Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for News

Ekstensi berbahaya memungkinkan penyerang mengontrol Google Chrome dari jarak jauh

by

Botnet browser Cloud9 secara efektif merupakan trojan akses jarak jauh (RAT) untuk browser web Chromium, termasuk Google Chrome dan Microsoft Edge, yang memungkinkan pelaku ancaman untuk mengeksekusi perintah dari jarak jauh.

Ekstensi Chrome berbahaya diedarkan melalui saluran alternatif, seperti situs web yang mendorong pembaruan Adobe Flash Player palsu.

Ekstensi browser berbahaya di Chrome (Zimperium)

Menginfeksi browser Anda
Cloud9 adalah ekstensi browser berbahaya yang membuka pintu belakang browser Chromium untuk melakukan daftar ekstensif fungsi dan kemampuan berbahaya.

Ekstensi terdiri dari tiga file JavaScript untuk mengumpulkan informasi sistem, menambang cryptocurrency menggunakan sumber daya host, melakukan serangan DDoS, dan menyuntikkan skrip yang menjalankan eksploitasi browser.

Zimperium memperhatikan pemuatan eksploit untuk kerentanan CVE-2019-11708 dan CVE-2019-9810 di Firefox, CVE-2014-6332 dan CVE-2016-0189 untuk Internet Explorer, dan CVE-2016-7200 untuk Edge.

Kerentanan ini digunakan untuk menginstal dan mengeksekusi malware Windows secara otomatis di host, memungkinkan penyerang untuk melakukan kompromi sistem yang lebih signifikan.

Modul “clipper” juga hadir dalam ekstensi, terus memantau clipboard sistem untuk kata sandi atau kartu kredit yang disalin.


Komponen clipper Cloud9 (Zimperium)

Cloud9 juga dapat menyuntikkan iklan dengan memuat halaman web secara diam-diam untuk menghasilkan tayangan iklan dan, dengan demikian, pendapatan bagi operatornya.

Terakhir, malware dapat meminta daya tembak host untuk melakukan serangan DDoS layer 7 melalui permintaan HTTP POST ke domain target.

Operator dan target
Peretas di balik Cloud9 diyakini memiliki hubungan dengan grup malware Keksec karena domain C2 yang digunakan dalam kampanye baru-baru ini terlihat dalam serangan Keksec sebelumnya.

Keksec bertanggung jawab untuk mengembangkan dan menjalankan beberapa proyek botnet, termasuk EnemyBot, Tsunamy, Gafgyt, DarkHTTP, DarkIRC, dan Necro.

Korban Cloud9 tersebar di seluruh dunia, dan tangkapan layar yang diposting oleh aktor ancaman di forum menunjukkan bahwa mereka menargetkan berbagai browser.

sumber : bleeping computer

Afiliasi LockBit menggunakan malware Amadey Bot untuk menyebarkan ransomware

by

Afiliasi ransomware LockBit 3.0 menggunakan email phishing yang menginstal Amadey Bot untuk mengendalikan perangkat dan mengenkripsi perangkat.

Menurut laporan AhnLab baru, pelaku ancaman menargetkan perusahaan yang menggunakan email phishing dengan umpan yang berpura-pura menjadi tawaran lamaran pekerjaan atau pemberitahuan pelanggaran hak cipta.

Aktivitas Amadey Bot

Malware Amadey Bot adalah jenis lama yang mampu melakukan pengintaian sistem, eksfiltrasi data, dan pemuatan muatan.

Versi terbaru menambahkan deteksi antivirus dan kemampuan penghindaran otomatis, membuat intrusi dan menjatuhkan muatan lebih tersembunyi.

Rantai infeksi

Peneliti AhnLab melihat dua rantai distribusi yang berbeda, satu mengandalkan makro VBA di dalam dokumen Word dan satu menyamarkan executable berbahaya sebagai file Word.

Dalam kasus pertama, pengguna harus mengklik tombol “Aktifkan Konten” untuk menjalankan makro, yang membuat file LNK dan menyimpannya ke “C:\Users\Public\skem.lnk”. File ini adalah pengunduh untuk Amadey.


Dokumen berbahaya yang memulai rantai infeksi

Kasus kedua, terlihat pada akhir Oktober, menggunakan lampiran email dengan file bernama “Resume.exe” (Amadey) yang menggunakan ikon dokumen Word, menipu penerima agar mengklik dua kali.

Amadey ke LockBit 3.0

Pada peluncuran pertama, malware menyalin dirinya sendiri ke direktori TEMP dan membuat tugas terjadwal untuk menetapkan kegigihan antara reboot sistem.

Selanjutnya, Amadey terhubung ke C2, mengirim laporan profil host, dan kemudian menunggu penerimaan perintah.

Tiga kemungkinan perintah dari server C2 memerintahkan pengunduhan dan eksekusi LockBit, dalam bentuk PowerShell (‘cc.ps1’ atau ‘dd.ps1’), atau bentuk exe (‘LBB.exe’).

Payload sekali lagi dijatuhkan di TEMP sebagai salah satu dari tiga berikut:

%TEMP%\100018041\dd.ps1
%TEMP%\1000019041\cc.ps1
%TEMP%\1000020001\LBB.exe

Dari sana, LockBit mengenkripsi file pengguna dan menghasilkan catatan tebusan yang menuntut pembayaran, mengancam akan mempublikasikan file curian di situs pemerasan grup.


Contoh catatan tebusan yang dihasilkan (AhnLab)

sumber : bleeping computer

Layanan Phishing Robin Banks untuk Penjahat Cyber ​​Kembali dengan Server Rusia

by

Platform phishing-as-a-service (PhaaS) yang dikenal sebagai Robin Banks telah memindahkan infrastruktur serangannya ke DDoS-Guard, penyedia layanan hosting antipeluru Rusia.

Robin Banks pertama kali didokumentasikan pada Juli 2022 ketika kemampuan platform untuk menawarkan kit phishing siap pakai kepada pelaku kriminal terungkap, sehingga memungkinkan untuk mencuri informasi keuangan pelanggan bank populer dan layanan online lainnya.

Keputusan Cloudflare untuk memblokir infrastrukturnya setelah pengungkapan publik telah mendorong aktor Robin Banks untuk memindahkan frontend dan backendnya ke DDoS-Guard,

pembaruan baru yang diperkenalkan adalah fungsi mencuri cookie, dalam apa yang dilihat sebagai upaya untuk melayani klien yang lebih luas seperti kelompok ancaman persisten tingkat lanjut (APT) yang ingin berkompromi dengan lingkungan perusahaan tertentu. Ini ditawarkan seharga $ 1.500 per bulan.

Ini dicapai dengan menggunakan kembali kode dari evilginx2,

Robin Banks juga dikatakan telah memasukkan langkah keamanan baru yang mengharuskan pelanggannya mengaktifkan otentikasi dua faktor (2FA)

sumber : the hacker news

Serangan DDoS Hacktivist berdampak kecil pada organisasi penting

by

Biro Investigasi Federal (FBI) mengatakan pada hari Jumat bahwa serangan penolakan layanan (DDoS) terdistribusi yang dikoordinasikan oleh kelompok peretas memiliki dampak kecil pada layanan yang mereka targetkan.

Seperti yang dijelaskan oleh lembaga penegak hukum dalam pemberitahuan industri swasta yang dikeluarkan hari ini, ini terjadi karena mereka menargetkan infrastruktur yang menghadap publik seperti situs web alih-alih layanan yang sebenarnya, yang menyebabkan gangguan terbatas.

Kelompok tersebut biasanya menargetkan organisasi infrastruktur penting atau profil tinggi seperti lembaga keuangan, layanan darurat, bandara, dan fasilitas pemerintah, kesehatan, dan medis.

Dengan menghapus situs web mereka, para peretas bertujuan untuk meningkatkan kredibilitas mereka dan “secara keliru menyatakan dampak atau gangguan yang lebih besar daripada apa yang terjadi.”

Dalam satu contoh baru-baru ini dari insiden semacam itu, kelompok peretas pro-Rusia KillNet mengklaim serangan terhadap situs web beberapa bandara besar di seluruh AS.

Serangan DDoS membanjiri server yang menampung situs-situs ini, sehingga tidak memungkinkan bagi pelancong untuk memesan layanan bandara atau mendapatkan pembaruan tentang penerbangan terjadwal mereka.

Contoh penting situs web bandara yang tidak dapat diakses selama insiden termasuk:

  • Bandara Internasional Hartsfield-Jackson Atlanta (ATL), salah satu pusat lalu lintas udara yang lebih signifikan di AS.
  • Bandara Internasional Los Angeles (LAX)
  • Bandara Internasional Chicago O’Hare (ORD)

Sementara serangan DDoS ini tidak berdampak pada penerbangan, mereka masih memiliki efek buruk pada sektor ekonomi penting, menunda layanan terkait.

Satu minggu sebelumnya, kelompok yang sama juga menyerang situs web pemerintah AS di Colorado, Kentucky, dan Mississippi, dengan keberhasilan sedang, membuat beberapa di antaranya offline untuk waktu yang singkat.

Killnet juga mengklaim telah menghapus situs CISA’s Protected Critical Infrastructure Information Management System pada hari Jumat setelah serangannya terhadap Departemen Keuangan AS pada awal Oktober digagalkan sebelum mempengaruhi infrastruktur agensi.

Seminggu yang lalu, CISA, FBI, dan MS-ISAC menerbitkan nasihat bersama untuk memberikan informasi kepada para pembela HAM tentang pengurangan kemungkinan dan dampak serangan DDoS.

Sumber: Bleeping Computer

Karena Twitter mengenakan biaya $8, email phishing menargetkan akun terverifikasi

by

Awal pekan ini, Elon Musk menunjuk dirinya sebagai CEO Twitter dan mengumumkan rencana untuk mengubah proses verifikasi Twitter. Sebagai bagian dari tinjauan ini, Twitter awalnya mengusulkan untuk mulai membebankan biaya bulanan $20 kepada pengguna yang diverifikasi. Kemudian, Musk menyatakan biayanya akan diturunkan menjadi $8.

Bersamaan dengan itu kampanye phishing baru yang muncul dengan aktor ancaman yang sekarang menargetkan akun terverifikasi.

Seperti banyak email phishing, email ini menyampaikan rasa urgensi yang salah, mendesak pengguna untuk masuk ke akun Twitter mereka atau berisiko “penangguhan”.

Email-email ini berasal dari server situs web dan blog yang diretas yang mungkin, misalnya, menghosting versi WordPress yang sudah ketinggalan zaman atau menjalankan plugin yang tidak ditambal dan rentan.

Mengklik tautan membawa pengguna ke halaman web phishing di mana aktor ancaman menyalahgunakan pengumuman biaya bulanan $8 dari tweet Musk:

Alur kerja phishing mengumpulkan nama pengguna, kata sandi Twitter pengguna, dan melanjutkan untuk mengirimi mereka kode autentikasi dua faktor melalui SMS.

Kampanye phishing lain yang mengacu pada struktur biaya baru Twitter (BleepingComputer)

Email ini menggabungkan kata-kata yang identik dengan halaman phishing itu sendiri dan memiliki tampilan dan nuansa keseluruhan yang lebih mirip dengan branding Twitter.

Lencana biru Twitter dengan tanda centang secara tradisional ditawarkan ke akun terverifikasi politisi, selebriti, bisnis, tokoh masyarakat, influencer, organisasi berita, dan jurnalis.

Kelangkaan akun lencana biru di platform, dibandingkan dengan sebagian besar akun Twitter yang tidak diverifikasi, telah menyebabkan “centang biru” dianggap oleh para tweeter sebagai simbol kesombongan dan status.

Pelaku ancaman juga berulang kali menargetkan pengguna terverifikasi melalui phishing, dan terkadang meretas akun lencana biru untuk mendorong penipuan kripto.

Dalam penipuan lain, pelaku ancaman telah meretas akun terverifikasi untuk menyamar sebagai orang lain untuk menyesatkan publik atau untuk mengirim DM palsu ‘penangguhan akun’ kepada pengguna Twitter.

Namun, selain sebagai persepsi “simbol status” yang dirasakan oleh beberapa orang, lencana biru terutama dimaksudkan untuk memisahkan akun asli dan otentik dari orang-orang terkenal dari akun peniru dan parodi yang dibuat oleh pihak ketiga—setidaknya secara teori.

Oleh karena itu verifikasi dimaksudkan untuk membatasi informasi yang salah dalam arti bahwa pengguna dapat melihat tweet yang berasal dari akun terverifikasi adalah asli dan tidak berasal dari seseorang yang menyamar sebagai figur publik.

Namun, dalam praktiknya, hasil dapat bervariasi karena akun ‘terverifikasi’ yang diretas dapat terus mempertahankan lencana biru meskipun peretas mengubah nama, bio, dan gambar profil di dalamnya, sehingga membuat keberadaan lencana menjadi sia-sia sejak awal.

Salah satu cara untuk mencapainya adalah penggunaan label khusus di akun Twitter politisi dan entitas afiliasi negara, yang kemudian menciptakan beberapa perbedaan antara akun otentik tokoh masyarakat dan akun berlencana biru berbayar.

Sumber: Bleeping Computer

Pemerintah Inggris sedang memindai semua perangkat Internet yang dihosting di Inggris

by

Pusat Keamanan Siber Nasional Inggris (NCSC), lembaga pemerintah yang memimpin misi keamanan siber negara itu, sekarang memindai semua perangkat yang terpapar Internet yang dihosting di Inggris untuk mengetahui kerentanannya.

Tujuannya adalah untuk menilai kerentanan Inggris terhadap serangan siber dan untuk membantu pemilik sistem yang terhubung ke Internet memahami postur keamanan mereka.

“Kegiatan ini mencakup sistem yang dapat diakses internet yang di-host di Inggris dan kerentanan yang umum atau sangat penting karena dampaknya yang tinggi,” kata badan tersebut.

“NCSC menggunakan data yang telah kami kumpulkan untuk membuat gambaran umum tentang kerentanan Inggris setelah pengungkapannya, dan melacak perbaikannya dari waktu ke waktu.”

Pemindaian NCSC dilakukan menggunakan alat yang dihosting di lingkungan khusus yang dihosting cloud dari scanner.scanning.service.ncsc.gov.uk dan dua alamat IP (18.171.7.246 dan 35.177.10.231).

Badan tersebut mengatakan bahwa semua penyelidikan kerentanan diuji dalam lingkungannya sendiri untuk mendeteksi masalah apa pun sebelum memindai Internet Inggris.

“Kami tidak berusaha menemukan kerentanan di Inggris untuk tujuan jahat lainnya,” direktur teknis NCSC Ian Levy menjelaskan.

“Kami mulai dengan pemindaian sederhana, dan perlahan-lahan akan meningkatkan kompleksitas pemindaian, menjelaskan apa yang kami lakukan (dan mengapa kami melakukannya).”

Selengkapnya: Bleeping Computer

Microsoft meluncurkan perbaikan untuk Outlook yang menonaktifkan add-in Rapat Tim

by

Microsoft meluncurkan perbaikan untuk masalah umum yang memengaruhi pengguna Outlook untuk Microsoft 365 dan mencegah mereka menjadwalkan rapat Teams karena opsi tidak lagi tersedia di menu pita aplikasi.

Add-in Rapat Teams dapat ditemukan dalam tampilan Kalender, dan ini membantu pengguna Outlook untuk membuat Rapat Teams dari Outlook.

“Saat Anda mencoba membuat rapat Teams di Outlook Desktop, Anda menemukan bahwa opsi tersebut hilang di pita,” kata Microsoft dalam artikel dukungan yang diterbitkan pada bulan September.

Dalam pembaruan pada hari Kamis, Tim Produk Teams mengonfirmasi bahwa ini sekarang telah diselesaikan, dan perbaikan sekarang diluncurkan ke pelanggan yang menjalankan Teams versi 1.5.00.28567.

Redmond juga mengingatkan pelanggan bahwa add-in Rapat Tim memerlukan .Net 4.8 dan WebView2 untuk diinstal pada sistem agar tidak dinonaktifkan.

“Dalam beberapa kasus dukungan, para insinyur menemukan bahwa jika .Net 4.8 atau Webview2 tidak diinstal, menginstalnya membantu mengatasi masalah dengan Add-in Tim menjadi dinonaktifkan,” kata Microsoft.

Untuk memeriksa versi Teams yang Anda gunakan dan apakah perbaikan telah diluncurkan ke sistem Anda, Anda harus membuka Teams dan pergi ke Tentang > Versi setelah mengklik menu “Pengaturan dan lainnya” (tiga titik di kanan atas).

Redmond mengakui masalah ini pada bulan September menyusul aliran laporan pelanggan di berbagai platform online (dari Reddit hingga situs komunitas Microsoft) yang berlangsung setidaknya selama beberapa tahun.

Meskipun Microsoft belum mengungkapkan penyebab di balik masalah ini, pelanggan mengatakan bahwa add-in kemungkinan besar dinonaktifkan secara otomatis setelah menyebabkan Outlook mogok, tanpa perbaikan, pencopotan, dan penginstalan ulang aplikasi yang membantu memperbaikinya.

Selengkapnya: Bleeping Computer

Geng kejahatan dunia maya merekrut tidak seperti sebelumnya

by

Sejumlah kelompok penjahat dunia maya terkemuka telah diamati merekrut anggota baru pada tingkat yang mengkhawatirkan, laporan baru telah memperingatkan.

Laporan Ancaman Q3/2022 Avast baru-baru ini menemukan bahwa beberapa aktor ancaman mulai merekrut karena tidak berhasil, yang lain karena ditembaki oleh peneliti keamanan siber.

Grup LockBit, misalnya, yang dikenal dengan varian ransomware dengan nama yang sama, “sangat aktif pada kuartal ini”, kata para peneliti.

Pada akhir Juni 2022, LockBit merilis versi baru penyandinya, dan untuk memastikannya kedap udara, menawarkan $50.000 kepada siapa pun yang menemukan kerentanan dalam enkripsi file basis data besar. Ada hadiah lain yang ditawarkan juga. Misalnya, siapa pun yang mengetahui nama bos afiliasi mendapat satu juta dolar.

Ada juga pembayaran tinggi untuk kelemahan yang ditemukan dalam proses enkripsi, kerentanan di situs web LockBit, atau kerentanan di messenger TOX atau jaringan TOR.

Selain itu, ia menawarkan $1.000 kepada siapa saja yang akan menato logo LockBit ke tubuh mereka.

Kelompok peretas NoName057(16), yang mengalami pukulan besar setelah server utama Bobik C2 dimatikan dan botnetnya berhenti bekerja, mulai merekrut untuk proyek baru pada pertengahan Agustus tahun ini, para peneliti mengungkap lebih lanjut. Mencurigai mereka membutuhkan darah segar untuk melanjutkan serangan DDoS aktif, para peneliti mengamati aktor ancaman membuka grup baru yang didedikasikan untuk proyek DDDOSIA. Akhir bulan lalu, grup ini memiliki lebih dari 700 anggota.

Selengkapnya: Tech Radar