Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for News

Godzilla Webshell Penyebab Kecacatan Zoho Password Manager

by Leave a Comment

Untuk kedua kalinya, para peneliti menemukan gerakan eksploitasi Zoho zero-day di seluruh dunia: melanggar organisasi pertahanan, energi, dan perawatan kesehatan.

Selama akhir pekan, para peneliti mengingatkan bahwa telah ditemukan kerentanan keamanan di pengelola kata sandi (password manager) Zoho ManageEngine ADSelfService Plus. Para pelaku ancaman sejauh ini berhasil mengeksploitasi kelemahan Zoho dan mengekstrak datanya di setidaknya sembilan entitas global di seluruh sektor penting (teknologi, pertahanan, perawatan kesehatan, energi, dan pendidikan) menggunakan Godzilla Webshell.

Zoho menambal (patched) kerentanan pada bulan September, tetapi telah dieksploitasi secara aktif pada awal Agustus saat zero-day, membuka pintu perusahaan bagi penyerang untuk mengendalikan Direktori Aktif pengguna (AD) dan akun cloud secara bebas.

Zoho ManageEngine ADSelfService Plus adalah pengelola kata sandi layanan sendiri dan platform sign-on (SSO) untuk AD (Active Directory) dan cloud, yang berarti setiap oknum penyerang mampu mengambil kendali platform di beberapa titik penting. Dengan kata lain, ini adalah aplikasi istimewa yang dapat bertindak sebagai awal titik masuk ke area perusahaan yang lebih dalam, baik untuk pengguna maupun penyerang.

Cara Godzilla Webshell Bekerja

Unit 42 mengatakan bahwa setelah oknum mengeksploitasi CVE-2021-40539 untuk mendapatkan RCE, mereka bergerak cepat secara lateral untuk menyebarkan beberapa unit malware mengandalkan Godzilla publik yang tersedia di webshell.

Aktor mengupload beberapa variasi Godzilla untuk membahayakan server dan menanam beberapa alat malware baru juga, termasuk sebuah pintu belakang open-source Golang yang dikustom bernama NGLite dan pencuri-kredensial baru yang Unit 42 lacak bernama KdcSponge.

Godzilla dan NGLite ditulis dalam bahasa Cina dan bebas diambil dari GitHub.

Mangsa Siber-spionase: Lembaga Energi dan Kesehatan

Tidak mengejutkan kalau oknum di balik gerakan kedua Zoho ini ternyata menjadi APT (advanced persistent threats Cina. Dave Klein, pemuka siber dan direktur di Cymulate, menunjuk Republik Rakyat Cina (RRC) memiliki data yang terdokumentasi dengan baik.

Dia menunjuk pelanggaran 2015 kantor manajemen personil U.S. (OPM) sebagai contoh. Pelanggaran besar-besaran dikaitkan dengan RRC meliputi informasi yang sangat sensitif seperti jutaan sidik jari karyawan federal, nomor Jaminan Sosial, tanggal lahir, catatan kinerja karyawan, riwayat pekerjaan, resume, transkrip sekolah, dokumen layanan militer dan data psikologis dari wawancara yang diadakan penyelidik.

Dia mengatakan bahwa setelah pelanggaran OPM, beberapa lembaga kesehatan kemudian dilanggar, termasuk serangan yang mempengaruhi 78 juta orang. “Kepentingan dalam data kesehatan secara global tidak hanya terus untuk tujuan Spionase terhadap target – mengumpulkan titik lemah serta mencari data kesehatan untuk melayani industri lokal mereka yang lebih baik,” Klein menginformasikan. “Pada energi, keduanya mencuri informasi spionase industri serta untuk mengatur kompromi dalam infrastruktur kritis untuk potensi penggunaan dalam kasus permusuhan di masa depan.”

Selengkapnya di: Threatpost

PhoneSpy: Kampanye spyware Android yang menargetkan pengguna Korea Selatan

by

Kampanye spyware yang dijuluki ‘PhoneSpy’ menargetkan pengguna Korea Selatan melalui berbagai aplikasi gaya hidup yang bersarang di perangkat dan mengekstrak data secara diam-diam. Kampanye ini menyebarkan malware Android yang kuat yang mampu mencuri informasi sensitif dari pengguna dan mengambil alih mikrofon dan kamera perangkat.

Zimperium mengidentifikasi 23 aplikasi bertali yang muncul sebagai aplikasi gaya hidup yang tidak berbahaya, tetapi di latar belakang, aplikasi tersebut berjalan sepanjang waktu, diam-diam memata-matai pengguna.

Aplikasi meminta korban untuk memberikan banyak izin saat penginstalan, yang merupakan satu-satunya tahap di mana pengguna yang berhati-hati akan melihat tanda-tanda masalah.

Spyware yang bersembunyi tersebut dapat melakukan hal berikut :

  • Ambil daftar lengkap aplikasi yang diinstal
  • Copot pemasangan aplikasi apa pun di perangkat
  • Instal aplikasi dengan mengunduh APK dari tautan yang disediakan oleh C2
  • Curi kredensial menggunakan URL phishing yang dikirim oleh C2
  • Mencuri gambar (dari memori internal dan kartu SD)

    • untuk daftar selengkapnya klik sumber : Bleeping Computer

Spektrum data yang dicuri mendukung hampir semua aktivitas jahat, mulai dari memata-matai hingga melakukan spionase dunia maya perusahaan dan memeras orang.

Selain itu beberapa aplikasi juga secara aktif mencoba mencuri kredensial orang dengan menampilkan halaman login palsu untuk berbagai situs. Template phishing yang digunakan dalam kampanye PhoneSpy meniru portal masuk akun Facebook, Instagram, Kakao, dan akun Google.

Saluran distribusi awal untuk aplikasi yang dicampur tidak diketahui, dan pelaku ancaman tidak mengunggah aplikasi ke Google Play Store. Itu dapat didistribusikan melalui situs web, toko APK pihak yang tidak jelas, media sosial, forum, atau bahkan webhard dan torrent.

Menggunakan teks SMS meningkatkan kemungkinan penerima mengetuk tautan yang mengarah untuk mengunduh aplikasi yang dicampur karena berasal dari orang yang mereka kenal dan percayai.

Selengkpanya : Bleeping Computer

Peretas negara Iran menggunakan malware yang telah di-upgrade dalam serangan terhadap perusahaan telekomunikasi

by

APT yang didukung negara Iran yang dikenal sebagai ‘Lyceum’ (Hexane, Spilrin) menargetkan ISP dan penyedia layanan telekomunikasi di Timur Tengah dan Afrika antara Juli dan Oktober 2021.

Selain Israel, yang secara permanen menjadi sasaran para peretas Iran, para peneliti telah melihat serangan malware backdoor Lyceum di Maroko, Tunisia, dan Arab Saudi.

Dalam kampanye terbaru yang dianalisis dalam laporan bersama antara peneliti di Accenture dan Prevailion, Lyceum terlihat menggunakan dua keluarga malware yang berbeda, dijuluki Shark dan Milan.

Backdoor Shark adalah executable 32-bit yang ditulis dalam C# dan .NET yang digunakan untuk menjalankan perintah dan mengekstrak data dari sistem yang terinfeksi.

Milan adalah trojan akses jarak jauh (RAT) 32-bit yang dapat mengambil data dari sistem yang disusupi dan mengekstraknya ke host yang berasal dari domain generation algorithms (DGA).

Kedua backdoor berkomunikasi melalui DNS dan HTTPS dengan server perintah dan kontrol (C2), dengan Shark juga menggunakan tunneling DNS.

Menurut analisis, yang mengungkapkan adanya pembaruan terus-menerus dari beacon dan payload, Lyceum tampaknya memantau peneliti yang menganalisis malware mereka untuk memperbarui kode mereka dan tetap berada di depan mekanisme pertahanan.

Kelompok peretas ini diyakini bermotivasi politik dan secara eksklusif tertarik pada spionase dunia maya daripada menyebabkan gangguan operasional terhadap target mereka.

Inilah sebabnya mengapa mereka fokus pada intrusi jaringan ISP, karena mengorbankan penyedia layanan tingkat tinggi adalah cara terbaik untuk mengumpulkan intelijen berharga di negara asing.

Selengkapnya: Bleeping Computer

TrickBot bekerja sama dengan Phisher Shatak untuk serangan Ransomware Conti

by

Seorang aktor ancaman yang dilacak sebagai Shatak (TA551) baru-baru ini bermitra dengan geng ITG23 (alias TrickBot dan Wizard Spider) untuk menyebarkan Conti ransomware pada sistem yang ditargetkan. Operasi Shatak membuat kampanye phishing yang mengunduh dan menginfeksi korban dengan malware.

IBM X-Force menemukan bahwa Shatak dan TrickBot mulai bekerja sama pada Juli 2021 hingga hari ini. Serangan dimulai dengan email phishing yang dikirim oleh Shatak, kemudian mereka membawa arsip yang dilindungi kata sandi yang berisi dokumen berbahaya.

Menurut IBM X-Force, Shatak menggunakan email berantai balasan yang dicuri dari korban sebelumnya dan menambahkan lampiran arsip yang dilindungi kata sandi.

Lampiran ini berisi skrip kode yang disandikan base-64 untuk mengunduh dan menginstal malware TrickBot atau BazarBackdoor dari situs jarak jauh. Kemudian ITG23 mengambil alih dengan menerapkan suar Cobalt Strike pada sistem yang disusupi, menambahkannya ke tugas terjadwal untuk ketekunan.

Aktor Conti menggunakan BazarBackdoor untuk pengintaian jaringan, menghitung pengguna, admin domain, komputer bersama, dan sumber daya bersama. Mereka mencuri kredensial pengguna, hash kata sandi, dan data Active Directory, dan menyalahgunakan apa yang mereka bisa untuk menyebar secara lateral melalui jaringan.

Fitur pemantauan real-time Windows Defender juga dinonaktifkan untuk mencegah peringatan atau intervensi selama proses enkripsi. setelah itu mereka melakukan eksfiltrasi data, yang merupakan tahap terakhir sebelum enkripsi file, dengan menggunakan alat ‘Rclone’ untuk mengirim semuanya ke titik akhir jarak jauh di bawah kendali mereka. Conti menonaktifkan perlindungan real-time Defender.

Conti menonaktifkan perlindungan real-time Defender.
Sumber: Cybereason

Setelah mengumpulkan semua data berharga dari jaringan, pelaku ancaman menyebarkan ransomware untuk mengenkripsi perangkat.

Dalam laporan Computer Emergency Response Team (CERT) Prancis, TA551 muncul sebagai kolaborator ‘Lockean’, grup ransomware yang baru ditemukan dengan banyak afiliasi.

Shatak mengirim email phishing untuk mendistribusikan trojan perbankan Qbot/QakBot, yang digunakan untuk menyebarkan infeksi ransomware ProLock, Egregor, dan DoppelPaymer.

TA551 mungkin memiliki lebih banyak kolaborasi dengan geng ransomware lain selain yang ditemukan oleh para analis. Pelaku ancaman ini juga diidentifikasi dengan nama yang berbeda, seperti Shathak, UNC2420, dan Gold Cabin.

Pertahanan terbaik terhadap jenis serangan ini adalah dengan melatih karyawan tentang risiko email phishing. Admin juga harus menerapkan penggunaan otentikasi multi-faktor pada akun, menonaktifkan layanan RDP yang tidak digunakan, memantau log peristiwa yang relevan untuk perubahan konfigurasi yang tidak biasa, serta mencadangkan data penting secara teratur kemudian membuat cadangan tersebut offline sehingga tidak dapat ditargetkan oleh pelaku ancaman.

Selengkapnya : Bleeping Computer

Void Balaur hacker-for-hire menjual email curian dan data pribadi

by

Sebuah kelompok hacker-for-hire bernama Void Balaur telah mencuri email dan informasi yang sangat sensitif selama lebih dari lima tahun, menjualnya kepada pelanggan dengan tujuan keuangan dan spionase.

Dengan lebih dari 3.500 target yang tersebar di hampir semua benua, aktor ancaman yang produktif ini mengiklankan layanannya di forum bawah tanah Rusia.

Peneliti keamanan di Trend Micro yang membuat profil aktivitas Void Balaur mengatakan bahwa model bisnis aktor ini adalah mencuri “data bisnis dan individu yang paling pribadi” dan menjualnya kepada pelanggan yang tertarik.

Target mencakup individu maupun organisasi di berbagai sektor (telekomunikasi, ritel, keuangan, medis, bioteknologi), terutama jika mereka memiliki akses ke data pribadi.

Iklan berbayar dari Void Balaur mulai muncul pada 2018 di forum berbahasa Rusia Darkmoney (carding), Probiv, Tenec (credential curian), dan Dublikat.

Layanan tersebut termasuk akses ke webmail gratis (Gmail, Protonmail, Mail.ru, Yandex, VK), media sosial (Telegram), dan akun email perusahaan.

Pada tahun 2019, layanan grup terdiversifikasi ketika mereka mulai menjual data pribadi sensitif individu Rusia dengan harga mulai antara $21 dan $124.

Layanan baru ini juga menyediakan data dari layanan seluler, seperti nomor telepon, catatan panggilan telepon dan SMS (dengan atau tanpa lokasi menara seluler), pemetaan panggilan, lokasi telepon atau kartu SIM, printout pesan teks.

Dari bukti yang dikumpulkan Trend Micro, jelas bahwa Void Balaur berfokus pada penjualan data pribadi kepada siapa pun yang bersedia membayar uang yang tepat. Ini adalah kelompok tentara bayaran siber yang tidak peduli dengan apa yang dilakukan pelanggannya dengan data yang mereka beli.

Selengkapnya:
Bleeping Computer

Malware Android baru menargetkan pengguna Netflix, Instagram, dan Twitter

by

Malware Android baru yang dikenal sebagai MasterFred menggunakan overlay login palsu untuk mencuri informasi kartu kredit pengguna Netflix, Instagram, dan Twitter.

Trojan perbankan Android ini juga menargetkan pelanggan bank dengan overlay login palsu khusus dalam berbagai bahasa.

Sampel MasterFred pertama kali dikirimkan ke VirusTotal pada Juni 2021 dan pertama kali terlihat pada Juni. Analis malware Alberto Segura juga membagikan sampel kedua secara online satu minggu lalu yang menunjukkan bahwa itu digunakan oleh pengguna Android dari Polandia dan Turki.

“Dengan memanfaatkan toolkit Aksesibilitas Aplikasi yang diinstal di Android secara default, penyerang dapat menggunakan aplikasi untuk menerapkan serangan Overlay untuk mengelabui pengguna agar memasukkan informasi kartu kredit untuk pembobolan akun palsu di Netflix dan Twitter,” kata Avast.

Penggunaan jahat dari layanan Aksesibilitas bukanlah sesuatu yang baru karena pembuat malware telah menggunakannya untuk mensimulasikan ketukan dan menavigasi UI Android menginstal muatan mereka, mengunduh dan menginstal malware lain, dan menjalankan berbagai operasi di latar belakang.

Namun, ada beberapa hal yang membuat MasterFred menonjol. Salah satunya adalah aplikasi jahat yang digunakan untuk menyebarkan malware di perangkat Android juga menggabungkan lapisan HTML yang digunakan untuk menampilkan formulir login palsu dan mengambil informasi keuangan korban.

Malware ini juga menggunakan gerbang web gelap Onion.ws (alias proxy Tor2Web) untuk mengirimkan informasi yang dicuri ke server jaringan Tor di bawah kendali operatornya.

Karena setidaknya salah satu aplikasi berbahaya yang menggabungkan bankir MasterFred baru-baru ini tersedia di Google Play Store, aman untuk mengatakan bahwa operator MasterFred juga kemungkinan menggunakan toko pihak ketiga sebagai saluran pengiriman untuk malware baru ini.

Selengkapnya : Bleeping Computer

Peretas TeamTNT Menargetkan Server Docker Yang Tidak Dikonfigurasi Dengan Baik

by

Server Docker yang dikonfigurasi dengan buruk sedang aktif ditargetkan oleh grup peretasan TeamTNT dalam kampanye yang sedang berlangsung dimulai dari bulan lalu.

Menurut sebuah laporan oleh para peneliti di TrendMicro, para aktor memiliki tiga tujuan berbeda: untuk menginstal cryptominers Monero, memindai instance Docker yang rentan terhadap Internet, dan melakukan pelarian container-to-host untuk mengakses jaringan utama.

Seperti yang diilustrasikan dalam alur kerja serangan, serangan dimulai dengan membuat wadah pada host yang rentan menggunakan Docker REST API yang terbuka.

Alamat IP yang digunakan untuk infrastruktur TeamTNT saat ini (45[.]9[.]148[.]182) telah dikaitkan dengan beberapa domain yang melayani malware di masa lalu.

TrendMicro melaporkan bahwa kampanye ini juga menggunakan akun Docker Hub yang disusupi yang dikendalikan oleh TeamTNT untuk menghapus gambar Docker yang berbahaya.

Menggunakan akun Docker Hub yang disusupi membuat titik distribusi lebih andal bagi para aktor, karena lebih sulit untuk dipetakan, dilaporkan, dan dihapus.

TeamTNT adalah aktor canggih yang terus-menerus mengembangkan tekniknya, mengubah fokus penargetan jangka pendek tetapi tetap menjadi ancaman konstan bagi sistem Docker yang rentan.

Mereka pertama kali membuat worm untuk mengeksploitasi Docker dan Kubernetes secara massal pada Agustus 2020.

Selengkapnya: Bleeping Computer

MediaMarkt terkena ransomware Hive, tebusan awal $240 juta

by

Raksasa ritel elektronik MediaMarkt telah menderita ransomware Hive dengan permintaan tebusan awal sebesar $240 juta, menyebabkan sistem TI ditutup dan operasi toko terganggu di Belanda dan Jerman.

MediaMarkt adalah pengecer elektronik konsumen terbesar di Eropa, dengan lebih dari 1.000 toko di 13 negara. MediaMarkt mempekerjakan sekitar 53.000 karyawan dan memiliki total penjualan €20,8 miliar.

MediaMarkt mengalami serangan ransomware Minggu malam hingga Senin pagi yang mengenkripsi server dan workstation dan menyebabkan penutupan sistem TI untuk mencegah penyebaran serangan.

Sementara penjualan online terus berfungsi seperti yang diharapkan, mesin kasir tidak dapat menerima kartu kredit atau mencetak tanda terima di toko yang terkena dampak. Pemadaman sistem juga mencegah pengembalian barang karena ketidakmampuan untuk mencari pembelian sebelumnya.

Media lokal melaporkan bahwa komunikasi internal MediaMarkt memberi tahu karyawan untuk menghindari sistem terenkripsi dan memutuskan mesin kasir dari jaringan.

BleepingComputer telah mengkonfirmasi bahwa operasi Hive Ransomware berada di balik serangan itu dan awalnya menuntut jumlah uang tebusan yang sangat besar, tetapi tidak realistis, $ 240 juta untuk menerima decryptor untuk file terenkripsi.

Meskipun tidak jelas apakah data yang tidak terenkripsi telah dicuri sebagai bagian dari serangan, ransomware Hive diketahui mencuri file dan mempublikasikannya di situs kebocoran data ‘HiveLeaks’ jika uang tebusan tidak dibayarkan.

Selengkapnya: Bleeping Computer