Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for News

Malware TeaBot menyelinap kembali ke Google Play Store untuk menargetkan pengguna AS

by

Trojan perbankan TeaBot terlihat sekali lagi di Google Play Store di mana ia menyamar sebagai aplikasi kode QR dan menyebar ke lebih dari 10.000 perangkat.

Ini adalah trik yang digunakan distributor sebelumnya, pada bulan Januari, dan meskipun Google menghapus entri ini, tampaknya malware masih dapat menemukan jalan ke repositori aplikasi Android resmi.

Menurut laporan dari Cleafy, sebuah perusahaan manajemen dan pencegahan penipuan online, aplikasi ini bertindak sebagai dropper. Mereka dikirimkan tanpa kode berbahaya dan meminta izin minimal, yang menyulitkan pengulas Google untuk menemukan sesuatu yang mencurigakan.

Selain itu, aplikasi ini menyertakan fungsionalitas yang dijanjikan, sehingga ulasan pengguna di Play Store bersifat positif.

Dalam versi yang beredar di Play Store pada Januari 2021, dianalisis oleh Bitdefender, TeaBot tidak akan muncul jika mendeteksi lokasi korban di Amerika Serikat.

Sekarang, TeaBot secara aktif menargetkan pengguna di AS dan juga menambahkan bahasa Rusia, Slovakia, dan Cina, yang menunjukkan bahwa malware mengincar kumpulan korban global.

Untuk meminimalkan kemungkinan infeksi dari trojan perbankan bahkan saat menggunakan Play Store sebagai sumber aplikasi eksklusif Anda, pertahankan jumlah aplikasi yang diinstal pada perangkat Anda seminimal mungkin.

Juga, setiap kali Anda menginstal aplikasi baru di perangkat Anda, pantau konsumsi baterai dan volume lalu lintas jaringannya selama beberapa hari pertama untuk menemukan pola yang mencurigakan.

Selengkapnya: Bleeping Computer

Taktik Cyber Rusia Mendorong FCC untuk Mengatasi Keamanan Internet Routing

by

Komisi Komunikasi Federal (FCC) mengutip agresi Rusia terhadap Ukraina dalam mengumumkan persetujuan bulatnya atas pemberitahuan penyelidikan untuk penggunaan yang aman dari Border Gateway Protocol, sistem perutean internet.

“Pekan lalu, Departemen Keamanan Dalam Negeri memperingatkan organisasi AS di semua tingkatan bahwa mereka dapat menghadapi ancaman dunia maya yang berasal dari konflik Rusia-Ukraina,” bunyi siaran pers dari FCC, Senin.

“Pemberitahuan ini akan memulai penyelidikan atas kerentanan sistem perutean global internet. Penyelidikan juga akan memeriksa dampak dari kerentanan ini pada transmisi data melalui email, e-commerce, transaksi bank, Voice-over Internet Protocol yang saling berhubungan dan panggilan 911—dan cara terbaik untuk mengatasi tantangan ini.”

Digunakan bersama dengan botnet, BGP dapat dimanipulasi untuk mengeksekusi serangan distributed denial of service seperti yang baru-baru ini dialami di Ukraina. AS telah mengaitkan serangan DDoS itu dengan Rusia. Pemberitahuan FCC menjelaskan bagaimana musuh juga dapat mengeksploitasi kerentanan di BGP untuk mengarahkan lalu lintas dan mencuri data.

Pemberitahuan tersebut mencantumkan berbagai upaya selama bertahun-tahun baik di dalam maupun di luar komisi untuk menetapkan penggunaan BGP yang aman.

Institut Standar dan Teknologi Nasional, Satuan Tugas Teknik Internet, Masyarakat Internet, dan Dewan Keandalan dan Interoperabilitas Keamanan Komunikasi milik FCC memiliki semua praktik terbaik yang terdokumentasi untuk mengatasi risiko keamanan yang terkait dengan protokol. Namun hal tersebut belum diterapkan secara komprehensif oleh penyedia layanan internet.

Selengkapnya: Nextgov

Saat Perang Dimulai, Ukraina Beralih ke Telegram

by

Setiap hari selama dua tahun terakhir, ribuan orang Ukraina membuka saluran resmi Telegram Covid-19 untuk berita pandemi terbaru. Akun @COVID19_Ukraine membagikan angka kasus harian, jumlah orang yang meninggal, dan saran kesehatan terbaru dari pemerintah. Jutaan orang membaca saluran tersebut selama krisis kesehatan global.

Tetapi ketika pasukan Rusia berbaris menuju perbatasan Ukraina, saluran itu merespons. Saluran tersebut menanyakan apakah anggota menginginkan update tentang berita “sosial-politik” terbaru? Orang-orang sangat memilih untuk adanya perubahan. Sejak itu saluran Telegram telah membagikan berita perang terbaru 24 jam sehari—mengubah nama tampilannya menjadi @UkraineNOW—dan menjadi sumber penting informasi terverifikasi bagi warga Ukraina.

Pada hari-hari sejak perang dimulai, WIRED telah meninjau ratusan posting Telegram dari akun dan politisi pemerintah Ukraina yang diverifikasi. Pesan mereka membantu menjaga orang tetap aman, menghilangkan prasangka disinformasi Rusia, dan melawan ancaman yang muncul.

Dengan hampir 500.000 anggota sebelum invasi Rusia, UkrainaNOW sudah menjadi salah satu saluran Telegram terbesar di negara itu. Sekarang satu juta orang bergantung padanya untuk mendapatkan informasi terbaru tentang perang.

Selain mempromosikan pesan resmi, pemerintah Ukraina juga menggunakan Telegram untuk meminta bantuan dari warganya. Fedorov membentuk “Tentara TI” yang didukung pemerintah dari peretas sukarelawan menggunakan Telegram; lebih dari 200.000 orang telah mendaftar.

Selengkapnya: Wired

Situs Ukraina mengalami peningkatan serangan 10x saat invasi dimulai

by

Perusahaan keamanan internet telah mencatat gelombang serangan besar-besaran terhadap situs WordPress Ukraina sejak Rusia menginvasi Ukraina, yang bertujuan untuk menghapus situs web dan menyebabkan demoralisasi.

Firma keamanan siber Wordfence, yang melindungi 8.320 situs WordPress milik universitas, pemerintah, militer, dan entitas penegak hukum di Ukraina, melaporkan telah mencatat 144.000 serangan pada 25 Februari saja.

Fokus serangan tampaknya adalah bagian dari 376 situs web akademik yang menerima 209.624 serangan antara 25 dan 27 Februari.

Gelombang besar serangan terkoordinasi ini telah mengakibatkan kompromi dari 30 situs web universitas Ukraina, yang sebagian besar mengalami kerusakan total dan tidak tersedianya layanan.

Kelompok peretas di balik serangan ini adalah kelompok pro-Rusia yang disebut “theMx0nday,” yang telah memposting bukti peretasan pada agregator defacement Zone-H.

Wordfence telah menemukan bahwa pelaku ancaman berbasis di Brasil tetapi mengarahkan serangan mereka melalui alamat IP Finlandia menggunakan penyedia layanan internet anonim Njalla.

Kelompok aktor tertentu sebelumnya telah menyerang situs Brasil, Indonesia, Spanyol, Argentina, AS, dan Turki, sementara entri pertama mereka di Zone-H dimulai pada April 2019.

Untuk pertama kalinya dalam sejarahnya, Wordfence telah memutuskan untuk menyebarkan real-time threat intelligenc ke semua situs web Ukraina terlepas dari tingkat langganan mereka ke layanannya. Biasanya, fitur ini hanya tersedia untuk pelanggan Premium.

Sumber: Bleeping Computer

Cacat Keamanan iOS Ini Perlu Ditangani Di Setiap Aplikasi

by

Cacat dalam cara iOS menangani pencopotan pemasangan aplikasi berarti bahwa data Rantai Kunci yang sensitif tidak dihapus saat konten pengguna aplikasi lainnya dihapus. Ini memengaruhi sebagian besar aplikasi, bahkan aplikasi yang tidak langsung menggunakan Keychain.

Saat pengguna mencopot pemasangan aplikasi dari iPhone atau iPad mereka, mereka benar-benar mengharapkan data aplikasi tersebut dihapus sepenuhnya. Namun, ternyata, iOS tidak menghapus beberapa data paling sensitif yang mungkin disimpan oleh aplikasi, termasuk kata sandi dan token keamanan. Data itu akan tetap ada di perangkat Anda setelah aplikasi dihapus.

Dan faktanya, pengguna tidak memiliki cara untuk menghapus data ini sama sekali, kecuali menghapus seluruh ponsel mereka. Ini dapat menyebabkan masalah perusak privasi lainnya. Bayangkan situasi di mana seseorang menghapus semua aplikasi mereka untuk menyerahkan telepon kepada orang lain.

Cara yang tepat untuk melakukan ini tentu saja adalah dengan menggunakan fungsi “Hapus iPhone”, tetapi tidak semua konsumen mengetahuinya, Mereka akan menganggap bahwa semua data mereka telah dihapus. Namun pada kenyataannya pengguna baru berpotensi memiliki akses ke semua akun pemilik sebelumnya hanya dengan menginstal ulang aplikasi yang relevan.

Sebagian besar aplikasi tidak menggunakan Keychain secara langsung, karena mereka menggunakan perpustakaan pihak ketiga yang berfungsi untuk mereka (Firebase misalnya). Cacat ini memengaruhi aplikasi apa pun yang menggunakan Keychain secara langsung atau tidak langsung.

Jadi hal terbaik berikutnya adalah menghapus data Keychain setiap kali Anda mendeteksi bahwa aplikasi telah diinstal ulang. Itu tidak akan mencegah data tidak aktif di ponsel Anda, tetapi itu akan mencegahnya digunakan saat seharusnya tidak.

Kode terlihat seperti ini untuk aplikasi SwiftUI:

struct MyApp: App {
init() {
// Find if this is a first run of a fresh install
let defaults = UserDefaults.standard

// If the “IsSubsequentRun” key doesn’t exist, it’s a fresh
// install
if !defaults.bool(forKey: “IsSubsequentRun”) {

// …so we delete the whole keychain
deleteEntireKeychain()

// And set the key to true, so we know it’s not a fresh
// install any more.
defaults.set(true, forKey: “IsSubsequentRun”)
}
}
}

Untuk aplikasi UIKit, kode di dalam init() seharusnya diletakkan di fungsi app(_:didFinishLaunchingWithOptions:) AppDelegate Anda.
Dalam kedua kasus tersebut, pastikan kode dijalankan sebelum menginisialisasi pustaka apa pun yang mungkin menggunakan data Rantai Kunci (seperti Firebase).
Terakhir, tambahkan fungsi berikut yang dapat digunakan untuk menghapus seluruh data Rantai Kunci aplikasi Anda:

import Security

…

func deleteEntireKeychain() {
let secItemClasses = [
kSecClassGenericPassword,
kSecClassInternetPassword,
kSecClassCertificate,
kSecClassKey,
kSecClassIdentity
]

// Query every item in each security class
for secItemClass in secItemClasses {
let query: NSDictionary = [
kSecClass: secItemClass,
kSecAttrSynchronizable: kSecAttrSynchronizableAny
]

// …and delete those items
SecItemDelete(query)
}
}

Ini adalah kelemahan keamanan yang merusak privasi. Ini menyebabkan data sensitif yang diharapkan pengguna telah dihapus, pada kenyataannya bertahan. Tidak ada solusi lengkap. Namun, kode di atas setidaknya akan menjamin bahwa data apa pun yang sebelumnya harus dihapus, tidak dapat digunakan di aplikasi Anda.

Sumber : Medium

Peneliti Ukraina Bocorkan Data Geng Conti Ransomware

by

Peneliti, yang memiliki akses ke sistem Conti, merilis data setelah geng ransomware terkenal menyatakan dukungan untuk Rusia sejak invasi ke Ukraina, kata Alex Holden, CTO Hold Security, sebuah konsultan yang mempelajari ransomware dan kejahatan dunia maya. Nama peneliti keamanan tidak dapat dirilis.

Data, yang dalam format JSON, termasuk log obrolan Jabber, alamat bitcoin, dan negosiasi antara korban ransomware dan penyerang Conti. Sebagian besar data adalah obrolan internal antara anggota dan afiliasi Conti, termasuk detail pribadi, konflik, dan tuduhan. Ada juga log yang terkait dengan TrickBot, botnet yang kadang-kadang digunakan untuk mendistribusikan Conti, kata Holden. Data tersebut mencakup periode dari Januari 2021 hingga awal bulan ini (lihat: Gerakan Kejahatan Dunia Maya: Conti Ransomware Menyerap TrickBot Malware).

Data Conti “harus dibaca oleh semua profesional keamanan karena memberikan Anda wawasan tentang cara kerja ransomware sebenarnya,” kata Holden. VX-Underground, sekelompok peneliti malware, juga telah memeriksa data dan membagikannya secara publik.

Pesan ini menyertai data Conti. (Sumber: VX-Underground via Twitter)

Ada sekitar 150 alamat bitcoin, pegangan obrolan, alamat IP, panel kontrol, dan data infrastruktur lainnya yang akan sangat berguna untuk melacak geng serta afiliasi yang menggunakan malware-nya, kata Liska. Conti adalah apa yang disebut grup ransomware-as-a-service. Afiliasi mendaftar untuk mendistribusikan ransomware, dan keuntungan dari serangan yang berhasil dibagikan.

“Banyak grup ransomware tidak memiliki opsec [keamanan operasional] sebaik yang mereka kira,” kata Liska. “Ini pasti cara untuk belajar dan memahami bagaimana mereka beroperasi dan apa yang mereka lakukan.”

Conti adalah salah satu jenis ransomware yang paling umum. Ini dikembangkan oleh kelompok kejahatan dunia maya Rusia yang sudah lama berjalan yang dikenal sebagai Wizard Spider, menurut CrowdStrike. Kelompok ini diyakini bertanggung jawab atas malware/kode botnet TrickBot serta ransomware jenis Ryuk dan BazarLoader.

Conti agresif dan memusuhi korbannya. Jika korban menolak untuk membayar uang tebusan, perlahan-lahan data sensitif mereka bocor di situs webnya. Itu berarti bahwa meskipun suatu organisasi memiliki cadangan yang baik dan rencana pemulihan bencana, mereka masih menghadapi kesulitan dari data yang bocor.

Meneriakkan dukungan untuk Rusia di tengah kecaman global atas serangan negara itu terhadap Ukraina adalah langkah yang berisiko. Pada hari Jumat, geng Conti menerbitkan posting singkat di situs web yang digunakannya untuk membocorkan data organisasi yang telah dikompromikan.

Ia menulis bahwa mereka sepenuhnya mendukung pemerintah Rusia dan bahwa jika ada yang mengorganisir serangan siber terhadap Rusia, ia akan menggunakan semua sumber dayanya untuk menyerang balik “infrastruktur penting musuh.”

Pada hari Senin, posting itu tampaknya telah dihapus. Posting lain yang pada dasarnya mengungkapkan sentimen yang sama telah diterbitkan tetapi dengan tambahan baru yang mencoba meredam posisinya: “Kami tidak bersekutu dengan pemerintah mana pun dan kami mengutuk perang yang sedang berlangsung.”

Risiko terbesar yang datang dari kebocoran ini adalah bahwa afiliasi dan penjahat dunia maya lainnya mungkin tidak ingin bekerja dengan geng yang infrastrukturnya telah disusupi oleh peneliti keamanan dunia maya.

Kebocoran akan menyulitkan Conti untuk melanjutkan, kata Brett Callow, analis ancaman di Emsisoft, sebuah perusahaan keamanan yang berkantor pusat di Selandia Baru yang membantu organisasi pulih dari ransomware.

Sumber : Data Breach Today

Facebook, Twitter hapus akun disinformasi yang menargetkan warga Ukraina

by

Facebook dan Twitter menghapus dua “operasi pengaruh rahasia” anti-Ukraina selama akhir pekan, satu terkait dengan Rusia dan lainnya dengan koneksi ke Belarus, kata perusahaan tersebut.

Salah satu operasi, kampanye propaganda yang menampilkan situs web yang mendorong poin pembicaraan anti-Ukraina, adalah cabang dari operasi disinformasi Rusia yang terkenal. Seorang juru bicara Facebook mengatakan mereka menggunakan wajah yang dihasilkan komputer untuk meningkatkan kredibilitas kolumnis palsu di beberapa platform, termasuk Instagram.

Kampanye lainnya menggunakan akun yang diretas untuk mendorong propaganda anti-Ukraina serupa dan dikaitkan dengan kelompok peretas Belarusia yang terkenal.

Pakar disinformasi memperingatkan bahwa Rusia diperkirakan akan terus mencoba memanipulasi narasi tentang Ukraina – terutama seputar klaim yang dibuat oleh Presiden Rusia Vladimir Putin.

Jaringan yang dihapus oleh Facebook dan Twitter mendorong narasi yang disebutkan sendiri oleh Putin dalam pidatonya yang mengumumkan operasi militer, yang sejak itu berubah menjadi invasi skala besar.

Pengumuman tersebut juga menunjukkan bahwa Rusia terus menggunakan strategi disinformasi yang pertama kali diidentifikasi beberapa tahun lalu sekitar pemilu 2016, meskipun dengan beberapa kemajuan — terutama penggunaan perangkat lunak yang dapat membuat wajah manusia yang realistis dan orisinal.

Facebook menghapus profil yang terkait dengan News Front dan South Front pada tahun 2020, dan perusahaan tersebut mengkonfirmasi kepada NBC News bahwa grup baru tersebut berbagi koneksi ke akun yang sebelumnya dilarang. Kedua situs web tersebut telah mendorong artikel yang menyesatkan, mempertanyakan hasil pemilihan presiden 2020 dan kemanjuran vaksin Covid-19. Departemen Luar Negeri mengidentifikasi situs web tersebut sebagai outlet disinformasi Rusia dalam laporan tahun 2020.

Situs web tersebut menampilkan artikel yang mendorong poin pembicaraan Rusia seperti “Zelensky sedang membangun kediktatoran neo-Nazi di Ukraina” dan “Mengapa Ukraina hanya akan menjadi lebih buruk.” Hingga Minggu malam, situs-situs tersebut masih menampilkan biografi dan wajah para kolumnis yang dihasilkan komputer dan ditautkan ke akun mereka di VKontakte, pesaing Facebook Rusia.

Facebook mengatakan telah menghapus 40 profil yang terkait dengan operasi disinformasi, dengan mengatakan bahwa profil tersebut adalah bagian kecil dari operasi pembangunan kepribadian yang lebih besar yang tersebar di Twitter, Instagram, Telegram, dan jejaring sosial Rusia.

Twitter mengatakan telah melarang lebih dari selusin akun yang terkait dengan operasi Front Berita dan Front Selatan Rusia, yang mendorong tautan ke situs propaganda baru bernama Ukraine Today.

Kemudian pada hari Senin, Ivy Choi, juru bicara YouTube, mengatakan perusahaan telah menghapus serangkaian saluran yang terkait dengan operasi pengaruh Rusia, meskipun saluran tersebut memiliki jumlah pelanggan yang sangat rendah.

Facebook mengatakan telah menghentikan operasi disinformasi multi-cabang terpisah oleh kelompok peretas terkenal yang berbasis di Belarusia yang menargetkan Ukraina. Perusahaan itu mengatakan telah meretas akun media sosial untuk digunakan menyebarkan propaganda pro-Rusia.

Peretas menargetkan jurnalis, personel militer, dan pejabat publik lokal di Ukraina, menggunakan akun email dan kata sandi yang disusupi untuk masuk ke profil Facebook mereka. Akun yang diretas kemudian akan memposting video yang mereka sebut sebagai seorang Ukraina yang mengibarkan bendera putih tanda menyerah.

Facebook mengaitkan upaya tersebut dengan kelompok peretasan Ghostwriter, yang sebelumnya menggunakan akun yang diretas untuk mendorong disinformasi yang menguntungkan pemerintah Belarus. Kelompok peretas Ghostwriter bekerja untuk pemerintah Belarusia, menurut perusahaan keamanan siber Mandiant.

Sumber : NBC NEWS

Malware Daxin Yang Memiliki Kaitan Dengan China Menargetkan Beberapa Pemerintah Dalam Serangan Spionase

by

Malware Daxin menargetkan jaringan pemerintah di seluruh dunia, menurut para peneliti, dengan tujuan spionase siber.

Tim Symantec Threat Hunter Broadcom menggambarkan backdoor, bernama Daxin, sebagai malware berteknologi canggih, yang memungkinkan penyerang melakukan berbagai komunikasi dan operasi pengumpulan informasi yang ditujukan untuk entitas di sektor telekomunikasi, transportasi, dan manufaktur yang memiliki kepentingan strategis bagi China.

Mereka menambahkan bahwa lingkup operasi spesifik Daxin termasuk membaca dan menulis file; memulai dan berinteraksi dengan proses di sistem yang terpengaruh; dan kemampuan gerakan lateral dan bersembunyi yang canggih.

“Malware Daxin adalah backdoor rootkit yang sangat canggih dengan fungsi command-and-control (C2) yang kompleks dan tersembunyi yang memungkinkan aktor jarak jauh untuk berkomunikasi dengan perangkat aman yang tidak terhubung langsung ke internet,” CISA memperingatkan dalam peringatan yang dirilis hari Senin.

Dari sudut pandang teknis, Daxin mengambil bentuk driver kernel Windows, menurut analisis Symantec yang dirilis pada hari Senin, dan memiliki fokus untuk bersembunyi.

“Kemampuan Daxin menunjukkan para penyerang menginvestasikan upaya signifikan dalam mengembangkan teknik komunikasi yang dapat berbaur dengan lalu lintas jaringan normal di jaringan target,” kata Symantec. “Secara khusus, malware menghindari memulai layanan jaringannya sendiri. Sebaliknya, malware dapat menyalahgunakan layanan sah apa pun yang sudah berjalan di komputer yang terinfeksi.”

Daxin berkomunikasi dengan layanan yang sah melalui tunneling jaringan, tambah mereka – dan selanjutnya, dapat mengatur komunikasi daisy-chain, untuk bergerak secara internal melalui hop antara beberapa komputer yang terhubung.

Sumber: Symantec

Di antara aspek yang tidak biasa dari Daxin adalah kemampuannya untuk menyampaikan perintah di seluruh jaringan komputer yang terinfeksi dalam organisasi yang diserang, menciptakan “saluran komunikasi multi-node” yang memungkinkan akses berulang ke komputer yang disusupi untuk waktu yang lama.

Selengkapnya: Threat Post