Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for News

Geng Ransomware Mengkloning Situs Web Korban Untuk Membocorkan Data Yang Dicuri

by

Operator ransomware ALPHV menjadi kreatif dengan taktik pemerasan mereka, setidaknya dalam satu kasus, membuat replika situs korban untuk mempublikasikan data yang dicuri di dalamnya.

ALPHV sebagai Ransomware BlackCat, dikenal karena menguji taktik pemerasan baru sebagai cara untuk menekan dan mempermalukan korbannya agar membayar.

Peretas Membuat Data Yang Dicuri Lebih Mudah Didapat
Pada 26 Desember, aktor ancaman menerbitkan di situs kebocoran data mereka yang disembunyikan di jaringan Tor bahwa mereka telah menyusupi sebuah perusahaan di bidang jasa keuangan.

BlackCat melakukan langkah standar untuk operator ransomware dengan menerbitkan semua file yang dicuri sebagai hukuman akibat korban tidak memenuhi tuntutan pelaku ancaman.

Para peretas juga memutuskan untuk membocorkan data di situs yang meniru korban dalam hal penampilan dan nama domain.

Situs yang dikloning ada di web yang jelas untuk memastikan ketersediaan file yang dicuri secara luas.

ALPHV ransomware menerbitkan data curian di situs yang menyamar sebagai korban (BleepingComputer)

Pembentukan Tren Baru
Menurut Brett Callow, analis ancaman di perusahaan cybersecurity Emsisoft, berbagi data pada domain yang salah ketik akan menjadi perhatian lebih besar bagi perusahaan korban daripada mendistribusikan data melalui situs web di jaringan Tor, yang diketahui oleh komunitas infosec.

Operasi ransomware selalu mencari opsi baru untuk memeras korbannya. Antara mempublikasikan nama perusahaan yang dilanggar, mencuri data dan mengancam untuk meminta tebusan, dan ancaman DDoS. Taktik ini bisa menjadi awal dari tren baru yang mungkin diadopsi oleh geng ransomware lain, karena biayanya jauh dari signifikan.

Meski tidak jelas seberapa suksesnya, strategi ini mengekspos pelanggaran ke audiens yang lebih besar, menempatkan korban pada posisi yang lebih rentan karena datanya tersedia tanpa batasan apa pun.

Selengkapnya: BleepingComputer

Geng Ransomware Meminta Maaf, Memberikan Rumah Sakit SickKids Decryptor Gratis

by

Geng ransomware LockBit telah merilis decryptor gratis untuk Rumah Sakit Anak SickKids, mengatakan salah satu anggotanya melanggar aturan dengan menyerang organisasi perawatan kesehatan.

Rumah Sakit Anak, SickKids mendapatkan serangan ransomware pada tanggal 18 Desember, yang berdampak pada sistem internal dan perusahaan, saluran telepon rumah sakit, dan situs web.

Geng LockBit Meminta Maaf Atas Serangan
Dua hari setelah pemberitaan SickKids diumumkan, geng ransomware LockBit meminta maaf atas serangan di rumah sakit dan merilis decryptor secara gratis. Geng ransomware juga akan memblokir anggotanya yang melanggar aturan dan tidak lagi termasuk dalam program afiliasinya.

BleepingComputer telah mengonfirmasi bahwa file ini tersedia secara gratis dan diklaim sebagai dekripsi Linux/VMware ESXi. Karena tidak ada dekripsi Windows tambahan, ini menunjukkan bahwa penyerang hanya dapat mengenkripsi mesin virtual di jaringan rumah sakit.

Permintaan maaf kepada SickKids di situs kebocoran data LockBit (BleepingComputer)

Operasi LockBit berjalan sebagai Ransomware-as-a-Service, di mana operator memelihara enkripsi dan situs web, dan afiliasi operasi, atau anggota, melanggar jaringan korban, mencuri data, dan mengenkripsi perangkat. Operator LockBit menyimpan sekitar 20% dari semua pembayaran tebusan dan sisanya masuk ke afiliasi.

LockBit memiliki riwayat mengenkripsi rumah sakit dan tidak menyediakan enkripsi. Seperti terjadinya serangan terhadap rumah sakit Prancis menyebabkan pasien dirujuk ke pusat medis lain dan penundaan operasi, yang dapat menimbulkan risiko yang signifikan bagi pasien.

BleepingComputer telah menghubungi LockBit pada saat itu untuk memahami mengapa mereka menuntut uang tebusan dari CHSF, meskipun itu bertentangan dengan kebijakan, tetapi tidak pernah mendapat tanggapan.

Ini bukan pertama kalinya geng ransomware menyediakan decryptor gratis untuk organisasi layanan kesehatan.

Pada Mei 2021, operasi Conti Ransomware menyediakan decryptor gratis untuk layanan kesehatan nasional Irlandia, HSE, setelah menghadapi tekanan yang meningkat dari penegakan hukum internasional.

Selengkapnya: BleepingComputer

PyTorch mengungkapkan kompromi rantai ketergantungan berbahaya selama liburan

by

PyTorch telah mengidentifikasi dependensi berbahaya dengan nama yang sama dengan pustaka ‘torchtriton’ kerangka kerja. Ini telah menghasilkan kompromi yang berhasil melalui vektor serangan kebingungan ketergantungan.

Admin PyTorch memperingatkan pengguna yang menginstal PyTorch-nightly selama liburan untuk menghapus kerangka kerja dan ketergantungan ‘torchtriton’ palsu.

Dari visi komputer hingga pemrosesan bahasa alami, kerangka kerja pembelajaran mesin open source PyTorch telah menjadi terkenal baik di bidang komersial maupun akademik.

Antara 25 Desember dan 30 Desember 2022, pengguna yang memasang PyTorch-nightly harus memastikan sistem mereka tidak terganggu, tim PyTorch telah memperingatkan.

Peringatan tersebut mengikuti dependensi ‘torchtriton’ yang muncul selama liburan di registri Python Package Index (PyPI), repositori perangkat lunak resmi pihak ketiga untuk Python.

“Harap copot dan segera obortriton, dan gunakan binari malam terbaru (lebih baru dari 30 Desember 2022),” saran tim PyTorch.

Ketergantungan ‘torchtriton’ berbahaya pada PyPI berbagi nama dengan perpustakaan resmi yang diterbitkan di repo PyTorch-nightly. Namun, saat mengambil dependensi dalam ekosistem Python, PyPI biasanya lebih diutamakan, menyebabkan paket berbahaya ditarik ke mesin Anda, bukan yang sah dari PyTorch.

“Karena indeks PyPI lebih diutamakan, paket berbahaya ini diinstal alih-alih versi dari repositori resmi kami. Desain ini memungkinkan seseorang untuk mendaftarkan paket dengan nama yang sama dengan yang ada di indeks pihak ketiga, dan pip akan menginstalnya versi secara default,” tulis tim PyTorch dalam pengungkapan yang diterbitkan kemarin.

Selengkapnya: Bleeping Computer

Terinspirasi oleh film ‘Office Space’, insinyur perangkat lunak Washington mencuri lebih dari $300 ribu dari pemberi kerja, kata jaksa penuntut

by

Seorang pria Washington diduga mentransfer ribuan dolar dari majikannya ke rekening pribadi setelah terinspirasi oleh film kultus 1999 “Office Space,” menurut laporan penangkapan oleh Departemen Kepolisian Seattle.

Ermenildo Valdez Castro, 28, bekerja untuk pengecer online Zulily sebagai insinyur perangkat lunak dari Desember 2018 hingga dia dipecat pada Juni, menurut polisi.

“Mulai musim semi 2022, Castro mulai mengedit kode perangkat lunak Zulily dengan cara yang memungkinkannya mencuri dari perusahaan,” kata laporan polisi tersebut.

Polisi mengatakan Castro memasukkan tiga jenis kode berbahaya dalam proses pembayaran di Zulily dan dengan menggunakan metode tersebut, “mencuri gabungan $302.278,52 sebelum dia diberhentikan pada Juni 2022.”

Tim penipuan Zulily dapat menemukan pola penyesuaian harga pada beberapa produk yang dijual oleh perusahaan, yang menurut polisi dipesan oleh Castro dan dikirim ke kediamannya, kata laporan itu.

Dokumen OneNote di laptop kerja Castro yang disebut “Proyek OfficeSpace” ditemukan melalui penyelidikan, dan di dalamnya, “skema untuk mencuri biaya pengiriman”, diuraikan, menurut laporan tersebut.

Laporan polisi juga mencatat plot film “Office Space” berputar di sekitar para insinyur yang membuat rencana untuk memindahkan pecahan sen ke dalam rekening bank pribadi.

Castro dihubungi polisi dan ditangkap pada 21 Juni. Pada tanggal itu dia berbicara dengan detektif setelah dibacakan haknya. Selama wawancara itu dia “mengonfirmasi bahwa dia menyebutkan rencananya untuk mencuri dari Zulily setelah film itu,” kata polisi.

Castro juga memberi tahu pihak berwenang bahwa dia memesan lebih dari 1.000 item yang dikirim ke rumahnya, dan bahwa itu adalah bagian dari “proses pengujian yang diketahui Zulily, tetapi dia mengklaim bahwa ada skrip yang akan dijalankan segera setelah itu. pada dasarnya akan membatalkan pesanan dan memastikan pesanan tidak diproses, ”kata laporan itu.

Selengkapnya: CNN

Malware Linux Baru Menggunakan 30 Eksploitasi Plugin ke Situs WordPress Backdoor

by

Malware Linux yang sebelumnya tidak dikenal telah mengeksploitasi 30 kerentanan di beberapa plugin dan tema WordPress yang sudah ketinggalan zaman untuk menyuntikkan JavaScript berbahaya.

Menurut sebuah laporan oleh vendor antivirus Dr.Web, malware tersebut menargetkan sistem Linux 32-bit dan 64-bit, memberikan kemampuan perintah jarak jauh kepada operatornya.

Fungsi utama trojan adalah meretas situs WordPress menggunakan serangkaian eksploit hardcode yang dijalankan secara berurutan, hingga salah satunya berfungsi.

Plugin dan tema yang ditargetkan adalah sebagai berikut:

  • WP Live Chat Support Plugin
  • WordPress – Yuzo Related Posts
  • Yellow Pencil Visual Theme Customizer Plugin
  • Easysmtp
  • WP GDPR Compliance Plugin
  • Newspaper Theme on WordPress Access Control (CVE-2016-10972)
  • Thim Core
  • Google Code Inserter
  • Total Donations Plugin
  • Post Custom Templates Lite
  • WP Quick Booking Manager
  • Faceboor Live Chat by Zotabox
  • Blog Designer WordPress Plugin
  • WordPress Ultimate FAQ (CVE-2019-17232 and CVE-2019-17233)
  • WP-Matomo Integration (WP-Piwik)
  • WordPress ND Shortcodes For Visual Composer
  • WP Live Chat
  • Coming Soon Page and Maintenance Mode
  • Hybrid

If the targeted website runs an outdated and vulnerable version of any of the above, the malware automatically fetches malicious JavaScript from its command and control (C2) server, and injects the script into the website site.

Injected redirection code (Dr. Web)

These redirections may serve in phishing, malware distribution, and malvertising campaigns to help evade detection and blocking. That said, the operators of the auto-injector might be selling their services to other cybercriminals.

An updated version of the payload that Dr. Web observed in the wild also targets the following WordPress add-ons:

  • Brizy WordPress Plugin
  • FV Flowplayer Video Player
  • WooCommerce
  • WordPress Coming Soon Page
  • WordPress theme OneTone
  • Simple Fields WordPress Plugin
  • WordPress Delucks SEO plugin
  • Poll, Survey, Form & Quiz Maker by OpinionStage
  • Social Metrics Tracker
  • WPeMatico RSS Feed Fetcher
  • Rich Reviews plugin

Dr.Web juga menyebutkan bahwa kedua varian berisi fungsionalitas yang saat ini tidak aktif, yang memungkinkan serangan brute-forcing terhadap akun administrator situs web.

Mempertahankan ancaman ini mengharuskan admin situs WordPress untuk memperbarui tema dan plugin yang berjalan di situs ke versi terbaru yang tersedia dan mengganti yang tidak lagi dikembangkan dengan alternatif yang didukung.

sumber : BleepingComputer

Ransomware LockBit Mengklaim Menyerang Porto de Lisboa

by

Serangan dunia maya yang menghantam Port of Lisbon Administration (APL), pelabuhan terbesar ketiga di Portugal, pada hari Natal telah diklaim oleh geng ransomware LockBit.

Pelabuhan Lisbon adalah bagian dari infrastruktur penting di ibu kota Portugal, menjadi salah satu pelabuhan yang paling banyak diakses di Eropa, karena lokasinya yang strategis, dan melayani kapal kontainer, kapal pesiar, dan kapal pesiar.

Menurut pernyataan perusahaan yang dibagikan kepada media lokal pada hari Senin, serangan siber tidak berdampak pada operasi pelabuhan.

LockBit mengancam data leak
APL tidak mengungkapkan sifat serangan dunia maya dalam pengumuman tersebut, tetapi grup ransomware LockBit menambahkan organisasi tersebut ke situs pemerasannya kemarin, sehingga mengklaim serangan tersebut.

Geng ransomware mengklaim telah mencuri laporan keuangan, audit, anggaran, kontrak, informasi kargo, log kapal, detail kru, PII pelanggan (informasi identitas pribadi), dokumentasi pelabuhan, korespondensi email, dan banyak lagi.

Grup telah menerbitkan sampel data yang dicuri tetapi BleepingComputer tidak dapat memverifikasi keabsahannya.

LockBit mengancam akan menerbitkan semua file yang mereka curi selama penyusupan komputer pada 18 Januari 2022, jika tuntutan pembayaran mereka tidak dipenuhi.

Port of Lisbon listed in LockBit 3.0 Tor site (BleepingComputer)

Geng LockBit saat ini berada di versi ketiga dari enkripsi mereka yang menggerakkan proyek RaaS (ransomware sebagai layanan) yang terkenal, dan salah satu geng paling produktif tahun ini.

Serangan penting lainnya baru-baru ini dari LockBit menargetkan Continental, raksasa otomotif multinasional, yang terdaftar di situs Tor geng ransomware pada November 2022.

Minggu ini, media Jepang menyebarkan desas-desus bahwa departemen kejahatan dunia maya dari kepolisian Jepang membantu setidaknya tiga perusahaan domestik memulihkan sistem mereka secara gratis setelah serangan LockBit 3.0.

Sumber : BleepingComputer

Netgear Peringati Users Untuk Patch Bug Router Wifi Yang Diperbaiki

by

Netgear telah memperbaiki kerentanan tingkat tinggi yang memengaruhi beberapa model router WiFi dan menyarankan pelanggan untuk memperbarui perangkat mereka ke firmware terbaru yang tersedia sesegera mungkin.

Cacat tersebut berdampak pada beberapa model router Wireless AC Nighthawk, Wireless AX Nighthawk (WiFi 6), dan Wireless AC.

Dampak dari eksploitasi buffer overflow yang berhasil dapat berkisar dari crash setelah penolakan layanan hingga eksekusi kode arbitrer, jika eksekusi kode tercapai selama serangan.

Penyerang dapat mengeksploitasi kelemahan ini dalam serangan dengan kompleksitas rendah tanpa memerlukan izin atau interaksi pengguna.

Dalam penasehat keamanan yang diterbitkan pada hari Rabu, Netgear mengatakan “sangat menyarankan agar Anda mengunduh firmware terbaru sesegera mungkin.”

Daftar router yang rentan dan versi firmware yang ditambal dapat ditemukan pada tabel di bawah ini.

Cara memperbarui firmware router Anda
Untuk mengunduh dan menginstal firmware terbaru untuk router Netgear Anda, Anda harus melalui langkah-langkah berikut:

  • Kunjungi NETGEAR Support.
  • Mulailah mengetik nomor model Anda di kotak pencarian, lalu pilih model Anda dari menu drop-down segera setelah muncul.
  • Jika Anda tidak melihat menu tarik-turun, pastikan Anda memasukkan nomor model dengan benar atau pilih kategori produk untuk menelusuri model produk Anda.
  • klok download
  • Di bawah Current Version, pilih unduhan pertama yang judulnya dimulai dengan Firmware Version.
  • Klik Release Noted
  • Di bawah Versi Saat Ini, pilih unduhan pertama yang judulnya dimulai dengan Versi Firmware.

Kerentanan buffer overflow pra-otentikasi tetap ada jika Anda tidak menyelesaikan semua langkah yang disarankan, Netgear juga memperingatkan.

“NETGEAR tidak bertanggung jawab atas konsekuensi apa pun yang dapat dihindari dengan mengikuti rekomendasi dalam pemberitahuan ini.”

sumber : bleeping computer

Ukraina Menutup Call Center Penipuan Yang Mengklaim 18.000 Korban

by

Sekelompok penipu yang beroperasi dari pusat panggilan Ukraina menipu ribuan korban sambil berpura-pura menjadi karyawan keamanan TI di bank mereka.

Mereka menghubungi para korban, mengklaim bahwa rekening bank mereka telah diakses oleh penyerang, dan meminta informasi keuangan yang mengklaim bahwa itu diperlukan untuk mencegah penipuan tetapi malah mengosongkan rekening bank mereka.

Skema ini diungkap oleh Cyber Police Department, Main Investigative Department of the National Police, Kejaksaan Agung, dan aparat penegak hukum di Kazakhstan.

Setelah mendapatkan informasi tersebut, pelaku mentransfer uang korban ke rekening yang dikuasainya, mengeluarkan pinjaman cepat, dan mengirimkan sejumlah pinjaman ke rekening mereka.

Penipu menggunakan rekening bank luar negeri dan dompet mata uang kripto untuk mengumpulkan uang yang dihasilkan dari skema mereka dan, menurut perkiraan penyelidik, menipu sekitar 18.000 warga Republik Kazakhstan dengan jumlah uang yang belum diketahui.

Database info pribadi yang ditemukan selama penggerebekan polisi
Aparat penegak hukum juga telah menggeledah call center dan rumah tinggal para tersangka, menyita 45 buah perangkat komputer, ponsel, kartu SIM, dan catatan draft.

Setelah diperiksa, polisi dunia maya Ukraina juga menemukan database yang berisi informasi pribadi warga negara Republik Kazakhstan yang digunakan penipu untuk menggelapkan uang dari rekening mereka.

Pada bulan Agustus, Polisi Nasional Ukraina (NPU) membongkar jaringan pusat panggilan yang digunakan oleh penjahat dunia maya untuk menargetkan korban penipuan mata uang kripto dengan kedok membantu mereka memulihkan dana yang dicuri.

Setahun yang lalu, penegak hukum Ukraina menangkap 51 tersangka yang diyakini telah menjual data pribadi milik lebih dari 300 juta orang di seluruh dunia, termasuk Ukraina, AS, dan Eropa, di forum peretasan.

sumber : bleeping computer