Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for News

Influencer ‘Hushpuppi’ mendapat 11 tahun penjara karena penipuan dunia maya

by

Nama asli Nigeria berusia 40 tahun adalah Ramon Olorunwa Abbas, dan diperintahkan untuk membayar ganti rugi sebesar $ 1.732.841 kepada dua korban dikonfirmasi, sebuah firma hukum di AS dan seorang pengusaha di Qatar.

Meskipun tidak semua penipuan berhasil menipu target, Departemen Kehakiman AS mengatakan Abbas mengakui kepada jaksa bahwa selama 18 bulan, antara 2019 dan 2022, ia berkonspirasi untuk mencuci lebih dari $300 juta.

“Ramon Abbas, alias ‘Hushpuppi,’ menargetkan korban Amerika dan internasional, menjadi salah satu pencuci uang paling produktif di dunia,” kata Don Alway, Asisten Direktur yang Bertanggung Jawab Kantor Lapangan FBI di Los Angeles.

Hasil yang diperoleh Abbas dari kegiatan ini membantunya membangun persona di Instagram dengan memamerkan gaya hidup mewah, di mana ia memperoleh status influencer, yang selanjutnya membantu serangan rekayasa sosial terhadap target.

Abbas akhirnya ditangkap di Dubai, UEA, pada Juni 2020 dan mengaku bersalah atas tuduhan pencucian uang pada April 2021.

Pengumuman DoJ menggambarkan beberapa contoh percobaan penipuan yang dilakukan Abbas, dirangkum di bawah ini:

Januari 2019 – ditawarkan untuk mencuci $14,7 juta yang dicuri oleh peretas Korea Utara dalam perampokan siber bank Malta, mengarahkan jumlah tersebut melalui rekening di Rumania dan Bulgaria.

Mei 2019 – mencuci jutaan pound yang dicuri dari klub sepak bola (sepak bola) profesional di Inggris, menggunakan rekening bank Meksiko.

Oktober 2019 – menipu firma hukum yang berbasis di New York untuk mengirim $922.857 ke akun di bawah kendali seorang konspirator.

Alaumary diperintahkan untuk membayar ganti rugi lebih dari $30.000.000, yang menunjukkan bahwa ia memegang peran yang lebih sentral dalam skema tersebut, sebagai penerima utama dana yang dicuri.

sumber : bleeping computer

VMware Memperbaiki Tiga Bug Bypass Autentikasi Kritis di Alat Akses Jarak Jauh

by Leave a Comment

VMware telah merilis pembaruan keamanan untuk mengatasi tiga kerentanan tingkat keparahan kritis dalam solusi Workspace ONE Assist yang memungkinkan penyerang jarak jauh melewati otentikasi dan meningkatkan hak istimewa ke admin.

Workspace ONE Assist menyediakan kendali jarak jauh, berbagi layar, manajemen sistem file, dan eksekusi perintah jarak jauh untuk membantu meja dan staf TI mengakses dan memecahkan masalah perangkat dari jarak jauh dari konsol Workspace ONE.

Cacat dilacak sebagai CVE-2022-31685 (otentikasi bypass), CVE-2022-31686 (metode otentikasi rusak), dan CVE-2022-31687 (kontrol otentikasi rusak) dan telah menerima skor dasar 9,8/10 CVSSv3.

Pelaku ancaman yang tidak diautentikasi dapat mengeksploitasinya dalam serangan dengan kompleksitas rendah yang tidak memerlukan interaksi pengguna untuk eskalasi hak istimewa.

Diperbaiki di Workspace ONE Assist 22.10

VMware juga menambal kerentanan skrip lintas situs (XSS) yang direfleksikan (CVE-2022-31688) yang memungkinkan penyerang untuk menyuntikkan kode javascript di jendela pengguna target dan kerentanan fiksasi sesi (CVE-2022-31689) yang memungkinkan otentikasi setelah mendapatkan token sesi yang valid.

Semua kerentanan yang ditambal hari ini telah ditemukan dan dilaporkan ke VMware oleh Jasper Westerman, Jan van der Put, Yanick de Pater, dan Harm Blankers dari REQON IT-Security.

VMware memperingatkan admin untuk menambal kelemahan keamanan autentikasi kritis lainnya di VMware Workspace ONE Access, Identity Manager, dan vRealize Automation, yang memungkinkan penyerang yang tidak diautentikasi untuk mendapatkan hak istimewa admin.

VMware menambal kerentanan kritis yang hampir identik, bypass otentikasi lain (CVE-2022-22972) yang ditemukan oleh Bruno López dari Innotec Security di Workspace ONE Access, VMware Identity Manager (vIDM), dan vRealize Automation.

sumber : bleeping computer

Ekstensi berbahaya memungkinkan penyerang mengontrol Google Chrome dari jarak jauh

by

Botnet browser Cloud9 secara efektif merupakan trojan akses jarak jauh (RAT) untuk browser web Chromium, termasuk Google Chrome dan Microsoft Edge, yang memungkinkan pelaku ancaman untuk mengeksekusi perintah dari jarak jauh.

Ekstensi Chrome berbahaya diedarkan melalui saluran alternatif, seperti situs web yang mendorong pembaruan Adobe Flash Player palsu.

Ekstensi browser berbahaya di Chrome (Zimperium)

Menginfeksi browser Anda
Cloud9 adalah ekstensi browser berbahaya yang membuka pintu belakang browser Chromium untuk melakukan daftar ekstensif fungsi dan kemampuan berbahaya.

Ekstensi terdiri dari tiga file JavaScript untuk mengumpulkan informasi sistem, menambang cryptocurrency menggunakan sumber daya host, melakukan serangan DDoS, dan menyuntikkan skrip yang menjalankan eksploitasi browser.

Zimperium memperhatikan pemuatan eksploit untuk kerentanan CVE-2019-11708 dan CVE-2019-9810 di Firefox, CVE-2014-6332 dan CVE-2016-0189 untuk Internet Explorer, dan CVE-2016-7200 untuk Edge.

Kerentanan ini digunakan untuk menginstal dan mengeksekusi malware Windows secara otomatis di host, memungkinkan penyerang untuk melakukan kompromi sistem yang lebih signifikan.

Modul “clipper” juga hadir dalam ekstensi, terus memantau clipboard sistem untuk kata sandi atau kartu kredit yang disalin.


Komponen clipper Cloud9 (Zimperium)

Cloud9 juga dapat menyuntikkan iklan dengan memuat halaman web secara diam-diam untuk menghasilkan tayangan iklan dan, dengan demikian, pendapatan bagi operatornya.

Terakhir, malware dapat meminta daya tembak host untuk melakukan serangan DDoS layer 7 melalui permintaan HTTP POST ke domain target.

Operator dan target
Peretas di balik Cloud9 diyakini memiliki hubungan dengan grup malware Keksec karena domain C2 yang digunakan dalam kampanye baru-baru ini terlihat dalam serangan Keksec sebelumnya.

Keksec bertanggung jawab untuk mengembangkan dan menjalankan beberapa proyek botnet, termasuk EnemyBot, Tsunamy, Gafgyt, DarkHTTP, DarkIRC, dan Necro.

Korban Cloud9 tersebar di seluruh dunia, dan tangkapan layar yang diposting oleh aktor ancaman di forum menunjukkan bahwa mereka menargetkan berbagai browser.

sumber : bleeping computer

Afiliasi LockBit menggunakan malware Amadey Bot untuk menyebarkan ransomware

by

Afiliasi ransomware LockBit 3.0 menggunakan email phishing yang menginstal Amadey Bot untuk mengendalikan perangkat dan mengenkripsi perangkat.

Menurut laporan AhnLab baru, pelaku ancaman menargetkan perusahaan yang menggunakan email phishing dengan umpan yang berpura-pura menjadi tawaran lamaran pekerjaan atau pemberitahuan pelanggaran hak cipta.

Aktivitas Amadey Bot

Malware Amadey Bot adalah jenis lama yang mampu melakukan pengintaian sistem, eksfiltrasi data, dan pemuatan muatan.

Versi terbaru menambahkan deteksi antivirus dan kemampuan penghindaran otomatis, membuat intrusi dan menjatuhkan muatan lebih tersembunyi.

Rantai infeksi

Peneliti AhnLab melihat dua rantai distribusi yang berbeda, satu mengandalkan makro VBA di dalam dokumen Word dan satu menyamarkan executable berbahaya sebagai file Word.

Dalam kasus pertama, pengguna harus mengklik tombol “Aktifkan Konten” untuk menjalankan makro, yang membuat file LNK dan menyimpannya ke “C:\Users\Public\skem.lnk”. File ini adalah pengunduh untuk Amadey.


Dokumen berbahaya yang memulai rantai infeksi

Kasus kedua, terlihat pada akhir Oktober, menggunakan lampiran email dengan file bernama “Resume.exe” (Amadey) yang menggunakan ikon dokumen Word, menipu penerima agar mengklik dua kali.

Amadey ke LockBit 3.0

Pada peluncuran pertama, malware menyalin dirinya sendiri ke direktori TEMP dan membuat tugas terjadwal untuk menetapkan kegigihan antara reboot sistem.

Selanjutnya, Amadey terhubung ke C2, mengirim laporan profil host, dan kemudian menunggu penerimaan perintah.

Tiga kemungkinan perintah dari server C2 memerintahkan pengunduhan dan eksekusi LockBit, dalam bentuk PowerShell (‘cc.ps1’ atau ‘dd.ps1’), atau bentuk exe (‘LBB.exe’).

Payload sekali lagi dijatuhkan di TEMP sebagai salah satu dari tiga berikut:

%TEMP%\100018041\dd.ps1
%TEMP%\1000019041\cc.ps1
%TEMP%\1000020001\LBB.exe

Dari sana, LockBit mengenkripsi file pengguna dan menghasilkan catatan tebusan yang menuntut pembayaran, mengancam akan mempublikasikan file curian di situs pemerasan grup.


Contoh catatan tebusan yang dihasilkan (AhnLab)

sumber : bleeping computer

Layanan Phishing Robin Banks untuk Penjahat Cyber ​​Kembali dengan Server Rusia

by

Platform phishing-as-a-service (PhaaS) yang dikenal sebagai Robin Banks telah memindahkan infrastruktur serangannya ke DDoS-Guard, penyedia layanan hosting antipeluru Rusia.

Robin Banks pertama kali didokumentasikan pada Juli 2022 ketika kemampuan platform untuk menawarkan kit phishing siap pakai kepada pelaku kriminal terungkap, sehingga memungkinkan untuk mencuri informasi keuangan pelanggan bank populer dan layanan online lainnya.

Keputusan Cloudflare untuk memblokir infrastrukturnya setelah pengungkapan publik telah mendorong aktor Robin Banks untuk memindahkan frontend dan backendnya ke DDoS-Guard,

pembaruan baru yang diperkenalkan adalah fungsi mencuri cookie, dalam apa yang dilihat sebagai upaya untuk melayani klien yang lebih luas seperti kelompok ancaman persisten tingkat lanjut (APT) yang ingin berkompromi dengan lingkungan perusahaan tertentu. Ini ditawarkan seharga $ 1.500 per bulan.

Ini dicapai dengan menggunakan kembali kode dari evilginx2,

Robin Banks juga dikatakan telah memasukkan langkah keamanan baru yang mengharuskan pelanggannya mengaktifkan otentikasi dua faktor (2FA)

sumber : the hacker news

Serangan DDoS Hacktivist berdampak kecil pada organisasi penting

by

Biro Investigasi Federal (FBI) mengatakan pada hari Jumat bahwa serangan penolakan layanan (DDoS) terdistribusi yang dikoordinasikan oleh kelompok peretas memiliki dampak kecil pada layanan yang mereka targetkan.

Seperti yang dijelaskan oleh lembaga penegak hukum dalam pemberitahuan industri swasta yang dikeluarkan hari ini, ini terjadi karena mereka menargetkan infrastruktur yang menghadap publik seperti situs web alih-alih layanan yang sebenarnya, yang menyebabkan gangguan terbatas.

Kelompok tersebut biasanya menargetkan organisasi infrastruktur penting atau profil tinggi seperti lembaga keuangan, layanan darurat, bandara, dan fasilitas pemerintah, kesehatan, dan medis.

Dengan menghapus situs web mereka, para peretas bertujuan untuk meningkatkan kredibilitas mereka dan “secara keliru menyatakan dampak atau gangguan yang lebih besar daripada apa yang terjadi.”

Dalam satu contoh baru-baru ini dari insiden semacam itu, kelompok peretas pro-Rusia KillNet mengklaim serangan terhadap situs web beberapa bandara besar di seluruh AS.

Serangan DDoS membanjiri server yang menampung situs-situs ini, sehingga tidak memungkinkan bagi pelancong untuk memesan layanan bandara atau mendapatkan pembaruan tentang penerbangan terjadwal mereka.

Contoh penting situs web bandara yang tidak dapat diakses selama insiden termasuk:

  • Bandara Internasional Hartsfield-Jackson Atlanta (ATL), salah satu pusat lalu lintas udara yang lebih signifikan di AS.
  • Bandara Internasional Los Angeles (LAX)
  • Bandara Internasional Chicago O’Hare (ORD)

Sementara serangan DDoS ini tidak berdampak pada penerbangan, mereka masih memiliki efek buruk pada sektor ekonomi penting, menunda layanan terkait.

Satu minggu sebelumnya, kelompok yang sama juga menyerang situs web pemerintah AS di Colorado, Kentucky, dan Mississippi, dengan keberhasilan sedang, membuat beberapa di antaranya offline untuk waktu yang singkat.

Killnet juga mengklaim telah menghapus situs CISA’s Protected Critical Infrastructure Information Management System pada hari Jumat setelah serangannya terhadap Departemen Keuangan AS pada awal Oktober digagalkan sebelum mempengaruhi infrastruktur agensi.

Seminggu yang lalu, CISA, FBI, dan MS-ISAC menerbitkan nasihat bersama untuk memberikan informasi kepada para pembela HAM tentang pengurangan kemungkinan dan dampak serangan DDoS.

Sumber: Bleeping Computer

Karena Twitter mengenakan biaya $8, email phishing menargetkan akun terverifikasi

by

Awal pekan ini, Elon Musk menunjuk dirinya sebagai CEO Twitter dan mengumumkan rencana untuk mengubah proses verifikasi Twitter. Sebagai bagian dari tinjauan ini, Twitter awalnya mengusulkan untuk mulai membebankan biaya bulanan $20 kepada pengguna yang diverifikasi. Kemudian, Musk menyatakan biayanya akan diturunkan menjadi $8.

Bersamaan dengan itu kampanye phishing baru yang muncul dengan aktor ancaman yang sekarang menargetkan akun terverifikasi.

Seperti banyak email phishing, email ini menyampaikan rasa urgensi yang salah, mendesak pengguna untuk masuk ke akun Twitter mereka atau berisiko “penangguhan”.

Email-email ini berasal dari server situs web dan blog yang diretas yang mungkin, misalnya, menghosting versi WordPress yang sudah ketinggalan zaman atau menjalankan plugin yang tidak ditambal dan rentan.

Mengklik tautan membawa pengguna ke halaman web phishing di mana aktor ancaman menyalahgunakan pengumuman biaya bulanan $8 dari tweet Musk:

Alur kerja phishing mengumpulkan nama pengguna, kata sandi Twitter pengguna, dan melanjutkan untuk mengirimi mereka kode autentikasi dua faktor melalui SMS.

Kampanye phishing lain yang mengacu pada struktur biaya baru Twitter (BleepingComputer)

Email ini menggabungkan kata-kata yang identik dengan halaman phishing itu sendiri dan memiliki tampilan dan nuansa keseluruhan yang lebih mirip dengan branding Twitter.

Lencana biru Twitter dengan tanda centang secara tradisional ditawarkan ke akun terverifikasi politisi, selebriti, bisnis, tokoh masyarakat, influencer, organisasi berita, dan jurnalis.

Kelangkaan akun lencana biru di platform, dibandingkan dengan sebagian besar akun Twitter yang tidak diverifikasi, telah menyebabkan “centang biru” dianggap oleh para tweeter sebagai simbol kesombongan dan status.

Pelaku ancaman juga berulang kali menargetkan pengguna terverifikasi melalui phishing, dan terkadang meretas akun lencana biru untuk mendorong penipuan kripto.

Dalam penipuan lain, pelaku ancaman telah meretas akun terverifikasi untuk menyamar sebagai orang lain untuk menyesatkan publik atau untuk mengirim DM palsu ‘penangguhan akun’ kepada pengguna Twitter.

Namun, selain sebagai persepsi “simbol status” yang dirasakan oleh beberapa orang, lencana biru terutama dimaksudkan untuk memisahkan akun asli dan otentik dari orang-orang terkenal dari akun peniru dan parodi yang dibuat oleh pihak ketiga—setidaknya secara teori.

Oleh karena itu verifikasi dimaksudkan untuk membatasi informasi yang salah dalam arti bahwa pengguna dapat melihat tweet yang berasal dari akun terverifikasi adalah asli dan tidak berasal dari seseorang yang menyamar sebagai figur publik.

Namun, dalam praktiknya, hasil dapat bervariasi karena akun ‘terverifikasi’ yang diretas dapat terus mempertahankan lencana biru meskipun peretas mengubah nama, bio, dan gambar profil di dalamnya, sehingga membuat keberadaan lencana menjadi sia-sia sejak awal.

Salah satu cara untuk mencapainya adalah penggunaan label khusus di akun Twitter politisi dan entitas afiliasi negara, yang kemudian menciptakan beberapa perbedaan antara akun otentik tokoh masyarakat dan akun berlencana biru berbayar.

Sumber: Bleeping Computer

Spyware SandStrike Baru Menginfeksi Perangkat Android Melalui Aplikasi VPN Berbahaya

by

Pelaku ancaman menggunakan spyware yang baru ditemukan yang dikenal sebagai SandStrike dan dikirimkan melalui aplikasi VPN berbahaya untuk menargetkan pengguna Android.

Mereka berfokus pada praktisi Baháʼí Faith yang berbahasa Persia, sebuah agama yang berkembang di Iran dan sebagian Timur Tengah.

Para penyerang mempromosikan aplikasi VPN berbahaya sebagai cara sederhana untuk menghindari penyensoran materi keagamaan di wilayah tertentu.

Untuk menyebarkannya, mereka menggunakan akun media sosial untuk mengarahkan calon korban ke saluran Telegram yang akan memberi mereka tautan untuk mengunduh dan menginstal VPN jebakan.

Malware ini akan mencuri berbagai jenis informasi seperti log panggilan dan daftar kontak dan juga akan memantau perangkat Android yang disusupi untuk membantu pembuatnya melacak aktivitas korban.

Pada bulan September, perusahaan juga berbagi analisis pada platform malware yang baru ditemukan bernama Metatron yang digunakan terhadap perusahaan telekomunikasi, penyedia layanan internet, dan universitas di seluruh Afrika dan Timur Tengah.

sumber : bleeping computer