Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for News

Peretas baru saja mencuri data pribadi dari jutaan pelanggan Acer

by

Acer baru saja mengkonfirmasi bahwa servernya ditembus oleh sekelompok peretas bernama Desorden. Peretas berhasil mencuri lebih dari 60 gigabyte data yang berisi informasi sensitif tentang jutaan pelanggan Acer.

Informasi yang dikompromikan termasuk nama, alamat, dan nomor telepon beberapa juta klien, tetapi juga membatasi data keuangan perusahaan.

Peretasan itu baru-baru ini dilaporkan oleh peretas itu sendiri dan kemudian dikonfirmasi kebenarannya oleh Acer. Desorden telah berhasil menembus server Acer di India dan mendapatkan sejumlah besar data. Data tersebut terdiri dari akun konsumen dan perusahaan. Menurut Desorden, “data pelanggan yang terpengaruh berjumlah jutaan.”

Sebagai bukti pencurian data, kelompok peretas menerbitkan lebih dari 10.000 akun data pelanggan pribadi. Data yang tersisa akan dijual, dan pos tersebut telah menarik minat dari pembeli potensial. Peretas belum menjelaskan apakah mereka ingin menjual data di pasar bawah tanah, atau mereka hanya ingin Acer membayar uang tebusan untuk itu.

Menurut Acer, perusahaan telah segera menerapkan langkah-langkah keamanan dan melakukan pemindaian penuh terhadap sistemnya. Serangan memengaruhi sistem layanan purna jual lokal Acer di India. Perusahaan kemudian mulai memberi tahu semua pelanggan yang berpotensi terkena dampak.

Dalam pernyataannya kepada Privacy Affairs, Acer mengklaim bahwa insiden ini tidak akan berdampak pada kelangsungan bisnisnya. Itu kemungkinan besar benar, tetapi ini tentu saja waktu yang buruk untuk merek, karena ini adalah pencurian data besar kedua yang dideritanya tahun ini.

Selengkapnya: Digital Trends

Google memperingatkan lonjakan aktivitas oleh peretas yang didukung negara

by

Google telah memperingatkan lonjakan aktivitas peretas yang didukung pemerintah tahun ini, termasuk serangan dari kelompok Iran yang menargetkan universitas Inggris.

Grup pencari mengatakan bahwa sejauh ini pada tahun 2021 telah mengirim lebih dari 50.000 peringatan kepada pemegang akun bahwa mereka telah menjadi target upaya phishing atau malware yang didukung pemerintah. Ini merupakan peningkatan sepertiga pada periode yang sama tahun lalu, kata Google dalam sebuah blogpost, dengan kenaikan yang dikaitkan dengan “kampanye yang luar biasa besar” oleh kelompok peretasan Rusia yang dikenal sebagai APT28, atau Fancy Bear.

Namun, pos Google berfokus pada kelompok yang terkait dengan Pengawal Revolusi Iran, yang dikenal sebagai APT35, atau Charming Kitten, yang secara teratur melakukan serangan phishing – di mana, misalnya, email digunakan untuk mengelabui seseorang agar menyerahkan informasi sensitif atau memasang malware.

“Ini adalah salah satu kelompok yang kami ganggu selama siklus pemilihan AS 2020 karena menargetkan staf kampanye,” tulis Ajax Bash, dari grup analisis ancaman Google. “Selama bertahun-tahun kelompok ini telah membajak akun, menyebarkan malware, dan menggunakan teknik baru untuk melakukan spionase yang selaras dengan kepentingan pemerintah Iran.”

Dalam satu serangan di awal tahun 2021, APT35 menyerang situs web yang berafiliasi dengan universitas Inggris menggunakan teknik yang telah dicoba dan diuji: mengarahkan pengguna ke halaman web yang disusupi di mana mereka didorong untuk masuk melalui penyedia layanan email mereka – Gmail, Hotmail atau Yahoo misalnya – untuk melihat webinar. Pengguna juga diminta kode otentikasi faktor kedua, yang langsung menuju ke APT35.

Selengkapnya: The Guardian

Pembaruan Windows 10 baru “KB5006670” merusak network printing

by

Pada hari Selasa (12/10/2021), Microsoft merilis pembaruan Windows untuk memperbaiki bug dan kerentanan keamanan sebagai bagian dari Patch Selasa Oktober 2021.

Pembaruan ini termasuk KB5006674 untuk Windows 11, KB5006670 untuk Windows 10 2004, 20H1, dan 21H1, KB5006667 untuk Windows 10 1909, dan KB5006714 untuk Windows 8.

Sejak menginstal pembaruan KB5006670, pengguna melaporkan bahwa mereka tidak dapat mencetak ke server cetak jaringan, dengan beberapa pengguna menerima kesalahan 0x00000709 atau ‘Elemen tidak ditemukan’ saat mencoba mencetak.

Dalam topik forum delapan halaman di BleepingComputer, administrator Windows menceritakan frustrasi mereka dengan bug pencetakan dan sampai pada kesimpulan yang sama – menghapus pembaruan minggu ini menyelesaikan masalah.

Sejak Juli, Microsoft telah merilis aliran pembaruan keamanan yang konstan untuk memperbaiki kerentanan PrintNightmare di Windows Print Spooler.

Karena pelaku ancaman, termasuk geng ransomware, secara aktif mengeksploitasi kerentanan ini, Microsoft telah mengubah fitur pencetakan Titik dan Cetak secara drastis. Sayangnya, sementara perubahan ini memperbaiki kerentanan, mereka juga menyebabkan masalah pencetakan ke server cetak jaringan.

Minggu ini, Microsoft merilis pembaruan keamanan lebih lanjut untuk kerentanan pencetakan Windows yang dilacak sebagai CVE-2021-41332 dan CVE-2021-36970, kemungkinan menyebabkan masalah pencetakan jaringan baru.

Sementara sebagian besar masalah yang dilaporkan terkait dengan pembaruan KB5006670 Windows 10, kemungkinan karena ini adalah versi Windows yang paling banyak digunakan saat ini.

Perbaikan keamanan yang sama juga dirilis untuk Windows 10 1909 dan Windows 11 dan kemungkinan akan menyebabkaSn masalah serupa pada versi Windows tersebut.

Selengkapnya: Bleeping Computer

Kampanye MirrorBlast Baru yang Eksplosif Menargetkan Perusahaan Keuangan

by

Tim Morphisec Labs telah melacak versi baru kampanye yang menargetkan organisasi keuangan. Dijuluki “MirrorBlast” oleh ET Labs, kampanye serangan saat ini yang dilacak tim Labs dimulai pada awal September. Ada kegiatan serupa pada April 2021 juga, tetapi kampanye saat ini dimulai baru-baru ini.

Rantai serangan infeksi memiliki kesamaan dengan taktik, teknik, dan prosedur yang biasa digunakan oleh kelompok ancaman TA505 yang diduga berbasis di Rusia. Kesamaan meluas ke rantai serangan, fungsionalitas GetandGo, muatan akhir, dan kesamaan dalam pola nama domain.

Pada bulan September peneliti mengamati kampanye malspam yang mengirimkan dokumen Excel sebagai lampiran. Kampanye ini menargetkan beberapa sektor dari Kanada, Amerika Serikat, Hong Kong, Eropa, dan banyak lagi.

Rantai serangan dimulai dengan dokumen lampiran email, tetapi pada tahap selanjutnya, itu berubah untuk menggunakan URL proksi umpan Google dengan SharePoint dan umpan OneDrive, yang bertindak sebagai permintaan berbagi file. URL ini mengarah ke SharePoint yang disusupi atau situs OneDrive palsu yang digunakan penyerang untuk menghindari deteksi, selain persyaratan masuk (SharePoint) yang membantu menghindari sandboxing.

MirrorBlast memiliki deteksi yang rendah pada VirusTotal karena makro yang sangat ringan yang tertanam dalam file Excel-nya, membuatnya sangat berbahaya bagi organisasi yang bergantung pada keamanan berbasis deteksi dan sandboxing

Selengkapnya: Security Boulevard

WhatsApp meluncurkan cadangan obrolan terenkripsi end-to-end pada Android dan iOS

by

WhatsApp meluncurkan cadangan obrolan terenkripsi ujung ke ujung di iOS dan Android untuk mencegah siapa pun mengakses obrolan Anda, di mana pun mereka disimpan.

Mulai hari ini, Facebook mengumumkan bahwa WhatsApp meluncurkan fitur baru di mana Anda dapat melakukan enkripsi ujung-ke-ujung dari cadangan obrolan Anda, di mana pun mereka disimpan.

Meskipun fitur ini belum diluncurkan untuk semua orang, pengguna akan dapat menetapkan kata sandi yang hanya mereka ketahui untuk digunakan untuk mengenkripsi cadangan sebelum diunggah ke iCloud atau Google Drive.

“Sekarang Anda dapat mengamankan cadangan terenkripsi ujung ke ujung dengan kata sandi pilihan Anda atau kunci enkripsi 64 digit yang hanya Anda yang tahu,” Facebook mengumumkan hari ini.

“Baik WhatsApp maupun penyedia layanan cadangan Anda tidak akan dapat membaca cadangan Anda atau mengakses kunci yang diperlukan untuk membukanya.”

Pengguna juga harus menggunakan kata sandi yang sama ini untuk memulihkan cadangan apa pun di masa mendatang, mencegahnya diakses oleh orang lain.

Facebook menyatakan bahwa mereka meluncurkan fitur ini secara perlahan kepada mereka yang menjalankan versi terbaru WhatsApp, jadi mungkin perlu beberapa saat sebelum menjangkau semua orang.

Selengkapnya: Bleeping Computer

Kampanye phishing DocuSign menargetkan karyawan berpangkat rendah

by

Pelaku phishing mengikuti tren baru yang menargetkan karyawan non-eksekutif tetapi masih memiliki akses ke area berharga dalam suatu organisasi.

Seperti yang dilaporkan oleh peneliti Avanan, setengah dari semua email phishing yang mereka analisis dalam beberapa bulan terakhir menyamar sebagai non-eksekutif, dan 77% di antaranya menargetkan karyawan pada tingkat yang sama.

Sebelumnya, pelaku phishing akan menyamar sebagai CEO dan CFO untuk mengelabui karyawan perusahaan dalam serangan phishing yang ditargetkan.

Ini masuk akal karena mengirim instruksi dan membuat permintaan mendesak sebagai karyawan berpangkat tinggi meningkatkan kemungkinan kepatuhan oleh penerima pesan ini.

Seperti yang dijelaskan Avanan dalam laporannya, trik khas yang digunakan dalam kampanye ini adalah keterlibatan DocuSign, platform penandatanganan dokumen berbasis cloud yang sah.

Aktor menawarkan DocuSign sebagai metode penandatanganan alternatif dalam email yang mereka kirim, dan meminta penerima memasukkan kredensial mereka untuk melihat dokumen dan menandatanganinya.

Meskipun email ini dibuat agar terlihat seperti pesan DocuSign yang sah, mereka tidak dikirim dari platform. Pada email DocuSign asli, pengguna tidak pernah diminta untuk memasukkan kata sandi, melainkan kode otentikasi yang dikirim melalui email ke penerima.

Dalam kesibukan pekerjaan sehari-hari, kemungkinan beberapa karyawan akan tertipu oleh pesan ini dan memperlakukannya sebagai permintaan DocuSign nyata, memasukkan kredensial email mereka dan menyerahkannya kepada pelaku phishing.

Selengkapnya: Bleeping Computer

Ad Blocker Chrome Berbahaya Menyuntikkan Iklan Di Belakang Layar

by

Ekstensi pemblokiran iklan AllBlock Chromium telah ditemukan menyuntikkan tautan afiliasi tersembunyi yang menghasilkan komisi untuk pengembang.

Ekstensi ini masih tersedia di Toko Web Chrome dan mempromosikan dirinya sebagai pemblokir iklan yang berfokus pada YouTube dan Facebook untuk mencegah pop-up dan mempercepat penjelajahan.

Namun, menurut peneliti di Imperva, ekstensi tersebut sebenarnya melakukan kampanye injeksi iklan yang menipu yang menyebabkan URL yang sah dialihkan ke tautan afiliasi yang dikendalikan oleh pengembang ekstensi.

Injeksi iklan adalah proses memasukkan iklan atau tautan ke halaman web yang biasanya tidak menghostingnya, memungkinkan penipu menghasilkan uang dari iklan atau mengarahkan orang ke situs afiliasi untuk mendapatkan komisi.

Skrip injection iklan bahkan menampilkan teknik evasion (pengelakan) seperti mengecualikan mesin pencari Rusia yang besar, membersihkan konsol debug setiap 100 md, dan deteksi aktif variabel Firebug yang diinisialisasi.

Dengan melihat lebih dalam pada AllBlock, tim Imperva menemukan skrip yang mereka cari di “bg.js,” yang menyuntikkan kode ke setiap tab baru yang dibuka di browser.

Pengembang ekstensi telah menambahkan beberapa objek dan variabel yang tidak berbahaya ke dalam cuplikan JavaScript berbahaya dalam upaya untuk mengaburkan eksekusi kode.

Namun, beberapa bukti IP dan domain mengaitkan ekstensi ini dengan kampanye Pbot, yang telah aktif setidaknya sejak 2018.

Selengkapnya: Bleeping Computer

Ransomware Yanluowang Baru Digunakan Dalam Serangan Perusahaan Yang Ditargetkan

by

Jenis ransomware baru dan masih dalam pengembangan sedang digunakan dalam serangan yang sangat bertarget terhadap entitas perusahaan seperti yang ditemukan oleh Tim Pemburu Ancaman Symantec dari Broadcom.

Malware, dijuluki Yanluowang ransomware (setelah dewa Cina Yanluo Wang, salah satu dari sepuluh raja neraka) berdasarkan ekstensi yang ditambahkan ke file terenkripsi pada sistem yang disusupi.

Baru-baru ini terlihat saat menyelidiki insiden yang melibatkan organisasi terkenal setelah mendeteksi aktivitas mencurigakan yang melibatkan alat kueri Active Directory baris perintah AdFind yang sah.

AdFind biasanya digunakan oleh operator ransomware untuk tugas pengintaian termasuk mendapatkan akses ke informasi yang diperlukan untuk pergerakan lateral melalui jaringan korban mereka.

Dalam beberapa hari setelah para peneliti menemukan penggunaan AdFind yang mencurigakan, para penyerang juga berusaha untuk menyebarkan muatan ransomware Yanluowang mereka di seluruh sistem organisasi yang dilanggar.

Setelah digunakan, Yanluowang akan menghentikan mesin virtual hypervisor, mengakhiri semua proses yang diambil oleh alat pendahulu (termasuk SQL dan Veeam), mengenkripsi file dan menambahkan ekstensi .yanluowang.

Pada sistem yang terenkripsi, Yanluowang juga menjatuhkan catatan tebusan bernama README.txt yang memperingatkan korbannya untuk tidak menghubungi penegak hukum atau meminta bantuan perusahaan negosiasi ransomware.

“Jika aturan penyerang dilanggar, operator ransomware mengatakan mereka akan melakukan serangan distributed denial of service (DDoS) terhadap korban, serta melakukan ‘panggilan ke karyawan dan mitra bisnis’,” tambah peneliti Broadcom.

Indikator kompromi termasuk hash malware dapat ditemukan di akhir laporan Symantec Threat Hunter Team.

Meskipun dalam pengembangan, Yanluowang masih merupakan malware berbahaya mengingat ransomware adalah salah satu ancaman terbesar yang dihadapi organisasi di seluruh dunia.

Selengkapnya: Bleeping Computer