Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for News

Malware Qbot beralih ke vektor infeksi Pemasang Windows baru

by

Botnet Qbot sekarang mendorong muatan malware melalui email phishing dengan lampiran arsip ZIP yang dilindungi kata sandi yang berisi paket Penginstal Windows MSI yang berbahaya.

Ini adalah pertama kalinya operator Qbot menggunakan taktik ini, beralih dari cara standar mereka mengirimkan malware melalui email phishing yang menjatuhkan dokumen Microsoft Office dengan makro berbahaya pada perangkat target.

Peneliti keamanan menduga langkah ini mungkin merupakan reaksi langsung terhadap Microsoft yang mengumumkan rencana untuk membunuh pengiriman malware melalui makro VBA Office pada bulan Februari setelah menonaktifkan makro Excel 4.0 (XLM) secara default pada bulan Januari.

Microsoft telah mulai meluncurkan fitur blokir otomatis makro VBA ke pengguna Office untuk Windows pada awal April 2022, dimulai dengan Versi 2203 di Saluran Saat Ini (Pratinjau) dan ke saluran rilis lain dan versi yang lebih lama nanti.

“Perlu dicatat bahwa sementara ancaman menggunakan makro Excel 4.0 sebagai upaya untuk menghindari deteksi, fitur ini sekarang dinonaktifkan secara default dan dengan demikian mengharuskan pengguna untuk mengaktifkannya secara manual agar ancaman tersebut dapat dieksekusi dengan benar.”

Ini adalah peningkatan keamanan yang signifikan untuk melindungi pelanggan Office karena menggunakan makro VBA berbahaya yang disematkan dalam dokumen Office adalah metode umum untuk mendorong berbagai jenis malware dalam serangan phishing, termasuk Qbot, Emotet, TrickBot, dan Dridex.

Qbot (juga dikenal sebagai Qakbot, Quakbot, dan Pinkslipbot) adalah trojan perbankan Windows modular dengan fitur worm yang digunakan setidaknya sejak 2007 untuk mencuri kredensial perbankan, informasi pribadi, dan data keuangan, serta untuk menjatuhkan backdoors pada komputer yang disusupi dan menyebarkan Cobalt Suar pemogokan.

Malware ini juga dikenal menginfeksi perangkat lain di jaringan yang disusupi menggunakan eksploitasi berbagi jaringan dan serangan brute force yang sangat agresif yang menargetkan akun admin Active Directory.

Meskipun aktif selama lebih dari satu dekade, malware Qbot terutama digunakan dalam serangan yang sangat ditargetkan terhadap entitas perusahaan karena mereka memberikan pengembalian investasi yang lebih tinggi.

Beberapa geng ransomware, termasuk REvil, Egregor, ProLock, PwndLocker, dan MegaCortex, juga telah menggunakan Qbot untuk menembus jaringan perusahaan.

Karena infeksi Qbot dapat menyebabkan infeksi berbahaya dan serangan yang sangat mengganggu, admin TI dan profesional keamanan harus terbiasa dengan malware ini, taktik yang digunakan untuk menyebar ke seluruh jaringan, dan yang digunakan oleh operator botnet untuk mengirimkannya ke target baru.

Sumber : Bleeping Computer

Microsoft tidak akan memberikan pembaruan keamanan lagi jika Anda tidak memutakhirkan Windows 10 versi 20H2 di bulan berikutnya

by

Microsoft menekan siapa saja yang bergantung dengan Windows versi lama.

Perusahaan ini mengakhiri dukungan untuk Windows 10 versi 20H2 hanya dalam beberapa minggu, yang berarti bahwa siapa pun yang gagal memutakhirkan tidak akan lagi menerima pembaruan keamanan. Microsoft, tentu saja, ingin pengguna meningkatkan ke Windows 11, tetapi ini bukan satu-satunya pilihan.

Secara keseluruhan, ada empat edisi Windows 10 yang mencapai akhir dukungan secara bersamaan. Rilis Home, Pro, Education, dan Pro for Workstation Windows 10 versi 20H2 semuanya mencapai akhir layanan pada 10 Mei 2022, hanya satu bulan dari sekarang.

Dalam artikel dukungan, Microsoft menyarankan pengguna:

Windows 10, versi 20H2 akan mencapai akhir layanan pada 10 Mei 2022. Ini berlaku untuk edisi* Windows 10 berikut yang dirilis pada Oktober 2020:

– Windows 10 Home, versi 20H2

– Windows 10 Pro, versi 20H2

– Windows 10 Pro Education, versi 20H2

– Windows 10 Pro untuk Workstation, versi 20H2

Edisi ini tidak akan lagi menerima pembaruan keamanan setelah 10 Mei 2022.

Perusahaan menunjukkan bahwa: “Pelanggan yang menghubungi Dukungan Microsoft setelah tanggal ini akan diarahkan untuk memperbarui perangkat mereka ke versi terbaru Windows 10 agar tetap didukung”.

Dengan Microsoft yang secara paksa menginstal Windows 10 versi 21H2 di komputer sejak awal tahun, dan sistem ini akan didukung untuk beberapa waktu ke depan. Namun, untuk waktu dukungan terlama, peningkatan ke Windows 11 diperlukan, meskipun persyaratan perangkat keras berarti bahwa ini tidak akan menjadi pilihan untuk semua orang.

Sumber : Beta News

Malware Android “Octo” ingin mendapatkan informasi perbankan Anda

by

Peneliti keamanan siber Threat Fabric mengetahui tentang Octo dari melihat permintaannya di web gelap. Threat Fabric menemukan bahwa Octo memiliki banyak kesamaan dengan ExobotCompact, termasuk langkah-langkah untuk mencegah rekayasa balik malware dan pengkodean yang membuatnya mudah disembunyikan di dalam aplikasi yang tampak tidak bersalah di Google Play Store — serta trik penonaktifan yang rapi Google Protect saat diunduh.

Untuk menjalankan ODF, Octo menyelinap masuk melalui layanan Aksesibilitas dan mengatur jumlah streaming langsung ke server perintah dan kontrol penyerang yang diperbarui setiap detik dari ponsel yang disusupi.

Kemudian menggunakan layar hitam dan menonaktifkan notifikasi untuk mengaburkan apa yang sedang dilakukan dari pengguna yang tidak bersalah. Jadi pada dasarnya, sepertinya perangkat Anda telah dimatikan, tetapi malware mengadakan pesta saat layar kosong, dan melakukan sejumlah tugas seperti menggulir, mengetuk, mengirim teks, dan memotong dan menempel.

Octo juga menggunakan perangkat lunak keylogging untuk melacak semua jenis pengguna yang diretas ke dalam perangkat (seperti PIN, nomor jaminan sosial, pesan OnlyFans), dan mampu memblokir pemberitahuan push oleh aplikasi tertentu dan mencegat atau mengirim teks.

Seperti yang ditunjukkan oleh Bleeping Computer dan Threat Fabric, perangkat lunak berbahaya menjadi lebih licik dengan setiap evolusi baru, menambahkan fitur seperti penghindaran otentikasi multi-faktor. Sangat mudah untuk merasa benar-benar terbuka.

Kewaspadaan adalah kunci dalam melindungi diri Anda dan data Anda. Tetap terinformasi tentang ancaman terbaru dan perbarui perangkat Anda dengan patch keamanan terbaru.

Selengkapnya: Android Police

Peretas membajak situs web dewasa untuk menginfeksi korban dengan malware

by

Penjahat dunia maya menipu korban agar mengunduh malware (terbuka di tab baru) dengan memberi tahu mereka bahwa browser mereka sudah usang dan perlu diperbarui untuk melihat konten halaman.

Peneliti keamanan siber Avast Jan Rubin dan Pavel Novak menemukan kampanye phishing di mana aktor ancaman yang tidak dikenal menyusupi lebih dari 16.000 WordPress dan situs web Joomla yang dihosting (dibuka di tab baru) dengan kredensial login yang lemah.

Ini biasanya situs web konten dewasa, situs web pribadi, situs universitas, dan halaman pemerintah daerah

Setelah mendapatkan akses ke situs-situs ini, para penyerang akan membuat Traffic Direction System (TDS), Parrot TDS. TDS adalah gerbang berbasis web yang mengarahkan pengguna ke berbagai konten, tergantung pada parameter tertentu.

Itu memungkinkan penyerang untuk menyebarkan malware hanya pada titik akhir (terbuka di tab baru) yang dianggap sebagai target yang baik (tindakan keamanan siber yang buruk, misalnya, atau lokasi geografis tertentu).

Mereka yang mendapatkan pesan untuk “memperbarui” browser mereka, sebenarnya akan disajikan Remote Access Trojan (RAT) yang disebut NetSupport Manager. Ini memberi penyerang akses penuh ke titik akhir target.

Selengkapnya: Tech Radar

Aplikasi Android dengan 45 juta pemasangan menggunakan SDK pengumpulan data

by

Analis malware seluler memperingatkan tentang serangkaian aplikasi yang tersedia di Google Play Store, yang mengumpulkan data sensitif pengguna dari lebih dari 45 juta pemasangan aplikasi.

Aplikasi mengumpulkan data ini melalui SDK pihak ketiga yang mencakup kemampuan untuk menangkap konten clipboard, data GPS, alamat email, nomor telepon, dan bahkan alamat MAC router modem pengguna dan SSID jaringan.

Data sensitif ini dapat menyebabkan risiko privasi yang signifikan bagi pengguna jika disalahgunakan atau bocor karena keamanan server/database yang buruk.

Selain itu, konten clipboard berpotensi mencakup informasi yang sangat sensitif, termasuk benih pemulihan dompet kripto, kata sandi, atau nomor kartu kredit, yang tidak boleh disimpan dalam database pihak ketiga.

Menurut AppCensus, yang menemukan penggunaan SDK ini, data yang dikumpulkan digabungkan dan dikirimkan oleh SDK ke domain “mobile.measurelib.com”, yang tampaknya dimiliki oleh perusahaan analitik yang berbasis di Panama bernama Sistem Pengukuran.

Cuplikan dari situs Sistem Pengukuran

Perusahaan mempromosikan SDK pengumpulan data bernama Coelib sebagai peluang monetisasi untuk aplikasi, mempromosikannya sebagai cara bebas iklan bagi penerbit untuk menghasilkan pendapatan.

Peneliti AppCensus mengatakan bahwa banyak string di perpustakaan SDK dikaburkan menggunakan enkripsi AES dan kemudian dikodekan base64.

Pseudocode dekripsi runtime konstan string SDK
(AppSensus)

Aplikasi paling populer dan diunduh yang ditemukan menggunakan SDK ini untuk mengirim data sensitif pengguna adalah sebagai berikut:

  • Speed ​​Camera Radar – 10 juta instalasi (nomor telepon, IMEI, SSID router, alamat MAC router)
  • Al-Moazin Lite – 10 juta instalasi (nomor telepon, IMEI, router SSID, alamat MAC router)
  • WiFi Mouse – 10 juta instalasi (alamat MAC router)
  • QR & Barcode Scanner – 5 juta pemasangan (nomor telepon, alamat email, IMEI, data GPS, SSID router, alamat MAC router)

Selengkapnya : Bleeping Computer

Penting untuk dicatat bahwa semua aplikasi ini dilaporkan ke Google pada 20 Oktober 2021, dan kemudian diselidiki dan dihapus dari Play Store.

Namun, penerbit mereka berhasil memperkenalkannya kembali di Play Store setelah menghapus SDK pengumpulan data dan mengirimkan versi baru yang diperbarui ke Google untuk ditinjau.

Namun, jika pengguna menginstal aplikasi pada tanggal sebelumnya, SDK akan tetap berjalan di ponsel cerdas mereka, jadi penghapusan dan penginstalan ulang akan disarankan dalam kasus ini.

Sayangnya, karena perpustakaan pengumpulan data berjalan diam-diam di latar belakang mengumpulkan data, sulit bagi pengguna untuk melindungi diri mereka sendiri darinya. Oleh karena itu, disarankan agar Anda hanya menginstal aplikasi dari pengembang tepercaya yang memiliki sejarah panjang aplikasi yang sangat ditinjau.

Praktik baik lainnya adalah menjaga jumlah aplikasi yang diinstal pada perangkat Anda seminimal mungkin dan memastikan bahwa izin yang diminta tidak terlalu luas.

Segera setelah kami dapat mengonfirmasi bahwa SDK yang dimiliki oleh Measurementsys mengeksploitasi beberapa kerentanan Android, beroperasi dengan cara yang tidak jelas dan privasi dipertanyakan, kami segera menghapus SDK yang rusak, merilis pembaruan, dan mengakhiri hubungan kami dengan mitra ini.

Sumber : Bleeping Computer

Kode JavaScript berbahaya terlihat di situs yang disusupi (Avast)

by

Sistem arah lalu lintas baru (TDS) yang disebut Parrot mengandalkan server yang menampung 16.500 situs web universitas, pemerintah daerah, platform konten dewasa, dan blog pribadi.

Penggunaan Parrot adalah untuk kampanye jahat untuk mengarahkan calon korban yang cocok dengan profil tertentu (lokasi, bahasa, sistem operasi, browser) ke sumber daya online seperti situs phishing dan menjatuhkan malware.

Pelaku ancaman yang menjalankan kampanye jahat membeli layanan TDS untuk memfilter lalu lintas masuk dan mengirimkannya ke tujuan akhir yang menyajikan konten berbahaya.

Parrot TDS ditemukan oleh analis ancaman di Avast, yang melaporkan bahwa saat ini digunakan untuk kampanye yang disebut FakeUpdate, yang mengirimkan trojan akses jarak jauh (RAT) melalui pemberitahuan pembaruan browser palsu.

Situs yang menampilkan peringatan pembaruan browser palsu (Avast)

Kampanye tampaknya telah dimulai pada Februari 2022 tetapi tanda-tanda aktivitas Parrot telah dilacak hingga Oktober 2021.

Kode JavaScript berbahaya terlihat di situs yang disusupi (Avast)

Pelaku ancaman telah menanam web shell berbahaya di server yang disusupi dan menyalinnya ke berbagai lokasi dengan nama serupa yang mengikuti pola “parroting”.

Selain itu, musuh menggunakan skrip backdoor PHP yang mengekstrak informasi klien dan meneruskan permintaan ke server perintah dan kontrol (C2) Parrot TDS.

Dalam beberapa kasus, operator menggunakan pintasan tanpa skrip PHP, mengirimkan permintaan langsung ke infrastruktur Parrot.

Penerusan langsung dan proksi Parrot (Avast)

Avast mengatakan bahwa pada Maret 2022 saja layanannya melindungi lebih dari 600.000 kliennya dari mengunjungi situs yang terinfeksi ini, yang menunjukkan skala besar gerbang pengalihan Parrot.

Sebagian besar pengguna yang ditargetkan oleh pengalihan berbahaya ini berada di Brasil, India, Amerika Serikat, Singapura, dan Indonesia.

Pengalihan Parrot mencoba peta panas (Avast)

Seperti yang dijelaskan Avast dalam laporan, profil pengguna dan pemfilteran kampanye tertentu sangat disesuaikan sehingga pelaku jahat dapat menargetkan orang tertentu dari ribuan pengguna yang dialihkan.

Ini dicapai dengan mengirimkan target tersebut ke URL unik yang menjatuhkan muatan berdasarkan perangkat keras, perangkat lunak, dan profil jaringan yang ekstensif.

Payload yang dijatuhkan pada sistem target adalah NetSupport Client RAT yang diatur untuk berjalan dalam mode senyap, yang menyediakan akses langsung ke mesin yang disusupi.

Detail payload yang dijatuhkan (Avast)

Sementara kampanye RAT saat ini merupakan operasi utama yang dilayani oleh Parrot TDS, analis Avast juga memperhatikan beberapa server terinfeksi yang menghosting situs phishing.

Halaman arahan tersebut menyerupai halaman login Microsoft yang tampak sah yang meminta pengunjung untuk memasukkan kredensial akun mereka.

Salah satu situs phishing yang dilayani oleh Parrot TDS (Avast)

Untuk admin server web yang berpotensi disusupi, Avast merekomendasikan tindakan berikut:

  • Pindai semua file di server web dengan antivirus.
  • Ganti semua file JavaScript dan PHP di server web dengan yang asli.
  • Gunakan versi CMS dan versi plugin terbaru.
  • Periksa untuk menjalankan tugas secara otomatis di server web seperti tugas cron.
  • Selalu gunakan kredensial unik dan kuat untuk setiap layanan dan semua akun, dan tambahkan 2FA jika memungkinkan.
  • Gunakan beberapa plugin keamanan yang tersedia untuk WordPress dan Joomla

Sumber : Bleeping Computer

Google mengatakan telah menggagalkan serangan siber Korea Utara pada awal 2022

by

Grup Analisis Ancaman Google mengumumkan pada hari Kamis bahwa mereka telah menemukan sepasang kader peretasan Korea Utara dengan nama Operation Dream Job dan Operation AppleJeus pada bulan Februari yang memanfaatkan eksploitasi eksekusi kode jarak jauh di browser web Chrome.

Para blackhatter dilaporkan menargetkan media berita AS, TI, kripto dan industri fintech, dengan bukti serangan mereka kembali sejauh 4 Januari 2022, meskipun Grup Analisis Ancaman mencatat bahwa organisasi di luar AS bisa menjadi target juga.

“Kami menduga bahwa kelompok-kelompok ini bekerja untuk entitas yang sama dengan rantai pasokan bersama, oleh karena itu menggunakan kit eksploit yang sama, tetapi masing-masing beroperasi dengan rangkaian misi yang berbeda dan menerapkan teknik yang berbeda,” tulis tim Google pada hari Kamis. “Ada kemungkinan penyerang lain yang didukung pemerintah Korea Utara memiliki akses ke perangkat eksploitasi yang sama.”

Operation Dream Job menargetkan 250 orang di 10 perusahaan dengan tawaran pekerjaan palsu seperti Disney dan Oracle yang dikirim dari akun palsu agar terlihat seperti berasal dari Memang atau ZipRecruiter. Mengklik tautan akan meluncurkan iframe tersembunyi yang akan memicu eksploitasi.

Operasi AppleJeus, di sisi lain, menargetkan lebih dari 85 pengguna di industri cryptocurrency dan fintech menggunakan kit eksploit yang sama.

Upaya itu melibatkan “mengkompromikan setidaknya dua situs web perusahaan fintech yang sah dan menghosting iframe tersembunyi untuk menyajikan kit eksploit kepada pengunjung,”

“Dalam kasus lain, kami mengamati situs web palsu sudah disiapkan untuk mendistribusikan aplikasi cryptocurrency yang di-trojan menghosting iframe dan mengarahkan pengunjung mereka ke kit eksploit.”

“Kit awalnya melayani beberapa javascript yang sangat dikaburkan yang digunakan untuk sidik jari sistem target,” kata tim. “Skrip ini mengumpulkan semua informasi klien yang tersedia seperti agen pengguna, resolusi, dll., lalu mengirimkannya kembali ke server eksploitasi.

Jika serangkaian persyaratan yang tidak diketahui terpenuhi, klien akan disajikan eksploitasi Chrome RCE dan beberapa tambahan javascript. Jika RCE berhasil, javascript akan meminta tahap berikutnya yang dirujuk dalam skrip sebagai ‘SBX,’ akronim umum untuk Sandbox Escape.”

Grup keamanan Google menemukan aktivitas tersebut pada 10 Februari dan telah menambalnya pada 14 Februari. Perusahaan telah menambahkan semua situs web dan domain yang teridentifikasi ke database Penjelajahan Aman serta memberi tahu semua pengguna Gmail dan Workspace yang ditargetkan tentang upaya tersebut.

Sumber : Engadget

Tujuh remaja ditangkap sehubungan dengan kelompok peretasan Lapsus$

by

Polisi Kota London telah menangkap tujuh remaja karena dicurigai memiliki hubungan dengan kelompok peretas yang diyakini sebagai kelompok Lapsus$ yang baru-baru ini berkembang biak, lapor BBC News.

“Kepolisian Kota London telah melakukan penyelidikan dengan mitranya terhadap anggota kelompok peretasan,” kata Inspektur Detektif Michael O’Sullivan dari Kepolisian Kota London dalam sebuah pernyataan kepada The Verge. “Tujuh orang berusia antara 16 dan 21 telah ditangkap sehubungan dengan penyelidikan ini dan semuanya telah dibebaskan untuk diselidiki. Penyelidikan kami tetap berlangsung.”

Lapsus$ telah bertanggung jawab atas beberapa pelanggaran keamanan besar di perusahaan teknologi, termasuk Nvidia, Samsung, Ubisoft, Okta, dan Microsoft. Pada hari Rabu, muncul laporan yang menunjukkan seorang remaja yang berbasis di Oxford adalah dalang dari kelompok tersebut. Polisi Kota London tidak mengatakan apakah remaja ini termasuk di antara mereka yang ditangkap.

Setidaknya satu anggota Lapsus$ juga tampaknya terlibat dengan pelanggaran data di EA, pakar keamanan siber Brian Krebs melaporkan pada hari Rabu dalam sebuah artikel ekstensif tentang grup tersebut. Vice menguatkan keterlibatan kelompok dalam pelanggaran itu dalam artikelnya sendiri pada hari Kamis, mencatat bahwa itu adalah “lambang dari peretasan Lapsus$ berikutnya dan besar-besaran.”

Identitas tersangka dalang itu rupanya terungkap oleh pelanggan yang marah dan memarahinya. Menurut laporan Krebs, pemimpin kelompok tersebut membeli Doxbin, sebuah situs di mana orang dapat berbagi atau menemukan informasi pribadi tentang orang lain, tahun lalu, tetapi pemilik situs tersebut adalah pemilik yang buruk. Dia tampaknya menyerahkan kendali pada Januari tetapi membocorkan “seluruh kumpulan data Doxbin” ke Telegram, dan komunitas Doxbin membalas dengan membocorkannya.

BBC News mengatakan telah berbicara dengan ayah remaja itu, yang tampaknya tidak menyadari keterlibatannya dengan kelompok itu.

“Saya belum pernah mendengar tentang semua ini sampai baru-baru ini. Dia tidak pernah berbicara tentang peretasan apa pun, tetapi dia sangat mahir menggunakan komputer dan menghabiskan banyak waktu di depan komputer,” kata sang ayah, menurut BBC News. “Saya selalu berpikir dia sedang bermain game. Kami akan mencoba menghentikannya menggunakan komputer.”

Sumber : The Verge