Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for News

Mobile Phishing di Sektor Energi Melonjak 161%

by Leave a Comment

Serangan phishing seluler yang menargetkan karyawan di industri energi telah meningkat 161% dibandingkan data tahun lalu (H2 2020), dan trennya tidak menunjukkan tanda-tanda melambat.

Meskipun bahaya perangkat usang dan rentan mengganggu semua sektor, sebuah laporan baru oleh perusahaan keamanan siber Lookout menunjukkan bahwa energi adalah yang paling ditargetkan, diikuti oleh keuangan, farmasi, pemerintah, dan manufaktur.

Dalam hal penargetan geografis, Asia-Pasifik menempati urutan teratas, diikuti oleh Eropa dan kemudian Amerika Utara. Namun, ada tren peningkatan serangan phishing yang menargetkan industri energi global di seluruh dunia.

Mobile phishing juga melonjak pada paruh pertama tahun 2021, dengan hampir 20% dari semua karyawan di sektor energi menjadi sasaran serangan mobile phishing, yang mengarah ke peningkatan 161% selama enam bulan sebelumnya.

Panen kredensial lewat VPN

Dengan begitu banyak orang yang bekerja dari rumah karena pandemi COVID-19, banyak karyawan menggunakan VPN untuk mengakses jaringan perusahaan. Sayangnya, akses jarak jauh ke jaringan perusahaan ini menjadi target yang menarik bagi pelaku ancaman, yang menggunakan phishing untuk mencuri kredensial VPN atau kredensial domain.

Untuk melakukan kampanye ini, penyerang menggunakan email, SMS, aplikasi phishing, dan halaman login di situs perusahaan palsu.

Sumber: Lookout

Kredensial ini memungkinkan mereka untuk mendapatkan akses ke jaringan internal, yang kemudian dapat digunakan untuk gerakan lateral lebih lanjut dan menemukan titik pivot tambahan.

Dari sana, mereka dapat menemukan sistem yang rentan dan meluncurkan serangan terhadap sistem kontrol industri yang biasanya memuat kelemahan yang tak ditemukan selama bertahun-tahun.

Permasalahan Android

Menurut laporan dari Lookout, permukaan serangan paling signifikan berasal dari 56% pengguna Android yang menjalankan versi OS yang kedaluwarsa dan rentan.

“Versi lama sistem operasi Google dan Apple masih digunakan di seluruh industri energi. Versi lama memaparkan organisasi pada ratusan kerentanan yang dapat dieksploitasi oleh pelaku jahat yang mencari akses ke lingkungan organisasi,” jelas laporan dari Lookout.

Tepat setahun setelah Android 11 dirilis, telemetri Lookout menunjukkan bahwa hanya 44,1% perangkat Android aktif yang menggunakannya.

Sumber: Lookout

Sebaliknya, iPhone lebih kurang rentan terhadap eksploitasi, karena sebagian besar pengguna iOS menjalankan versi terbaru.

Riskware >>> Malware

Aplikasi yang meminta izin dan mengakses data sensitif pada perangkat sekarang menjadi masalah yang lebih besar daripada malware “murni”, karena jauh lebih mudah untuk melewati pemeriksaan appstore.

Banyak dari aplikasi ini terhubung ke server yang tidak jelas dan mengirim berbagai jenis data yang tidak relevan dengan fungsi intinya tetapi masih merupakan risiko besar bagi pengguna dan organisasi tempatnya bekerja.

Spyware, keyloggers, trojan, dan bahkan ransomware dropper tetap menjadi masalah, tetapi lebih mungkin digunakan dalam serangan yang sangat tertarget, sehingga volume distribusinya secara signifikan lebih kecil.

Dengan demikian, pelatihan karyawan sangat penting dalam meminimalkan penyimpangan keamanan, karena faktor manusia tetap menjadi risiko terbesar untuk menginstal riskware dan mengklik/mengetuk tautan yang mencurigakan.

Lookout melaporkan bahwa satu sesi pelatihan anti-phishing menghasilkan klik 50% lebih sedikit ke tautan phishing selama 12 bulan ke depan.

Sumber: Bleepingcomputer

Mekotio Versi Lebih Tersembunyi Terlihat di Alam Bebas

by Leave a Comment

Trojan perbankan versi baru Mekotio sedang digunakan di alam bebas. Analis malware melaporkan bahwa itu menggunakan aliran infeksi baru yang lebih tersembunyi.

Aktivitas penting terakhir dari Mekotio dimulai pada musim panas 2020 ketika operator trojan menyebarkannya dalam kampanye yang menargetkan negara-negara Amerika Latin.

Aliran serangan baru

Infeksi dimulai dengan email phishing (berupa paket lampiran ZIP yang berisi skrip batch yang gak jelas) yang menjalankan skrip PowerShell.

Setelah skrip PowerShell masuk, skrip akan mengunduh arsip ZIP kedua setelah beberapa lokasi dasar dan pemeriksaan anti-analisis.

Jika pemeriksaan mengkonfirmasi korban berada di Amerika Latin dan malware tidak berjalan di mesin virtual, ZIP kedua yang berisi muatan Mekotio dalam bentuk DLL akan diekstraksi.

Sumber: CheckPoint

Alur serangan multi-langkah seperti di atas mungkin tampak tidak perlu rumit, tetapi mereka diperlukan untuk menghindari deteksi dan berhasil menyebarkan muatan akhir.

Salah satu keuntungan dari serangan modular adalah kemampuan tambahan untuk membuat perubahan halus yang membuat metode deteksi sebelumnya tidak berguna.

Inilah yang terjadi dalam pengembangan Mekotio, karena kode trojan sebagian besar tetap tidak berubah, dengan pembuatnya sebagian besar mengubah banyak hal daripada menambahkan kemampuan baru.

Sumber: CheckPoint

Kode lama dalam bungkus baru

Tiga elemen baru yang membuat versi Mekotio terbaru lebih sulit dideteksi adalah sebagai berikut:

  • File batch yang lebih tersembunyi dengan setidaknya dua lapisan kebingungan
  • Skrip PowerShell tanpa file baru yang berjalan langsung di memori
  • Penggunaan Themida v3 untuk mengemas muatan DLL akhir

Tujuan utama trojan tidak lain untuk mencuri kredensial e-banking dan kata sandi akun orang-orang.

Beberapa varian Mekotio sebelumnya juga dapat membajak pembayaran cryptocurrency dan mengarahkannya ke dompet yang dikendalikan aktor, tetapi versi terbaru telah menghapus fungsi ini.

Tahun lalu, ESET menandai trojan khusus ini “kacau” karena pengembangan bersamaan yang menghasilkan sirkulasi bersamaan untuk setiap variannya.

Aktivitas itu kini telah berkurang, dan aktivitas terbaru menggunakan varian yang dianalisis oleh CheckPoint.

Sumber: Bleepingcomputer

Usai Tutup: BlackMatter Ransomware Giring Korban ke Lockbit

by

Dengan ditutupnya operasi ransomware BlackMatter, afiliasi yang ada memindahkan korban mereka ke situs ransomware LockBit yang bersaing untuk pemerasan lanjutan.

Pagi ini, tersiar kabar bahwa geng ransomware BlackMatter ditutup setelah anggotanya hilang dan ditekan lebih kuat oleh penegak hukum.

Sebagai bagian dari penutupan ini, operator ransomware mengizinkan afiliasi menerima dekripsi untuk negosiasi yang ada sehingga mereka dapat terus memeras korban.

Sementara infrastruktur BlackMatter masih aktif, BleepingCompuer telah mengetahui bahwa afiliasi memindahkan korban yang ada ke situs negosiasi ransomware LockBit.

Dalam obrolan negosiasi BlackMatter yang ada, afiliasi menyediakan tautan korban ke situs Tor LockBit di mana halaman negosiasi baru telah disiapkan untuk mereka.

Sumber: Bleepingcomputer

Di halaman negosiasi LockBit ini, afiliasi BlackMatter terus bernegosiasi dengan korban untuk menerima pembayaran uang tebusan.

Adapun BlackMatter, mereka melanjutkan penutupan mereka. Agenda hari ini adalah menghapus kehadiran mereka dari forum peretasan berbahasa Rusia.

Peneliti keamanan pancak3lullz telah mengikuti aktivitas pembersihan BlackMatter, menunjukkan bahwa geng tersebut menarik 4 Bitcoin (~$250.000) hari ini dari forum peretasan Exploit dan menonaktifkan akun mereka.

Sumber: pancak3lullz

Mereka juga telah mengedit postingan-postingan sebelumnya dan meminta moderator untuk menghapusnya.

Sumber: pancak3lullz

Dengan REvil dan BlackMatter sekarang ditutup, LockBit telah menjadi salah satu operasi ransomware terbesar dan tersukses yang berjalan saat ini.

Perwakilan LockBit yang dikenal sebagai ‘LockbitSupp’ terbukti sebagai aktor yang cerdas yang terus-menerus menyesuaikan taktik untuk merekrut afiliasi baru, terutama saat operasi yang sudah mapan ditutup.

Sementara BlackMatter kemungkinan akan mengubah citra dan kembali sebagai operasi ransomware baru, kemitraan mereka dengan LockBit dapat merugikan mereka dalam jangka panjang karena mereka kehilangan afiliasi yang berpengalaman.

Sumber: Bleepingcomputer

BlackMatter Ransomware Diduga Tutup karena Desakan Polisi

by

Ransomware BlackMatter diduga menghentikan operasinya karena tekanan dari pihak berwenang dan operasi penegakan hukum baru-baru ini.

BlackMatter mengoperasikan situs web ransomware-as-a-service (RaaS) pribadi yang dapat digunakan afiliasi untuk berkomunikasi dengan operator inti, membuka tiket dukungan, dan menerima ransomware baru.

Hari ini, tim riset keamanan VX-Underground mengirim screenshot pesan yang diduga diposting oleh operator BlackMatter pada 1 November di situs webnya. Postingan ini mengingatkan para afiliasi bahwa operasi ransomware ditutup dalam 48 jam.

Source: VX-Underground

Kasarnya, artinya sebagai berikut:

Karena keadaan tertentu yang tidak dapat diselesaikan terkait dengan tekanan dari pihak berwenang (sebagian dari tim tidak lagi tersedia, setelah berita terbaru) – proyek ditutup.

Setelah 48 jam, seluruh infrastruktur akan dimatikan, sehingga:

  • Kirim surat ke perusahaan untuk informasi lebih lanjut.
  • Kasih decryptor di roomchat perusahaan, jika perlu.

Sukses selalu. Senang bekerja dengan kalian.

Jika postingan ini resmi dan BlackMatter berhenti beroperasi, bukan berarti oknum-oknum berhenti memeras korban yang ada.

Berdasarkan postingan tersebut, situs RaaS mengijinkan afiliasi untuk menerima decryptor untuk korban yang ada sehingga mereka dapat terus memeras korban.

Kemungkinan kembali sebagai ransomeware baru

Namun, kalau pun BlackMatter menghentikan operasinya, kemungkinan kita akan melihat mereka kembali sebagai grup yang berbeda di masa mendatang.

Ketika geng ransomware dapat tekanan dari penegak hukum, biasanya mereka menutup operasi dan balik lagi dengan nama baru.

BlackMatter sebenarnya adalah citra baru dari operasi DarkSide, yang ditutup setelah menyerang Colonial Pipeline dan ditekan penuh dari penegakan hukum internasional.

Operasi ransomware lain yang telah berganti nama di masa lalu meliputi:

  • REvil ke GandCrab
  • Labirin ke Egregor
  • Bitpaymer ke DoppelPaymer ke Duka
  • Nemty ke Nefilim ke Karma

Ini tinggal masalah waktu saja sampai operator BlackMatter rilis kembali dengan nama yang berbeda.

CyberDict

Afiliasi: Metode pemasaran/bisnis di mana seseorang mendapatkan sejumlah komisi karena berhasil menjual produk perusahaan. Dalam konteks RaaS, oknum memakai jasa BlackMatter sebagai sumber malware untuk disebar, lalu mendapatkan komisi dari korban yang menebus decryptor.

Decyrptor: Kunci untuk membuka data yang telah dienkripsi sehingga bisa diakses si pemilik data.

Sumber: Bleepingcomputer, Hostinger

Pembaruan Microsoft 365 Membuat Atasan Anda Dapat Melihat Aktivitas Browsing Anda

by

Microsoft sedang mempersiapkan beberapa pembaruan kecil yang dapat mengekang antusiasme karyawan yang melanggar aturan. Berita ini kembali datang dari layanan peta jalan Microsoft, di mana Redmond mempersiapkan Anda untuk kegembiraan yang akan datang.

“Pusat kepatuhan Microsoft 365: Manajemen risiko orang dalam — Peningkatan visibilitas di browser.”
Ini merupakan peta jalan untuk administrator. Ketika Anda memberikan “peningkatan visibilitas di browser” kepada administrator, hal tersebut merupakan peningkatan pengawasan terhadap apa yang diketik karyawan di browser tersebut.

Microsoft menargetkan “aktivitas berisiko.” Yang mungkin, memiliki semacam definisi. mereka menawarkan tautan ke pusat kepatuhannya, dimana kalimat pertama memiliki pelapor bawaan: “Browser web sering digunakan oleh pengguna untuk mengakses file sensitif dan non-sensitif dalam suatu organisasi.”

Dan apa yang dipantau oleh pusat kepatuhan? Mengapa, “file yang disalin ke penyimpanan cloud pribadi, file yang dicetak ke perangkat lokal atau jaringan, file yang ditransfer atau disalin ke jaringan berbagi, file yang disalin ke perangkat USB.”

Anda mungkin berasumsi bahwa ini masalahnya? Mungkin. Tapi sekarang akan ada peningkatan visibilitas secara misterius.

“Bagaimana visibilitas ini bisa ditingkatkan?,” Ada sedikit pembaruan peta jalan lain yang mungkin menawarkan petunjuk.

Microsoft menyatakan: “Pusat kepatuhan Microsoft 365: Manajemen risiko orang dalam — Pendeteksi ML baru.”

Perusahaan Anda akan segera memiliki robot ekstra-khusus untuk merangkak mengikuti dan mengamati setiap tindakan “berisiko” Anda. Meningkatkan visibilitas di browser tidaklah cukup, Anda juga harus memiliki Machine Learning yang terus-menerus waspada terhadap seseorang yang mengungkapkan jadwal makan siang Anda.

Microsoft menawarkan tautan ke halaman Manajemen Risiko Orang Dalam. “Pelanggan mengakui wawasan yang terkait dengan perilaku, karakter, atau kinerja pengguna individu yang secara material terkait dengan pekerjaan dapat dihitung oleh administrator dan tersedia bagi orang lain dalam organisasi.”

Semakin mudah bagi karyawan untuk berperilaku dengan cara yang sedikit jahat, maka harus ada keamanan untuk mencegah mereka melakukannya.
Semakin banyak kelemahan dunia maya, semakin seseorang mungkin ingin mengeksploitasinya.

Pada akhirnya, tentu saja, ini adalah representasi kecil lainnya dari kurangnya kepercayaan di antara manusia terutama antara manajemen dan karyawan. Semakin banyak perusahaan menurunkan perangkat lunak mata-mata kepada karyawan mereka terutama karyawan yang bekerja dari rumah maka semakin sedikit kepercayaan yang ada di antara mereka yang bekerja dan mereka yang mengelola.

Semakin banyak perusahaan ingin mengikuti setiap momen kehidupan kerja karyawan mereka dan bahkan kehidupan non-kerja maka akan semakin sedikit rasanya kita semua bersama-sama.

Microsoft 365 mengikuti Anda sekitar 365 hari setahun.

Selengkapnya : Microsoft will now snitch on you

Intel: 50+ Game PC Ini Tidak Kompatibel dengan CPU ‘Alder Lake’ Karena DRM

by

Intel menyatakan bahwa arsitektur inti CPU hybrid di Alder Lake dapat tidak kompatibel dengan game tertentu, khususnya beberapa yang dilindungi oleh perangkat lunak DRM anti-pembajakan dari Denuvo.

Ini dikonfirmasi dalam ulasan kami tentang Core i9-12900K ketika kami mencoba menjalankan judul AAA Ubisoft Assassin’s Creed: Valhalla, bagian dari rangkaian benchmark prosesor kami. Game akan mogok di tengah uji coba, atau tidak bisa boot sama sekali.

Kesalahan terjadi karena perangkat lunak DRM Denuvo akan salah mengira apa yang disebut “Inti Kinerja” dan “Inti Efisiensi” (P-core dan E-core) pada chip milik dua PC yang terpisah, padahal sebenarnya dua jenis inti pemrosesan berjalan pada prosesor Alder Lake yang sama. (Desain P-core/E-core ini adalah ciri baru chip Intel dengan Alder Lake.)

Menurut Intel, 22 game tidak akan berfungsi di Alder Lake di bawah Windows 10 dan Windows 11. Ini tercantum di bawah ini. Game di sebelah kiri, menurut pembuat chip, harus diperbaiki dengan patch Windows 11 yang diharapkan tiba pada pertengahan November.

Menurut Intel, 29 judul yang tersisa di bawah ini akan mengalami masalah ketidakcocokan, tetapi hanya ketika dijalankan di Windows 10. Jadi pemilik juga dapat menyelesaikan masalah dengan memperbarui PC mereka ke Windows 11 atau menggunakan solusi Scroll Lock jika tersedia.

Selengkapnya: PC Mag

Kerentanan Pada Kode Eksekusi Remote Ditambal Dalam Modul TIPC Kernel Linux

by

Pada hari Kamis, peneliti SentinelOne mengatakan bahwa CodeQL telah digunakan baru-baru ini dalam investigasi perburuan bug pada proyek open source.

CodeQL adalah mesin analisis kode semantik yang memungkinkan pengguna untuk menanyakan kode “seolah-olah itu data,” dan alat inilah yang memungkinkan tim untuk menemukan bug parah dalam proyek modul TIPC.

Menurut para peneliti, kerentanan heap overflow ditemukan yang dapat dieksploitasi baik secara lokal atau jarak jauh untuk mendapatkan hak tingkat kernel, “memungkinkan penyerang untuk tidak hanya mengkompromikan satu layanan tetapi seluruh sistem itu sendiri.”

Cacat keamanan berdampak pada kernel versi 5.10.

Saat ini tidak ada bukti penyalahgunaan dan perlu juga dicatat bahwa meskipun modul disertakan dengan distribusi utama, modul harus dimuat agar protokol dapat diaktifkan — jadi hanya build dengan fitur ini yang aktif yang dapat menjadi rentan untuk dieksploitasi.

SentinelOne melaporkan kelemahan tersebut kepada tim Kernel.org pada 19 Oktober. Sebuah patch diselesaikan oleh pengelola modul pada 21 Oktober dan dirilis di lore.kernel.org empat hari kemudian. Perbaikan sekarang juga telah ditambahkan ke repositori arus utama, dirilis pada 29 Oktober di bawah versi 5.15.

Selengkapnya: ZDNet

Bug BrakTooth pada Bluetooth: Eksploitasi Kode, PoC Dirilis

by

Periode embargo telah berakhir untuk alat proof-of-concept (PoC) untuk menguji kelemahan BrakTooth yang baru-baru ini terungkap pada perangkat Bluetooth, dan para peneliti yang menemukannya telah merilis kit uji dan kode eksploitasi penuh untuk bug tersebut.

BrakTooth adalah kumpulan kelemahan yang memengaruhi tumpukan Bluetooth komersial pada lebih dari 1.400 chipset yang digunakan di miliaran perangkat – termasuk ponsel cerdas, PC, mainan, perangkat internet-of-things (IoT), dan peralatan industri – yang mengandalkan Bluetooth Classic (BT) untuk komunikasi.

Pada hari Kamis, CISA mendesak produsen, vendor, dan pengembang untuk menambal atau menggunakan solusi.

Seperti yang ditunjukkan oleh makalah itu, semua yang perlu dilakukan penyerang untuk membongkar bug BrakTooth adalah papan ESP32 yang tersedia dengan harga $ 14,80 (atau serendah $ 4 untuk papan alternatif di AliExpress), Tautan kustom Firmware Manager Protocol (LMP), dan komputer untuk menjalankan alat PoC.

Beberapa perangkat dari Intel, Qualcomm dan Samsung masih menunggu patch; dan beberapa dari Qualcomm dan Texas Instruments terdaftar sebagai “tidak ada perbaikan,” karena vendor tidak berencana untuk mengeluarkan tambalan. Vendor lain masih menyelidiki masalah ini.

Selengkapnya: Threat Post