Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for News

TeamTNT Cloaks Malware Dengan Open-Source Tool

by

Alat penghindaran deteksi, libprocesshider, menyembunyikan malware TeamTNT dari program informasi proses.

Grup ancaman TeamTNT telah menambahkan alat penghindaran deteksi baru ke gudang senjatanya, membantu perangkat lunak perusak cryptomining oleh tim pertahanan.

Grup kejahatan dunia maya TeamTNT dikenal karena serangan berbasis cloud, termasuk menargetkan kredensial Amazon Web Services (AWS) untuk masuk ke cloud dan menggunakannya untuk menambang cryptocurrency Monero. Ini juga sebelumnya menargetkan instance cloud Docker dan Kubernetes.

Alat penghindaran deteksi baru, libprocesshider, disalin dari repositori sumber terbuka. Open-Source Tool, dari tahun 2014 telah ditempatkan di Github, dan dideskripsikan memiliki kemampuan untuk “menyembunyikan proses di Linux menggunakan prapemuat ld.”

Alat baru ini dikirimkan dalam skrip base64-encoded, tersembunyi di biner cryptominer TeamTNT, atau melalui bot Internet Relay Chat (IRC), yang disebut TNTbotinger, yang mampu melakukan serangan distributed denial of service (DDoS).

Dari waktu ke waktu, TeamTNT terlihat menyebarkan berbagai pembaruan pada malware cryptomining, termasuk pemuat memori baru yang ditemukan beberapa minggu yang lalu, yang didasarkan pada Ezuri dan ditulis dalam GOlang.

Pada bulan Agustus, worm cryptomining TeamTNT ditemukan menyebar melalui cloud AWS dan mengumpulkan kredensial. Kemudian, setelah jeda, grup TeamTNT kembali pada bulan September untuk menyerang instance cloud Docker dan Kubernetes dengan menyalahgunakan alat pemantauan cloud yang sah yang disebut Weave Scope.

selengkapnya :ThreatPost

ASIC melaporkan adanya server yang dibobol melalui kerentanan Accellion

by

Komisi Sekuritas dan Investasi Australia (ASIC) mengatakan salah satu servernya dibobol pada 15 Januari.

“Insiden ini terkait dengan perangkat lunak Accellion yang digunakan oleh ASIC untuk mentransfer file dan lampiran,” kata regulator perusahaan dalam pemberitahuan yang diposting pada malam sebelum hari libur.

“Ini melibatkan akses tidak sah ke server yang berisi dokumen yang terkait dengan aplikasi lisensi kredit Australia baru-baru ini.”

ASIC mengatakan sementara beberapa “informasi terbatas” telah dilihat, ASIC tidak melihat bukti bahwa formulir aplikasi telah diunduh atau dibuka. Regulator mengatakan akses ke server telah dinonaktifkan dan mereka sedang bekerja pada pengaturan lain.

“ASIC bekerja dengan Accellion dan telah memberi tahu agensi terkait serta pihak yang terkena dampak untuk menanggapi dan mengelola insiden tersebut.”

Selengkapnya: ZDNet

Otoritas AS dan Bulgaria mengganggu operasi ransomware NetWalker

by

Badan penegak hukum dari Bulgaria dan AS telah mengganggu infrastruktur NetWalker minggu ini, salah satu geng ransomware paling aktif tahun 2020.

Pejabat Bulgaria menyita server yang digunakan untuk menghosting portal web gelap untuk geng NetWalker, sementara pejabat di AS menuntut seorang warga negara Kanada yang diduga menghasilkan setidaknya $ 27,6 juta dari perusahaan yang menginfeksi dengan ransomware NetWalker.

Server yang disita digunakan untuk menghosting halaman tempat korban serangan NetWalker diarahkan untuk berkomunikasi dengan penyerang dan menegosiasikan tuntutan tebusan.

Server yang sama juga menjadi tuan rumah bagian blog tempat geng NetWalker membocorkan data yang mereka curi dari perusahaan yang diretas, dan yang menolak untuk membayar permintaan tebusan – sebagai bentuk balas dendam dan mempermalukan publik.

Rincian tentang warga negara Kanada yang didakwa hari ini belum tersedia selain nama dan tempat tinggalnya – Sebastien Vachon-Desjardins, dari Gatineau.

Vachon-Desjardins saat ini diyakini sebagai “afiliasi”, seseorang yang menyewa kode ransomware dari pencipta NetWalker.

Jenis bisnis ini disebut Ransomware-as-a-Service, atau RaaS, dan merupakan pengaturan umum yang digunakan oleh banyak geng ransomware saat ini.

Sebelum penghapusan hari ini, NetWalker beroperasi melalui topik yang diposting di beberapa forum bawah tanah oleh pengguna bernama Bugatti. Pengguna ini mengiklankan fitur ransomware dan mencari “mitra” (alias afiliasi) yang akan melanggar jaringan perusahaan, mencuri data untuk digunakan sebagai pengungkit selama negosiasi, dan menginstal ransomware untuk mengenkripsi file.

Jika korban membayar, Bugatti dan afiliasinya akan membagi pembayaran tebusan sesuai dengan perjanjian yang telah dinegosiasikan sebelumnya.

Menurut otoritas AS, NetWalker telah memengaruhi setidaknya 305 korban dari 27 negara berbeda, termasuk 203 di AS.

selengkapnya : ZDNET

Empat vendor keamanan mengungkapkan insiden terkait SolarWinds

by

Seperti yang diramalkan sebagian besar ahli bulan lalu, dampak dari serangan rantai pasokan SolarWinds semakin besar seiring berjalannya waktu, dan perusahaan memiliki waktu untuk mengaudit jaringan internal dan log DNS.

Minggu ini, empat vendor keamanan siber baru – Mimecast, Palo Alto Networks, Qualys, dan Fidelis – telah menambahkan nama mereka ke daftar perusahaan yang telah menginstal versi trojan dari aplikasi SolarWinds Orion.

Dua minggu lalu, Mimecast mengungkapkan pelanggaran keamanan besar di mana peretas membobol jaringannya dan menggunakan sertifikat digital yang digunakan oleh salah satu produk keamanannya untuk mengakses akun Microsoft 365 dari beberapa pelanggannya.

Dalam pembaruan di blognya, Mimecast mengatakan pihaknya menautkan insiden ini ke aplikasi SolarWinds Orion yang terinstal di jaringannya.

Vendor keamanan besar lainnya yang mengungkapkan insiden terkait SolarWinds adalah Palo Alto Networks, vendor perangkat lunak keamanan siber dan peralatan jaringan. Palo Alto Networks mengatakan mendeteksi dua insiden keamanan pada September dan Oktober 2020 yang terkait dengan perangkat lunak SolarWinds.

Laporan Forbes juga mengutip temuan Erik Hjelmvik, pendiri perusahaan keamanan jaringan Netresec, yang menerbitkan pada sebuah laporan hari Senin yang merinci 23 domain baru yang digunakan oleh peretas SolarWinds untuk menyebarkan muatan tahap kedua ke jaringan yang terinfeksi yang mereka anggap bernilai tinggi.

Dua dari 23 domain baru ini adalah “corp.qualys.com”, yang menunjukkan bahwa raksasa audit keamanan siber Qualys mungkin telah menjadi sasaran para penyerang.

Pengungkapan besar keempat dan terbaru datang dari Fidelis Cybersecurity dalam bentuk posting blog dari CISO perusahaan, Chris Kubic. Eksekutif Fidelis mengatakan bahwa mereka juga telah menginstal versi trojan dari aplikasi SolarWinds Orion pada Mei 2020 sebagai bagian dari “evaluasi perangkat lunak”.

Selengkapnya: ZDNet

Layanan cloud Google baru bertujuan untuk menghadirkan zero trust security ke web

by

Google telah mengumumkan ketersediaan umum BeyondCorp Enterprise, layanan keamanan baru dari Google Cloud berdasarkan prinsip merancang jaringan zero trust security.

Ketika perusahaan keamanan AS menerima peretasan rantai pasokan SolarWinds, Google dan Microsoft membicarakan kemampuan mereka di cloud dengan tidak adanya kepercayaan.

Microsoft minggu lalu mendesak pelanggan untuk mengadopsi “mentalitas tanpa kepercayaan” dan meninggalkan asumsi bahwa segala sesuatu di dalam jaringan TI aman dan sekarang Google telah meluncurkan layanan BeyondCorp Enterprise berdasarkan konsep yang sama.

“zero trust security mengasumsikan tidak ada kepercayaan implisit yang diberikan kepada aset atau akun pengguna hanya berdasarkan lokasi fisik atau jaringan mereka (yaitu, jaringan area lokal versus internet) atau berdasarkan kepemilikan aset (perusahaan atau milik pribadi),” jelas National Institute Standar dan Teknologi (NIST).

“Otentikasi dan otorisasi (baik subjek dan perangkat) adalah fungsi terpisah yang dilakukan sebelum sesi ke sumber daya perusahaan dibuat.”

selengkapnya :ZDNET

Botnet Emotet terganggu setelah operasi penghapusan global

by

Infrastruktur botnet paling berbahaya saat ini yang dibangun oleh penjahat dunia maya yang menggunakan malware Emotet diturunkan setelah tindakan terkoordinasi internasional yang dikoordinasikan oleh Europol dan Eurojust.

Upaya bersama antara lembaga penegak hukum dan pihak berwenang dari Belanda, Jerman, Amerika Serikat, Inggris Raya, Prancis, Lituania, Kanada, dan Ukraina memungkinkan penyelidik untuk mengambil kendali atas server botnet dan mengganggu operasi malware.

Menyusul upaya investigasi global, otoritas yudisial dan penegak hukum membongkar seluruh infrastruktur botnet dari dalam setelah menguasai servernya awal pekan ini.

Anda dapat memeriksa apakah alamat email Anda telah dibobol oleh Emotet dan digunakan untuk mengirim email berbahaya menggunakan portal Polisi Nasional Belanda ini.

Portal ini akan membantu Anda mencari melalui database alamat email, nama pengguna, dan kata sandi yang dicuri oleh Emotet dan ditemukan awal minggu ini oleh Kepolisian Nasional Belanda selama investigasi kriminal yang menyebabkan gangguan botnet.

Departemen Cyberpolice polisi Ukraina juga menangkap dua orang yang diduga terlibat dalam pemeliharaan infrastruktur botnet dan menghadapi hukuman 12 tahun penjara jika terbukti bersalah.

selengkapnya : BleepingComputer

NAT Slipstreaming v2.0: Varian Serangan Baru Dapat Memaparkan Semua Perangkat Jaringan Internal ke Internet

by

Sumber: Armis

Peneliti Armis Ben Seri dan Gregory Vishnepolsky telah menemukan varian baru untuk teknik bypass NAT yang dikenal sebagai NAT Slipstreaming, dan telah bekerja dengan peneliti keamanan Samy Kamkar (yang awalnya mengungkapkan teknik tersebut pada 31 Oktober 2020) untuk lebih memahami serangan tersebut, dan memitigasi serangan tersebut.

Penemuan baru ini mencakup metode untuk melewati NAT dan firewall untuk menjangkau perangkat apa pun di jaringan internal. Sementara serangan asli sebagian dimitigasi oleh tambalan dari browser, varian baru memperkenalkan teknik primitif tambahan yang melewati mitigasi ini.

Dampak serangan terhadap perangkat yang tidak dikelola dapat menjadi parah, mulai dari gangguan hingga serangan ransomware yang sangat parah.

NATs/firewall tingkat perusahaan dari Fortinet, Cisco, dan HPE dipastikan terpengaruh, sementara yang lain kemungkinan juga terpengaruh.

Kolaborasi tersebut menghasilkan pengungkapan keamanan dengan vendor browser untuk mengurangi serangan tersebut. Google, Apple, Mozilla dan Microsoft telah merilis tambalan untuk Chrome, Safari, Firefox dan Edge, yang memitigasi varian baru ini.

Selama sebulan terakhir, semua browser yang disebutkan di atas telah merilis versi yang berisi mitigasi terhadap serangan ini (Chrome v87.0.4280.141, Firefox v85.0, Safari v14.0.3). Browser Microsoft Edge sekarang juga ditambal, karena bergantung pada kode sumber Chromium. Chromium melacak varian baru melalui CVE-2020-16043, sementara Firefox melacaknya melalui CVE-2021-23961.

Selengkapnya: Armis

Distributor Linux frustrasi dengan pembatasan browser web Chromium baru dari Google

by

Google mengklaim baru-baru ini menemukan browser berbasis Chromium pihak ketiga yang tidak disebutkan namanya yang mengintegrasikan fitur berbasis cloud Google, seperti sinkronisasi Chrome dan Click to Call, yang ditujukan hanya untuk pengguna Google Chrome.

Dengan kata lain, “Ini berarti bahwa sebagian kecil pengguna dapat masuk ke Akun Google mereka dan menyimpan data sinkronisasi Chrome pribadi mereka, seperti bookmark, tidak hanya dengan Google Chrome, tetapi juga dengan beberapa browser berbasis Chromium pihak ketiga.” Google tidak senang akan hal ini.

Mulai 15 Maret, Google mengatakan akan membatasi akses ke banyak antarmuka pemrograman aplikasi (API) Chrome di dalam Chromium mulai 15 Maret 2021. Ini berarti pengguna yang menggunakan browser web Chromium atau browser web lainnya berdasarkan basis kode sumber terbukanya tidak akan dapat menggunakan sebagian besar layanan berkemampuan API khusus Google.

Banyak pengguna juga tidak senang sekarang. Thom Holwerda, editor pelaksana OSNews, berbicara banyak ketika dia menulis, Google “tidak menutup lubang keamanan, mereka hanya mengharuskan semua orang menggunakan Chrome. Atau terus terang, mereka tidak ingin Anda mengakses fungsionalitas Google API mereka tanpa menggunakan perangkat lunak berpemilik (Google Chrome).”

Selengkapnya: ZDNet