Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for News

Malware ‘Beep’ Tersembunyi Baru, Berfokus pada Menghindari Deteksi

by

Ditemukan oleh analis di Minerva setelah sejumlah besar sampel diunggah ke VirusTotal, malware ‘Beep’ menampilkan banyak fitur untuk menghindari analisis dan deteksi oleh perangkat lunak keamanan.

Meskipun masih dalam pengembangan dan kehilangan beberapa fitur utama, saat ini ‘Beep’ memungkinkan pelaku ancaman untuk mengunduh dan mengeksekusi muatan lebih lanjut pada perangkat yang disusupi dari jarak jauh.

Pencuri Info Baru sedang Dibuat
Beep adalah malware pencuri informasi yang menggunakan tiga komponen terpisah yaitu penetes, injektor, dan muatan.

Penetes (“big.dll”) membuat kunci registri baru dengan nilai ‘AphroniaHaimavati’ yang berisi skrip PowerShell yang disandikan base64. Skrip PowerShell ini diluncurkan setiap 13 menit menggunakan tugas terjadwal Windows.

Langkah akhirnya adalah muatan utama mencoba mengumpulkan data dari mesin yang disusupi, mengenkripsinya, dan mengirimkannya ke C2. Selama analisis Minerva, alamat C2 yang di-hardcode sedang offline, tetapi malware mencoba melakukan koneksi bahkan setelah 120 percobaan gagal.

Mengumpulkan data dari sistem yang dilanggar (Minerva)
Mengumpulkan data dari sistem yang dilanggar (Minerva)

Meski terbatas, Minerva masih dapat mengidentifikasi fungsi-fungsi dalam sampel yang dipicu oleh perintah C2.

Selain teknik penghindaran, komponen injektor sendiri juga menerapkan teknik penghindaran.

Penyederhanaan string (Minerva)
Penyederhanaan string (Minerva)

‘Beep’ adalah contoh malware yang sangat berfokus pada penghindaran, setelah menerapkan beberapa mekanisme anti-analisis sebelum menyelesaikan kumpulan fitur lengkap untuk pencurian data dan pelaksanaan perintah.

Selengkapnya: BleepingComputer

Dragos: Serangan Ransomware pada Infrastruktur Industri Meningkat 2x Lipat pada Tahun 2022

by

Dragos melacak lebih dari 600 serangan ransomware tahun lalu yang mempengaruhi infrastruktur industri dengan hampir tiga perempatnya menargetkan sektor manufaktur.

Berbagai macam sektor yang terkena Serangan Ransomware
Berbagai macam sektor yang terkena Serangan Ransomware

Terdapat peningkatan 35% dalam upaya ransomware melawan teknologi operasional (OT) dan sistem kontrol industri (ICS) dalam serangan tersebut.

Sejumlah 437 entitas manufaktur terkena ransomware, termasuk 42 serangan terhadap perusahaan produk logam, 37 pada bisnis otomotif dan lebih dari 20 pada plastik, peralatan industri, bahan bangunan dan perusahaan elektronik atau semikonduktor.

Daftar lainnya mencakup serangan terhadap perusahaan yang bergerak di bidang kedirgantaraan, furnitur, kosmetik, bahan kimia, pakaian, peralatan medis, kertas, dan lainnya.
gambar-Serangan Ransomware?

Dominasi LockBit
LockBit menjadi dominan karena merupakan grup RaaS terkemuka yang menyediakan software kepada operator yang meluncurkan serangan sebenarnya dengan imbalan sebagian dari uang tebusan.
gambar

Dragos menilai dengan keyakinan moderat bahwa LockBit 3.0 akan terus menargetkan organisasi industri dan akan menimbulkan ancaman bagi operasi industri hingga tahun 2023.
Grup insiden Ransomware

Terdapat peningkatan tajam dalam jumlah kerentanan dan masalah teknis yang ditemukan oleh perusahaan keamanan seperti Dragos bersamaan dengan evolusinya beberapa grup ransomware.

Menurut Dragos, kemungkinan ransomware akan terus mengganggu operasi industri, baik melalui lingkungan OT yang salah kelola yang memungkinkan ransomware menyebar atau melalui penghentian pencegahan lingkungan tersebut untuk mencegah ransomware mencapai sistem tersebut.

Selengkapnya: The Record

Tonga, Negara Kepulauan Pasifik Terbaru yang terkena Ransomware

by

Tonga Communications Corporation (TCC), salah satu perusahaan telekomunikasi di Tonga terkena Ransomware dan mereka menerbitkan pemberitahuan di Facebook bahwa itu dapat memperlambat operasi administrasi.

Perusahaan itu mengkonfirmasi bahwa serangan ini tidak mempengaruhi pengiriman layanan suara dan internet kepada pelanggan, namun dapat memperlambat proses menghubungkan pelanggan baru, pengiriman tagihan, dan mengelola pertanyaan pelanggan.

Pihaknya bekerja sama dengan perusahaan keamanan untuk mengurangi dampak negatif dari malware ini.

TCC mengontrol semua saluran telepon tetap dan memiliki 70% pangsa pasar dial up dan internet broadband. Dengan lebih dari 300 karyawan, perusahaan mengelola sekitar setengah dari layanan ponsel melalui layanan UCall.

TCC adalah organisasi pemerintah pulau kecil terbaru yang diserang oleh penjahat dunia maya. Pulau Guadeloupe Prancis diserang pada bulan November dan pemerintah Vanuatu dimatikan setelah serangan ransomware.

Serangan itu melumpuhkan operasi parlemen, polisi, dan kantor perdana menteri Vanuatu, dan mematikan hampir semua alat digital yang digunakan oleh sekolah, rumah sakit, dan layanan pemerintah negara itu.

Selengkapnya: The Record

Hacker Membuat Mode Game Dota 2 Berbahaya untuk Mengakses Sistem Pemain Secara Diam-diam

by

Seorang aktor ancaman tidak dikenal menciptakan mode permainan berbahaya untuk video game Dota 2 multiplayer online battle arena (MOBA) yang dapat dieksploitasi untuk membuat akses backdoor ke sistem pemain.

Dilacak sebagai CVE-2021-38003 (skor CVSS: 8,8), mode mengeksploitasi kelemahan tingkat tinggi di mesin JavaScript V8 yang dieksploitasi sebagai hari nol dan ditangani oleh Google pada Oktober 2021.

Penerbit game mengirimkan perbaikan pada 12 Januari 2023 dengan meningkatkan versi V8, menyusul pengungkapan bertanggung jawab kepada Valve.

Mode permainan jahat yang ditemukan oleh vendor berhasil lolos dari celah pada saat menerbitkan mode permainan khusus ke toko Steam mencakup proses pemeriksaan dari Valve.

Tertanam di dalam “ttest addon plz ignore” merupakan exploit untuk cacat V8 yang dapat dipersenjatai untuk mengeksekusi kode shell khusus.

Sementara tiga lainnya mengambil pendekatan yang lebih rahasia karena kode berbahaya dirancang untuk menjangkau server jarak jauh untuk mengambil muatan JavaScript di, yang juga kemungkinan akan mengeksploitasi CVE-2021-38003 sejak server tidak lagi dapat dijangkau.

Selengkapnya: The Hacker News

perbaikan vulnerability ios 16.3.1 macos ventura 13.2.1

by

Pembaruan macOS Ventura 13.2.1, iPadOS 16.3.1, dan iOS 16.3.1 yang dirilis Apple hari ini mencakup perbaikan bug minor dan mengatasi vulnerability keamanan, dan karena salah satu vulnerability diketahui dapat dieksploitasi secara liar, penting untuk memperbarui ke perangkat lunak baru sesegera mungkin.

Menurut catatan keamanan Apple untuk pembaruan, Perangkat lunak memperbaiki masalah WebKit yang dapat memungkinkan konten web yang dibuat dengan jahat menghasilkan eksekusi kode arbitrer. Apple mengatakan bahwa “menyadari laporan bahwa masalah ini mungkin telah dieksploitasi secara aktif.”

vulnerability itu adalah masalah kebingungan jenis yang menurut Apple telah diatasi dengan pemeriksaan yang lebih baik.

Meskipun tidak ada perbaikan penting lainnya di ‌macOS Ventura‌ 13.2.1, pembaruan iOS 16.3.1 menambahkan perbaikan Siri Find My, mengatasi masalah dengan pengaturan iCloud, dan memperkenalkan pengoptimalan Deteksi Kecelakaan tambahan untuk model iPhone 14.

sumber : macrumors

Pemecah Rekor 71 Juta RPS DDoS Attack Dilihat oleh Cloudflare

by

Serangan itu, kata perusahaan itu, adalah serangan HTTP DDoS terbesar yang pernah tercatat, tetapi bukan satu-satunya yang diamati akhir pekan lalu.

Faktanya, Cloudflare mengidentifikasi dan memitigasi lusinan serangan DDoS pada akhir minggu lalu, yang sebagian besar memuncak antara 50-70 juta RPS.

Gelombang serangan jauh lebih tinggi daripada serangan HTTP DDoS yang tercatat sebelumnya. Yang terbesar adalah 35% lebih tinggi dari serangan DDoS 46 juta RPS yang dilihat oleh Google pada Juni 2022.

“Serangan itu berbasis HTTP/2 dan menargetkan situs web yang dilindungi oleh Cloudflare. Mereka berasal dari lebih dari 30.000 alamat IP,” kata Cloudflare.

Serangan HTTP DDoS terdiri dari sejumlah besar permintaan HTTP yang diarahkan ke situs web yang ditargetkan. Jika jumlah permintaan cukup tinggi, server tidak lagi dapat memprosesnya, dan situs web menjadi tidak responsif.

Berasal dari beberapa penyedia cloud, serangan DDoS menargetkan situs web perusahaan cryptocurrency, platform komputasi awan, penyedia game, dan penyedia hosting.

Menurut Cloudflare, serangan tersebut tampaknya tidak terkait dengan kampanye Killnet DDoS yang menargetkan penyedia layanan kesehatan dua minggu lalu, atau acara game Super Bowl AS yang berlangsung akhir pekan ini.

Perusahaan mencatat bahwa frekuensi, ukuran, dan kecanggihan serangan DDoS terus meningkat selama beberapa tahun terakhir. Jumlah serangan HTTP DDoS yang diamati pada tahun 2022 hampir dua kali lipat dibandingkan tahun 2021.

Minggu lalu, Proyek Tor mengungkapkan bahwa jaringan Tor berada di bawah tekanan DDoS konstan selama tujuh bulan, dengan beberapa serangan mencegah pengguna mengakses situs web.

selengkapnya : securityweek

Microsoft Patch Edisi Selasa, Februari 2023

by

Microsoft merilis tambalan untuk menyumbat lusinan lubang keamanan di sistem operasi Windows dan perangkat lunak lainnya. Patch Hari Valentine khusus tahun ini Selasa mencakup perbaikan untuk tiga kerentanan “nol hari” yang berbeda yang sudah digunakan dalam serangan aktif.

Penasihat keamanan Microsoft jarang memberikan detail tentang bug zero-day. Redmond menandai CVE-2023-23376 sebagai peningkatan penting dari kerentanan hak istimewa di Driver Sistem File Log Umum Windows, yang ada di sistem Windows 10 dan 11, serta banyak versi server Windows.

CVE-2023-21715 zero-day adalah kelemahan di Microsoft Office yang digambarkan Redmond sebagai kerentanan bypass fitur keamanan.

Microsoft mencantumkan ini sebagai eksploitasi aktif, tetapi mereka tidak memberikan info tentang seberapa luas eksploitasi ini.

Cacat zero-day ketiga yang sudah terlihat dieksploitasi adalah CVE-2023-21823, merupakan peningkatan lain dari kelemahan hak istimewa. Para peneliti di firma forensik keamanan siber Mandiant dikreditkan dengan melaporkan bug tersebut.

Microsoft memperbaiki kerentanan Office lainnya di CVE-2023-21716, merupakan bug Microsoft Word yang dapat menyebabkan eksekusi kode jarak jauh. Lubang keamanan ini memiliki skor keparahan (CVSS) 9,8 dari kemungkinan 10.

Redmond menambal tiga kelemahan Exchange Server (CVE-2023-21706, CVE-2023-21707, dan CVE-2023-21529), menurut Microsoft adalah kelemahan eksekusi kode jarak jauh yang kemungkinan besar akan dieksploitasi.

Microsoft mengatakan otentikasi diperlukan untuk mengeksploitasi bug ini, tetapi sekali lagi kelompok ancaman yang menyerang kerentanan Exchange juga cenderung melakukan phishing target untuk kredensial Exchange mereka.

Semua perangkat konsumen dan komersial yang tersisa yang belum dialihkan dari IE11 ke Microsoft Edge dialihkan dengan pembaruan Microsoft Edge. Pengguna tidak akan dapat membatalkan perubahan tersebut.

Harap pertimbangkan untuk mencadangkan data dan/atau mencitrakan sistem sebelum menerapkan pembaruan apa pun.

Selengkapnya: KrebsonSecurity

Kampanye Penipuan AdSense Besar-besaran Terungkap, 10.000+ Situs WordPress Terinfeksi

by

Pelaku ancaman di balik kampanye malware pengalihan black hat telah meningkatkan kampanye mereka untuk menggunakan lebih dari 70 domain palsu yang meniru shorter URL dan menginfeksi lebih dari 10.800 situs web.

Menurut peneliti Sucuri Ben Martin, tujuan utamanya berupa penipuan iklan dengan meningkatkan lalu lintas secara artifisial ke halaman yang berisi ID AdSense yang berisi iklan Google untuk menghasilkan pendapatan.

Detail aktivitas jahat tersebut pertama kali diungkapkan oleh perusahaan milik GoDaddy pada November 2022.

Kampanye diatur untuk mengarahkan pengunjung ke situs WordPress yang disusupi ke portal Q&A palsu. Tampaknya ini bertujuan untuk meningkatkan otoritas situs berisi spam dalam hasil mesin telusur.

Penggunaan tautan hasil pencarian Bing dan layanan pemendek tautan (t[.]co) Twitter, bersama dengan Google, dalam pengalihan mereka yang menunjukkan perluasan jejak pelaku ancaman membuat kampanye terbaru ini signifikan.

Juga digunakan adalah domain URL pseudo-pendek yang menyamar sebagai alat pemendekan URL populer seperti Bitly, Cuttly, atau ShortURL tetapi pada kenyataannya mengarahkan pengunjung ke situs Q&A yang samar.

Menurut Martin, pengalihan yang tidak diinginkan melalui URL pendek palsu ke situs Q&A palsu mengakibatkan peningkatan tampilan/klik iklan dan karenanya meningkatkan pendapatan bagi siapa pun yang berada di balik kampanye ini. Ini adalah salah satu kampanye penipuan pendapatan iklan terorganisir yang sangat besar dan berkelanjutan.

Belum diketahui persis bagaimana situs WordPress terinfeksi. Tapi begitu situs web dilanggar, aktor ancaman menyuntikkan kode PHP backdoor yang memungkinkan akses jarak jauh yang terus-menerus serta mengarahkan pengunjung situs.

Selengkapnya: The Hacker News