Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for News

Phishing TikTok Mengancam Terhapusnya Akun Influencer

by

Para peneliti telah mengamati kampanye phishing baru yang terutama menargetkan akun TikTok menarik milik influencer, konsultan merek, studio produksi, dan manajer influencer.

Peneliti Keamanan Abnormal yang melihat serangan itu, mengamati dua puncak aktivitas saat mengamati distribusi email dalam kampanye khusus ini, pada 2 Oktober 2021, dan pada 1 November 2021, sehingga babak baru kemungkinan akan dimulai dalam beberapa minggu.

Surat masuk!

Dalam beberapa kasus yang dilihat oleh Abnormal Security, para aktor meniru karyawan TikTok, mengancam penerima dengan penghapusan akun yang akan segera terjadi karena dugaan pelanggaran persyaratan platform.

Sumber: Abnormal Security

Tema lain yang digunakan dalam email adalah menawarkan lencana ‘Verified’ yang menambah kredibilitas dan keaslian akun.

Lencana ‘Verified’ TikTok memberi bobot pada konten yang diposting oleh akun terverifikasi dan memberi sinyal pada algoritma platform untuk meningkatkan tingkat paparan posting dari akun ini.

Menggunakan umpan ini untuk phishing sangat efektif karena banyak orang akan senang menerima email yang menawarkan mereka kesempatan untuk mendapatkan lencana verifikasi.

Sumber: Abnormal Security

Dalam kedua kasus, penyerang menyediakan target mereka dengan cara untuk memverifikasi akun mereka dengan mengklik tautan yang disematkan.

Namun, mereka malah diarahkan ke ruang obrolan WhatsApp di mana mereka disambut oleh scammer yang berpura-pura menjadi karyawan TikTok yang sudah menunggu.

Sumber: Abnormal Security

Pengambilalihan akun atau pemerasan?

Tidak jelas apa tujuan aktor phishing dalam kampanye ini, tetapi bisa jadi upaya untuk mengambil alih akun target atau memeras pemilik akun dan memaksa mereka untuk membayar uang tebusan demi mendapatkan akum mereka kembali.

Persyaratan layanan TikTok memperjelas bahwa jika akun, terutama yang memiliki banyak pengikut, melanggar layanannya, itu akan ditangguhkan atau dihentikan secara permanen.

Ini berarti bahwa para aktor dapat dengan mudah mengancam untuk memposting sesuatu yang tidak pantas, berujung penghapusan profil yang pemiliknya mungkin telah menghabiskan banyak waktu dan uang untuk membangunnya.

Jika Anda memiliki dan / atau mengelola akun media sosial yang berharga, pastikan untuk mencadangkan semua konten dan data Anda di tempat yang aman.

Selain itu, Anda harus selalu mengamankan akun Anda dengan otentikasi dua faktor (2FA) atau verifikasi 2 langkah, seperti yang disebut TikTok, idealnya dengan kunci keamanan perangkat keras.

Jika Anda hanya dapat menggunakan opsi 2FA berbasis SMS (yang kurang aman), ambil nomor pribadi yang tidak Anda bagikan dengan siapa pun dan gunakan hanya untuk tujuan ini.

Sumber: Bleepingcomputer

Regulator Singapura Menghukum Pelanggaran Data Terbesar yang Pernah Ada: Hampir 5,9 Juta Info Pelanggan Hotel Terekspos

by

RedDoorz.com malu setelah meninggalkan kunci akses AWS di APK

Komisi Perlindungan Data Pribadi Singapura (PDPC) telah mengeluarkan denda sebesar SG $ 74.000 ($ 54.456) pada perusahaan travel Commeasure, yang mengoperasikan situs web pemesanan travel bernama RedDoorz yang mengekspos 5,9 juta data pelanggan — pelanggaran data terbesar yang ditangani oleh Komisi sejak awal.

PDPC mengumumkan hukuman karena “gagal menerapkan pengaturan keamanan yang wajar untuk mencegah akses tidak sah dan eksfiltrasi data pribadi pelanggan yang dihosting dalam database cloud”.

RedDoorz mulai hidup di Indonesia sebelum pindah operasi ke Singapura, dari sana ia mengumpulkan pemesanan hotel murah di kota-kota tertentu di Asia Tenggara. Pengguna memilih hotel murah dari RedDoorz berdasarkan foto, area dan harga. Ketika wisatawan tiba, pengalaman kamar hotel diganti namanya menjadi RedDoorz dan dilengkapi dengan layanan tertentu – seperti WiFi, TV, dan air minum.

Commeasure mengetahui ada pelanggaran data pelanggan RedDoorz pada September 2020, ketika sebuah perusahaan cybersecurity yang berbasis di Atlanta memberi tahu perusahaan induk tentang peretasan dan menawarkan layanan perbaikan. Dalam seminggu, perusahaan teknologi perjalanan memberi tahu PDPC.

Data yang dicuri termasuk nama, nomor kontak, alamat email, ulang tahun, kata sandi akun RedDoorz terenkripsi dan informasi pemesanan. Menurut putusan PDPC, database tidak termasuk nomor kartu kredit. Jarahan itu disiapkan untuk dijual di forum hacker.

Kesalahan langkah yang membuat data dicuri kembali ke hari-hari startup perusahaan, ketika kunci akses AWS disematkan ke dalam paket aplikasi Android (APK) yang tersedia untuk diunduh dari Google Play Store. APK, yang dibuat pada tahun 2015 dan terakhir diperbarui pada Januari 2018, secara keliru ditandai sebagai kunci “uji” oleh pengembang pada saat itu. Itu tetap terlihat meskipun dianggap “mati” sampai perusahaan diberitahu tentang pelanggaran pada tahun 2020.

Dengan kunci akses AWS di tangan, crims dapat memperoleh akses dan exfiltrate catatan pelanggan yang dihosting di database cloud Amazon RDS. RedDoorz memang melakukan upaya untuk melindungi data – misalnya dengan menyewa perusahaan cybersecurity dan menggunakan alat obfuscation Java Proguard untuk mencegah rekayasa balik APK – tetapi itu semua sia-sia karena file yang relevan tidak pernah dievaluasi.

Pendiri dan CEO RedDoorz, Amit Samberwal, mengatakan kepada The Register:

Kami segera melakukan tinjauan internal dan kemudian melibatkan perusahaan cybersecurity eksternal untuk meningkatkan langkah-langkah keamanan. Pada saat itu, kami juga telah memberi tahu semua pengguna, media publik, dan otoritas masing-masing tentang pelanggaran tersebut. PDPC di Singapura baru-baru ini menyelesaikan penyelidikan setelah lebih dari satu setengah tahun, dan menganggap kasus ini ditutup dengan denda $ 74K yang dikenakan.

Commeasure mengatakan kepada PDPC bahwa kegagalan untuk menerapkan proses yang cukup kuat untuk mengelola inventaris kunci akses infrastrukturnya adalah karena pergantian karyawan yang tinggi. Itu tidak berjalan dengan baik dengan Komisi. Namun, otoritas pengatur mengatakan mempertimbangkan perilaku kooperatif perusahaan, tindakan perbaikan, tinjauan keamanan yang tidak efektif namun teratur, dan keadaan yang tidak menguntungkan menjadi bisnis perhotelan di tengah pandemi, karena memutuskan hukuman keuangan.

Komisi memberi Commeasure 30 hari untuk membayar sebelum bunga masuk.

Sumber: The Register

Meningkatnya Serangan Iran ke Sektor TI

by Leave a Comment

Aktor ancaman Iran meningkatkan serangan terhadap perusahaan layanan TI sebagai cara untuk mengakses jaringan pelanggan mereka. Kegiatan ini penting karena menargetkan pihak ketiga memiliki potensi untuk mengeksploitasi organisasi yang lebih sensitif dengan memanfaatkan kepercayaan dan akses dalam rantai pasokan. Microsoft telah mengamati beberapa aktor ancaman Iran yang menargetkan sektor layanan TI yang bertujuan untuk mencuri kredensial sign-in ke jaringan pelanggan yang memungkinkan serangan lebih lanjut. Microsoft Threat Intelligence Center (MSTIC) dan Digital Security Unit (DSU) menilai ini adalah bagian dari tujuan spionase yang lebih luas untuk mengkompromikan organisasi yang berkepentingan dengan rezim Iran.

Hingga Juli 2021, Microsoft telah mengamati sejarah yang relatif sedikit tentang aktor Iran yang menyerang target India. Ketika India dan negara-negara lain meningkat sebagai pusat layanan TI utama, lebih banyak aktor negara mengikuti rantai pasokan untuk menargetkan pelanggan sektor publik dan swasta di seluruh dunia yang sesuai dengan kepentingan negara.

Hingga tahun ini, Microsoft telah mengeluarkan lebih dari 1.600 pemberitahuan kepada lebih dari 40 perusahaan TI sebagai tanggapan atas penargetan Iran, dibandingkan dengan 48 pemberitahuan pada tahun 2020, menjadikan ini peningkatan yang signifikan dari tahun-tahun sebelumnya (Gambar 1). Fokus beberapa kelompok ancaman Iran di sektor TI terutama melonjak dalam enam bulan terakhir – sekitar 10-13% dari pemberitahuan kami terkait dengan aktivitas ancaman Iran dalam enam bulan terakhir, dibandingkan dengan dua setengah persen dalam enam bulan sebelumnya (Gambar 2).

Gambar 1: Jumlah pemberitahuan yang dikirim ke Layanan TI terkait penargetan aktor yang berbasis di Iran
Gambar 2: Jumlah pemberitahuan yang dikirim ke Layanan TI terkait penargetan aktor yang berbasis di Iran

Sebagian besar penargetan difokuskan pada perusahaan layanan TI yang berbasis di India, serta beberapa perusahaan yang berbasis di Israel dan Uni Emirat Arab. Meskipun beda teknik dari serangan rantai pasokan baru-baru ini, serangan ini merupakan contoh lain tentang bagaimana aktor negara semakin menargetkan rantai pasokan sebagai vektor tidak langsung untuk mencapai tujuan mereka.

Seengkapnya: Microsoft

Bank Diperintahkan Untuk Segera Menandai Insiden Keamanan Siber di bawah Aturan Baru AS

by

Regulator perbankan AS pada hari Kamis menyelesaikan aturan yang mengarahkan bank untuk melaporkan insiden cybersecurity besar kepada pemerintah dalam waktu 36 jam setelah penemuan.

Secara terpisah, industri perbankan mengatakan telah berhasil menyelesaikan latihan keamanan siber lintas industri besar-besaran yang bertujuan untuk memastikan Wall Street tahu bagaimana merespons jika terjadi serangan ransomware yang mengancam untuk mengganggu berbagai layanan keuangan.

Perkembangan tersebut menyoroti meningkatnya ancaman insiden cyber berskala besar terhadap stabilitas keuangan.

“Industri jasa keuangan adalah target utama, menghadapi puluhan ribu serangan siber setiap hari,” kata Kenneth Bentsen, CEO Asosiasi Industri Sekuritas dan Pasar Keuangan, yang mengorganisir dan memimpin latihan industri.

Aturan bank baru menetapkan bahwa bank harus memberi tahu regulator utama mereka tentang pelanggaran keamanan komputer yang signifikan sesegera mungkin, dan paling lambat 36 jam setelah penemuan.

Bank juga harus memberi tahu pelanggan sesegera mungkin tentang insiden cybersecurity jika mengakibatkan masalah yang berlangsung lebih dari 4 jam.

Persyaratan baru berlaku untuk setiap insiden cybersecurity yang diharapkan secara material berdampak pada kemampuan bank untuk menyediakan layanan, melakukan operasinya atau merusak stabilitas sektor keuangan. Aturan ini disetujui oleh Federal Reserve, Federal Deposit Insurance Corporation dan Kantor Pengawas Mata Uang.

Hal ini mengatur harapan eksplisit tentang seberapa cepat bank mengenal pelanggaran cybersecurity, karena regulator ingin mengejar teknologi yang berkembang pesat yang berperan di setiap jenis layanan perbankan. Sebelumnya, tidak ada persyaratan khusus untuk seberapa cepat bank harus melaporkan pelanggaran komputer besar.

Sumber: Reuters

Server Microsoft Exchange diretas dalam serangan rantai balasan internal

by

Pelaku ancaman meretas server Microsoft Exchange menggunakan ProxyShell dan eksploitasi ProxyLogon untuk mendistribusikan malware dan melewati deteksi menggunakan email rantai balasan internal yang dicuri.

Peneliti TrendMicro telah menemukan taktik menarik yang digunakan untuk mendistribusikan email berbahaya ke pengguna internal perusahaan menggunakan server pertukaran Microsoft milik korban.

Pelaku di balik serangan ini diyakini sebagai ‘TR’, aktor ancaman terkenal yang mendistribusikan email dengan lampiran berbahaya yang menjatuhkan malware, termasuk Qbot, IcedID, Cobalt Strike, dan muatan SquirrelWaffle.

Aktor tersebut mengelabui target perusahaan agar membuka lampiran berbahaya, mengeksploitasi server Microsoft Exchange menggunakan kerentanan ProxyShell dan ProxyLogon.

Pelaku ancaman kemudian menggunakan server Exchange yang disusupi ini untuk membalas email internal perusahaan dalam serangan berantai balasan yang berisi tautan ke dokumen berbahaya yang menginstal berbagai malware.

Salah satu email Squirrelwaffle ke target
Sumber: TrendMicro

Karena email ini berasal dari jaringan internal yang sama dan tampaknya merupakan kelanjutan dari diskusi sebelumnya antara dua karyawan, ini mengarah pada tingkat kepercayaan yang lebih besar bahwa email tersebut sah dan aman.

Dokumen Microsoft Excel berbahaya yang digunakan oleh SquirrelWaffle

Menurut laporan Trend Micro, para peneliti mengatakan bahwa mereka telah melihat serangan ini mendistribusikan pemuat SquirrelWaffle, yang kemudian menginstal Qbot.

Namun, peneliti Cryptolaemus ‘TheAnalyst’ mengatakan bahwa dokumen berbahaya yang digunakan oleh aktor ancaman ini menjatuhkan kedua malware sebagai muatan terpisah, bukan SquirrelWaffle yang mendistribusikan Qbot.

Microsoft telah memperbaiki kerentanan ProxyLogon pada bulan Maret dan kerentanan ProxyShell pada bulan April dan Mei, menanganinya sebagai zero-day pada saat itu.

Pelaku ancaman telah menyalahgunakan kedua kerentanan untuk menyebarkan ransomware atau menginstal webshell untuk akses pintu belakang nanti. Serangan ProxyLogon menjadi sangat buruk sehingga FBI menghapus web shell dari server Microsoft Exchange yang berbasis di AS tanpa terlebih dahulu memberi tahu pemilik server.

Setelah sekian lama dan media luas kerentanan ini telah diterima, tidak menambal Exchange Server hanyalah undangan terbuka untuk peretas.

Sumber : Bleeping Computer

Dialog Siber Bilateral India-New Zealand Kedua

by

Dialog Siber Bilateral India-New Zealand edisi Kedua diadakan pada 16-17 November 2021 dalam mode virtual. Delegasi India dipimpin oleh Shri Atul Malhari Gotsurve, Sekretaris Bersama (Cyber ​​Diplomacy) dari Kementerian Luar Negeri (MEA). Delegasi Selandia Baru dipimpin bersama oleh Mr. Dan Eaton, Direktur Kebijakan Keamanan Nasional, Departemen Perdana Menteri dan Kabinet (DPMC) dan Ms. Georgina Sargison, Penjabat Manajer Unit, Emerging Security Issues, International Security and Disarmament Division, Ministry of Luar Negeri dan Perdagangan (MFAT). Pejabat senior dari berbagai Kementerian dan Departemen pemerintah dari kedua negara berpartisipasi dalam Dialog Siber.

Dialog Siber membahas berbagai aspek kerja sama bilateral yang ada di dunia maya, bertukar pandangan tentang perkembangan terkini isu-isu siber di forum bilateral, regional dan multilateral serta menjajaki inisiatif untuk lebih memperdalam kerja sama siber.

Delegasi membahas berbagai topik yang menjadi kepentingan bersama dan sepakat untuk bekerja sama erat satu sama lain di bidang keamanan siber, kejahatan siber, dan pembangunan kapasitas.

New Delhi
November 17, 2021

Sumber : Mea

Grup ransomware Conti telah mengalami pelanggaran data yang memungkinkan peneliti untuk mengaksesnya.

by

Para peneliti Prodaft dapat mengidentifikasi alamat IP asli dari salah satu server yang digunakan oleh grup ransomware Conti dan mengakses konsol selama lebih dari sebulan. Server yang terpapar menjadi tuan rumah portal pembayaran yang digunakan oleh geng untuk negosiasi tebusan dengan korbannya.

“Tim PTI mengakses infrastruktur Conti dan Mengidentifikasi alamat IP sebenarnya dari server yang dimaksud.” membaca laporan yang diterbitkan oleh para ahli. “Tim kami mendeteksi kerentanan di server pemulihan yang digunakan Conti, dan memanfaatkan kerentanan itu untuk menemukan alamat IP asli dari tersembunyi yang menghosting situs web pemulihan grup”

Para peneliti dapat membuka kedok alamat IP yang sebenarnya dari layanan tersembunyi TOR Conti dan contirecovery.ws dan 217.12.204.135. Yang terakhir adalah alamat IP yang dimiliki oleh perusahaan hosting web Ukraina ITL LLC.

Peneliti Prodaft mampu mengkompromikan server dan menyatukan koneksi lintas jaringan untuk koneksi masuk, termasuk SSH yang digunakan oleh anggota Conti untuk mengakses server.

Namun, alamat IP yang terkait dengan koneksi SSH milik node keluar Tor yang digunakan oleh operator Conti untuk menyembunyikan identitasnya.

Para ahli juga dapat menentukan OS server di balik layanan tersembunyi, distro Debian dengan nama host ”dedic-cuprum-617836”. Para ahli berspekulasi nilai numerik dalam nama host adalah nomor faktur untuk server, yang ditetapkan oleh perusahaan hosting ITLDC.

“Linux version 4.9.0-16-amd64 (Debian 6.3.0-18deb9u1) #1 SMP Debian 4.9.272-2
(2021-07-19)

217.12.204.135 dedic-cuprum-617836.hosted-by-itldc.com dedic-cuprum-617836”

Para ahli juga membagikan konten file htpasswd dari host subjek yang dapat digunakan dalam penyelidikan selanjutnya pada operasi Conti.

Tim PTI juga dapat menemukan beberapa sesi obrolan korban dan menangkap kredensial login untuk akun MEGA yang digunakan saat menghubungi para korban. Para ahli dapat menemukan alamat IP penghubung, tanggal, metode pembelian, dan perangkat lunak yang digunakan untuk mengakses layanan berbagi dan mengunggah file.

Selengkapnya : Security Affairs

Server Microsoft Exchange Diretas Dalam Serangan Reply-Chain Internal

by

Pelaku ancaman meretas server Microsoft Exchange menggunakan ProxyShell dan eksploitasi ProxyLogon untuk mendistribusikan malware dan melewati deteksi menggunakan email reply-chain internal yang dicuri.

Saat pelaku ancaman melakukan kampanye email berbahaya, bagian tersulit adalah mengelabui pengguna agar cukup memercayai pengirim sehingga mereka membuka tautan atau menyertakan lampiran yang menyebarkan malware.

Peneliti TrendMicro telah menemukan taktik menarik yang digunakan untuk mendistribusikan email berbahaya ke pengguna internal perusahaan menggunakan server pertukaran Microsoft milik korban.

Pelaku di balik serangan ini diyakini sebagai ‘TR’, aktor ancaman terkenal yang mendistribusikan email dengan lampiran berbahaya yang menjatuhkan malware, termasuk Qbot, IcedID, Cobalt Strike, dan muatan SquirrelWaffle.

Sebagai cara untuk mengelabui target perusahaan agar membuka lampiran berbahaya, pelaku ancaman mengeksploitasi server Microsoft Exchange menggunakan kerentanan ProxyShell dan ProxyLogon.

Pelaku ancaman kemudian menggunakan server Exchange yang disusupi ini untuk membalas email internal perusahaan dalam serangan berantai balasan yang berisi tautan ke dokumen berbahaya yang menginstal berbagai malware.

“Dalam gangguan yang sama, kami menganalisis header email untuk email berbahaya yang diterima, jalur email internal (antara tiga kotak pesan server pertukaran internal), menunjukkan bahwa email tidak berasal dari pengirim eksternal, relai email terbuka, atau semua agen transfer pesan (MTA),” jelas laporan Trend Micro.

Selengkapnya: Bleeping Computer