Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for News

Peretas menyelinap ke obrolan Microsoft Teams untuk mendistribusikan malware

by

Peneliti keamanan memperingatkan bahwa beberapa penyerang mengkompromikan akun Microsoft Teams untuk menyelinap ke dalam obrolan dan menyebarkan executable berbahaya kepada peserta dalam percakapan.

Para peneliti di Avanan menemukan bahwa peretas mulai menjatuhkan file berbahaya yang dapat dieksekusi dalam percakapan di platform komunikasi Microsoft Teams.

Serangan dimulai pada bulan Januari, perusahaan mengatakan dalam sebuah laporan hari ini, dan aktor ancaman memasukkan dalam obrolan file yang dapat dieksekusi yang disebut “User Centric” untuk mengelabui pengguna agar menjalankannya. Setelah dijalankan, malware menulis data ke dalam registri sistem, menginstal DLL dan membuat kegigihan pada mesin Windows.

Metode yang digunakan untuk mendapatkan akses ke akun Teams masih belum jelas tetapi beberapa kemungkinan termasuk mencuri kredensial untuk email atau Microsoft 365 melalui phishing atau membahayakan organisasi mitra.

Analisis otomatis dari malware yang didistribusikan dengan cara ini menunjukkan bahwa trojan dapat membangun kegigihan melalui kunci Windows Registry Run atau dengan membuat entri di folder startup.

Itu juga mengumpulkan informasi terperinci tentang sistem operasi dan perangkat keras yang dijalankannya, bersama dengan status keamanan mesin berdasarkan versi OS dan tambalan yang diinstal.

Peneliti keamanan memperingatkan bahwa beberapa penyerang mengkompromikan akun Microsoft Teams untuk menyelinap ke dalam obrolan dan menyebarkan executable berbahaya kepada peserta dalam percakapan.

Lebih dari 270 juta pengguna mengandalkan Microsoft Teams setiap bulan, banyak dari mereka mempercayai platform secara implisit, meskipun tidak ada perlindungan terhadap file berbahaya.

Perusahaan menganalisis data dari rumah sakit yang menggunakan Teams dan menemukan bahwa dokter menggunakan platform untuk berbagi informasi medis tanpa batas.

Sementara individu biasanya curiga terhadap informasi yang diterima melalui email, karena pelatihan kesadaran phishing email, mereka tidak menunjukkan kehati-hatian dengan file yang diterima melalui Teams.

Selain itu, Teams menyediakan kemampuan akses tamu dan eksternal yang memungkinkan kolaborasi dengan orang-orang di luar perusahaan. Avanan mengatakan bahwa undangan ini biasanya dipenuhi dengan sedikit pengawasan.

Para peneliti mengatakan bahwa masalah ini diperparah oleh “fakta bahwa perlindungan default Teams kurang, karena pemindaian tautan dan file berbahaya terbatas” dan “banyak solusi keamanan email tidak menawarkan perlindungan yang kuat untuk Teams.”

Untuk mempertahankan diri dari serangan semacam itu, Avanan merekomendasikan hal berikut:

• Menerapkan perlindungan yang mengunduh semua file di kotak pasir dan memeriksanya untuk konten berbahaya
• Terapkan keamanan suite lengkap yang kuat yang mengamankan semua lini komunikasi bisnis, termasuk Teams
• Dorong pengguna akhir untuk menghubungi TI saat melihat file yang tidak dikenal

Sumber :

FBI memperingatkan penyerang BEC yang menyamar sebagai CEO dalam pertemuan virtual

by

Biro Investigasi Federal (FBI) hari ini memperingatkan bahwa organisasi dan individu AS semakin menjadi sasaran dalam serangan BEC (kompromi email bisnis) pada platform pertemuan virtual.

Penipu BEC dikenal menggunakan berbagai taktik (termasuk rekayasa sosial, phishing, dan peretasan) untuk menyusupi akun email bisnis dengan tujuan akhir mengalihkan pembayaran ke rekening bank mereka sendiri.

Dalam jenis serangan ini, para penjahat menargetkan bisnis kecil, menengah, dan besar, serta individu. Tingkat keberhasilannya juga sangat tinggi karena penipu biasanya berpura-pura sebagai orang yang dipercaya oleh karyawan, seperti mitra bisnis atau CEO.

FBI mengatakan mereka melihat scammers beralih ke platform pertemuan virtual yang cocok dengan tren keseluruhan bisnis yang pindah ke pekerjaan jarak jauh selama pandemi.

Seperti yang dijelaskan dalam PSA FBI, para penjahat menggunakan platform kolaborasi tersebut dalam serangan mereka dengan berbagai cara, termasuk menyamar sebagai CEO dalam rapat virtual dan menyusup ke rapat untuk mengumpulkan informasi bisnis:

  • Mengganggu email majikan atau direktur keuangan, seperti CEO atau CFO, dan meminta karyawan untuk berpartisipasi dalam platform pertemuan virtual di mana penjahat akan menyisipkan gambar diam CEO tanpa audio, atau audio “deep fake1”, dan mengklaim mereka video/audio tidak berfungsi dengan baik. Mereka kemudian melanjutkan untuk menginstruksikan karyawan untuk melakukan transfer dana melalui obrolan platform pertemuan virtual atau dalam email tindak lanjut.
  • Mengkompromikan email karyawan untuk memasukkan diri mereka ke dalam rapat di tempat kerja melalui platform rapat virtual untuk mengumpulkan informasi tentang operasi bisnis sehari-hari.
  • Mengganggu email pemberi kerja, seperti CEO, dan mengirim email palsu kepada karyawan yang menginstruksikan mereka untuk melakukan transfer dana, karena CEO mengklaim sedang sibuk dalam rapat virtual dan tidak dapat melakukan transfer dana melalui komputer mereka sendiri.

      • Menurut laporan tahunan FBI tahun 2020 tentang kejahatan dunia maya, penipuan BEC adalah “bisnis” yang sangat menguntungkan, mengingat serangan BEC berada di balik rekor jumlah keluhan dan kerugian finansial sekitar $1,8 miliar.

      Ini adalah bagian terbesar dari $ 4,2 miliar yang secara resmi hilang karena kejahatan dunia maya oleh orang Amerika pada tahun 2020.

      Dari 791.790 pengaduan yang diterima oleh Pusat Pengaduan Kejahatan Internet (IC3) FBI, 19.369 pengaduan adalah tentang penipuan BEC atau kompromi akun email (EAC).

      FBI juga memperingatkan perusahaan sektor swasta AS pada Maret 2021 tentang serangan BEC yang semakin menargetkan entitas pemerintah negara bagian, lokal, suku, dan teritorial (SLTT).

      Dalam peringatan sebelumnya, FBI mengatakan penipu BEC menyalahgunakan layanan email cloud seperti Google G Suite dan Microsoft Office 365, serta penerusan otomatis email dalam serangan mereka.

      Sumber : Bleeping Computer

Peneliti membuat eksploitasi untuk bug Magento yang kritis, saran pembaruan Adobe

by

Peneliti keamanan telah membuat kode eksploit untuk CVE-2022-24086, kerentanan kritis yang memengaruhi AdobeCommerce dan Magento Open Source yang ditambal oleh Adobe dalam pembaruan out-of-band Minggu lalu.

Kerentanan, yang dilihat Adobe sebagai “dieksploitasi di alam liar dalam serangan yang sangat terbatas,” menerima skor keparahan 9,8 dari 10 dan musuh yang mengeksploitasinya dapat mencapai eksekusi kode jarak jauh pada sistem yang terpengaruh tanpa perlu mengautentikasi.

Sebelumnya hari ini, Adobe memperbarui penasehat keamanannya untuk CVE-2022-24086 menambahkan masalah baru yang sekarang dilacak sebagai CVE-2022-24087, yang memiliki skor keparahan yang sama dan dapat menyebabkan hasil yang sama ketika dimanfaatkan dalam serangan.

Keduanya merupakan kerentanan Validasi Input yang Tidak Tepat dan perusahaan merilis tambalan untuk Adobe Commerce dan Magento Open Source untuk mengatasi dua masalah keamanan tersebut.

Dalam sebuah tweet hari ini, Tim Ofensif dari perusahaan keamanan siber Positive Technologies mengumumkan bahwa mereka menciptakan eksploitasi yang andal untuk CVE-2022-24086.

Para peneliti mengatakan kepada BleepingComputer bahwa penyerang yang memanfaatkan bug bisa mendapatkan “akses penuh ke sistem target dengan hak server web.”

Mereka memperingatkan bahwa mencoba memblokir upaya eksploitasi dengan menyiapkan firewall aplikasi web (WAF) bukanlah solusi yang andal karena ada banyak cara untuk memanfaatkan bug, “tanpa konstruksi spesifik dan tidak dapat dilepas dalam permintaan.”

Peneliti Positive Technologies memberi tahu kami bahwa mengembangkan “eksploitasi lengkap adalah tugas yang cukup sulit” jika detail teknis tidak tersedia. Namun, setelah hambatan ini dihilangkan, menyerang target yang rentan “cukup mudah dan sederhana.”

Toko online adalah target utama bagi peretas yang didorong secara finansial yang mengincar data kartu pembayaran, biasanya ditangkap oleh skimmer web – skrip berbahaya yang disuntikkan ke dalam formulir pembayaran.

Selain itu, seperti yang dicatat Adobe, beberapa pelaku ancaman sudah memanfaatkan CVE-2022-2408 dalam serangan terbatas. Menurut perkiraan para peneliti, ada lebih dari 17.000 situs web yang rentan, beberapa di antaranya dari “bisnis besar”.

Para peneliti mengatakan bahwa mereka tidak memiliki rencana untuk mempublikasikan kode eksploitasi proof-of concept (PoC) yang mereka buat atau untuk membagikannya secara pribadi dalam industri infosec.

Keputusan ini terutama dimotivasi oleh sejumlah besar situs web yang menjalankan produk Adobe Commerce dan Magento yang belum ditambal.

Sumber : Bleeping Computer

Banjir lalu lintas sampah berbahaya membuat situs web Ukraina tidak dapat dijangkau

by

Kementerian Pertahanan Ukraina dan dua bank ditutup pada hari Selasa oleh banjir lalu lintas berbahaya yang dirancang untuk mencegah orang mengunjungi situs tersebut, kata pusat keamanan informasi Ukraina.

Serangan penolakan layanan terdistribusi menargetkan situs web untuk kementerian pertahanan Ukraina, Angkatan Bersenjata Ukraina, dan dua bank, Privatbank dan Oschadbank, Layanan Negara untuk Komunikasi Khusus dan Perlindungan Informasi negara itu melaporkan. Pada saat posting ini dilaporkan, situs Kementerian Pertahanan tetap tidak dapat dijangkau sama sekali. Sementara itu, hanya beranda PrivatBank yang tersedia, dan telah dirusak. Situs Oschadbank hanya menyediakan akses terbatas.

Banjir data berbahaya juga dilaporkan oleh polisi siber Ukraina, tetapi pada saat posting ini dilaporkan, upaya untuk mengunjungi sebagian besar situs web departemen tidak berhasil. Halaman beranda mengatakan: “Kami mohon maaf atas ketidaknyamanan ini. Situs ini sedang dalam pemeliharaan.”

Kampanye yang menggunakan DDoSes (kependekan dari distributed denial-of-service) mengirimkan arus lalu lintas sampah yang dimaksudkan untuk membanjiri target sehingga mereka tidak dapat memberikan layanan. DDoSes bisa sulit dihentikan karena dikirimkan oleh sejumlah besar perangkat yang didistribusikan di wilayah geografis yang luas. Mereka analog dengan membanjiri kedai pizza dengan begitu banyak panggilan sehingga tidak dapat menerima pesanan dari pelanggan.

Meskipun DDoS memiliki kapasitas untuk melumpuhkan situs web atau bahkan sebagian besar Internet, gangguan yang ditimbulkannya bersifat sementara dan biasanya hanya berlangsung selama pihak yang bertanggung jawab terus mengirimkan torrent atau hingga layanan mitigasi DDoS menyaring lalu lintas sampah.

Perusahaan pengamatan jaringan Kentik telah melacak lalu lintas Internet yang mengalir melalui Ukraina. Grafik menunjukkan DDoSes mulai hari Selasa, ketika volume lalu lintas ke berbagai target tiba-tiba melonjak berkali-kali lipat. AS28907, sistem otonom yang menampung Angkatan Darat Ukraina, dihantam oleh tiga gelombang, seperti yang ditunjukkan oleh dua gambar berikut:

Gambaran sederhana lalu lintas yang diterima.

AS60173 DAN AS15742, yang masing-masing menampung Oschadbank dan PrivatBank, mengalami banjir serupa:

DDoSes tiba saat Rusia telah mengumpulkan lebih dari 100.000 tentara di perbatasannya dengan Ukraina. Tidak ada bukti bahwa pemerintah atau warga Rusia berada di balik aksi siber, tetapi pernyataan dari Pusat Komunikasi Strategis dan Keamanan Informasi Ukraina yang diposting di Facebook mengisyaratkan siapa yang dicurigai.

Sumber : Arstechnica

Teknisi IT dipenjara karena menghapus perangkat sekolah dan murid

by

Seorang mantan teknisi IT sekolah yang menghapus jaringan mantan majikannya tetapi juga perangkat anak-anak yang terhubung dengannya pada saat itu telah dijatuhi hukuman setelah memberi tahu hakim bahwa dia sedang mencari karir baru di bidang keamanan siber.

Adam Georgeson, 29, mengamuk secara digital setelah diberhentikan oleh Welland Park Academy di Leicestershire, Inggris, Januari lalu. Dia menghapus 125 perangkat “termasuk yang dimiliki 39 keluarga”, menurut Leicester Mercury.

Profesional TI, Robin Lane, Wellingborough, Northamptonshire, mengaku bersalah atas dua kejahatan di bawah Undang-Undang Penyalahgunaan Komputer 1990 tahun lalu.

Menghukumnya 21 bulan penjara akhir pekan lalu, Hakim Yang Mulia Mark Watson mengatakan: “Anda melakukan upaya yang disengaja untuk menyabot jaringan korban Anda. Tindakan Anda, terhadap kedua kelompok korban, dilakukan karena dendam dan balas dendam.”

Ketika dia ditangkap pada 22 Januari 2021, polisi setempat menggambarkan tindakan Georgeson sebagai “serangan dunia maya yang canggih.”

Ini mengakibatkan pemadaman 10 hari, dengan beberapa staf tidak dapat bekerja dari jarak jauh selama empat bulan sesudahnya.

Setelah dipecat dari departemen TI Welland Park Academy pada tahun 2017 setelah gagal mengungkapkan dua tuduhan penipuan sebelumnya (karena memposting iklan Gumtree yang menjual komputer yang tidak dia miliki dan tidak dapat dia suplai), Georgeson memiliki “banyak kebencian,” kata polisi . Selama penguncian COVID-19 Januari 2021, ia memperoleh akses ke jaringan mantan majikannya.

Metode tepat mantan teknisi IT itu tidak dijelaskan dalam laporan kasus tersebut, tetapi polisi setempat mengatakan bahwa itu melibatkan “empat belas langkah berbeda.”

Kegembiraannya juga memengaruhi siswa yang belajar jarak jauh di rumah dan juga di sekolah itu sendiri. Orang tua memberi tahu Leicester Crown Court tentang kerugian yang ditimbulkan, termasuk satu ayah dari tiga anak yang mengatakan dia telah kehilangan 1.000 foto keluarga. Orang tua lain mengatakan lima tahun foto keluarga dan gambar kerabat yang sekarang sudah meninggal telah hilang, bersama dengan kursus GCSE putranya, sementara yang ketiga mengatakan laptop putranya memiliki pengaturan ulang pabrik sendiri “seolah-olah itu adalah komputer baru.”

Detektif Constable Anthony Jones, dari Hub Digital Polisi LeicestershireSetelah kasus berakhir, dia mengatakan dalam sebuah pernyataan: “Georgeson mengatakan dia masuk ke sistem sekolah karena dia bosan dan memutuskan untuk mulai menghapus sesuatu. Namun, dia menyadari tindakannya dapat dilacak dan akan ditangkap sehingga tindakannya menjadi lebih jahat. .”

Sebelum penangkapannya pada Januari 2021, Georgeson dipekerjakan oleh Millennium Computer Services di Oakham, Rutland sebagai analis.

Hakim Watson tidak setuju dan menjatuhkan hukuman yang relatif lama untuk satu pengakuan bersalah untuk masing-masing bagian 3(2)(a) dan 3(2)(b) Undang-Undang Penyalahgunaan Komputer 1990. Di bawah undang-undang hukuman Inggris saat ini, Georgeson kemungkinan akan menghabiskan kurang dari satu tahun dari hukuman 21 bulannya di penjara.

Sumber : The Register

Berapa Lama Sebelum VPN Dihentikan?

by

Sebuah survei CFO Gartner mengungkapkan 74% organisasi berencana untuk menjaga setidaknya sebagian dari karyawan mereka secara permanen jauh. Itu saja seharusnya sudah menjamin pasar VPN yang berkembang di masa depan. Namun, Gartner juga menunjukkan bahwa 60% perusahaan akan menghapus sebagian besar VPN akses jarak jauh mereka secara bertahap dalam beberapa tahun.

Serangan siber yang memanfaatkan kerentanan zero day meningkat sebesar 1916% dan 1527% untuk dua penyedia VPN perusahaan terkemuka. Lonjakan serangan siber baru-baru ini yang melibatkan VPN, ditambah dengan hilangnya produktivitas berbasis latensi dan biaya dukungan VPN yang tinggi, mengikis kepercayaan yang dimiliki organisasi terhadap VPN.

VPN pada dasarnya tidak memiliki kelincahan yang dibutuhkan untuk melindungi perangkat seluler koneksi VPN disetel ulang setiap kali pengguna mengganti jaringan yang terhubung dengan mereka dan juga setiap kali mereka menghidupkan perangkat seluler mereka dari mode tidur. Semua koneksi ulang ini membebani sumber daya jaringan, memengaruhi kinerja kerja, dan produktivitas karyawan, sesuatu yang tidak disukai bisnis modern.

VPN juga tidak cocok dengan kebijakan BYOD (bawa perangkat Anda sendiri) karena mereka sering menggunakan sertifikat autentikasi yang ada di perangkat tertentu yang biasanya milik perusahaan. Saat karyawan terus berpindah di antara beberapa perangkat untuk bekerja, VPN gagal mengejar semuanya dengan mulus. VPN tidak memberikan kontrol granular atas kebijakan keamanan karena pendekatan keamanannya yang sederhana, semua atau tidak sama sekali. Ketika kontraktor independen dan vendor pihak ketiga lainnya memerlukan akses ke beberapa sumber daya internal saja, VPN memberikan akses ke seluruh jaringan secara default.

Akhirnya, cloud secara efektif menjadi hukuman mati bagi VPN. Sekarang data tidak sepenuhnya berada dalam batas-batas jaringan perusahaan yang dilindungi oleh firewall perusahaan, terowongan aman VPN tidak dirancang untuk memperluas keamanannya ke semua tempat di mana data didistribusikan. Perusahaan modern memiliki sumber daya di cloud serta di edge, sehingga mereka membutuhkan ekosistem keamanan yang meresap seperti jejak TI mereka.

Bisnis harus memiliki kemampuan untuk memperluas perimeter keamanan mereka secara dinamis ke hampir di mana saja aset dan pekerja penting mereka berada. Untuk itu, mereka membutuhkan pola pikir keamanan di mana-mana yang mencakup BYOD, pekerja jarak jauh, sumber daya cloud, vendor pihak ketiga, dan inti jaringan juga.

Untuk itu, bisnis perlu melepaskan VPN lama mereka demi solusi mutakhir seperti SWG (gerbang web aman) untuk melindungi pengguna dan perangkat yang terhubung ke internet dan menegakkan kebijakan penggunaan yang dapat diterima untuk internet, CASB (keamanan akses cloud broker) untuk memperluas kebijakan keamanan dan akses ke aplikasi berbasis cloud mereka dan ZTNA (akses jaringan tanpa kepercayaan) untuk memverifikasi setiap pengguna sebelum memberikan akses ke aset penting bahkan jika mereka sudah berada di dalam perimeter jaringan aman.

Layanan dan kontrol yang diperlukan bisnis modern ini membuat tumpukan keamanan yang kompleks dengan banyak vendor dan manajemen yang sulit, karena setiap kontrol keamanan yang ditambahkan bisnis ke jaringannya pada dasarnya akan meningkatkan permukaan serangannya, menjadikannya lebih rentan. SASE (secure access service edge) berpotensi mengisi celah karena mengintegrasikan jaringan dengan kontrol keamanan yang disebutkan di atas. Gartner telah memprediksi kebangkitan SASE selama beberapa tahun sekarang. Namun, seperti teknologi baru lainnya, ada keraguan dan bahkan skeptisisme seputar adopsi model keamanan yang lebih baru.

Meskipun banyak yang tidak mau mengakuinya, VPN tidak cukup memenuhi tantangan keamanan masa depan. Faktor penentu bagi banyak bisnis mungkin adalah investasi yang telah mereka buat dan harus mereka lakukan untuk melanjutkan perjalanan transformasi mereka.

Sumber : Info Security

Phishing LinkedIn Besar-besaran, Serangan Bot Memberi Makan pada Orang yang Lapar

by

Rentan secara emosional dan bersedia menawarkan informasi apa pun yang menarik perhatian, pencari kerja adalah target utama untuk kampanye rekayasa sosial. Dan dengan “Pengunduran Diri Hebat” dalam ayunan penuh, penjahat dunia maya dengan mudah menemukan korban berikutnya.

Sejak 1 Februari, analis telah menyaksikan serangan email phishing yang meniru LinkedIn melonjak 232 persen, mencoba mengelabui pencari kerja agar menyerahkan kredensial mereka.

Email tersebut memiliki baris subjek yang akan menarik bagi pencari kerja yang berharap diperhatikan, seperti, “Siapa yang mencari Anda secara online”, “Anda muncul dalam 4 pencarian minggu ini” atau bahkan “Anda memiliki 1 pesan baru”, kata tim Egress .

Email phishing itu sendiri adalah penipuan yang meyakinkan, dibangun dalam template HTML dengan logo, warna, dan ikon LinkedIn, tambah laporan itu. Para scammer juga memeriksa nama perusahaan terkenal di seluruh isi email phishing, termasuk American Express dan CVS Carepoint, untuk membuat korespondensi tampak lebih sah, kata para analis.

Bahkan footer email mengangkat alamat kantor pusat perusahaan dan menyertakan tautan “berhenti berlangganan” untuk menambah keaslian email, para analis menunjukkan.

“Anda juga dapat melihat spoofing nama tampilan LinkedIn, yang dirancang untuk menyembunyikan akun email web yang digunakan untuk meluncurkan serangan,” kata laporan itu.

Setelah korban mengklik tautan berbahaya di email, mereka diarahkan ke situs untuk memanen login dan kata sandi LinkedIn mereka.

“Sementara nama tampilan selalu LinkedIn dan semua email mengikuti pola yang sama, serangan phishing dikirim dari alamat webmail berbeda yang tidak memiliki korelasi satu sama lain,” tambah para analis.

Selain menggunakan prospek pekerjaan potensial untuk mengelabui target agar batuk kredensial mereka, Imperva, dalam laporan terpisah, merinci bagaimana menghentikan serangan bot terbesar yang pernah dilihat perusahaan hingga saat ini, di situs daftar pekerjaan global.

Imperva tidak secara spesifik menyebutkan nama perusahaan, tetapi perusahaan mengatakan bahwa mereka dibombardir dengan 400 juta permintaan bot lebih dari 400.000 alamat IP unik selama empat hari yang mencoba mengikis semua data pencari kerja.

Tim Imperva menambahkan bahwa jenis serangan pengikisan web ini umum terjadi dan dapat mengakibatkan “tingkat konversi yang lebih rendah, analisis pemasaran yang miring, penurunan peringkat SEO, latensi situs web, dan bahkan waktu henti (biasanya disebabkan oleh scraper agresif).”

Musim panas lalu, serangan pengikisan data besar-besaran terhadap LinkedIn ditemukan telah mengumpulkan setidaknya 1,2 miliar catatan pengguna yang kemudian dijual di forum bawah tanah. Pada saat itu, LinkedIn menegaskan kembali bahwa data yang tergores adalah informasi publik, bukan informasi pribadi, dan tidak memenuhi syarat sebagai pelanggaran.

Itu membuat pengguna individu harus memperhatikan informasi yang mereka ekspos secara publik dan bagaimana hal itu dapat digunakan untuk mengelabui mereka agar mengklik tautan berbahaya.

Sumber : Threat Post

Varian Malware MyloBot Baru – Mengirim Email Sextortion Menuntut Bitcoin

by

Varian MyloBot Malware baru mengirimkan email sextortion yang menuntut korban untuk membayar $2.732 dalam bentuk Bitcoin. Awalnya MyloBot muncul pada tahun 2018 dan dikenal dengan berbagai kemampuan anti-debugging yang canggih dan teknik propagasi untuk mengubah mesin yang terinfeksi menjadi botnet. Selain itu, ia juga menghapus jejak malware pesaing lainnya dari sistem.

Malware ini memiliki beberapa kemampuan luar biasa untuk tetap menyamar dan menghindari deteksi termasuk penundaan 14 hari sebelum dapat mengakses server perintah dan kontrolnya. Selain itu, ia juga dapat mengeksekusi binari berbahaya langsung dari memori.

Teknik pelubangan proses membantu MyloBot memanfaatkan kode serangan saat disuntikkan ke dalam proses yang ditangguhkan dan dilubangi. Ini berhasil menghindari pertahanan berbasis proses dan mencapainya dengan membuka pemetaan memori yang dialokasikan untuk proses langsung. Kemudian menggantinya dengan kode arbitrer yang akan dieksekusi, dalam hal ini, file sumber daya yang didekodekan.

Menurut laporan peneliti Minerva Labs Natalie Zargarov, “Tahap kedua yang dapat dieksekusi kemudian membuat folder baru di bawah C:\ProgramData. Itu mencari svchost.exe di bawah direktori sistem dan menjalankannya dalam keadaan ditangguhkan. Menggunakan teknik injeksi APC, ia menyuntikkan dirinya ke dalam proses svchost.exe yang muncul.”

Seperti proses pengosongan, injeksi APC adalah teknik injeksi proses yang memungkinkan penyisipan kode berbahaya ke dalam proses korban yang ada melalui antrian asynchronous procedure call (APC).

Pada fase kedua, ia membangun kegigihan pada host yang disusupi dan mendapatkan pijakan, dan menggunakannya sebagai batu loncatan untuk membangun komunikasi dengan server jarak jauh untuk mengambil dan menjalankan muatan. Yang memungkinkannya untuk memecahkan kode dan menjalankan malware tahap akhir.

Malware MyloBot dirancang untuk menyalahgunakan titik akhir untuk mengirim pesan pemerasan yang menyinggung perilaku online penerima. Ini termasuk mengunjungi situs porno dan mengancam akan membocorkan video yang diduga direkam dengan membobol webcam komputer mereka.

Menurut peneliti Minerva Labs, ia juga memiliki kemampuan untuk mengunduh file tambahan, menunjukkan bahwa pelaku ancaman meninggalkan pintu belakang untuk melakukan serangan lebih lanjut.

Zargarov lebih lanjut menambahkan, “Aktor ancaman ini mengalami banyak masalah untuk menjatuhkan malware dan membuatnya tidak terdeteksi, hanya untuk menggunakannya sebagai pengirim surat pemerasan. Botnet sangat berbahaya karena ancaman mendatang yang tidak diketahui ini. Itu bisa dengan mudah menjatuhkan dan mengeksekusi ransomware, spyware, worm, atau ancaman lain di semua titik akhir yang terinfeksi.”

Sumber : TechnoidHost