana yang ditujukan untuk peran tertentu.

Sumber: Bleeping Computer

Bug zero-day Sophos Firewall dieksploitasi beberapa minggu sebelum diperbaiki

by

Peretas China menggunakan eksploitasi zero-day untuk kerentanan tingkat kritis di Sophos Firewall untuk menyusup ke perusahaan dan menembus server web yang dihosting cloud yang dioperasikan oleh korban.

Masalah keamanan telah diperbaiki sementara itu tetapi berbagai pelaku ancaman terus mengeksploitasinya untuk melewati otentikasi dan menjalankan kode arbitrer dari jarak jauh di beberapa organisasi.

Pada tanggal 25 Maret, Sophos menerbitkan nasihat keamanan tentang CVE-2022-1040, kerentanan bypass otentikasi yang memengaruhi Portal Pengguna dan Webadmin dari Sophos Firewall dan dapat dieksploitasi untuk mengeksekusi kode arbitrer dari jarak jauh.

Tiga hari kemudian, perusahaan memperingatkan bahwa pelaku ancaman memanfaatkan masalah keamanan untuk menargetkan beberapa organisasi di kawasan Asia Selatan.

Minggu ini, perusahaan keamanan siber Volexity merinci serangan dari kelompok ancaman persisten canggih China yang mereka lacak sebagai DriftingCloud, yang mengeksploitasi CVE-2022-1040 sejak awal Maret, sedikit lebih dari tiga minggu sebelum Sophos merilis patch.

Musuh menggunakan eksploitasi zero-day untuk mengkompromikan firewall untuk menginstal backdoor webshell dan malware yang akan memungkinkan kompromi sistem eksternal di luar jaringan yang dilindungi oleh Sophos Firewall.

DriftingCloud APT mengeksploitasi bug zero-day di Sophos Firewall (sumber: Volexity)

Ketika Volexity memulai penyelidikan, pelaku ancaman masih aktif dan para peneliti dapat memantau langkah-langkah serangan, mengungkapkan musuh canggih yang berusaha untuk tetap tidak terdeteksi.

Para peneliti mencatat bahwa penyerang mencoba memadukan lalu lintasnya dengan mengakses webshell yang diinstal melalui permintaan ke file “login.jsp” yang sah.

Menggali lebih dalam, para peneliti menemukan bahwa penyerang menggunakan kerangka Behinder, yang mereka yakini juga digunakan oleh grup APT China lainnya yang mengeksploitasi CVE-2022-26134 di server Confluence.

Terlepas dari webshell, Volexity menemukan lebih banyak aktivitas jahat yang memastikan kegigihan dan memungkinkan aktor ancaman untuk melakukan serangan lebih jauh:

  • Membuat akun pengguna VPN dan mengaitkan pasangan sertifikat di firewall untuk akses jaringan jarak jauh yang sah
  • Menulis “pre_install.sh” ke ‘/conf/certificate/’
  • “pre_install.sh” menjalankan perintah jahat untuk mengunduh biner, menjalankannya, lalu menghapusnya dari disk

Para peneliti mengatakan bahwa mendapatkan akses ke Sophos Firewall adalah langkah pertama serangan, memungkinkan musuh untuk melakukan aktivitas man-in-the-middle (MitM) dengan cara memodifikasi respons DNS untuk situs web tertentu yang dikelola oleh perusahaan korban.

Tampaknya penyerang berhasil dalam upaya ini karena mereka mengakses halaman admin CMS menggunakan cookie sesi yang dicuri dan menginstal plugin File Manager untuk menangani file di situs web (mengunggah, mengunduh, menghapus, mengedit).

Begitu mereka mendapatkan akses ke server web, peretas DriftingCloud memasang PupyRAT, Pantegana, dan Sliver – tiga keluarga malware untuk akses jarak jauh yang tersedia untuk umum.

Volexity menilai bahwa grup peretasan DriftingCloud cukup canggih untuk mengembangkan kerentanan zero-day, atau cukup dana untuk membelinya.

Sophos menyediakan hotfix yang menangani CVE-2022-1040 secara otomatis serta mitigasi yang membantu organisasi yang menggunakan firewallnya melindungi dari eksploitasi kerentanan.

Untuk mengidentifikasi serangan serupa, Volexity merekomendasikan penggunaan mekanisme pemantauan keamanan jaringan yang mendeteksi dan mencatat lalu lintas dari perangkat gateway.

Perusahaan juga merekomendasikan penggunaan alat auditd pada server berbasis Unix untuk menyelidiki kompromi dengan lebih mudah. Vendor atau perangkat perimeter juga harus menyediakan metode untuk memeriksa potensi kompromi.

Volexity juga menyediakan seperangkat aturan YARA yang dapat menandai aktivitas mencurigakan dari jenis serangan ini.

Sumber: Bleeping Computer