• Skip to main content

Naga Cyber Defense

Trusted Security for all of Indonesia

  • Home
  • About
  • Programs
  • Contact
  • Blog
You are here: Home / Archives for News

Coca-Cola menyelidiki klaim peretas tentang pelanggaran dan pencurian data

April 27, 2022 by Eevee

Coca-Cola, pembuat minuman ringan terbesar di dunia, telah mengkonfirmasi dalam sebuah pernyataan kepada BleepingComputer bahwa mereka mengetahui laporan tentang serangan siber di jaringannya dan saat ini sedang menyelidiki klaim tersebut.

Raksasa minuman Amerika telah mulai menyelidiki setelah geng Stormous mengatakan bahwa mereka berhasil menembus beberapa server perusahaan dan mencuri 161GB data.

Stormous mengumumkan viktimisasi Coca Cola

Pelaku ancaman mendaftarkan cache data untuk dijual di situs kebocoran mereka, meminta 1,65 Bitcoin, saat ini dikonversi menjadi sekitar $64,000.

Daftar Coca-Cola di situs kebocoran Stormous

Di antara file yang terdaftar, ada dokumen terkompresi, file teks dengan admin, email, dan kata sandi, arsip ZIP akun dan pembayaran, dan jenis informasi sensitif lainnya.

Meskipun mereka mengklaim sebagai grup ransomware, saat ini tidak ada indikasi bahwa mereka menyebarkan malware enkripsi file di jaringan korban mereka.

Lebih dekat dengan kelompok pemerasan data, Stormous telah menyatakan bahwa mereka akan mengambil tindakan terhadap serangan hacker terhadap Rusia setelah invasi ke Ukraina.

Pesan badai

Ini adalah pertama kalinya Stormous memposting kumpulan data yang dicuri. Pekan lalu, geng meminta pengikut mereka untuk memilih siapa yang harus menjadi korban berikutnya.

Serangan itu menjanjikan penolakan layanan, peretasan, kebocoran kode sumber perangkat lunak, dan data klien. Coca-Cola memenangkan jajak pendapat dengan 72% suara. Geng mengatakan bahwa mereka hanya butuh beberapa hari untuk menerobos perusahaan.

Jajak pendapat diadakan di Telegram Stormous

Coca-Cola dan pilihan korban lainnya dalam jajak pendapat Stormous menunjukkan sikap anti-Barat. Sebelumnya, kelompok tersebut mengklaim Epic Games sebagai korbannya.

Mereka mengumumkan bahwa mereka mencuri 200 gigabyte data dan rincian 33 juta pengguna Epic store dan game. Namun, belum ada konfirmasi tentang keabsahan data tersebut, sehingga reputasi Stormous tentang klaim ini belum ditetapkan.

Sumber: Bleeping Computer

Tagged With: Coca-Cola, peretas, Stormous

Google Play Store sekarang memaksa aplikasi untuk mengungkapkan data apa yang dikumpulkan

April 27, 2022 by Eevee

Google meluncurkan bagian Keamanan Data baru di Play Store, repositori aplikasi resmi Android, di mana pengembang harus menyatakan data apa yang dikumpulkan perangkat lunak mereka dari pengguna aplikasi mereka.

Ini dapat membantu pengguna memutuskan apakah mereka ingin melanjutkan penginstalan.

Aplikasi yang mendeklarasikan data apa yang dikumpulkannya
(Google)

Pengembang tidak hanya akan menyatakan data apa yang mereka kumpulkan, tetapi juga data apa yang mereka bagikan dengan pihak ketiga.

Jika pengguna ingin mempelajari lebih lanjut tentang entri tertentu, mengetuk item yang sesuai akan menciutkan menu untuk mengungkapkan lebih banyak informasi tentang apa yang dikumpulkan atau dibagikan.

Melihat detail di bagian data bersama
(Google)

Pilar ketiga dari bagian Keamanan Data adalah praktik keamanan aplikasi, yang menjelaskan mekanisme keamanan yang digunakan untuk melindungi data yang dikumpulkan, seperti standar MASVS.

Bagian ketiga ini juga menjelaskan apakah pengguna diberikan opsi untuk meminta penghapusan data mereka kapan saja.

Terakhir, Keamanan Data akan menentukan apakah aplikasi mengikuti Kebijakan Keluarga Google Play, yang ditujukan untuk perlindungan anak-anak.

Google meluncurkan bagian Keamanan Data baru secara bertahap sehingga pengguna Android tidak akan segera melihat bagian baru ini tetapi selama beberapa minggu ke depan.

Google mengatakan bahwa pengembang akan memberikan informasi ini sendiri, yang tidak akan dikonfirmasi oleh Google. Namun, jika ditemukan bahwa pengembang telah salah mengartikan pengungkapan penggunaan data mereka, mereka akan diminta untuk memperbaiki informasi yang diberikan.

Kegagalan untuk melakukannya akan menyebabkan pelanggaran kebijakan, yang menyebabkan penangguhan aplikasi di Google Play Store.

Hingga saat ini, aplikasi Android di Play Store harus mencantumkan tautan ke Kebijakan Privasi mereka di bawah bagian “Informasi Tambahan” dan memberikan email kontak.

Karena kebijakan privasi ini dihosting di lokasi eksternal, kebijakan tersebut dapat dimodifikasi, mungkin tidak jelas, mungkin tidak mengungkapkan semua detail penting tentang pengumpulan dan perlindungan data, dan bahkan dapat menyebabkan tautan yang rusak.

Cara saat ini untuk mengakses info pengumpulan data (Play Store)

Selain itu, karena membaca teks besar jargon hukum bukanlah hal yang diharapkan pengguna saat menjelajahi Google Play Store untuk aplikasi baru, hampir tidak ada yang memeriksanya.

Akhirnya, karena kesulitan praktis yang timbul dari hal di atas, Google tidak mungkin memvalidasi bahwa aplikasi menghormati persyaratan yang disajikan dalam kebijakan privasi mereka.

Keamanan Data memberi pengguna pemahaman yang jelas tentang apa yang terjadi dengan data mereka tanpa mengharuskan mereka menghabiskan waktu untuk menggali ke dalam beberapa bagian, sementara itu juga memberdayakan Google dengan penegakan.

Sementara langkah Google bermanfaat bagi pengguna Android, fitur serupa yang disebut ‘Label Nutrisi Privasi’ sudah diperkenalkan oleh Apple pada tahun 2020.

Ringkasan pengumpulan data Apple TV (Apple)

Ini adalah kasus lain di mana persaingan di ruang OS seluler telah membawa perkembangan positif, memberi pengguna lebih banyak wawasan dan kontrol atas bagaimana data mereka ditangani oleh berbagai perangkat lunak yang berjalan di ponsel cerdas mereka.

Dengan banyaknya aplikasi penipuan, malware, dan aplikasi riba yang ditemukan di Google Play, bagian Keamanan Data baru ini tidak hanya akan berguna bagi pengguna Android, tetapi juga memungkinkan Google untuk menemukan pelanggar kebijakan dengan lebih cepat.

Sumber: Bleeping Computer

Tagged With: Google Play Store, MASVS

Peretas mengeksploitasi kelemahan penting VMware RCE untuk memasang pintu belakang

April 27, 2022 by Eevee

Peretas tingkat lanjut secara aktif mengeksploitasi kerentanan eksekusi kode jarak jauh (RCE), CVE-2022-22954, yang memengaruhi VMware Workspace ONE Access (sebelumnya disebut VMware Identity Manager).

Masalah ini telah diatasi dalam pembaruan keamanan 20 hari yang lalu bersama dengan dua RCE lainnya – CVE-2022-22957 dan CVE-2022-22958 yang juga memengaruhi VMware Identity Manager (vIDM), VMware vRealize Automation (vRA), VMware Cloud Foundation, dan vRealize Suite Lifecycle Manager.

Segera setelah pengungkapan kelemahan tersebut kepada publik, kode eksploitasi bukti konsep (PoC) muncul di ruang publik, memungkinkan peretas memanfaatkan untuk menargetkan penyebaran produk VMware yang rentan. VMware mengkonfirmasi eksploitasi CVE-2022-22954 di alam liar.

Sekarang, para peneliti di Morphisec melaporkan melihat eksploitasi dari aktor ancaman persisten tingkat lanjut (APT), khususnya kelompok peretasan Iran yang dilacak sebagai APT35, alias “Rocket Kitten.”

Musuh mendapatkan akses awal ke lingkungan dengan mengeksploitasi CVE-2022-22954, satu-satunya di trio RCE yang tidak memerlukan akses administratif ke server target dan juga memiliki eksploitasi PoC yang tersedia untuk umum.

Serangan dimulai dengan mengeksekusi perintah PowerShell pada layanan yang rentan (Identity Manager), yang meluncurkan stager.

Stager kemudian mengambil pemuat PowerTrash dari server perintah dan kontrol (C2) dalam bentuk yang sangat dikaburkan dan memuat agen Dampak Inti ke dalam memori sistem.

Aliran serangan APT35 (Morphisec)

Core Impact adalah alat pengujian penetrasi yang sah yang disalahgunakan untuk tujuan jahat dalam kasus ini, mirip dengan bagaimana Cobalt Strike digunakan dalam kampanye jahat.

“Penelitian Morphisec mengamati penyerang yang sudah mengeksploitasi kerentanan ini (CVE-2022-22954) untuk meluncurkan backdoor HTTPS terbalik—terutama Cobalt Strike, Metasploit, atau Core Impact beacon” – Morphisec

CTO Morphisec Michael Gorelik mengatakan bahwa penyerang mencoba gerakan lateral pada jaringan, meskipun pintu belakang dihentikan.

Morphisec dapat mengambil alamat C2 server stager, versi klien Core Impact, dan kunci enkripsi 256-bit yang digunakan untuk komunikasi C2, dan akhirnya menghubungkan operasi tersebut dengan orang tertentu bernama Ivan Neculiti dan sebuah perusahaan bernama Stark Industries.

Beberapa perusahaan dalam database paparan penipuan yang mencantumkan nama Neculiti sebagai rekanan atau penerima manfaat. Basis data tersebut mencakup perusahaan hosting yang diduga mendukung situs web ilegal yang digunakan dalam kampanye spam dan phishing.

Pembaruan [26 April, 12:04]: BleepingComputer menerima pernyataan dari P.Q. Hosting S.R.L., yang berkantor pusat di Moldova dan perusahaan induk Stark Industries, menolak keterlibatan mereka yang disengaja dalam kegiatan ilegal:

Sumber: Bleeping Computer

Tagged With: APT35, eksploitasi, Peretasan, RCE, VMWare

Atlassian Mengatasi Cacat Bypass Otentikasi Jira yang Kritis

April 26, 2022 by Eevee

Atlassian memperbaiki kelemahan kritis dalam perangkat lunak Jira, dilacak sebagai CVE-2022-0540, yang dapat dieksploitasi untuk melewati otentikasi.

Atlassian telah mengatasi kerentanan kritis dalam perangkat lunak Jira Seraph-nya, dilacak sebagai CVE-2022-0540 (skor CVSS 9,9), yang dapat dieksploitasi oleh penyerang yang tidak diautentikasi untuk melewati otentikasi. Aktor ancaman dapat memicu kerentanan dengan mengirimkan permintaan HTTP yang dibuat khusus ke perangkat lunak yang rentan.

Masalah ini memengaruhi Server Atlassian Jira dan versi Pusat Data sebelum 8.13.18 sampai versi lebih baru sebelum 8.22.0. Cacat ini juga berdampak pada Service Management Server Atlassian Jira dan versi Data Center sebelum 4.13.18sampai versi yang lebih baru sebelum 4.22.0.

Perusahaan juga memberikan mitigasi bagi pengguna yang tidak dapat menginstal versi tetap Jira atau Jira Service Management dan menggunakan aplikasi yang terpengaruh. Aplikasi merekomendasikan pengguna untuk memperbarui aplikasi yang terpengaruh ke versi yang tidak terpengaruh.

Pelanggan juga dapat mengurangi risiko keamanan dengan menonaktifkan aplikasi hingga mereka dapat menginstal versi tetap Jira atau Jira Service Management.

Sumber: Security Affairs

Tagged With: Bypass Otentikasi, Jira

AI Beracun: Krisis Cybersecurity Berikutnya

April 26, 2022 by Eevee

Banyak machine learning bergantung pada kumpulan data besar-besaran yang tidak diketahui asalnya. Itu masalah ketika pertahanan digital yang serius.

Selama dekade terakhir, kecerdasan buatan telah digunakan untuk mengenali wajah, menilai kelayakan kredit dan memprediksi cuaca. Pada saat yang sama, peretasan yang semakin canggih menggunakan metode lebih tersembunyi telah meningkat. Kombinasi AI dan cybersecurity tidak dapat dihindari karena kedua bidang mencari alat yang lebih baik dan penggunaan baru untuk teknologi mereka. Tetapi ada masalah besar yang mengancam untuk melemahkan upaya ini dan dapat memungkinkan musuh untuk melewati pertahanan digital tanpa terdeteksi.

Bahayanya adalah keracunan data: memanipulasi informasi yang digunakan untuk melatih mesin menawarkan metode yang hampir tidak dapat dilacak untuk menyiasati pertahanan bertenaga AI. Banyak perusahaan mungkin tidak siap untuk menghadapi tantangan yang meningkat. Pasar global untuk cybersecurity AI sudah diperkirakan akan meningkat tiga kali lipat pada tahun 2028 menjadi $ 35 miliar. Penyedia keamanan dan klien mereka mungkin harus menambal bersama beberapa strategi untuk mencegah ancaman.

Sifat pembelajaran mesin, bagian dari AI, adalah target keracunan data. Mengingat rim data, komputer dapat dilatih untuk mengkategorikan informasi dengan benar. Sebuah sistem mungkin belum melihat gambar Lassie, tetapi mengingat cukup banyak contoh hewan yang berbeda yang diberi label dengan benar oleh spesies (dan bahkan berkembang biak) ia harus dapat menduga dia adalah seekor anjing. Dengan lebih banyak sampel, ia akan dapat menebak dengan benar jenis anjing TV yang terkenal: Rough Collie. Komputer tidak benar-benar tahu. Ini hanya membuat kesimpulan yang diinformasikan secara statistik berdasarkan data pelatihan masa lalu.

Pendekatan yang sama digunakan dalam cybersecurity. Untuk menangkap perangkat lunak berbahaya, perusahaan memberi makan sistem mereka dengan data dan membiarkan mesin belajar dengan sendirinya. Komputer yang dipersenjatai dengan banyak contoh kode baik dan buruk dapat belajar untuk mencari perangkat lunak berbahaya (atau bahkan potongan perangkat lunak) dan menangkapnya.

Teknik canggih yang disebut jaringan saraf – meniru struktur dan proses otak manusia – berjalan melalui data pelatihan dan membuat penyesuaian berdasarkan informasi yang diketahui dan baru. Jaringan seperti itu tidak perlu melihat sepotong kode jahat tertentu untuk menduga bahwa itu buruk. Ini dipelajari untuk dirinya sendiri dan dapat memprediksi yang baik versus yang jahat secara memadai.

“Kami sudah tahu bahwa peretas yang banyak akal dapat memanfaatkan pengamatan ini untuk keuntungan mereka,” Giorgio Severi, seorang mahasiswa PhD di Northwestern University, mencatat dalam presentasi baru-baru ini di simposium keamanan Usenix.

Dengan menggunakan analogi hewan, jika peretas fobia-kucing ingin menyebabkan malapetaka, mereka dapat memberi label banyak foto sloth sebagai kucing, dan dimasukkan ke dalam database sumber terbuka hewan peliharaan rumah. Karena mamalia yang memeluk pohon akan muncul jauh lebih jarang dalam korpus hewan peliharaan, sampel kecil data beracun ini memiliki peluang bagus untuk menipu sistem agar memunculkan foto sloth ketika diminta untuk menunjukkan anak kucing.

Ini adalah teknik yang sama untuk peretas yang lebih berbahaya. Dengan hati-hati membuat kode berbahaya, melabeli sampel ini sebagai baik, dan kemudian menambahkannya ke kumpulan data yang lebih besar, seorang peretas dapat menipu jaringan netral untuk menduga bahwa potongan perangkat lunak yang menyerupai contoh buruk, pada kenyataannya, tidak berbahaya. Menangkap sampel yang salah hampir tidak mungkin. Jauh lebih sulit bagi manusia untuk mengobrak-abrik kode komputer daripada menyortir gambar sloth dari kucing.

Agar tetap aman, perusahaan perlu memastikan data mereka bersih, tetapi itu berarti melatih sistem mereka dengan contoh yang lebih sedikit daripada yang mereka dapatkan dengan penawaran open source. Dalam pembelajaran mesin, ukuran sampel penting.

Permainan kucing-dan-tikus antara penyerang dan pembela telah berlangsung selama beberapa dekade, dengan AI hanya alat terbaru yang dikerahkan untuk membantu sisi baik tetap di depan. Ingat: Kecerdasan buatan tidak mahakuasa. Peretas selalu mencari eksploitasi berikutnya.

Sumber: Bloomberg

Tagged With: AI, Cybersecurity, Machine Learning

Quantum ransomware terlihat digunakan dalam serangan jaringan yang cepat

April 26, 2022 by Eevee

Ransomware Quantum, jenis yang pertama kali ditemukan pada Agustus 2021, terlihat melakukan serangan cepat yang meningkat dengan cepat, meninggalkan sedikit waktu bagi para pembela untuk bereaksi.

Pelaku ancaman menggunakan malware IcedID sebagai salah satu vektor akses awal mereka, yang menyebarkan Cobalt Strike untuk akses jarak jauh dan mengarah ke pencurian data dan enkripsi menggunakan Quantum Locker.

Rincian teknis serangan ransomware Quantum dianalisis oleh peneliti keamanan di The DFIR Report, yang mengatakan serangan itu hanya berlangsung 3 jam 44 menit dari infeksi awal hingga penyelesaian perangkat enkripsi.

Serangan yang dilihat oleh The DFIR Report menggunakan malware IcedID sebagai akses awal ke mesin target, yang mereka yakini datang melalui email phishing yang berisi lampiran file ISO.

IcedID adalah trojan perbankan modular yang digunakan selama lima tahun terakhir, terutama untuk penyebaran payload tahap kedua, loader, dan ransomware.

Kombinasi arsip IcedID dan ISO telah digunakan dalam serangan lain baru-baru ini, karena file ini sangat baik untuk melewati kontrol keamanan email.

Dua jam setelah infeksi awal, pelaku ancaman menyuntikkan Cobalt Strike ke dalam proses C:\Windows\SysWOW64\cmd.exe untuk menghindari deteksi.

Langkah pertama dari rantai infeksi (DFIR)

Pada fase ini, penyusup mencuri kredensial domain Windows dengan membuang memori LSASS, yang memungkinkan mereka menyebar secara lateral melalui jaringan.

Akhirnya, pelaku ancaman menggunakan WMI dan PsExec untuk menyebarkan muatan ransomware Quantum dan mengenkripsi perangkat.

Serangan ini hanya memakan waktu empat jam, yang cukup cepat, dan karena serangan ini biasanya terjadi larut malam atau selama akhir pekan, serangan ini tidak memberikan jendela besar bagi admin jaringan dan keamanan untuk mendeteksi dan merespons serangan tersebut.

Untuk detail lebih lanjut tentang TTP yang digunakan oleh Quantum Locker, Laporan DFIR telah menyediakan daftar lengkap indikator kompromi serta alamat C2 yang terhubung dengan IcedID dan Cobalt Strike untuk komunikasi.

Ransomware Quantum Locker adalah rebrand dari operasi ransomware MountLocker, yang diluncurkan pada September 2020.

Sejak itu, geng ransomware telah mengubah nama operasinya menjadi berbagai nama, termasuk AstroLocker, XingLocker, dan sekarang dalam fase saat ini, Quantum Locker.

Perubahan nama menjadi Quantum terjadi pada Agustus 2021, ketika enkripsi ransomware mulai menambahkan ekstensi file .quantum ke nama file terenkripsi dan menjatuhkan catatan tebusan bernama README_TO_DECRYPT.html.

Catatan ini mencakup tautan ke situs negosiasi tebusan Tor dan ID unik yang terkait dengan korban. Catatan tebusan juga menyatakan bahwa data dicuri selama serangan, yang mengancam akan dipublikasikan oleh penyerang jika uang tebusan tidak dibayarkan.

Catatan tebusan Quantum Locker
Sumber: BleepingComputer

Sementara The DFIR Report menyatakan bahwa mereka tidak melihat aktivitas eksfiltrasi data dalam serangan yang mereka analisis, BleepingComputer telah mengkonfirmasi di masa lalu bahwa mereka mencuri data selama serangan dan membocorkannya dalam skema pemerasan ganda.

Tuntutan tebusan untuk geng ini bervariasi tergantung pada korban, dengan beberapa serangan menuntut $ 150.000 untuk menerima decryptor, sementara yang lain dilihat oleh BleepingComputer adalah tuntutan multi-juta dolar, seperti yang ditunjukkan di bawah ini.

Quantum Locker menuntut uang tebusan $3,8 juta
Sumber: BleepingComputer

Meskipun mereka mungkin tidak seaktif operasi ransomware lainnya, seperti Conti, LockBit, dan AVOS, mereka masih merupakan risiko yang signifikan dan penting bagi pembela jaringan untuk menyadari TTP yang terkait dengan serangan mereka.

Sumber : Bleeping Computer

Tagged With: Cobalt Strike, DFIR, IcedID, Ransomware Quantum

Varian Malware BotenaGo Baru yang Menargetkan Perangkat DVR Kamera Keamanan Lilin

April 26, 2022 by Eevee

Varian baru botnet IoT yang disebut BotenaGo telah muncul di alam liar, secara khusus memilih perangkat DVR kamera keamanan Lilin untuk menginfeksi mereka dengan malware Mirai.

Dijuluki “Lilin Scanner” oleh Nozomi Networks, versi terbaru dirancang untuk mengeksploitasi kerentanan injeksi perintah kritis berusia dua tahun dalam firmware DVR yang ditambal oleh perusahaan Taiwan pada Februari 2020.

BotenaGo, pertama kali didokumentasikan pada November 2021 oleh AT&T Alien Labs, ditulis dalam bahasa Golang dan menampilkan lebih dari 30 eksploitasi untuk kerentanan yang diketahui di server web, router, dan jenis perangkat IoT lainnya.

Kode sumber botnet telah diunggah ke GitHub, membuatnya siap untuk disalahgunakan oleh pelaku kriminal lainnya. “Dengan hanya 2.891 baris kode, BotenaGo berpotensi menjadi titik awal bagi banyak varian baru dan keluarga malware baru yang menggunakan kode sumbernya,” kata para peneliti tahun ini.

Malware BotenaGo baru adalah yang terbaru untuk mengeksploitasi kerentanan di perangkat DVR Lilin setelah Chalubo, Fbot, dan Moobot. Awal bulan ini, Lab Penelitian Keamanan Jaringan Qihoo 360 (360 Netlab) merinci botnet DDoS yang menyebar cepat yang disebut Fodcha yang menyebar melalui beberapa kelemahan N-Day yang berbeda, termasuk kelemahan Lilin, dan kata sandi Telnet/SSH yang lemah.

Salah satu aspek penting yang membedakan Lillin Scanner dari BotenaGo adalah ketergantungannya pada program eksternal untuk membangun daftar alamat IP perangkat Lilin yang rentan, kemudian mengeksploitasi kelemahan tersebut untuk mengeksekusi kode arbitrer dari jarak jauh pada target dan menyebarkan muatan Mirai.

Perlu dicatat bahwa malware tidak dapat menyebarkan dirinya dengan cara seperti cacing, dan hanya dapat digunakan untuk menyerang alamat IP yang diberikan sebagai input dengan binari Mirai.

Perilaku lain yang terkait dengan botnet Mirai adalah pengecualian rentang IP milik jaringan internal Departemen Pertahanan AS (DoD), Layanan Pos AS (USPS), General Electric (GE), Hewlett-Packard (HP), dan lainnya,” kata para peneliti.

Seperti Mirai, kemunculan Lilin Scanner menunjukkan penggunaan kembali kode sumber yang tersedia untuk menelurkan cabang malware baru.

Sumber : The Hacker News

Tagged With: BotenaGo, Botnet, DVR, IoT, Malware

Malware Prynt Stealer baru yang kuat dijual hanya dengan $100 per bulan

April 26, 2022 by Eevee

Analis ancaman telah melihat tambahan lain ke ruang pertumbuhan infeksi malware pencuri info, bernama Prynt Stealer, yang menawarkan kemampuan yang kuat dan modul keylogger dan clipper tambahan.

Prynt Stealer menargetkan banyak pilihan browser web, aplikasi perpesanan, dan aplikasi game dan juga dapat melakukan kompromi finansial langsung.

Penulisnya menjual alat dalam langganan berbasis waktu, seperti $100/bulan, $200/kuartal, atau $700 selama setahun, tetapi juga dijual di bawah lisensi seumur hidup seharga $900.

Selain itu, pembeli dapat memanfaatkan pembuat malware untuk membuat putaran Prynt yang khusus, ramping, dan sulit dideteksi untuk digunakan dalam operasi yang ditargetkan.

Biaya lisensi Prynt Stealer (Bleeping Computer)

Analis malware di Cyble telah menganalisis Prynt untuk mengevaluasi pencuri info baru dan melaporkan bahwa alat itu dibuat dengan kerahasian sebagai prioritas, menampilkan kebingungan biner dan string terenkripsi Rijndael.

Biner Prynt yang dikaburkan (Cyble)

Selain itu, semua komunikasi C2-nya dienkripsi dengan AES256, sedangkan folder AppData (dan subfolder) yang dibuat untuk menyimpan sementara data yang dicuri sebelum eksfiltrasi disembunyikan.

Dekripsi string yang di-hardcode (Cyble)

Pada awalnya, Prynt Stealer memindai semua drive di host dan mencuri dokumen, file database, file kode sumber, dan file gambar yang memiliki ukuran di bawah 5.120 byte (5 KB).

Mencuri file kecil dari host (Cyble)

Selanjutnya, malware menargetkan data pengisian otomatis, kredensial (kata sandi akun), info kartu kredit, riwayat pencarian, dan cookie yang disimpan di browser web berbasis Chrome, MS Edge, dan Firefox.

Mencuri data dari browser Chromium (Cyble)

Pada tahap ini, malware menggunakan ScanData () untuk memeriksa apakah ada kata kunci yang relevan dengan perbankan, cryptocurrency, atau situs porno yang ada di data browser dan mencurinya jika ada.

Memindai layanan tertentu (Cyble)

Selanjutnya, Prynt menargetkan aplikasi perpesanan seperti Discord, Pidgin, dan Telegram dan juga mengambil token Discord jika ada di sistem.

File otorisasi aplikasi game, file save game, dan data berharga lainnya dari Ubisoft Uplay, Steam, dan Minecraft juga dicuri.

Mencuri data Minecraft (Cyble)

Kemudian, malware meminta registri untuk menemukan direktori data untuk dompet cryptocurrency, seperti Zcash, Armory, Bytecoin, Jaxx, Ethereum, AtomicWallet, Guarda, dan dompet cryptocurrency Coinomi.

Karena direktori data ini berisi file konfigurasi dompet dan database yang sebenarnya, pelaku ancaman mengumpulkannya untuk mencuri cryptocurrency yang tersimpan di dalamnya.

Memindai registri untuk dompet (Cyble)

Terakhir, Prynt mencuri data dari FileZilla, OpenVPN, NordVPN, dan ProtonVPN, menyalin kredensial akun terkait pada subfolder terkait di AppData.

Sebelum eksfiltrasi, Prynt Stealer melakukan tindakan profil sistem umum yang melibatkan penghitungan proses yang berjalan, mengambil tangkapan layar ringkasan, dan menggabungkannya dengan kredensial jaringan dan kunci produk Windows yang digunakan di mesin host.

Kunci Windows juga dicuri (Cyble)

Pencurian data terkompresi akhirnya dilakukan melalui bot Telegram yang menggunakan koneksi jaringan terenkripsi yang aman untuk meneruskan semuanya ke server jarak jauh.

Langkah Eksfiltrasi Data Telegram (Cyble)

Terlepas dari fitur-fitur di atas, yang sejalan dengan kemampuan kebanyakan pencuri info saat ini, Prynt juga dilengkapi dengan clipper dan keylogger.

Clipper adalah alat yang memantau data yang disalin pada clipboard mesin yang disusupi untuk mengidentifikasi alamat dompet cryptocurrency dan menggantinya saat itu juga dengan yang berada di bawah kendali aktor ancaman.

Setiap kali korban mencoba membayar dengan cryptocurrency ke alamat tertentu, malware secara diam-diam mengalihkan alamat penerima, dan pembayaran dialihkan ke peretas.

Keylogger adalah modul tambahan lain yang memungkinkan operator malware jarak jauh melakukan pencurian informasi massal dengan merekam semua penekanan tombol.

Modul keylogger Prynt (Cyble)

Prynt adalah tambahan lain untuk kebanyakan alat malware pencuri informasi yang tersedia yang dapat dipilih oleh penjahat dunia maya, banyak di antaranya baru-baru ini muncul di alam liar.

Sementara keylogger, clipper, dan kemampuan mencuri yang ekstensif dikombinasikan dengan operasi tersembunyi menjadikannya kandidat yang baik untuk penyebaran luas, biayanya yang relatif tinggi (dibandingkan dengan malware lain yang baru muncul) dan keandalan infrastruktur server yang meragukan mungkin menghambat kebangkitannya.

Namun, Prynt adalah malware berbahaya yang dapat mencuri informasi sensitif pengguna dan menyebabkan kerugian finansial yang signifikan, kompromi akun, dan pelanggaran data.

Sumber : Bleeping Computer

Tagged With: Bot Telegram, clipper, Keylogger, Malware, Prynt Stealer

  • « Go to Previous Page
  • Page 1
  • Interim pages omitted …
  • Page 171
  • Page 172
  • Page 173
  • Page 174
  • Page 175
  • Interim pages omitted …
  • Page 534
  • Go to Next Page »

Copyright © 2025 · Naga Cyber Defense · Sitemap

Cookies Settings
We use cookies on our website to give you the most relevant experience by remembering your preferences and repeat visits. By clicking “Accept”, you consent to the use of ALL the cookies.
Do not sell my personal information.
AcceptReject AllCookie Settings
Manage consent

Privacy Overview

This website uses cookies to improve your experience while you navigate through the website. Out of these, the cookies that are categorized as necessary are stored on your browser as they are essential for the working of basic functionalities of the website. We also use third-party cookies that help us analyze and understand how you use this website. These cookies will be stored in your browser only with your consent. You also have the option to opt-out of these cookies. But opting out of some of these cookies may affect your browsing experience.
Necessary
Always Enabled
Necessary cookies are absolutely essential for the website to function properly. These cookies ensure basic functionalities and security features of the website, anonymously.
Functional
Functional cookies help to perform certain functionalities like sharing the content of the website on social media platforms, collect feedbacks, and other third-party features.
Performance
Performance cookies are used to understand and analyze the key performance indexes of the website which helps in delivering a better user experience for the visitors.
Analytics
Analytical cookies are used to understand how visitors interact with the website. These cookies help provide information on metrics the number of visitors, bounce rate, traffic source, etc.
CookieDurationDescription
_ga2 yearsThe _ga cookie, installed by Google Analytics, calculates visitor, session and campaign data and also keeps track of site usage for the site's analytics report. The cookie stores information anonymously and assigns a randomly generated number to recognize unique visitors.
_gat_gtag_UA_172707709_11 minuteSet by Google to distinguish users.
_gid1 dayInstalled by Google Analytics, _gid cookie stores information on how visitors use a website, while also creating an analytics report of the website's performance. Some of the data that are collected include the number of visitors, their source, and the pages they visit anonymously.
Advertisement
Advertisement cookies are used to provide visitors with relevant ads and marketing campaigns. These cookies track visitors across websites and collect information to provide customized ads.
Others
Other uncategorized cookies are those that are being analyzed and have not been classified into a category as yet.
non-necessary
SAVE & ACCEPT
Powered by CookieYes Logo