Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for News

Peretas Korea Utara menargetkan jurnalis dengan malware baru

by

Peretas yang disponsori negara Korea Utara yang dikenal sebagai APT37 telah ditemukan menargetkan jurnalis yang berspesialisasi di DPRK dengan jenis malware baru.

Malware ini didistribusikan melalui serangan phishing yang pertama kali ditemukan oleh NK News, sebuah situs berita Amerika yang didedikasikan untuk meliput berita dan menyediakan penelitian dan analisis tentang Korea Utara, menggunakan intelijen dari dalam negeri.

Kelompok peretas APT37, alias Ricochet Chollima, diyakini disponsori oleh pemerintah Korea Utara, yang melihat pelaporan berita sebagai operasi permusuhan, dan berusaha menggunakan serangan ini untuk mengakses informasi yang sangat sensitif dan berpotensi mengidentifikasi sumber jurnalis.

Stairwell menemukan sampel malware baru bernama “Goldbackdoor,” yang dinilai sebagai penerus “Bluelight.”

Perlu dicatat bahwa ini bukan pertama kalinya APT37 dikaitkan dengan kampanye malware yang menargetkan jurnalis, dengan yang terbaru adalah laporan November 2021 yang menggunakan pintu belakang “Chinotto” yang sangat dapat disesuaikan.

Email phishing tersebut berasal dari akun mantan direktur National Intelligence Service (NIS) Korea Selatan, yang sebelumnya dikompromikan oleh APT37.

Proses infeksi dua tahap (Stairwell)

Email yang dikirim ke jurnalis berisi tautan untuk mengunduh arsip ZIP yang memiliki file LNK, keduanya bernama ‘editan Kang Min-chol’. Kang Min-chol adalah Menteri Industri Pertambangan Korea Utara.

File LNK (pintasan Windows) disamarkan dengan ikon dokumen dan menggunakan bantalan untuk meningkatkan ukurannya secara artifisial menjadi 282,7 MB, menghalangi pengunggahan yang mudah ke Total Virus dan alat deteksi online lainnya.

Setelah dieksekusi, skrip PowerShell meluncurkan dan membuka dokumen umpan (doc) untuk gangguan saat mendekode skrip kedua di latar belakang.

Skrip PowerShell pertama yang digunakan dalam serangan (Stairwell)

Dokumen umpan berisi gambar eksternal tertanam yang dihosting di platform Heroku, yang memperingatkan pelaku ancaman saat dokumen dilihat.

Tautan pelacak tertanam dalam dokumen (Stairwell)

Skrip kedua mengunduh dan menjalankan muatan shellcode yang disimpan di Microsoft OneDrive, layanan hosting file berbasis cloud yang sah yang tidak mungkin menghasilkan peringatan AV.

Payload ini disebut “Fantasy,” dan menurut Stairwell, ini adalah yang pertama dari dua mekanisme penggelaran Goldbackdoor, keduanya mengandalkan injeksi proses tersembunyi.

Goldbackdoor dijalankan sebagai file PE (portable executable) dan dapat menerima perintah dasar dari jarak jauh dan mengekstrak data.

Untuk ini, ia datang dengan satu set kunci API yang digunakan untuk mengautentikasi ke Azure dan mengambil perintah untuk dieksekusi. Perintah-perintah ini terkait dengan keylogging, operasi file, RCE dasar, dan kemampuan untuk menghapus instalasi itu sendiri.

Malware menggunakan layanan cloud yang sah untuk eksfiltrasi file, dengan Stairwell memperhatikan penyalahgunaan Google Drive dan Microsoft OneDrive.

File yang ditargetkan oleh Goldbackdoor terutama dokumen dan media, seperti PDF, DOCX, MP3, TXT, M4A, JPC, XLS, PPT, BIN, 3GP, dan MSG.

Meskipun ini adalah kampanye yang sangat bertarget, penemuan, paparan, dan aturan deteksi yang dihasilkan serta hash file yang tersedia di laporan teknis Stairwell masih signifikan bagi komunitas infosec.

Sumber: Bleeping Computer

Malware Emotet menginfeksi pengguna lagi setelah memperbaiki penginstal yang rusak

by

Jumat lalu, distributor malware Emotet meluncurkan kampanye email baru yang menyertakan lampiran file ZIP yang dilindungi kata sandi yang berisi file Windows LNK (pintasan) yang berpura-pura menjadi dokumen Word.

Emotet adalah infeksi malware yang didistribusikan melalui kampanye spam dengan lampiran berbahaya. Jika pengguna membuka lampiran, makro atau skrip berbahaya akan mengunduh Emotet DLL dan memuatnya ke dalam memori.

Setelah dimuat, malware akan mencari dan mencuri email untuk digunakan dalam kampanye spam di masa mendatang dan menjatuhkan muatan tambahan seperti Cobalt Strike atau malware lain yang biasanya mengarah ke serangan ransomware.

Contoh email phishing Emotet saat ini
Sumber: Cofense

Ketika pengguna mengklik dua kali pada pintasan, itu akan menjalankan perintah yang mencari file pintasan untuk string tertentu yang berisi kode Visual Basic Script, menambahkan kode yang ditemukan ke file VBS baru, dan mengeksekusi file VBS itu, seperti yang ditunjukkan di bawah ini .

Perintah pintasan emotet dari kampanye hari Jumat
Sumber: BleepingComputer

Namun, perintah ini mengandung bug karena menggunakan nama pintasan statis ‘Password2.doc.lnk,’ meskipun nama sebenarnya dari file pintasan terlampir berbeda, seperti ‘INVOICE 2022-04-22_1033, USA.doc’.

Ini menyebabkan perintah gagal, karena file Password2.doc.lnk tidak ada, dan dengan demikian file VBS tidak dibuat, seperti yang dijelaskan oleh grup riset Emotet Cryptolaemus.

Peneliti Cryptolaemus Joseph Roosen mengatakan bahwa Emotet menutup kampanye email baru sekitar pukul 00:00 UTC pada hari Jumat setelah menemukan bahwa bug tersebut mencegah pengguna terinfeksi.

Sayangnya, Emotet memperbaiki bug hari ini dan, sekali lagi, mulai mengirim spam kepada pengguna dengan email berbahaya yang berisi file zip yang dilindungi kata sandi dan lampiran pintasan.

Pintasan ini sekarang merujuk nama file yang benar ketika perintah dijalankan, memungkinkan file VBS dibuat dengan benar dan malware Emotet diunduh dan diinstal pada perangkat korban.

Memperbaiki perintah lampiran Emotet
Sumber: BleepingComputer

Perusahaan keamanan email Cofense mengatakan bahwa lampiran yang digunakan bernama yang digunakan dalam kampanye Emotet hari ini adalah:

form.zip
Formulir.zip
Formulir elektronik.zip
PO 04252022.zip
Formulir – 25 Apr 2022.zip
Status Pembayaran.zip
TRANSFER BANK COPY.zip
Transaksi.zip
formulir ACH.zip
Info pembayaran ACH.zip

Sumber : Bleeping Computer

FBI Memperingatkan Sektor Pertanian Tentang Meningkatnya Risiko Serangan Ransomware

by

FBI pada hari Rabu memperingatkan perusahaan makanan dan pertanian untuk bersiap-siap bagi operasi ransomware untuk berpotensi menyerang entitas pertanian selama musim tanam dan panen – kerangka waktu yang diperingatkan FBI lebih mungkin untuk menarik perhatian aktor ransomware yang bertekad memanfaatkan sektor ini pada yang paling rentan, termasuk sekarang saat musim tanam musim semi berlangsung.

Pemberitahuan FBI kepada industri menegaskan bahwa peretas ransomware bertekad “mengganggu operasi, menyebabkan kerugian finansial, dan berdampak negatif pada rantai pasokan makanan,” dan mencatat ada serangan ransomware terhadap enam koperasi biji-bijian selama panen musim gugur 2021, bersama dengan dua serangan pada awal 2022 terhadap target yang tidak disebutkan biro yang dapat mempengaruhi musim tanam dengan mengganggu pasokan benih dan pupuk.

Pemberitahuan FBI hari Rabu mengungkapkan untuk pertama kalinya seberapa luas serangan ransomware terhadap target pertanian tahun lalu dan awal tahun ini, menurut Allan Liska, seorang analis intelijen di Recorded Future.

“Perusahaan pertanian tidak selalu mampu untuk staf TI dan peran keamanan, sehingga mereka sangat bergantung pada MSPs untuk memberikan perlindungan,” kata Liska. “Ketika MSP itu dikompromikan, biasanya tidak ada perlindungan untuk melindungi para korban.”

Sektor pertanian telah mengalami peningkatan jumlah serangan ransomware dalam beberapa bulan terakhir. Oktober lalu, pabrik dan pusat distribusi di Schreiber Foods, sebuah perusahaan susu bernilai miliaran dolar, dipaksa offline mengikuti apa yang disebut perusahaan sebagai “peristiwa cyber.” Insiden itu menyusul pemberitahuan FBI september untuk peringatan industri makanan dan pertanian tentang ancaman ransomware. Pemberitahuan itu mengatakan bahwa dari 2019 hingga 2020 permintaan tebusan rata-rata dua kali lipat dan pembayaran asuransi cyber rata-rata meningkat sebesar 65%.

Sekitar waktu yang sama, Badan Keamanan Siber dan Infrastruktur Departemen Keamanan Dalam Negeri, FBI, dan Badan Keamanan Nasional memperingatkan sektor pertanian bahwa penyerang ransomware BlackMatter menargetkan mereka sebagai bagian dari ancaman yang lebih luas terhadap infrastruktur penting AS.

Selengkapnya: Cyberscoop

Kesalahan Palo Alto Networks mengekspos kasus dukungan pelanggan, lampiran

by

Sebuah bug di dasbor dukungan Palo Alto Networks (PAN) mengekspos ribuan tiket dukungan pelanggan ke individu yang tidak berwenang, BleepingComputer telah mempelajarinya.

Informasi yang terungkap termasuk, nama dan informasi kontak (bisnis) dari orang yang membuat tiket dukungan, percakapan antara anggota staf Palo Alto Networks dan pelanggan.

Bukti yang dibagikan dengan BleepingComputer menunjukkan beberapa tiket dukungan berisi lampiran—seperti log firewall, konfigurasi dump, dan aset debug lainnya yang dibagikan dengan staf PAN oleh pelanggan.

Palo Alto Networks, penyedia terkemuka produk keamanan siber dan jaringan serta firewall, mengatakan kepada BleepingComputer bahwa masalah tersebut kini telah diperbaiki—sekitar delapan hari setelah dilaporkan.

Saat menyadari kesalahan akses, pelanggan memberi tahu BleepingComputer bahwa mereka segera memberi tahu Palo Alto Networks, baik dengan mengajukan “permintaan dukungan kritis” dan menghubungi anggota PAN tertentu di LinkedIn.

BleepingComputer menghubungi PAN untuk lebih memahami ruang lingkup dan dampak kebocoran data ini.

PAN mengatakan bahwa tidak ada data yang diunduh dan menyiratkan bahwa cakupan kebocoran tetap terbatas hanya pada satu pelanggan:

“Kami diberitahu tentang masalah yang memungkinkan pelanggan resmi untuk melihat sebagian kecil kasus dukungan, yang biasanya tidak dapat mereka lihat,” kata juru bicara Palo Alto Networks kepada BleepingComputer.

“Kami segera memulai penyelidikan dan mengidentifikasi itu karena kesalahan kesalahan konfigurasi izin dalam sistem pendukung.”

“Analisis kami mengkonfirmasi tidak ada data yang diunduh atau diubah, dan masalah ini segera diperbaiki.”

Namun, perhatikan, perbaikan bug memakan waktu sekitar delapan hari, setelah itu akses pelanggan tersebut ke 1.900 tiket yang tidak terkait dicabut.

PAN tidak menjawab apakah memberi tahu pelanggan yang informasinya terpengaruh oleh bug kebocoran data, atau jika berencana melakukannya.

Saat ini, perusahaan mengatakan, tidak ada tindakan pelanggan yang diperlukan dan yakin bahwa produk dan layanannya aman.

Selengkapnya: Bleeping Computer

Here’s How to Find if WhatsApp Web Code on Your Browser Has Been Hacked

by

WhatsApp dan Cloudflare dari Meta Platform telah bersatu untuk inisiatif baru yang disebut Verifikasi Kode untuk memvalidasi keaslian aplikasi web layanan pesan di komputer desktop.

Tersedia dalam bentuk ekstensi browser Chrome dan Edge, add-on open-source ini dirancang untuk “secara otomatis memverifikasi keaslian kode Web WhatsApp yang disajikan ke browser Anda,” kata Facebook dalam sebuah pernyataan.

Sistem ini bekerja dengan Cloudflare yang bertindak sebagai audit pihak ketiga untuk membandingkan hash kriptografi dari kode JavaScript WhatsApp Web yang dibagikan oleh Meta dengan hash yang dihitung secara lokal dari kode yang dijalankan pada klien browser.

Verifikasi Kode juga dimaksudkan untuk fleksibel karena setiap kali kode untuk WhatsApp Web diperbarui, nilai hash kriptografik akan diperbarui secara otomatis secara bersamaan, sehingga kode yang disajikan kepada pengguna disertifikasi dengan cepat.

WhatsApp, dalam FAQ terpisah tentang fitur keamanan terbaru, menekankan bahwa “ekstensi tidak akan membaca atau mengakses pesan yang Anda kirim atau terima, dan kami tidak akan tahu apakah Anda telah mengunduh ekstensi tersebut.” Add-on juga tidak akan mencatat data, metadata, atau data pengguna apa pun, dan tidak membagikan informasi apa pun dengan WhatsApp, katanya.

“Idenya sendiri – membandingkan hash untuk mendeteksi gangguan atau bahkan file yang rusak – bukanlah hal baru, tetapi mengotomatiskannya, menyebarkannya dalam skala besar, dan memastikannya ‘berfungsi’ untuk pengguna WhatsApp,” kata Cloudflare.

Selengkapnya: The Hacker News

Anomaly Six, kontraktor rahasia Amerika mengklaim dapat memata-matai ponsel

by

Menurut Brendon Clark dari Anomaly Six – atau “A6” – kombinasi teknologi pelacakan lokasi ponselnya dengan pengawasan media sosial yang disediakan oleh Zignal Labs akan memungkinkan pemerintah AS untuk dengan mudah memata-matai pasukan Rusia saat mereka berkumpul di sepanjang perbatasan Ukraina, atau sama melacak kapal selam nuklir China. Untuk membuktikan bahwa teknologi itu bekerja, Clark mengarahkan kekuatan A6 ke dalam, memata-matai Badan Keamanan Nasional dan CIA, menggunakan ponsel mereka sendiri untuk melawan mereka.

Anomaly Six yang berbasis di Virginia didirikan pada tahun 2018 oleh dua mantan perwira intelijen militer dan mempertahankan kehadiran publik yang nyaris misterius, situs webnya tidak mengungkapkan apa pun tentang apa yang sebenarnya dilakukan perusahaan tersebut. Tetapi ada kemungkinan besar bahwa A6 tahu banyak tentang Anda.

Perusahaan ini adalah salah satu dari banyak perusahaan yang membeli banyak sekali data lokasi, melacak ratusan juta orang di seluruh dunia dengan mengeksploitasi fakta yang kurang dipahami: Aplikasi ponsel cerdas umum yang tak terhitung jumlahnya terus-menerus memanen lokasi Anda dan menyampaikannya kepada pengiklan, biasanya tanpa sepengetahuan Anda atau persetujuan berdasarkan informasi, mengandalkan pengungkapan yang terkubur dalam hukum persyaratan layanan yang luas yang tidak pernah Anda baca oleh perusahaan yang terlibat.

Setelah lokasi Anda dikirimkan ke pengiklan, saat ini tidak ada undang-undang di Amerika Serikat yang melarang penjualan dan penjualan kembali informasi tersebut kepada perusahaan seperti Anomaly Six, yang bebas menjualnya ke sektor swasta dan klien pemerintah mereka. Bagi siapa pun yang tertarik untuk melacak kehidupan sehari-hari orang lain, industri periklanan digital mengurus pekerjaan kasar hari demi hari — yang perlu dilakukan pihak ketiga hanyalah membeli akses.

Selengkapnya: The Intercept

Banyak Pembuat Perangkat Medis Melewatkan Praktik Keamanan

by

Menurut laporan yang diterbitkan minggu ini oleh Cybellum. Laporan berjudul “Medical Device Cybersecurity: Trends and Predictions,” mengumpulkan tanggapan dari 150 pembuat keputusan keamanan dan kepatuhan di industri perangkat medis di seluruh dunia.

Tindakan keamanan yang paling banyak diterapkan dalam survei Cybellum adalah menjalankan analisis kode biner (47%) dan menetapkan persyaratan keamanan selama fase desain (46%). Analisis biner dapat mengungkapkan pola kelemahan keamanan dan mengaudit elemen perangkat lunak rentan yang diketahui. Mengatasi masalah keamanan lebih awal, alias “bergeser ke kiri,” berarti pengembang dapat menemukan dan memperbaiki masalah sebelum mereka tertanam dalam dan sulit untuk diuraikan. Kabar baiknya adalah bahwa hampir setengah dari pembuat keputusan keamanan di perusahaan perangkat medis mengatakan bahwa mereka menggunakan setidaknya salah satu dari teknik tersebut; sisi sebaliknya adalah lebih dari setengahnya tidak menggunakannya.

Teknik lain yang digunakan perusahaan perangkat medis untuk mengamankan produk mereka termasuk analisis kode statis kode sumber (SAST), dilakukan oleh 41% responden; intelijen ancaman, sebesar 39%; pengujian keamanan berkelanjutan di seluruh siklus hidup perangkat, sebesar 38%; mendidik pengembang tentang pengkodean yang aman, sebesar 27%; pen-testing/fuzzing, sebesar 16%; dan pengujian keamanan aplikasi dinamis (DAST), sebesar 14%.

Laporan Cybellum mencatat bahwa “melihat data yang disegmentasi berdasarkan jenis perusahaan, SBOM lebih populer di kalangan OEM (34%), dibandingkan dengan pemasok komponen perangkat medis (20%). Tanggung jawab utama atas keselamatan dan keamanan perangkat ada di tangan pada OEM, yang dapat menjelaskan mengapa mereka menjadikannya prioritas. Tentu saja, perjalanan kedua audiens masih panjang.”

Selengkapnya: Dark Reading

Pelanggaran Dalam Angka: Mengapa Beradaptasi dengan Tantangan Regional Sangat Penting

by

Setiap tahun, Forrester memberikan Forrester Analytics Business Technographics® Security Survey, yang memberi kita wawasan tentang keadaan saat ini, tantangan, dan prioritas berwawasan ke depan dari para pembuat keputusan keamanan. Tahun ini, kami menganalisis data untuk melihat bagaimana keraguan transformasi digital, kesiapsiagaan pemulihan bencana, dan menyeimbangkan harapan dengan data mempengaruhi biaya dan efek pelanggaran. Penelitian kami, termasuk dalam laporan The 2021 State Of Enterprise Breach, mengungkapkan hal-hal berikut:

  • Enam puluh tiga persen organisasi dilanggar pada tahun lalu, 4% lebih banyak dari tahun sebelumnya. Dalam 12 bulan terakhir, organisasi menghadapi rata-rata tiga pelanggaran. Tidak mengherankan bahwa ini kurang dari tahun sebelumnya, mengingat pergeseran ke pekerjaan jarak jauh selama pandemi COVID-19. Daerah yang ragu-ragu untuk mengatasi tantangan dengan penyelarasan bisnis mengalami pelanggaran lebih tinggi daripada yang mengatasi tantangan tersebut sejak dini.
  • Perusahaan menghabiskan rata-rata 37 hari dan rata-rata $ 2,4 juta untuk menemukan dan pulih dari pelanggaran. Secara global, organisasi membutuhkan waktu rata-rata 27 hari untuk menemukan musuh dan memberantas serangan dan rata-rata 10 hari untuk pulih dari pelanggaran, dengan total 37 hari untuk menemukan dan pulih dari pelanggaran. Biaya keluar ke rata-rata global $ 2,4 juta total per pelanggaran.
  • Kekhawatiran atas jenis pelanggaran jauh dari kenyataan di lapangan. Pembuat keputusan keamanan lebih peduli tentang serangan eksternal daripada vektor serangan lainnya, sebesar 47%. Pelanggaran datang dalam berbagai cara, bagaimanapun, dan jauh lebih merata dalam frekuensi antara serangan eksternal, aset hilang / dicuri, insiden internal, dan penyedia pihak ketiga.

Apa yang harus diambil dari data ini

Temuan dalam penelitian ini jauh melampaui apa yang disebutkan di atas untuk menggali bagaimana perbedaan geografis memainkan peran besar dalam bagaimana perusahaan dipengaruhi oleh pelanggaran. Dalam laporan lengkap, kami menyelami nuansa berdasarkan wilayah dan menganalisis mengapa nuansa ini muncul. Melalui temuan kami, kami menyoroti poin-poin utama berikut untuk para profesional keamanan:

  • Masa depan tidak menunggu siapa pun. Menunda-nunda upaya transformasi digital dan prioritas TI lainnya bekerja… sampai fungsi memaksa mendesak mengubah segalanya. Sebagai profesional keamanan, Anda perlu mengadvokasi pembaruan teknologi secara internal untuk membantu organisasi menjadi lebih fleksibel, mudah beradaptasi, dan siap untuk perubahan dramatis, yang akan berlanjut ke masa mendatang.
  • Metrik berikut mengarah pada hasil yang lebih baik. Begitu konstannya pembuatan judul headline pelanggaran, tidak heran bahwa profesional keamanan paling peduli dengan serangan eksternal. Penting untuk memimpin organisasi Anda dengan data dan metrik untuk memastikan bahwa Anda tidak kelewatan serangan dari vektor lain yang lebih umum. Sesuaikan strategi Anda sesuai dengan data, bukan judul headline.
  • Beradaptasi dengan tantangan regional dalam perusahaan global sangat penting. Tidak semua wilayah dibangun sama – konflik geopolitik, peraturan, budaya, ketersediaan kepegawaian, dan peristiwa dunia lainnya sangat mempengaruhi tingkat pelanggaran dan respons tepat waktu. Strategi global Anda akan menghadapi tantangan di berbagai wilayah karena ini. Sesuaikan jadwal, strategi, dan metrik Anda untuk mengatasi batasan regional, dan tetapkan harapan yang sesuai.

Sumber: ZDNet