Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for News

Situs WordPress diretas dalam serangan ransomware palsu

by

Gelombang serangan baru mulai akhir pekan lalu telah meretas hampir 300 situs WordPress untuk menampilkan pemberitahuan enkripsi palsu, mencoba mengelabui pemilik situs agar membayar 0,1 bitcoin untuk pemulihan.

Tuntutan tebusan ini datang dengan countdown timer untuk menimbulkan rasa urgensi dan mungkin membuat admin web panik untuk membayar uang tebusan.

Sementara permintaan tebusan 0,1 bitcoin (~$6.069.23) tidak terlalu signifikan dibandingkan dengan apa yang kita lihat pada serangan ransomware tingkat tinggi, itu masih bisa menjadi jumlah yang cukup besar bagi banyak pemilik situs web.

Serangan ini ditemukan oleh perusahaan keamanan siber Sucuri yang disewa oleh salah satu korban untuk melakukan insiden respons.

Para peneliti menemukan bahwa situs web tersebut tidak dienkripsi, melainkan pelaku ancaman memodifikasi plugin WordPress yang diinstal untuk menampilkan catatan tebusan dan countdown timer.

Selain menampilkan catatan tebusan, plugin akan memodifikasi semua posting blog WordPress dan menyetel ‘post_status’ ke ‘null’, yang menyebabkan status tidak dipublikasikan.

Dengan demikian, para aktor menciptakan ilusi sederhana namun kuat yang membuatnya tampak seolah-olah situs tersebut telah dienkripsi.

Dengan menghapus plugin dan menjalankan perintah untuk memublikasikan ulang postingan dan halaman, situs kembali ke status normalnya.

Setelah analisis lebih lanjut dari log lalu lintas jaringan, Sucuri menemukan bahwa titik pertama di mana alamat IP aktor muncul adalah panel wp-admin.

Ini berarti bahwa penyusup masuk sebagai admin di situs, baik dengan bruteforce kata sandi atau dengan sumber kredensial curian dari pasar dark web.

Selengkapnya: Bleeping Computer

Google Chrome 96 merusak Twitter, Discord, rendering video, dan lainnya

by

Google Chrome 96 dirilis kemarin, dan pengguna melaporkan masalah dengan Twitter, Discord, dan Instagram yang disebabkan oleh versi baru chrome ini.

Setelah memperbarui ke Chrome 96, pengguna melaporkan kesalahan dalam pemberitahuan Twitter mereka, dengan peringatan situs web bahwa “Ada yang tidak beres. Coba muat ulang,” seperti yang ditunjukkan di bawah ini.

Sumber: BleepingComputer

Pengguna Twitter lainnya melaporkan GIF menjadi hitam, gambar tidak ditampilkan, atau video tidak dapat diputar. Sebagai gantinya, Twitter menunjukkan pesan kesalahan yang sama yang berbunyi, “Ada kesahalan.”

Masalah telah dilaporkan ke Google dalam posting bug Chromium di mana karyawan Google telah mulai menyelidiki masalah tersebut.

“Kami terus melihat laporan pengguna tentang perilaku ini, termasuk laporan dari tim sosial kami,” kata manajer produk Google, Craig Tumblison.

“Satu pengguna telah membagikan bahwa menonaktifkan flag “chrome://flags/#cross-origin-embedder-policy-credentialless” menyelesaikan permasalahan tersebut. Laporan lain membagikan pesan kesalahan khusus: “Koneksi ditolak di https://cards -frame.twitter.com”. Tim penguji, bisakah Anda mencoba mengaktifkan tanda itu untuk melihat apakah perilaku itu muncul?”

Flag ‘chrome://flags/#cross-Origin-embedder-policy-credentialles’ terkait dengan fitur Cross-Origin-Embedder-Policy baru yang dirilis dengan Chrome 96.

Google menyatakan bahwa Anda dapat memperbaiki bug ini dalam beberapa kasus dengan menyetel “chrome://flags/#cross-Origin-embedder-policy-credentialless” ke nonaktif.

Jika Anda mengalami kendala yang sama, Anda dapat menyalin dan menempelkan alamat chrome:// di atas ke bilah alamat Google Chrome dan tekan enter. Ketika flag eksperimental muncul, harap setel ke Dinonaktifkan dan luncurkan kembali browser saat diminta.

Selengkapnya: Bleeping Computer

Berikut adalah kampanye spam Emotet baru yang menghantam kotak surat di seluruh dunia

by

Malware Emotet mulai beraksi kemarin setelah jeda sepuluh bulan dengan beberapa kampanye spam yang mengirimkan dokumen berbahaya ke kotak surat di seluruh dunia.

Emotet adalah infeksi malware yang didistribusikan melalui kampanye spam dengan lampiran berbahaya. Jika pengguna membuka lampiran, makro atau JavaScript berbahaya akan mengunduh Emotet DLL dan memuatnya ke dalam memori menggunakan PowerShell.

Setelah dimuat, malware akan mencari dan mencuri email untuk digunakan dalam kampanye spam di masa mendatang dan menjatuhkan muatan tambahan seperti TrickBot atau Qbot yang biasanya menyebabkan infeksi ransomware.

Peneliti cybersecurity Brad Duncan menerbitkan SANS Handler Diary tentang bagaimana botnet Emotet mulai mengirim spam ke beberapa kampanye email untuk menginfeksi perangkat dengan malware Emotet.

Menurut Duncan, kampanye spam menggunakan email replay-chain untuk memikat penerima agar membuka file Word, Excel, dan file ZIP yang dilindungi kata sandi.

Email phishing rantai balasan adalah saat utas email yang sebelumnya dicuri digunakan dengan balasan palsu untuk mendistribusikan malware ke pengguna lain.

Saat Anda membuka lampiran Emotet, templat dokumen akan menyatakan bahwa pratinjau tidak tersedia dan Anda perlu mengeklik ‘Aktifkan Pengeditan’ dan ‘Aktifkan Konten’ untuk melihat konten dengan benar.

Namun, setelah Anda mengklik tombol-tombol ini, makro jahat akan diaktifkan yang meluncurkan perintah PowerShell untuk mengunduh DLL pemuat Emotet dari situs WordPress yang disusupi dan menyimpannya ke folder C:\ProgramData.

Organisasi pemantau malware dan botnet Abuse.ch telah merilis daftar 245 server perintah dan kontrol yang dapat diblokir oleh firewall perimeter untuk mencegah komunikasi dengan server perintah dan kontrol.

Memblokir komunikasi ke C2 juga akan mencegah Emotet menjatuhkan muatan lebih lanjut pada perangkat yang disusupi.

Selengkapnya: Bleeping Computer

Lubang keamanan baru di CPU Intel mengirimkan tambalan perusahaan (lagi)

by

Intel sedang memperbaiki kerentanan yang dapat dieksploitasi oleh orang yang tidak berwenang dengan akses fisik untuk menginstal firmware berbahaya pada chip untuk mengalahkan berbagai tindakan, termasuk perlindungan yang diberikan oleh Bitlocker, modul trusted platform, pembatasan anti-penyalinan, dan lainnya.

Kerentanan—ada di Pentium, Celeron, dan CPU Atom pada platform Apollo Lake, Gemini Lake, dan Gemini Lake Refresh—memungkinkan peretas terampil dengan kepemilikan chip yang terpengaruh untuk menjalankannya dalam mode debug dan pengujian yang digunakan oleh pengembang firmware. Intel dan pembuat chip lainnya berusaha keras untuk mencegah akses tersebut oleh orang yang tidak berwenang.

Setelah dalam mode pengembang, penyerang dapat mengekstrak kunci yang digunakan untuk mengenkripsi data yang disimpan di enklave TPM dan, jika TPM digunakan untuk menyimpan kunci Bitlocker, akan mengalahkan perlindungan yang terakhir itu juga.

Musuh juga dapat melewati batasan penandatanganan kode yang mencegah firmware yang tidak sah berjalan di Intel Management Engine, subsistem di dalam CPU yang rentan, dan dari sana secara permanen membuat backdoor pada chip.

Sementara serangan itu mengharuskan penyerang untuk memiliki akses fisik singkat ke perangkat yang rentan itulah skenario TPM, Bitlocker, dan codesigning dirancang untuk dimitigasi. Seluruh proses memakan waktu sekitar 10 menit.

Kerentanan seperti ini kemungkinan tidak akan pernah dieksploitasi dalam serangan tanpa pandang bulu, tetapi setidaknya secara teoritis, dapat digunakan dalam kasus di mana musuh dengan sumber daya yang cukup besar mengejar target bernilai tinggi.

Maka dari itu pengguna dianjurkan untuk menginstal pembaruan pada mesin apa pun yang terpengaruh.

Selengkapnya: Ars Technica

Windows 10 adalah bencana keamanan yang menunggu untuk terjadi. Bagaimana Microsoft akan membersihkan kekacauannya?

by

Dalam waktu kurang dari empat tahun, Microsoft akan menarik tirai terakhir pada Windows 10 setelah 10 tahun berjalan.

Berita itu seharusnya tidak mengejutkan siapa pun. Tanggal akhir ditetapkan sebagai bagian dari Kebijakan Siklus Hidup Modern Microsoft, dan didokumentasikan di halaman Microsoft Lifecycle: “Microsoft akan terus mendukung setidaknya satu Saluran Semi-Tahunan Windows 10 hingga 14 Oktober 2025.”

Ketika versi Windows mencapai tanggal akhir dukungan, perangkat lunak tetap bekerja, tetapi saluran pembaruan berhenti:

[Tidak] akan ada pembaruan keamanan baru, pembaruan non-keamanan, atau dukungan bantuan. Pelanggan dianjurkan untuk bermigrasi ke versi produk atau layanan terbaru. Program berbayar mungkin tersedia untuk produk yang berlaku.

Itu bukan pilihan bagi pelanggan yang menjalankan Windows 10 pada perangkat keras yang tidak memenuhi persyaratan kompatibilitas perangkat keras Windows 11.

Saat Oktober 2025 tiba, perangkat tersebut tidak akan memiliki jalur migrasi yang didukung Microsoft ke versi yang lebih baru. Pemilik PC, yang beberapa berusia kurang dari lima tahun, akan memiliki opsi berikut:

  1. Lanjut menjalankan sistem operasi yang tidak didukung dan berharap yang terbaik
  2. Pensiun atau buang perangkat keras yang tidak didukung
  3. Instal sistem operasi non-Microsoft, seperti Linux
  4. Abaikan peringatan Microsoft dan upgrade ke Windows 11

Opsi 1 tidak bijaksana. Opsi 2 tidak masuk akal. Opsi 3 tidak mungkin.

Dan hanya menyisakan opsi keempat, yang datang dengan porsi Ketakutan, Ketidakpastian, dan Keraguan (FUD) Microsoft sendiri dalam bentuk buletin dukungan berjudul “Menginstal Windows 11 pada perangkat yang tidak memenuhi persyaratan sistem minimum.”

Pelanggan bisnis mungkin dapat membayar pembaruan keamanan yang diperpanjang untuk Windows 10, meskipun itu akan menjadi pil pahit (dan mahal) untuk ditelan. Tapi pengusaha kecil dan konsumen tidak akan memiliki pilihan itu.

Namun, ada alternatif: Microsoft dapat memperpanjang batas waktu dukungan untuk Windows 10 pada perangkat keras yang tidak kompatibel dengan Windows 11.

Perusahaan melakukan hal yang sama, dalam situasi yang sama, di era Windows XP, dan ini adalah solusi yang sangat tepat di sini.

Selengkapnya: ZDNet

Rumah sakit berisiko tinggi terkena serangan siber, tetapi pasien tidak menyadarinya

by

Southern Ohio Medical Center, sebuah rumah sakit nirlaba di Portsmouth, Ohio, membatalkan janji untuk hari Jumat lalu dan mengalihkan ambulans setelah terkena serangan cyber pada hari Kamis. Ini adalah bagian dari serangkaian serangan yang meningkat terhadap organisasi perawatan kesehatan dalam dua tahun terakhir — sebuah tren yang dapat memiliki konsekuensi serius bagi perawatan pasien.

Tetapi sementara para ahli teknologi informasi sangat menyadari bahwa risiko serangan siber yang membahayakan data pasien dan mematikan sistem komputer sedang meningkat, pasien tampaknya tidak demikian, menurut laporan baru oleh perusahaan keamanan siber Armis.

Faktanya, lebih dari 60 persen orang di masyarakat umum yang disurvei dalam laporan baru mengatakan mereka belum pernah mendengar serangan siber dalam perawatan kesehatan dalam dua tahun terakhir.

Besarnya serangan selama pandemi COVID-19 mengejutkan para ahli, yang mengatakan bahwa geng ransomware menargetkan rumah sakit lebih agresif daripada sebelumnya. Tidak seperti serangan terhadap bank atau sekolah yang juga umum terjadi, serangan terhadap layanan kesehatan berpotensi melukai orang secara langsung.

Sementara 61 persen pasien potensial yang disurvei belum pernah mendengar tentang serangan siber di layanan kesehatan dalam beberapa tahun terakhir, sekitar sepertiga responden mengatakan bahwa mereka pernah menjadi korban serangan siber di sistem kesehatan.

Laporan tersebut juga memusatkan perhatian pada kesenjangan antara kesadaran orang-orang akan serangan siber layanan kesehatan dan tingkat kepedulian mereka terhadap masalah tersebut.

Sekitar setengah dari orang yang disurvei mengatakan bahwa mereka akan pindah rumah sakit jika ada serangan siber, dan lebih dari 70 persen mengatakan mereka berpikir serangan itu bisa berdampak pada perawatan mereka.

Selengkapnya: The Verge

Aplikasi Chat Terenkripsi Palsu Menyebarkan Spyware Android

by Leave a Comment

Trojan akses jarak jauh GravityRAT didistribusikan di alam liar lagi, kali ini dengan kedok aplikasi obrolan terenkripsi end-to-end yang disebut SoSafe Chat.

Target RAT (remote access trojan) khusus ini didominasi oleh pengguna India, yang didistribusikan oleh aktor Pakistan.

Data telemetri pada kampanye terbaru menunjukkan bahwa ruang lingkup penargetan tidak berubah, dan Gravity masih menargetkan individu-individu terkenal di India, seperti petugas Angkatan Bersenjata.

Menyamar sebagai aplikasi obrolan yang aman

Pada tahun 2020, malware tersebut menargetkan orang melalui aplikasi Android bernama ‘Travel Mate Pro,’ tetapi karena pandemi mengurangi berpergian jauh, para aktor pindah ke kedok baru.

Aplikasi ini sekarang disebut ‘SoSafe Chat’ dan dipromosikan sebagai aplikasi perpesanan aman yang menampilkan enkripsi end-to-end.

Website Aplikasi Chat SoSafe

Situs web yang kemungkinan memainkan peran dalam distribusi aplikasi (sosafe.co[.] in) tetap online hari ini, tetapi tautan unduhan dan formulir pendaftaran tidak lagi berfungsi.

Saluran dan metode distribusi tetap tidak diketahui, tetapi kemungkinan dengan mengarahkan lalu lintas ke situs melalui malvertising, posting media sosial, dan pesan instan ke target.

Kemampuan mata-mata yang luas

Setelah diinstal pada perangkat target, spyware dapat melakukan berbagai perilaku jahat, memungkinkan aktor ancaman untuk mengkopi data, memata-matai korban, dan melacak lokasi mereka.

    Daftar lengkap perilaku jahat termasuk:

  • Baca SMS, Log Panggilan, dan Data Kontak
  • Mengubah atau memodifikasi pengaturan sistem
  • Baca informasi jaringan seluler saat ini, nomor telepon dan nomor seri telepon korban, status panggilan yang sedang berlangsung, dan daftar Akun Telepon apa pun yang terdaftar di perangkat
  • Membaca atau menulis file pada penyimpanan eksternal perangkat
  • Merekam audio
  • Mendapatkan informasi jaringan yang terhubung

Menurut para peneliti di Cyble, daftar izin yang diminta malware untuk fungsi ini secara alami cukup luas, tetapi masih dapat muncul dibenarkan untuk aplikasi IM (instant messaging).

Sebelum versi 2020, GravityRAT secara eksklusif akan menargetkan mesin Windows, tidak memiliki kemampuan untuk menginfeksi perangkat seluler.

Dengan demikian, munculnya kembali malware di alam liar dalam menargetkan perangkat seluler menunjukkan bahwa penulisnya secara aktif mengembangkannya.

Sumber: Bleepingcomputer

Malware Emotet Balik Lagi dan Membuat Botnet dengan TrickBot

by Leave a Comment

Malware Emotet dianggap sebagai malware yang paling banyak menyebar di masa lalu, menggunakan kampanye spam dan lampiran berbahaya untuk mendistribusikan malware.

Emotet kemudian akan menggunakan perangkat yang terinfeksi untuk melakukan kampanye spam lainnya dan menginstal muatan lain, seperti malware QakBot (Qbot) dan Trickbot. Muatan ini kemudian akan digunakan untuk memberikan akses awal ke aktor ancaman untuk menyebarkan ransomware, termasuk Ryuk, Conti, ProLock, Egregor, dan banyak lainnya.

Hari ini, para peneliti dari Cryptolaemus, GData, dan Advanced Intel telah melihat malware TrickBot menjatuhkan loader untuk Emotet pada perangkat yang terinfeksi.

Pakar emotet dan peneliti Cryptolaemus Joseph Roosen mengatakan kepada BleepingComputer bahwa mereka belum melihat tanda-tanda botnet Emotet melakukan aktivitas spamming atau menemukan dokumen berbahaya menjatuhkan malware.

Kurangnya aktivitas spamming ini kemungkinan disebabkan oleh pembangunan kembali infrastruktur Emotet dari awal dan email rantai balasan baru yang dicuri dari korban dalam kampanye spam di masa depan.

Kelompok riset Emotet Cryptolaemus telah mulai menganalisis loader Emotet baru dan mengatakan kepada BleepingComputer bahwa itu termasuk perubahan baru dibandingkan dengan varian sebelumnya.

“Ini adalah tanda awal dari kemungkinan adanya aktivitas Emotet malware yang terjadi menyebabkan operasi ransomware penting secara global mengurangi kekurangan ekosistem komoditas,” Kremez mengatakan pada BleepingComputer dalam percakapan.

“Ini juga memberitahu kita bahwa takedown tak mencegah musuh mendapatkan malware builder dan mendirikan sistem backend yang baru.”

Upaya Perlindungan dari Emotet botnet

Organisasi nirlaba pelacakan malware Abuse.ch telah merilis daftar server perintah dan kontrol yang digunakan oleh botnet Emotet baru dan sangat menyarankan administrator jaringan memblokir alamat IP terkait untuk mencegah perangkat mereka direkrut ke dalam botnet Emotet yang baru direformasi.

Selengkapnya: Bleepingcomputer