Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for News

Perusahaan Keamanan Siber China Dox Operasi Peretasan NSA yang Jelas

by

Sebuah perusahaan keamanan siber China menuduh NSA berada di balik alat peretasan yang digunakan selama sepuluh tahun dalam sebuah laporan yang diterbitkan pada hari Rabu.

Laporan dari Pangu Lab menyelidiki malware yang pertama kali ditemui para penelitinya pada tahun 2013 selama penyelidikan peretasan terhadap “departemen domestik utama.” Pada saat itu, para peneliti tidak dapat mengetahui siapa yang berada di balik peretasan tersebut, tetapi kemudian, berkat bocoran data NSA tentang grup peretasan Equation Group—yang diyakini secara luas sebagai NSA—yang dirilis oleh grup misterius Shadow Brokers dan oleh orang Jerman. majalah Der Spiegel, mereka menghubungkan titik-titik dan menyadari itu dibuat oleh NSA, menurut laporan itu.

“Equation Group adalah kelompok serangan siber terkemuka di dunia dan umumnya diyakini berafiliasi dengan Badan Keamanan Nasional Amerika Serikat. Dilihat dari alat serangan yang terkait dengan organisasi, termasuk Bvp47, grup Persamaan memang grup peretasan kelas satu, ”tulis laporan itu, merujuk pada nama alat yang ditemukan para peneliti. “Alat ini dirancang dengan baik, kuat, dan diadaptasi secara luas. Kemampuan serangan jaringannya yang dilengkapi dengan kerentanan 0day tidak dapat dihentikan, dan akuisisi datanya di bawah kendali rahasia dengan sedikit usaha. Equation Group berada dalam posisi dominan dalam konfrontasi dunia maya tingkat nasional.”

Apakah Anda memiliki informasi lebih lanjut tentang kasus ini? Atau kasus serupa peretasan pemerintah? Kami ingin mendengar dari Anda. Dari telepon atau komputer non-kerja, Anda dapat menghubungi Lorenzo Franceschi-Bicchierai dengan aman di Signal di +1 917 257 1382, Wickr/Telegram/Wire @lorenzofb, atau email lorenzofb@vice.com

Ini bukan pertama kalinya sebuah perusahaan keamanan siber China menerbitkan penelitian tentang dugaan operasi peretasan intelijen Amerika. Tapi itu “sangat jarang”, seperti yang dikatakan Adam Segal, pakar keamanan siber China di Dewan Hubungan Luar Negeri, dalam email ke Motherboard.

“Saya tidak tahu siapa pelanggan Pangu, tetapi mungkin itu juga sesuatu yang ingin didengar pelanggan mereka saat ini, seperti banyak perusahaan keamanan siber Barat yang memposting tentang malware Rusia, karena semua orang di Barat ingin mendengarnya sekarang, Martijn Grooten, seorang veteran industri keamanan siber, mengatakan kepada Motherboard dalam obrolan online. “Itu juga terdengar seperti sesuatu yang NSA mampu lakukan. Dan sesuatu yang China ingin publikasikan, terutama sekarang.”

Laporan ini mungkin merupakan tanda bahwa perusahaan keamanan siber China mulai mengikuti contoh rekan-rekan Barat mereka dan melakukan lebih banyak atribusi. Ini bisa menjadi “strategi perubahan untuk menjadi lebih terkenal dan memalukan seperti yang telah dilakukan oleh pemerintah AS,” Robert Lee, mantan analis NSA dan pendiri perusahaan keamanan siber Dragos, mengatakan kepada Motherboard dalam obrolan online.

Bagi Richard Bejtlich, veteran lain dari industri keamanan siber dan penulis yang tinggal di perusahaan keamanan Corelight, adalah hal yang baik bahwa perusahaan China, dan mungkin pemerintah China, meningkatkan kemampuan atribusi mereka, karena “ini akan meningkatkan stabilitas geopolitik secara keseluruhan,” saat dia tweeted

Sumber : Vice

Perangkat penyimpanan jaringan Asustor sedang terkena serangan ransomware jahat

by

Pemilik berbagai model perangkat Asustor Network Attached Storage (NAS) turun ke Reddit dan forum resmi perusahaan hari ini, memperingatkan orang lain tentang serangan ransomware aktif yang menyandera perpustakaan media mereka dan data tersimpan lainnya (melalui Windows Central dan Tom’s Hardware). Pada awalnya, diduga bahwa pengguna yang menggunakan fitur konfigurasi EZConnect Asustor rentan, tetapi menurut akun dari beberapa pengguna Reddit yang terpengaruh, mereka menonaktifkan layanan di NAS mereka.

Komunitas r/asustor melacak informasi yang tersedia di sini, dan setelah merujuk silang layanan pada perangkat yang terpengaruh, mencurigai Plex sebagai salah satu kemungkinan vektor serangan.

Asustor secara aktif menyelidiki serangan ransomware, yang dikenal sebagai Deadbolt, dan memposting blog di situsnya yang menunjukkan bahwa Layanan Nama Domain Dinamis (DDNS) myasustor.com telah dinonaktifkan sementara demi keamanan. Perusahaan menyarankan mereka yang belum terkena dampak Deadbolt untuk mengambil tindakan pencegahan berikut:

  • Ubah port default, termasuk port akses web NAS default 8000 dan 8001, serta port akses web jarak jauh 80 dan 443.
  • Nonaktifkan EZ Connect.
  • Membuat cadangan segera.
  • Matikan layanan Terminal/SSH dan SFTP.

Tetapi bagi mereka yang tidak cukup beruntung untuk melindungi diri mereka sendiri dan memiliki pesan ransomware yang tidak menyenangkan di GUI Asustor NAS, perusahaan menyarankan untuk sepenuhnya menonaktifkannya dengan mengambil langkah-langkah berikut:

  • Cabut kabel jaringan Ethernet
  • Matikan NAS Anda dengan aman dengan menekan dan menahan tombol daya selama tiga detik.
  • Jangan menginisialisasi NAS Anda, karena ini akan menghapus data Anda.

Serangan Ransomware telah meningkat yang mempengaruhi banyak orang, termasuk serangan Colonial Pipeline tahun lalu yang menyebabkan kekurangan gas dan kepanikan di sepanjang pantai tenggara, dan juga serangan Natal lalu di Kronos yang bisa membuat banyak orang kehilangan gaji.

Serangan Ransomware yang menargetkan produk jaringan konsumen khusus seperti Asustor NAS tidak terlalu terkenal, tetapi ini berfungsi sebagai pengingat untuk selalu mencadangkan data Anda. Dalam hal ini, orang mungkin kehilangan banyak media mereka dan kalah

Sumber : The Verge

NIST mengusulkan model untuk menilai strategi investasi keamanan siber dalam keamanan jaringan

by

NIST dan peneliti universitas telah mengusulkan model komputasi baru untuk menilai biaya keamanan siber dalam perlindungan jaringan.

Jaringan perusahaan saat ini sering menyediakan permukaan serangan yang luas, termasuk perangkat Internet of Things (IoT), produk seluler, alat kerja jarak jauh, layanan lokal dan luar, dan sistem cloud.

Mungkin menjadi tantangan bagi bisnis untuk mengetahui area terpenting dalam hal investasi keamanan siber, tetapi model komputasi baru dapat menghilangkan beberapa tebakan.

Ditulis oleh peneliti US National Institute of Standards and Technology (NIST) Van Sy Mai, Richard La, dan Abdella Battou, makalah baru yang diterbitkan di IEEE/ACM Transactions on Networking, berjudul “Optimal Cybersecurity Investments in Large Networks Using SIS Model: Algorithm Design ,” mengusulkan “cara untuk menentukan investasi optimal yang diperlukan untuk meminimalkan biaya pengamanan jaringan ini, menyediakan pemulihan dari infeksi dan memperbaiki kerusakan mereka.”

Algoritme dirancang dengan pelacakan pandemi dan penyakit sebagai inspirasi. Virus dapat menyebar melalui populasi yang tidak memiliki kekebalan melalui kontak sosial, dan virus digital juga dapat menyebar melalui jaringan dan titik kontak sistem-ke-sistem jika tidak ada perlindungan.

Model ini menggunakan kumpulan data berdasarkan perilaku jangka panjang jaringan untuk menganalisis sistem jaringan besar dan area risiko untuk menghasilkan metrik kinerja utama.

Sedangkan pelacakan tingkat vaksin dapat digunakan untuk mengukur dampak perlindungan pada tingkat risiko dan penyebaran pandemi, dalam penelitian ini, biaya keamanan rata-rata waktu dikenakan dalam melindungi elemen jaringan yang berbeda, dengan tujuan keseluruhan adalah pengembangan keamanan siber. strategi investasi.

Model “susceptible-infected-susceptible” (SIS) para peneliti mempertimbangkan investasi, kerugian ekonomi, dan persyaratan pemulihan yang disebabkan oleh infeksi malware.

Empat algoritme menilai kemungkinan jaringan dilanggar, kemungkinan tingkat penyebaran, berapa lama — dan berapa biayanya — untuk memperbaiki kerusakan dan biaya yang terkait dengan pemulihan penuh.

Penilaian ini kemudian dibandingkan dengan strategi investasi model, termasuk pemantauan dan diagnostik jaringan, untuk menghasilkan rekomendasi untuk area ‘optimal’ yang harus dikeluarkan untuk melindungi jaringan.

Studi ini mungkin menyoroti bagaimana pembelajaran mesin dapat dimanfaatkan untuk memberikan landasan bagi investasi keamanan siber di masa depan. Itu juga bisa menjadi alat yang berharga bagi pengguna perusahaan di masa depan, yang menghadapi biaya rata-rata setidaknya $ 4 juta karena pelanggaran data hari ini.

Dalam berita terkait bulan ini, NIST telah bekerja pada pelabelan produk yang ditingkatkan untuk perangkat dan perangkat lunak IoT untuk meningkatkan pendidikan keamanan siber dan untuk membantu konsumen membuat pilihan yang lebih tepat.

Sumber : ZDnet

Hp Android kamu bisa jadi ada stalkerware, ini cara menghilangkannya

by

kerentanan keamanan di salah satu operasi spyware tingkat konsumen terbesar saat ini membahayakan data telepon pribadi sekitar 400.000 orang, jumlah yang terus bertambah setiap hari. Operasi, yang diidentifikasi oleh TechCrunch, dijalankan oleh sekelompok kecil pengembang di Vietnam tetapi belum memperbaiki masalah keamanan.

Aplikasi spyware tingkat konsumen sering dijual dengan kedok perangkat lunak pelacakan anak tetapi juga dikenal sebagai “penguntit” karena kemampuannya untuk melacak dan memantau pasangan atau pasangan tanpa persetujuan mereka. Aplikasi ini diunduh dari luar toko aplikasi Google Play, ditanam di ponsel tanpa izin dan dirancang untuk menghilang dari layar beranda untuk menghindari deteksi. Anda mungkin melihat ponsel Anda bertindak tidak biasa, atau berjalan lebih hangat atau lebih lambat dari biasanya, bahkan saat Anda tidak menggunakannya secara aktif.

Karena armada aplikasi penguntit ini mengandalkan penyalahgunaan fitur bawaan Android yang lebih umum digunakan oleh pemberi kerja untuk mengelola telepon kantor karyawan mereka dari jarak jauh, pemeriksaan untuk melihat apakah perangkat Android Anda disusupi dapat dilakukan dengan cepat dan mudah.

Panduan dibawah ini hanya akan menghapus aplikasi spyware, tidak menghapus data yang telah dikumpulkan dan diunggah ke servernya. Selain itu, beberapa versi Android mungkin memiliki opsi menu yang sedikit berbeda.

Periksa setelan Google Play Protect Anda

Google Play Protect adalah salah satu perlindungan terbaik untuk melindungi dari aplikasi Android berbahaya, baik pihak ketiga maupun di app store. Tetapi ketika dimatikan, perlindungan tersebut berhenti, dan stalkerware atau malware dapat diinstal pada perangkat di luar Google Play.

Periksa apakah layanan aksesibilitas telah dirusak
Jika Anda tidak mengenali layanan yang diunduh di opsi Aksesibilitas, Anda mungkin ingin menghapusnya. Banyak aplikasi penguntit disamarkan sebagai aplikasi biasa yang disebut “Aksesibilitas” atau “Kesehatan Perangkat”.

Spyware Android sering menyalahgunakan fitur aksesibilitas bawaan. Kredit Gambar: TechCrunch

Periksa apakah aplikasi admin perangkat telah diinstal
Opsi admin perangkat memiliki akses yang serupa tetapi bahkan lebih luas ke Android sebagai fitur aksesibilitas. Opsi admin perangkat ini dirancang untuk digunakan oleh perusahaan untuk mengelola ponsel karyawan dari jarak jauh, menonaktifkan fitur, dan menghapus data untuk mencegah kehilangan data. Tetapi mereka juga mengizinkan aplikasi penguntit untuk merekam layar dan mengintai pemilik perangkat.

Item yang tidak dikenal di pengaturan aplikasi admin perangkat Anda adalah indikator umum dari penyusupan telepon. Kredit Gambar: TechCrunch

Periksa aplikasi yang akan dicopot pemasangannya
Buka pengaturan Android Anda, lalu lihat aplikasi Anda. Cari aplikasi yang tidak berbahaya seperti “Device Health” atau “System Service”, dengan ikon yang tampak umum. Aplikasi ini akan memiliki akses luas ke kalender, log panggilan, kamera, kontak, dan lokasi Anda.

Aplikasi spyware sering kali memiliki ikon yang tampak umum. Kredit Gambar: TechCrunch

Jika Anda melihat aplikasi di sini yang tidak Anda kenali atau belum Anda instal, Anda dapat menekan Uninstall. Perhatikan bahwa ini kemungkinan akan mengingatkan orang yang menanam stalkerware bahwa aplikasi tersebut tidak lagi diinstal.

Amankan ponsel Anda
Jika stalkerware ditanam di ponsel Anda, ada kemungkinan besar ponsel Anda tidak terkunci, tidak terlindungi, atau kunci layar Anda dapat ditebak atau dipelajari. Kata sandi layar kunci yang lebih kuat dapat membantu melindungi ponsel Anda dari calon penguntit. Anda juga harus melindungi email dan akun online lainnya menggunakan otentikasi dua faktor jika memungkinkan.

Sumber : TechCrunch

Server Microsoft SQL Rentan yang ditargetkan dengan Cobalt Strike

by

Analis ancaman telah mengamati gelombang serangan baru yang memasang suar Cobalt Strike pada Microsoft SQL Server yang rentan, yang mengarah ke infiltrasi yang lebih dalam dan infeksi malware berikutnya.

Serangan dimulai dengan pelaku ancaman memindai server dengan port TCP terbuka 1433, yang kemungkinan besar merupakan server MS-SQL yang menghadap publik. Penyerang kemudian melakukan serangan brute-forcing dan kamus untuk memecahkan kata sandi. Agar serangan bekerja dengan salah satu metode, kata sandi target harus lemah.

Setelah penyerang mendapatkan akses ke akun admin dan masuk ke server, peneliti ASEC telah melihat mereka menjatuhkan penambang koin seperti Lemon Duck, KingMiner, dan Vollgar. Selain itu, aktor ancaman mem-backdoor server dengan Cobalt Strike untuk membangun kegigihan dan melakukan gerakan lateral.

Cobalt Strike diunduh melalui proses shell perintah (cmd.exe dan powershell.exe) ke MS-SQL yang disusupi dan disuntikkan serta dieksekusi di MSBuild.exe untuk menghindari deteksi.

Proses yang mengunduh Cobalt Strike (ASEC)

Setelah dieksekusi, suar disuntikkan ke dalam proses wwanmm.dll Windows yang sah dan menunggu perintah penyerang sambil tetap tersembunyi di dalam file pustaka sistem.

Kode dan string yang digunakan untuk menodai dll (ASEC)

Cobalt Strike adalah alat pengujian pena (keamanan ofensif) komersial yang disalahgunakan secara ekstensif oleh penjahat dunia maya yang menganggap fitur-fitur canggihnya sangat berguna untuk operasi jahat mereka.

Alat senilai $3.500 per lisensi dimaksudkan untuk membantu peretas etis dan tim merah mensimulasikan serangan nyata terhadap organisasi yang ingin meningkatkan sikap keamanan mereka, tetapi sejak versi yang diretas bocor, penggunaannya oleh pelaku ancaman menjadi tidak terkendali.

Sekarang digunakan oleh Squirrelwaffle, Emotet, operator malware, serangan oportunistik, grup penargetan Linux, musuh canggih, dan biasanya oleh geng ransomware saat melakukan serangan.

Alasan mengapa pelaku ancaman sangat menyalahgunakannya adalah fungsionalitasnya yang kaya yang mencakup hal-hal berikut:

  • Eksekusi perintah
  • Pencatatan kunci
  • Operasi file
  • Proksi SOCKS
  • Peningkatan hak istimewa
  • Mimikatz (mencuri kredensial)
  • Pemindaian port

Selain itu, agen Cobalt Strike yang disebut “suar” adalah kode shell tanpa file, sehingga kemungkinan terdeteksi oleh alat keamanan berkurang, terutama dalam sistem yang dikelola dengan buruk.

Untuk melindungi server MS-SQL Anda dari serangan jenis ini, gunakan kata sandi admin yang kuat, tempatkan server di belakang firewall, catat semuanya dan pantau tindakan yang mencurigakan, terapkan pembaruan keamanan yang tersedia, dan gunakan pengontrol akses data untuk memeriksa dan menerapkan kebijakan pada setiap transaksi.

Sumber : Bleeping Computer

Google Chrome untuk memungkinkan pengguna menambahkan catatan ke kata sandi yang disimpan

by

Google sedang menguji fitur Chrome baru yang memungkinkan pengguna untuk menambahkan catatan pada kata sandi yang disimpan di browser web.

Fitur baru ini ditemukan oleh pengguna Reddit (u/Leopeva64-2) di Google Chrome Canary (versi 101), yang merupakan versi masa depan eksperimental tiga rilis dari cabang stabil, saat ini di versi 98.

Fitur ini akan memungkinkan pengguna untuk mengedit kata sandi tersimpan yang ada untuk menambahkan informasi tambahan, seperti alamat email yang terkait dengan akun, pertanyaan/jawaban keamanan, atau informasi lain yang mungkin diperlukan saat masuk atau menggunakan situs.

Catatan kata sandi di Chrome Canary
Sumber: Reddit | u/Leopeva64-2)

Google saat ini sedang menguji fitur ini dengan sebagian pengguna karena tidak muncul di semua browser. Ada banyak alasan yang sah untuk menggunakan fitur ini, tetapi pada titik ini, tidak jelas seberapa baik perlindungan catatan ini.

Malware pencuri informasi seperti RedLine sudah dapat mencuri basis data kata sandi Chrome, jadi jika catatan tersebut dibundel dengan mereka, mereka juga akan rentan.

Bagi mereka yang memasukkan informasi berisiko yang terkait langsung dengan kata sandi, fitur baru ini berpotensi meningkatkan risiko akun mereka disusupi.

Bahkan jika seorang infostealer mengambil daftar kata sandi yang disimpan di Chrome, itu tidak akan membantu mereka melewati autentikasi multi-faktor yang mungkin telah dikonfigurasi pengguna di akun mereka.

Namun, jika pengguna menyimpan kode cadangan MFA atau informasi sensitif lainnya di bidang catatan, ini dapat memungkinkan pelaku ancaman meningkatkan akses ke akun.

Jika Anda benar-benar perlu menyimpan catatan di browser Anda, sebagian besar pengelola kata sandi menawarkan opsi ini bersama dengan enkripsi yang kuat dan perlindungan brankas rahasia, jadi ini mungkin cara yang lebih aman untuk melakukannya.

Sumber : Bleeping Computer

Metode phishing yang licik melewati MFA menggunakan perangkat lunak akses jarak jauh

by

Teknik phishing baru yang licik memungkinkan musuh untuk melewati otentikasi multi-faktor (MFA) dengan secara diam-diam meminta korban masuk ke akun mereka secara langsung di server yang dikendalikan penyerang menggunakan sistem berbagi layar VNC.

Untuk mendapatkan akses ke akun target yang dilindungi MFA, kit phishing telah diperbarui untuk menggunakan proxy terbalik atau metode lain untuk mengumpulkan kode MFA dari korban tanpa disadari.

Namun, perusahaan menangkap metode ini dan mulai memperkenalkan langkah-langkah keamanan yang memblokir login atau menonaktifkan akun ketika proxy terbalik terdeteksi.

Saat melakukan uji penetrasi untuk pelanggan, peneliti keamanan mr.d0x berusaha membuat serangan phishing pada karyawan klien untuk mendapatkan kredensial akun perusahaan.

Karena semua akun dikonfigurasi dengan MFA, mr.d0x menyiapkan serangan phishing menggunakan kerangka kerja serangan Evilginx2 yang bertindak sebagai proxy terbalik untuk mencuri kredensial dan kode MFA.

Saat melakukan pengujian, peneliti menemukan bahwa Google mencegah login saat mendeteksi proxy terbalik atau serangan man-in-the-middle (MiTM).

Masuk Google Chrome memblokir serangan MiTM
Sumber: mr.d0x

Untuk mengatasi kendala ini, mr.d0x datang dengan teknik phishing baru yang licik yang menggunakan perangkat lunak akses jarak jauh noVNC dan browser yang berjalan dalam mode kios untuk menampilkan permintaan login email yang berjalan di server penyerang tetapi ditampilkan di browser korban.

VNC adalah perangkat lunak akses jarak jauh yang memungkinkan pengguna jarak jauh untuk terhubung dan mengontrol desktop pengguna yang masuk. Kebanyakan orang terhubung ke server VNC melalui klien VNC khusus yang membuka desktop jarak jauh dengan cara yang mirip dengan Windows Remote Desktop.

Namun, sebuah program yang disebut noVNC memungkinkan pengguna untuk terhubung ke server VNC langsung dari dalam browser hanya dengan mengklik tautan, saat itulah teknik phishing baru peneliti ikut bermain.

Dengan menggunakan konfigurasi ini, pelaku ancaman dapat mengirimkan email spear-phishing yang ditargetkan yang berisi tautan yang secara otomatis meluncurkan browser target dan masuk ke server VNC jarak jauh penyerang.

Tautan ini sangat dapat disesuaikan dan memungkinkan penyerang membuat tautan yang tidak terlihat seperti URL masuk VNC yang mencurigakan, seperti di bawah ini:

Contoh[.]com/index.html?id=VNCPASSWORD
Contoh[.]com/auth/login?name=password

Karena server VNC penyerang dikonfigurasi untuk menjalankan browser dalam mode kios, yang menjalankan browser dalam mode layar penuh, ketika korban mengklik tautan, mereka hanya akan melihat layar login untuk layanan email yang ditargetkan dan login seperti biasa.

Demonstrasi teknik phishing VNC
Sumber: mr.d0x

Namun, karena prompt login sebenarnya sedang ditampilkan oleh server VNC penyerang, semua upaya login akan dilakukan langsung di server jauh. mr.d0x memberi tahu bahwa begitu pengguna masuk ke akun, penyerang dapat menggunakan berbagai alat untuk mencuri kredensial dan token keamanan.

Lebih berbahaya lagi, teknik ini akan melewati MFA karena pengguna akan memasukkan kode akses satu kali langsung di server penyerang, yang mengizinkan perangkat untuk mencoba login di masa mendatang.

Alternatif lain adalah saya menyuntikkan JS ke browser sebelum mengirim tautan phishing. Ketika pengguna mulai menggunakan browser, itu menjalankan JS saya. Ada lebih banyak opsi karena pada akhirnya pengguna mengautentikasi ke server Anda.”

Jika serangan digunakan secara terbatas untuk menargetkan hanya beberapa orang, cukup masuk ke akun email mereka melalui sesi VNC penyerang akan mengizinkan perangkat untuk terhubung ke akun di masa mendatang.

Karena VNC memungkinkan banyak orang untuk memantau sesi yang sama, penyerang dapat memutuskan sesi korban setelah akun masuk dan menyambung ke sesi yang sama nanti untuk mengakses akun dan semua emailnya.

Adapun cara melindungi diri Anda dari jenis serangan ini, semua saran phishing tetap sama: jangan klik URL dari pengirim yang tidak dikenal, periksa tautan yang disematkan untuk domain yang tidak biasa, dan perlakukan semua email sebagai mencurigakan, terutama saat meminta Anda untuk masuk ke akun Anda.

Sumber : Bleeping Computer

AS mengatakan peretas negara Rusia mengintai di jaringan kontraktor pertahanan selama berbulan-bulan

by

Peretas yang didukung oleh pemerintah Rusia telah menembus jaringan beberapa kontraktor pertahanan AS dalam kampanye berkelanjutan yang telah mengungkapkan informasi sensitif tentang infrastruktur komunikasi pengembangan senjata AS, kata pemerintah federal pada hari Rabu.

Kampanye dimulai pada Januari 2020 dan berlanjut hingga bulan ini, menurut penasihat bersama oleh FBI, Badan Keamanan Nasional, dan Badan Keamanan Cybersecurity dan Infrastruktur. Para peretas telah menargetkan dan berhasil meretas kontraktor pertahanan yang dibersihkan, atau CDC, yang mendukung kontrak untuk Departemen Pertahanan AS dan komunitas intelijen.

“Selama periode dua tahun ini, para aktor ini telah mempertahankan akses terus-menerus ke beberapa jaringan CDC, dalam beberapa kasus setidaknya selama enam bulan,” tulis para pejabat dalam nasihat tersebut. “Dalam kasus ketika para aktor telah berhasil memperoleh akses, FBI, NSA, dan CISA telah mencatat pemusnahan email dan data secara teratur dan berulang. Misalnya, pada saat kompromi pada tahun 2021, pelaku ancaman melakukan eksfiltrasi ratusan dokumen terkait produk perusahaan, hubungan dengan negara lain, serta personel internal dan masalah hukum.”

Dokumen-dokumen yang diekstraksi telah memasukkan informasi eksklusif CDC dan dikendalikan ekspor yang tidak terklasifikasi. Informasi ini memberikan pemerintah Rusia “wawasan yang signifikan” ke dalam pengembangan platform senjata AS dan jadwal waktu penyebaran, rencana infrastruktur komunikasi, dan teknologi khusus yang digunakan oleh pemerintah dan militer AS. Dokumen tersebut juga mencakup email yang tidak diklasifikasikan di antara karyawan dan pelanggan pemerintah mereka yang membahas perincian kepemilikan tentang penelitian teknologi dan ilmiah.

Para peretas telah menggunakan berbagai metode untuk menembus target mereka. Metodenya termasuk memanen kata sandi jaringan melalui spear-phishing, pelanggaran data, teknik cracking, dan eksploitasi kerentanan perangkat lunak yang belum ditambal.

Setelah mendapatkan pijakan di jaringan yang ditargetkan, pelaku ancaman meningkatkan hak sistem mereka dengan memetakan Direktori Aktif dan menghubungkan ke pengontrol domain. Dari sana, mereka dapat mengekstrak kredensial untuk semua akun lain dan membuat akun baru.

Peretas menggunakan server pribadi virtual untuk mengenkripsi komunikasi mereka dan menyembunyikan identitas mereka, tambah penasihat itu. Mereka juga menggunakan perangkat “kantor kecil dan kantor rumah (SOHO), sebagai simpul operasional untuk menghindari deteksi.” Pada tahun 2018, Rusia ketahuan menginfeksi lebih dari 500.000 router konsumen sehingga perangkat tersebut dapat digunakan untuk menginfeksi jaringan tempat mereka terhubung, mengekstrak kata sandi, dan memanipulasi lalu lintas yang melewati perangkat yang disusupi.

“Dalam beberapa kasus, pelaku ancaman mempertahankan akses terus-menerus selama setidaknya enam bulan,” kata penasihat bersama. “Meskipun para pelaku telah menggunakan berbagai malware untuk mempertahankan persistensi, FBI, NSA, dan CISA juga telah mengamati intrusi yang tidak bergantung pada malware atau mekanisme persistensi lainnya. Dalam kasus ini, kemungkinan pelaku ancaman mengandalkan kepemilikan kredensial yang sah untuk bertahan, memungkinkan mereka untuk beralih ke akun lain, sesuai kebutuhan, untuk mempertahankan akses ke lingkungan yang disusupi.”

Penasihat berisi daftar indikator teknis yang dapat digunakan admin untuk menentukan apakah jaringan mereka telah disusupi dalam kampanye. Selanjutnya mendesak semua CDC untuk menyelidiki aktivitas mencurigakan di lingkungan perusahaan dan cloud mereka.

Sumber : Arstechnica