Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for News

Worm Raspberry Robin Menjatuhkan Malware Palsu Untuk Membingungkan Peneliti

by

Malware Raspberry Robin sekarang mencoba melakukan beberapa tipu daya dengan menjatuhkan muatan palsu untuk membingungkan peneliti dan menghindari deteksi ketika proses deteksi sedang dijalankan di dalam sandbox dan alat debugging.

Raspberry Robin adalah dropper malware mirip cacing yang menjual akses awal ke jaringan yang disusupi ke geng ransomware dan operator malware.

Taktik malware palsu ini ditemukan oleh para peneliti Trend Micro yang mengamati Raspberry Robin dalam serangan baru-baru ini terhadap penyedia layanan telekomunikasi dan sistem pemerintahan.

Malware mencapai sistem yang ditargetkan melalui drive USB berbahaya yang menginfeksi perangkat dengan malware saat dimasukkan dan disertakan.

Rantai infeksi khas Raspberry Robin (Trend Micro)

Masalah Ganda
Malware ini disamarkan untuk menyembunyikan kodenya dari pemeriksaan keamanan, menampilkan banyak lapisan yang berisi nilai hard-coded untuk mendekripsi yang berikutnya.

Namun, untuk mempersulit peneliti keamanan untuk menganalisis malware, Raspberry Robin mulai menjatuhkan dua muatan yang berbeda tergantung pada bagaimana perangkat dijalankan.

Jika malware mendeteksi itu berjalan di dalam sandbox, menunjukkan kemungkinan sedang dianalisis, pemuat menjatuhkan muatan palsu. Jika tidak, itu akan meluncurkan malware Raspberry Robin yang sebenarnya.

Diagram lapisan packing (Trend Micro)

Muatan palsu ini menampilkan dua lapisan tambahan, kode shell dengan file PE tersemat dan file PE dengan header MZ dan tanda tangan PE dihapus. Setelah dijalankan, ia mencoba membaca registri Windows untuk menemukan penanda infeksi dan kemudian mulai mengumpulkan informasi sistem dasar.

Setelah siap, malware mencoba terhubung ke alamat Tor yang dikodekan dan membuat saluran pertukaran informasi dengan operatornya.

LockBit Ransomware Memiliki Kesamaan
Menurut analis Trend Micro, penambahan baru-baru ini dalam TTP Raspberry Robin (taktik, teknik, dan prosedur) memiliki kesamaan dengan LockBit.Dua kesamaan utama yaitu menggunakan teknik kalibrasi ICM untuk eskalasi hak istimewa dan alat ‘TreadHideFromDebugger’ untuk anti-debugging.

Meskipun temuan ini penting, namun bukan merupakan bukti hubungan antara keduanya. Temuan ini dapat berfungsi sebagai tolok ukur dalam penelitian di masa mendatang.

Kampanye Raspberry Robin saat ini lebih merupakan upaya pengintaian untuk mengevaluasi keefektifan mekanisme baru daripada langkah awal dalam serangan yang sebenarnya.

Selengkapnya: BLEEPINGCOMPUTER

Kelompok Ransomware Menggunakan Eksploit Microsoft Exchange Baru Untuk Menembus Server

by

Pelaku ancaman ransomware Play menggunakan rantai eksploit baru yang melewati mitigasi penulisan ulang URL ProxyNotShell untuk mendapatkan eksekusi kode jarak jauh (RCE) pada server yang rentan melalui Outlook Web Access (OWA).

Perusahaan cybersecurity CrowdStrike melihat eksploit (dijuluki OWASSRF) saat menyelidiki serangan ransomware Play di mana server Microsoft Exchange yang disusupi digunakan untuk menyusup ke jaringan korban.

Untuk menjalankan perintah sewenang-wenang pada server yang disusupi, operator ransomware memanfaatkan Remote PowerShell untuk menyalahgunakan CVE-2022-41082, bug yang sama yang dieksploitasi oleh ProxyNotShell.

Sementara ProxyNotShell mengeksploitasi target CVE-2022-41040, CrowdStrike menemukan bahwa kelemahan yang disalahgunakan oleh eksploit yang baru ditemukan kemungkinan besar adalah CVE-2022-41080, sebuah kelemahan keamanan yang ditandai oleh Microsoft sebagai kritis dan tidak dieksploitasi secara liar yang memungkinkan eskalasi hak istimewa jarak jauh di server Exchange .

OWASSRF PoC exploit (BleepingComputer)

CVE-2022-41080 ditemukan dan dilaporkan oleh zcgonvh dengan 360 noah lab dan rskvp93, Q5Ca, dan nxhoang99 dengan VcsLab dari Viettel Cyber Security.

OWASSRF PoC exploit leaked online
Sementara peneliti keamanan CrowdStrike bekerja mengembangkan kode proof-of-concept (PoC) mereka sendiri untuk mencocokkan info log yang ditemukan saat menyelidiki serangan ransomware Play baru-baru ini, peneliti ancaman Huntress Labs Dray Agha menemukan dan membocorkan alat pelaku ancaman secara online, pada bulan Desember tanggal 14.

CrowdStrike percaya bahwa eksploitasi proof-of-concept digunakan untuk menjatuhkan alat akses jarak jauh seperti Plink dan AnyDesk di server yang disusupi.

Sejak diluncurkan pada bulan Juni, puluhan korban ransomware Play telah mengunggah sampel atau catatan tebusan ke platform ID Ransomware untuk mengidentifikasi ransomware apa yang digunakan untuk mengenkripsi data mereka.

Aktifitas Play Ransomware (ID Ransomware)

Saat ini, tidak ada kebocoran data yang terkait dengan ransomware ini atau indikasi apa pun bahwa data apa pun dicuri selama serangan.

Korban baru-baru ini yang terkena afiliasi ransomware Play termasuk jaringan hotel Jerman H-Hotels, kota Antwerpen di Belgia, dan Pengadilan Córdoba di Argentina.

sumber : bleeping computer

Kampanye Penipuan Iklan Google Menggunakan Konten Dewasa Untuk Menghasilkan Jutaan

by

Kampanye penipuan iklan besar-besaran menggunakan Google Ads dan ‘popunders’ di situs dewasa diperkirakan telah menghasilkan jutaan tayangan iklan pada artikel curian, membuat para penipu diperkirakan mencapai $275k per bulan.

Malwarebytes melaporkan kampanye ini ke Google dan menghapusnya karena melanggar kebijakan yang melarang Iklan Google di situs dewasa. Diperkirakan pelaku berasal dari Rusia.

‘Popunders’ dan Google Ads
Pelaku melakukan kampanye iklan menggunakan ‘popunder’ di situs dewasa yang menerima lalu lintas besar-besaran menggunakan iklan ‘popunder’. Iklan ‘popunder’ sering digunakan oleh layanan kencan online dan portal konten dewasa lainnya.

Pelaku membuat portal berita yang tampak sah namun berisi konten dari situs lain yang digunakan sebagai iklan ‘popunder’, berbentuk pop-up di belakang jendela browser yang terbuka. Mereka kemudian akan menampilkan iframe yang mempromosikan situs dewasa.

Pelaku menyematkan iklan Google dibagian bawah halaman untuk menghasilkan pendapatan dari pop-up iklan tersebut, yang mana ini melanggar kebijakan periklanan Google.

Situs penipuan diekspos oleh Iklan Google di bagian bawah (Malwarebytes)


Tayangan Artikel
Penipu mengatur konten latar belakang untuk disegarkan dengan artikel baru dan kumpulan iklan baru setiap sembilan detik, jadi jika laman tetap terbuka selama beberapa menit, beberapa tayangan iklan penipuan akan dihasilkan.

Rata-rata laman berisi lima Google Ads, bahkan terkadang menyertakan iklan video yang tentunya menghasilkan pendapatan lebih besar.

Artikel di bawah iframe (Malwarebytes)

Metrik web serupa melaporkan bahwa halaman penipuan menghasilkan sekitar 300.000 kunjungan per bulan dengan durasi rata-rata 7 menit 45 detik. Kemudian Malwarebytes memperkirakan tayangan iklan menjadi 76 juta per bulan dan pendapatan menjadi $276rb/bulan (berdasarkan CPM sebesar $3,50).

Selengkapnya: BLEEPINGCOMPUTER

Epic Games Membayar $520 Juta Untuk Pelanggaran Privasi, Pola Gelap

by

Federal Trade Commission (FTC) mengatakan Epic Games, pembuat Fortnite, akan membayar $520 juta untuk menyelesaikan tuduhan pelanggaran undang-undang privasi anak-anak dan menggunakan pola gelap untuk mengelabui jutaan pemain agar melakukan pembelian dalam game yang tidak disengaja.

Pembayaran tersebut terdiri dari denda $275 juta yang memecahkan rekor karena melanggar Peraturan COPPA dan pengembalian dana sebesar $245 juta untuk konsumen yang terpengaruh oleh praktik penagihan dan pola gelap Epic.

FTC menuduh pencipta Fortnite melanggar COPPA (Undang-Undang Perlindungan Privasi Daring Anak-anak) dengan mengambil informasi pribadi dari pemain Fortnite di bawah 13 tahun tanpa memberi tahu atau mendapatkan persetujuan yang dapat diverifikasi dari orang tua mereka.

Keputusan Epic untuk mengaktifkan komunikasi suara dan teks real-time secara default untuk anak-anak dan remaja ini diduga menempatkan mereka pada risiko perundungan, pelecehan, dan bentuk bahaya lainnya.

Selain hukuman perdata $275 juta, Epic juga diminta untuk membuat komunikasi teks dan suara di Fortnite sebagai fitur opt-in untuk anak-anak dan remaja yang hanya dapat diaktifkan dengan persetujuan afirmatif orang tua melalui a pengaturan Privasi.


Jutaan Gamer yang Dibebankan Secara Salah
Dalam sebuah keluhan administratif terpisah, FTC juga menuduh Epic menggunakan pola gelap untuk menipu pemain Fortnite, termasuk anak-anak dan remaja, untuk melakukan pembelian dalam game yang tidak diinginkan.

Beberapa pola gelap yang digunakan untuk mencapai hal ini termasuk berbagai permintaan pembelian yang membingungkan dan penawaran menyesatkan yang mengarahkan para pemain melakukan pembelian yang tidak ingin mereka lakukan.

Perusahaan juga diduga menagih pemegang akun sebanyak ratusan dollar tanpa otorisasi dan mengunci akun pemain setelah mereka membantah tuduhan tidak sah.

Selain harus membayar denda, Epic juga dilarang memblokir akses pemain ke akun mereka setelah mereka membantah biaya yang tidak sah.

Pembuat Fortnite Membuat Perubahan Privasi dan Pembayaran
Epic Games mengeluarkan pernyataan bahwa mereka telah meningkatkan pengaturan privasi default Fortnite untuk mematuhi aturan FTC dan mengubah alur pembayaran untuk mencegah biaya yang tidak diinginkan.

Selengkapnya: BLEEPINGCOMPUTER

Peneliti Menemukan Paket PyPI Berbahaya, Menyamar sebagai SDK SentinelOne untuk Mencuri Data

by

Peneliti keamanan siber telah menemukan paket berbahaya baru di repository Python Package Index (PyPI) yang meniru kit pengembangan perangkat lunak (SDK) untuk SentinelOne, sebuah perusahaan keamanan siber besar, sebagai bagian dari kampanye yang dijuluki SentinelSneak.

Paket bernama SentinelOne tersebut, yang diterbitkan antara 8 dan 11 Desember 2022 dengan hampir dua lusin versi didorong secara berurutan selama dua hari itu telah dihapus.

Penawaran metode ini yaitu lebih mudah untuk mengakses perusahaan namun memiliki celah belakang berbahaya untuk mengumpulkan informasi sensitif dari sistem pengembangan, termasuk kredensial akses, kunci SSH, dan data konfigurasi.

Menurut pengamatan, aktor ancaman telah merilis dua paket lagi dengan variasi penamaan serupa yaitu SentinelOne-sdk dan SentinelOneSDK.

Peneliti ancaman ReversingLabs, Karlo Zanki, mengatakan dalam sebuah laporan yang dibagikan dengan The Hacker News bahwa paket SentinelOne hanyalah ancaman terbaru untuk memanfaatkan repositori PyPI dan menggarisbawahi ancaman yang berkembang terhadap rantai pasokan perangkat lunak, karena aktor jahat menggunakan strategi seperti ‘typosquatting’ untuk mengeksploitasi kebingungan pengembang dan mendorong kode berbahaya ke saluran pengembangan dan aplikasi yang sah.

Beberapa data yang diekstraksi oleh malware ke server jarak jauh termasuk riwayat eksekusi perintah shell, kunci SSH, dan file lain yang menarik, menunjukkan upaya pihak pelaku ancaman untuk menyedot informasi sensitif dari lingkungan pengembangan.

SentinelOne menyatakan tidak terlibat dengan paket Python berbahaya baru-baru ini dan bahwa pelaku ancaman tidak berhasil dalam upaya mereka. Perusahaan tersebut juga memastikan pelanggannya aman.

Temuan ini muncul ketika laporan Keamanan Rantai Pasokan Perangkat Lunak ReversingLabs menemukan bahwa repository PyPI telah menyaksikan penurunan hampir 60% dalam unggahan paket berbahaya pada tahun 2022, turun menjadi 1.493 paket dari 3.685 pada tahun 2021.

Berbanding terbalik dengan repository npm JavaScript yang mengalami peningkatan 40% menjadi hampir 7.000. Secara keseluruhan, tren paket berbahaya sejak 2020 telah menunjukkan peningkatan 100 kali lipat dalam npm dan lebih dari 18.000% dalam PyPI.

Selengkapnya: The Hacker News

Ransomware Play Mengklaim Serangan Terhadap Jaringan Hotel Jerman H-Hotels

by

Geng Ransomware Play telah mengaku bertanggung jawab atas serangan dunia maya di H-Hotels (h-hotels.com)yang mengakibatkan gangguan komunikasi bagi perusahaan.

H-Hotels adalah bisnis perhotelan dengan 60 hotel di 50 lokasi di Jerman, Austria, dan Swiss, menawarkan total kapasitas 9.600 kamar, dan mempekerjakan 2.500 orang.

H-Hotels mengungkapkan serangan siber tersebut terjadi pada Minggu, 11 Desember 2022. Setelah penyerang berhasil menerobos sistem perlindungan teknis dan organisasi IT, tim IT segera mengambil tindakan dengan mematikan dan memutus Internet untuk menangkal penyebaran lebih lanjut.

Serangan hanya berdampak pada staf hotel yaitu tidak dapat menerima atau menjawab permintaan pelanggan yang dikirim melalui email, sehingga tamu disarankan untuk menghubungi H-Hotels melalui telepon jika diperlukan.

Data Diduga Dicuri Dalam Serangan
Geng ransomware mengklaim telah mencuri data pribadi dan personal, termasuk dokumen klien, paspor, ID, dan lainnya. Namun, pelaku ancaman belum merilis sampel apa pun untuk mendukung klaim tersebut.

Entri H-Hotels di situs Play ransomware Tor (BleepingComputer)

H-Hotel membantah melihat bukti eksfiltrasi data dalam pengumuman minggu lalu, dan tidak ada pembaruan tentang masalah tersebut sejak saat itu.

Kemungkinan tereksposnya detail dan data pemesanan tamu hotel dapat menjadi kasus pelanggaran privasi yang parah, memberikan informasi tentang lokasi mendatang, informasi keuangan, dan masih banyak lagi.

Selengkapnya: BLEEPINGCOMPUTER

Microsoft Menemukan Bug MacOS yang Memungkinkan Malware Melewati Pemeriksaan Keamanan

by

Apple telah memperbaiki kerentanan yang dapat dimanfaatkan penyerang untuk menyebarkan malware pada perangkat MacOS yang rentan melalui aplikasi tidak terpercaya yang mampu melewati batasan eksekusi aplikasi Gatekeeper.

Dilaporkan oleh Jonathan Bar Or, seorang peneliti keamanan utama Microsoft. Bahwa ditemukan kelemahan keamanan yang dijuluki sebagai Achilles, dilacak sebagai CVE-2022-42821.

Bypass Gatekeeper Melalui ACL yang Membatasi
Gatekeeper adalah fitur keamanan MacOS yang memeriksa semua aplikasi yang diunduh dari Internet secara otomatis. Gatekeeper meminta pengguna untuk mengonfirmasi aplikasi tersebut sebelum diluncurkan dan akan mengeluarkan peringatan jika aplikasi tidak dapat dipercaya.

Cacat Achilles memungkinkan muatan yang dibuat khusus menyalahgunakan masalah logika untuk mengkonfigurasi izin Access Control List (ACL) yang membatasi yang memblokir browser web dan pengunduh Internet dari setelan atribut com.apple.quarantine untuk mengunduh muatan yang diarsipkan sebagai file ZIP.

Aplikasi berbahaya yang terkandung dalam muatan berbahaya yang diarsipkan akan diluncurkan di sistem target, memungkinkan penyerang mengunduh dan menyebarkan malware, sehingga pengguna tetap disarankan untuk menerapkan perbaikan meski dalam mode Lockdown.


Lebih Banyak Bypass Keamanan MacOS dan Malware
Ini hanya salah satu dari beberapa bypass Gatekeeper yang ditemukan dalam beberapa tahun terakhir, dengan banyak di antaranya disalahgunakan oleh penyerang untuk menghindari mekanisme keamanan MacOS seperti Gatekeeper, Karantina File, dan Perlindungan Integritas Sistem (SIP) pada Mac yang telah ditambal sepenuhnya.

Selain menemukan powerdir, bug yang memungkinkan penyerang melewati teknologi Transparency, Consent, and Control (TCC) untuk mengakses data pengguna yang dilindungi, peneliti juga merilis kode eksploit untuk kerentanan MacOS (CVE-2022-26706) yang dapat membantu penyerang melewati batasan kotak pasir untuk menjalankan kode pada sistem.

Apple telah memperbaiki kerentanan MacOS zero-day pada April 2021 yang memungkinkan aktor ancaman di balik malware Shlayer. Malware ini terkenal untuk menghindari pemeriksaan keamanan Karantina File, Gatekeeper, dan Notarisasi Apple dan mengunduh lebih banyak malware di Mac yang terinfeksi.

Selengkapnya: BLEEPINGCOMPUTER

Malware Glupteba Kembali Beraksi Setelah Gangguan Google

by

Botnet malware Glupteba telah beraksi kembali, menginfeksi perangkat di seluruh dunia setelah operasinya diganggu oleh Google hampir setahun yang lalu.

Pada Desember 2021, Google berhasil menyebabkan gangguan secara besar-besaran pada botnet yang mengaktifkan blockchain, mengamankan perintah pengadilan untuk mengambil kendali atas infrastruktur botnet dan mengajukan keluhan terhadap dua operator Rusia.

Nozomi melaporkan transaksi blockchain, pendaftaran sertifikat TLS, dan sampel rekayasa balik Glupteba menunjukkan kampanye Glupteba skala besar baru yang dimulai pada Juni 2022 dan masih berlangsung.

Menemukan fungsi yang digunakan untuk mengambil domain C2 (Nozomi)

Bersembunyi di Blockchain
Glupteba adalah malware modular berkemampuan blockchain yang menginfeksi perangkat Windows untuk menambang cryptocurrency, mencuri kredensial dan cookie pengguna, dan menyebarkan proxy pada sistem Windows dan perangkat IoT.

Malware ini sebagian besar didistribusikan melalui malvertising pada jaringan bayar-per-instal (PPI) dan sistem distribusi lalu lintas (TDS) yang mendorong penginstal yang menyamar sebagai perangkat lunak, video, dan film gratis.

Glupteba menggunakan blockchain Bitcoin untuk menghindari gangguan dengan menerima daftar terbaru dari server perintah dan kontrol yang harus dihubungi untuk menjalankan perintah.

Klien botnet mengambil alamat server C2 menggunakan fungsi temukan yang menyebutkan server dompet Bitcoin, mengambil transaksi mereka, dan mem-parsingnya untuk menemukan alamat terenkripsi AES.

Diagram transaksi blockchain. Dari kiri ke kanan, kampanye 2022 (paling kompleks), 2021, 2020, dan 2019 (Nozomi)

Kembalinya Glupteba
Menurut Nozomi, penggunaan blockchain dengan cara yang sama membuat analis Glupteba memindai seluruh blockchain untuk menemukan domain C2 yang tersembunyi.

Dalam investigasi oleh Nozomi, ditemukan sejumlah 15 alamat Bitcoin yang digunakan dalam empat kampanye Glupteba.

Berdasarkan hasil penuturan Nozomi diatas, mulai dari jumlah layanan tersembunyi TOR yang digunakan sebagai server C2 yang meningkat sepuluh kali lipat sejak kampanye 2021, banyak pendaftaran domain Glupteba melalui data DNS pasif dan lainnya, menandakan bahwa botnet Glupteba telah kembali, dan terdapat tanda-tanda yang menunjukkan botnet ini lebih masif dari sebelumnya, bahkan berpotensi lebih tangguh.

Selengkapnya: BLEEPINGCOMPUTER

Tagged With: Blockchain, Botnet, Glupteba, Google, Malware