Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for News

Trojan Windows Baru Mencuri Kredensial Browser, Outlook Files

by

Para peneliti telah menemukan trojan pencuri informasi baru, yang menargetkan sistem Microsoft Windows dengan kemampuan eksfiltrasi data yang hebat – mulai dari mengumpulkan kredensial browser hingga menargetkan file Outlook.

Trojan, yang disebut PyMicropsia (karena dibuat dengan Python) telah dikembangkan oleh kelompok ancaman AridViper, kata peneliti, yang dikenal sering menargetkan organisasi di Timur Tengah.

“AridViper adalah kelompok ancaman aktif yang terus mengembangkan alat baru sebagai bagian dari persenjataan mereka,” kata peneliti dari tim Unit42 Palo Alto dalam sebuah analisis.

Peneliti juga mengatakan bahwa ada beberapa bagian dari malware yang belum digunaka, menandakan bahwa malware masih dalam tahap pengembangan.

Kemampuan trojan info-stealer ini mencakup pengunggahan file, pengunduhan/eksekusi muatan, pencurian kredensial browser (dan kemampuan untuk menghapus riwayat dan profil penjelajahan), mengambil tangkapan layar dan keylogging.

Selain itu, malware juga dapat mengumpulkan informasi file listing, menghapus file, menyalakan ulang mesin, mengumpulkan informasi dari drive USB dan merekam audio; serta memanen file Outlook .OST dan mematikan/menonaktifkan proses Outlook. File OST mungkin berisi pesan email, kontak, tugas, data kalender, dan informasi akun lainnya.

Meskipun PyMicropsia dirancang untuk menargetkan sistem operasi Windows saja, peneliti menemukan cuplikan dalam kode yang memeriksa sistem operasi lain (seperti “posix” atau “darwin”). Posix, atau Portable Operating System Interface, adalah keluarga standar yang digunakan untuk menjaga kompatibilitas antara sistem operasi; dan Darwin sebuah sistem operasi mirip Unix.

Sumber: The Threat Post

Kunci akun Microsoft 365 Anda untuk mencegah mata-mata, begini caranya

by

Berita tersiar akhir pekan lalu bahwa peretas asing selama berbulan-bulan secara diam-diam memantau akun dan pertukaran email antara Departemen Keuangan AS dan Administrasi Telekomunikasi dan Informasi Nasional, memperoleh akses melalui perangkat lunak Microsoft Office 365, menurut Reuters.

Serangan itu cukup canggih untuk mengelabui kontrol otentikasi Microsoft, kata laporan itu. Serangan itu juga mempertanyakan integritas perangkat lunak Microsoft tersebut.

Perusahaan kemudian merilis panduan tentang bagaimana organisasi dapat meningkatkan keamanan untuk mencoba menghindari serangan ini, dan mengatakan bahwa mereka belum mengidentifikasi kerentanan produk Microsoft.

Untuk email kantor atau pribadi Anda yang menggunakan Outlook di Microsoft 365, ada juga cara untuk dapat lebih mengamankan akun individu Anda untuk menghindari peretasan.

  1. Gunakan otentikasi multifaktor

    2. Untuk mengatur otentikasi multifaktor (juga disebut verifikasi dua langkah), masuk ke halaman Security, dan masuk dengan akun Microsoft Anda. Pilih opsi More security. Di bawah Two-step verification, pilih Set up two-step verification untuk mengaktifkannya dan ikuti instruksi yang diberikan.

  2. Lindungi sandi Anda

    3. Jangan pernah menggunakan kata sandi yang sama untuk banyak akun. Anda juga harus memilih kata sandi yang kuat – kata sandi yang menghindari penggunaan kata-kata umum dan setidaknya delapan karakter.

  3. Hindari penipuan phishing

    4. Jika Anda mendapatkan email tentang keamanan akun Microsoft Anda, mungkin itu adalah penipuan phishing. Email ini sering kali menyertakan tautan ke situs web berbahaya, yang tidak boleh Anda klik. Cara terbaik untuk menghindari email ini adalah dengan mengetahui bagaimana cara menemukannya, contohnya seperti menggunakan ejaan yang salah, berasal dari sumber yang sedikit salah eja (seperti microsoftsupport.ru atau micros0ft.com) atau menyertakan panggilan darurat untuk mengambil tindakan atau menghindari ancaman.

  4. Lindungi aplikasi Anda

    5. Di ponsel atau desktop Anda, hanya instal dan jalankan aplikasi dari sumber yang sah, seperti App Store untuk perangkat Anda. Anda juga harus memastikan semua aplikasi serta sistem operasi Anda sudah menerapkan pembaruan.

  5. Permudah proses untuk memulihkan akun Anda

    6. Anda dapat mengatur akun Anda untuk membuatnya mudah dipulihkan jika semuanya gagal dan Anda diretas. Untuk melakukannya, buka halaman keamanan Microsoft, dan tambahkan semua informasi, seperti alamat email dan nomor telepon Anda. Pastikan Anda selalu memperbarui informasi ini untuk menjaga akun Anda lebih aman.

Sumber: Cnet

Malware baru dari grup peretas menyalahgunakan layanan Google dan Facebook

by

Molerats cyberespionage group telah menggunakan malware baru dalam kampanye spear-phishing baru-baru ini yang mengandalkan Dropbox, Google Drive, dan Facebook untuk komunikasi command dan control dan untuk menyimpan data yang dicuri.

Para peretas telah aktif setidaknya sejak 2012 dan dianggap sebagai divisi anggaran rendah dari kelompok yang lebih besar yang disebut Gaza Cybergang.

Aktor ancaman Molerats menggunakan dua backdoor baru dalam operasi yang terbaru- disebut SharpStage dan DropBook, dan satu pengunduh malware yang sebelumnya tidak diketahui bernama MoleNet.

Dirancang untuk cyberespionage, malware mencoba untuk menghindari deteksi dan upaya penghapusan dengan menggunakan layanan Dropbox dan Facebook untuk mencuri data dan menerima instruksi dari operator. Kedua backdoor menerapkan Dropbox untuk mengekstrak data yang dicuri.

Sumber: Cybereason

Laporan teknis dari Tim Nocturnus Cybereason mencatat bahwa backdoor DropBook berbasis Python berbeda dari alat lain di gudang senjata Molerats karena menerima instruksi hanya melalui akun palsu di Facebook dan Simplenote, aplikasi pencatat untuk iOS.

Peretas mengontrol backdoor melalui perintah yang diterbitkan dalam posting di Facebook. Mereka menggunakan metode yang sama untuk memberikan token yang diperlukan untuk terhubung ke akun Dropbox. Simplenote bertindak sebagai cadangan jika malware tidak dapat mengambil token dari Facebook.

Sumber: Bleeping Computer

Lab Habana Intel diretas oleh ransomware Pay2Key, dan data dicuri

by

Pengembang prosesor AI milik Intel, Habana Labs, telah mengalami serangan siber di mana datanya dicuri dan dibocorkan oleh pelaku ancaman.

Habana Labs adalah pengembang prosesor AI Israel yang mempercepat beban kerja kecerdasan buatan di pusat data. Intel membeli perusahaan tersebut pada Desember 2019 dengan harga sekitar $2 miliar.

Kemarin, operasi ransomware Pay2Key membocorkan data yang diduga dicuri dari Habana Labs selama serangan siber. Data ini mencakup informasi akun domain Windows, informasi zona DNS untuk domain, dan file listing dari sistem tinjauan kode pengembangan Gerrit nya.

Sumber: Bleeping Computer

Selain konten yang diposting di situs kebocoran data mereka, operator Pay2Key telah membocorkan dokumen bisnis dan gambar-gambar kode sumber.

Dalam sebuah postingan di situs kebocoran data Pay2Key, pelaku ancaman telah menyatakan bahwa Habana Labs memiliki waktu “72 jam untuk menghentikan proses kebocoran …” Tidak diketahui tuntutan tebusan apa yang dibuat untuk menghentikan kebocoran data.

Pay2Key adalah operasi ransomware yang relatif baru di balik serangkaian serangan terhadap bisnis Israel pada November 2020, seperti yang dilaporkan oleh perusahaan keamanan siber Israel, Check Point dan Profero.

Sumber: Bleeping Computer

Ransomware baru ini semakin kuat dan bisa menjadi ancaman utama bagi para peneliti

by

Ransomware yang menuntut jutaan dolar dari para korban dan sedang diperbarui dengan fitur-fitur baru dapat menjadi ancaman serius lainnya bagi bisnis.

Ransomware MountLocker pertama kali muncul pada bulan Juli dan mengenkripsi jaringan korban dengan para penyerang yang meminta bitcoin sebagai ganti kunci dekripsi. Seperti bentuk ransomware lainnya, peretas kriminal di baliknya mengancam akan membocorkan informasi yang dicuri dari organisasi korban jika tebusan bitcoin tidak dibayarkan.

Peneliti keamanan siber di BlackBerry telah menganalisis MountLocker dan mengatakan bahwa mereka yang berada di belakangnya “jelas baru saja melakukan pemanasan” – dan kelompok ransomware ini bisa menjadi ancaman besar di masa mendatang.

Ransomware MountLocker menyebar di seluruh jaringan dengan alat yang tersedia untuk umum hanya dalam 24 jam. Setelah perintah untuk mengeksekusi ransomware dimulai, korban mendapati diri mereka terkunci dari jaringan mereka dan menghadapi permintaan tebusan tujuh digit.

Analisis kampanye menemukan bahwa versi terbaru MountLocker yang dirancang untuk membuatnya lebih efisien dalam mengenkripsi file muncul bulan lalu, serta memperbarui kemampuan untuk menghindari deteksi oleh perangkat lunak keamanan.

Meskipun MountLocker tampaknya masih dalam tahap pengembangan yang relatif awal, itu sudah terbukti efektif dengan mengklaim korban di seluruh dunia dan kemungkinan akan menjadi lebih produktif seiring perkembangannya.

Seperti semua bentuk ransomware, MountLocker memanfaatkan kerentanan keamanan umum untuk menyebar, jadi beberapa cara terbaik untuk melindungi agar tidak menjadi korbannya adalah dengan memastikan bahwa kata sandi default tidak digunakan, otentikasi dua faktor diterapkan dan jaringan diperbarui dengan patch keamanan terbaru untuk mengatasi kerentanan yang diketahui.

Sumber: ZDNet

Bug Cisco 9.9/10-severity: Tambal kerentanan Jabber yang berbahaya ini pada Windows dan macOS

by

Cisco telah meluncurkan patch untuk beberapa kelemahan kritis yang memengaruhi klien Jabber untuk Windows, MacOS, dan aplikasi seluler untuk iOS dan Android.

Cacatnya buruk, dengan yang terburuk memiliki peringkat keparahan 9,9. Yang lebih buruk, cacat itu dimaksudkan untuk diperbaiki tiga bulan lalu dalam pembaruan untuk Jabber, tak lama setelah para peneliti merilis kode proof-of-concept eksploitasi untuk bug wormable, yang dapat dieksploitasi melalui pesan instan.

Jabber adalah platform enterprise chat dan pesan instan Cisco yang banyak digunakan, yang diakuisisi pada tahun 2008. Aplikasi ini didasarkan pada Chromium Embedded Framework (CEF), yang memungkinkan pengembang untuk menyematkan browser web berbasis Chromium dalam sandbox asli di aplikasi mereka.

Cisco mengatakan bahwa bug ini memungkinkan penyerang untuk “mengeksekusi program apapun pada sistem operasi yang mendasarinya dengan hak istimewa yang lebih tinggi atau mendapatkan akses ke informasi sensitif”.

Cisco mencatat bahwa kerentanan penanganan pesan baru dapat dieksploitasi jika penyerang dapat mengirim pesan Extensible Messaging and Presence Protocol (XMPP) ke sistem pengguna akhir yang menjalankan Cisco Jabber.

Tiga bug yang belum diperbaiki sepenuhnya dilacak sebagai CVE-2020-26085, CVE-2020-27127, dan CVE-2020-27132.

Watchcom melaporkan empat kerentanan ke Cisco awal tahun ini, dan itu diungkapkan oleh raksasa jaringan pada bulan September. Tetapi tiga di antaranya tidak diperbaiki dengan benar dalam pembaruan pada saat itu, menurut Watchcom.

Cisco juga menemukan dua bug tambahan di Jabber selama pengujian internal. Mereka dilacak sebagai CVE-2020-27133 dan CVE-2020-27134.

Sumber: ZDNet

Plugin Zero-day di WordPress SMTP disalahgunakan untuk mengatur ulang kata sandi akun admin

by

Peretas menyetel ulang kata sandi untuk akun admin di situs WordPress menggunakan kerentanan zero-day di plugin WordPress populer yang dipasang di lebih dari 500.000 situs.

Zero-day digunakan dalam serangan selama beberapa minggu terakhir dan diperbaiki pada hari Senin.

Ini berdampak pada Easy WP SMTP, sebuah plugin yang memungkinkan pemilik situs mengonfigurasi pengaturan SMTP untuk email keluar situs web mereka.

Menurut tim di Ninja Technologies Network (NinTechNet), Easy WP SMTP 1.4.2 dan versi plugin yang lebih lama berisi fitur yang membuat debug log untuk semua email yang dikirim oleh situs, yang kemudian disimpan di folder instalasinya.

“Folder plugin tidak memiliki file index.html, oleh karena itu, pada server yang mengaktifkan directory listing, peretas dapat menemukan dan melihat log,” kata Jerome Bruandet dari NinTechNet.

Sumber: NinTechNet

Bruandet mengatakan bahwa di situs yang menjalankan versi rentan dari plugin ini, peretas telah melakukan serangan otomatis untuk mengidentifikasi akun admin dan kemudian mengatur ulang kata sandi.

Karena pengaturan ulang kata sandi melibatkan pengiriman email dengan tautan pengaturan ulang kata sandi ke akun admin, email ini juga dicatat di debug log Easy WP SMTP.

Yang harus dilakukan penyerang adalah mengakses debug log setelah mengatur ulang kata sandi, mengambil tautan, dan mengambil alih akun admin situs.

Versi di mana bug ini diperbaiki adalah Easy WP SMTP 1.4.4, menurut changelog plugin.

Sumber: ZDNet

Botnet PgMiner menyerang database PostgreSQL yang tidak diamankan dengan benar

by

Minggu ini, peneliti keamanan telah menemukan operasi botnet yang menargetkan database PostgreSQL untuk menginstal penambang cryptocurrency.

Disebut sebagai PgMiner oleh para peneliti, botnet ini hanyalah yang terbaru dari daftar panjang operasi kejahatan siber baru-baru ini yang menargetkan teknologi web untuk keuntungan moneter.

Menurut para peneliti di Palo Alto Networks ‘Unit 42, botnet beroperasi dengan melakukan serangan brute force terhadap database PostgreSQL yang dapat diakses internet.

Botnet secara acak memilih range jaringan publik (mis., 18.xxx.xxx.xxx) dan kemudian melakukan iterasi melalui semua bagian alamat IP dari rentang itu, mencari sistem yang port PostgreSQL (port 5432) nya terkspos secara online.

Jika PgMiner menemukan sistem PostgreSQL yang aktif, botnet berpindah dari fase pemindaian ke fase brute-force, di mana ia mengacak daftar panjang kata sandi dalam upaya untuk menebak kredensial untuk “postgres,” akun PostgreSQL default.

Jika pemilik database PostgreSQL lupa menonaktifkan user ini atau lupa mengubah kata sandinya, peretas akan mengakses database dan menggunakan fitur COPY PostgreSQL dari PROGRAM untuk meningkatkan akses mereka dari aplikasi database ke server yang mendasarinya dan mengambil alih seluruh OS.

Begitu mereka memiliki pegangan yang lebih kuat pada sistem yang terinfeksi, kru PgMiner menyebarkan aplikasi penambangan koin dan mencoba menambang cryptocurrency Monero sebanyak mungkin sebelum terdeteksi.

Menurut Unit 42, pada laporan mereka, botnet hanya memiliki kemampuan untuk menyebarkan penambang di platform Linux MIPS, ARM, dan x64. Operator Botnet PgMiner juga telah mengendalikan bot yang terinfeksi melalui server perintah dan kontrol (C2) yang dihosting di jaringan Tor dan bahwa basis kode botnet tersebut tampak menyerupai botnet SystemdMiner.

Sumber: Palo Alto Networks

Sumber: ZDNet