Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for News

Microsoft Teams dianggap tidak aman untuk digunakan oleh peneliti keamanan

by

Firma riset keamanan siber yang berbasis di California, Vectra, telah menemukan kelemahan pada Microsoft Teams versi desktop yang berpotensi di mana token autentikasi disimpan dalam teks biasa, yang membuatnya rentan terhadap serangan pihak ketiga.

Masalah ini memengaruhi aplikasi Teams berdasarkan kerangka kerja Electron perusahaan, yang berjalan di mesin Windows, macOS, dan Linux.

Vectra mengatakan bahwa kredensial ini secara teoritis dapat dicuri oleh penyerang yang memiliki akses sistem lokal atau jarak jauh. Microsoft menyadari kerentanan ini, meskipun perusahaan tampaknya tidak terburu-buru untuk memperbaikinya.

Peretas dengan akses yang diperlukan dapat mencuri data dari pengguna Teams online dan berpotensi menirunya saat mereka offline.

Identitas ini kemudian dapat digunakan di seluruh aplikasi seperti Outlook atau Skype dengan menghindari persyaratan otentikasi multifaktor (MFA).

“Bahkan lebih merusak, penyerang dapat merusak komunikasi yang sah dalam suatu organisasi dengan selektif menghancurkan, exfiltrating, atau terlibat dalam serangan phishing yang ditargetkan,” Connor Peoples, arsitek keamanan di Vectra, mengatakan. Dia mencatat bahwa kerentanan khusus ini hanya ada pada versi desktop Teams karena kurangnya “kontrol keamanan tambahan untuk melindungi data cookie.”

Untuk menyampaikan maksudnya ke Microsoft, Vectra bahkan mengembangkan bukti konsep yang merinci eksploitasi, memungkinkan para peneliti untuk mengirim pesan ke akun individu yang token aksesnya dikompromikan.

Meskipun platform Electron memudahkan pembuatan aplikasi untuk desktop, platform ini tidak menyertakan langkah-langkah keamanan penting seperti enkripsi atau lokasi file yang dilindungi sistem, standar.

Cybersecurity Dark Reading (melalui Engadget) mendekati perusahaan untuk mengomentari kerentanan Teams dan menerima tanggapan yang cukup hangat, dan mengatakan bahwa celah keamanan ini “tidak memenuhi standar kami untuk layanan segera karena mengharuskan penyerang untuk terlebih dahulu mendapatkan akses ke jaringan sasaran.” Namun, perusahaan tidak mengesampingkan kemungkinan perbaikan yang diluncurkan di masa depan.

Pengguna disarankan untuk tidak menggunakan aplikasi desktop Microsoft Teams hingga perbaikan. Sebagai alternatif lain, gunakan aplikasi web Teams yang memiliki perlindungan tambahan.

Sumber: Android Police

Google, Microsoft Bisa Mendapatkan Kata Sandi Anda Melalui Periksa Ejaan Browser Web

by Leave a Comment

Fitur pemeriksa ejaan yang diperluas di browser web Google Chrome dan Microsoft Edge mengirimkan data formulir, termasuk informasi pengenal pribadi (PII) dan dalam beberapa kasus, kata sandi, masing-masing ke Google dan Microsoft.

Meskipun ini mungkin merupakan fitur yang diketahui dan dimaksudkan dari browser web ini, hal ini menimbulkan kekhawatiran tentang apa yang terjadi pada data setelah transmisi dan seberapa aman praktiknya, terutama jika menyangkut bidang kata sandi.

Baik Chrome dan Edge dikirimkan dengan pemeriksa ejaan dasar yang diaktifkan. Namun, fitur seperti Chrome’s Enhanced Spellcheck atau Microsoft Editor saat diaktifkan secara manual oleh pengguna, menunjukkan potensi risiko privasi ini.

Pembajakan ejaan: Itu pemeriksaan ejaan Anda mengirim PII ke Big Tech

Saat menggunakan browser web utama seperti Chrome dan Edge, data formulir Anda ditransmisikan ke Google dan Microsoft, masing-masing, jika fitur pemeriksa ejaan yang disempurnakan diaktifkan.

Bergantung pada situs web yang Anda kunjungi, data formulir itu sendiri dapat mencakup PII—termasuk namun tidak terbatas pada Nomor Jaminan Sosial (SSN)/Nomor Asuransi Sosial (SIN), nama, alamat, email, tanggal lahir (DOB), informasi kontak, informasi bank dan pembayaran, dan sebagainya.

Josh Summitt, salah satu pendiri & CTO perusahaan keamanan JavaScript otto-js menemukan masalah ini saat menguji deteksi perilaku skrip perusahaannya.

Jika Chrome Enhanced Spellcheck atau Edge’s Microsoft Editor (pemeriksa ejaan) diaktifkan, “pada dasarnya apa pun” yang dimasukkan dalam bidang formulir browser ini dikirim ke Google dan Microsoft.

“Selanjutnya, jika Anda mengklik ‘tampilkan kata sandi’, pemeriksa ejaan yang disempurnakan bahkan mengirimkan kata sandi Anda, pada dasarnya Membajak Eja data Anda,” jelas otto-js dalam sebuah posting blog.

“Beberapa situs web terbesar di dunia memiliki paparan untuk mengirimkan PII pengguna sensitif Google dan Microsoft, termasuk nama pengguna, email, dan kata sandi, saat pengguna masuk atau mengisi formulir. Kekhawatiran yang lebih signifikan bagi perusahaan adalah paparan yang disajikan untuk kredensial perusahaan perusahaan ke aset internal seperti database dan infrastruktur cloud.”

Pengguna mungkin sering mengandalkan opsi “tampilkan kata sandi” di situs tempat menyalin-menempelkan kata sandi tidak diperbolehkan, misalnya, atau ketika mereka menduga mereka salah ketik.

Untuk mendemonstrasikan, otto-js membagikan contoh pengguna yang memasukkan kredensial pada platform Cloud Alibaba di browser web Chrome—meskipun situs web apa pun dapat digunakan untuk demonstrasi ini.

Dengan mengaktifkan pemeriksaan ejaan yang disempurnakan, dan dengan asumsi pengguna mengetuk fitur “tampilkan kata sandi”, bidang formulir termasuk nama pengguna dan kata sandi dikirimkan ke Google di googleapis.com.

Sebuah demonstrasi video juga telah dibagikan oleh perusahaan:

BleepingComputer juga mengamati kredensial yang dikirimkan ke Google dalam pengujian kami menggunakan Chrome untuk mengunjungi situs-situs utama seperti:

CNN—nama pengguna dan kata sandi saat menggunakan ‘tampilkan kata sandi’
Facebook.com—nama pengguna dan kata sandi saat menggunakan ‘tampilkan kata sandi’
SSA.gov (Login Jaminan Sosial)—hanya kolom nama pengguna
Bank of America—hanya kolom nama pengguna
Verizon—bidang nama pengguna saja
Solusi HTML sederhana: ‘spellcheck=false’
Meskipun transmisi bidang formulir terjadi dengan aman melalui HTTPS, mungkin tidak segera jelas tentang apa yang terjadi pada data pengguna setelah mencapai pihak ketiga, dalam contoh ini, server Google.

“Fitur pemeriksaan ejaan yang disempurnakan memerlukan keikutsertaan dari pengguna,” juru bicara Google mengonfirmasi kepada BleepingComputer. Perhatikan, bahwa ini berbeda dengan pemeriksa ejaan dasar yang diaktifkan di Chrome secara default dan tidak mengirimkan data ke Google.

Untuk meninjau apakah Enhanced spell check diaktifkan di browser Chrome Anda, salin-tempel tautan berikut di bilah alamat Anda. Anda kemudian dapat memilih untuk mengaktifkan atau menonaktifkannya:

Seperti yang terlihat dari tangkapan layar, deskripsi fitur secara eksplisit menyatakan bahwa dengan Enhanced spell check diaktifkan, “teks yang Anda ketik di browser dikirim ke Google.”

“Teks yang diketik oleh pengguna mungkin merupakan informasi pribadi yang sensitif dan Google tidak melampirkannya ke identitas pengguna mana pun dan hanya memprosesnya di server untuk sementara. Untuk lebih memastikan privasi pengguna, kami akan berupaya untuk mengecualikan sandi secara proaktif dari pemeriksaan ejaan,” lanjut Google dalam pernyataannya yang dibagikan kepada kami.

“Kami menghargai kolaborasi dengan komunitas keamanan, dan kami selalu mencari cara untuk melindungi privasi pengguna dan informasi sensitif dengan lebih baik.”

Adapun Edge, Microsoft Editor Spelling & Grammar Checker adalah addon browser yang perlu diinstal secara eksplisit agar perilaku ini terjadi.

BleepingComputer menghubungi Microsoft jauh sebelumnya sebelum dipublikasikan. Kami diberitahu bahwa masalah ini sedang diselidiki tetapi kami belum mendengar kabar.

otto-js menjuluki vektor serangan “Spell-jacking” dan menyatakan keprihatinan bagi pengguna layanan cloud seperti Office 365, Alibaba Cloud, Google Cloud – Secret Manager, Amazon AWS – Secrets Manager, dan LastPass.

Bereaksi terhadap laporan otto-js, baik AWS dan LastPass mengurangi masalah tersebut. Dalam kasus LastPass, perbaikan dicapai dengan menambahkan atribut HTML sederhana spellcheck=”false” ke bidang kata sandi:

Atribut HTML ‘pemeriksaan ejaan’ ketika ditinggalkan dari bidang input teks formulir biasanya dianggap benar oleh browser web secara default. Bidang masukan dengan ‘pemeriksaan ejaan’ yang secara eksplisit disetel ke false tidak akan diproses melalui pemeriksa ejaan peramban web.

“Perusahaan dapat mengurangi risiko berbagi PII pelanggan mereka – dengan menambahkan ‘periksa ejaan = salah’ ke semua bidang input, meskipun ini dapat menimbulkan masalah bagi pengguna,” jelas otto-js merujuk pada fakta, pengguna sekarang tidak akan dapat lagi untuk menjalankan teks yang mereka masukkan melalui pemeriksa ejaan.

“Atau, Anda dapat menambahkannya hanya ke bidang formulir dengan data sensitif. Perusahaan juga dapat menghapus kemampuan ‘menampilkan kata sandi’. Itu tidak akan mencegah pembajakan ejaan, tetapi itu akan mencegah kata sandi pengguna dikirim.”

Cukup ironis, kami mengamati formulir login Twitter, yang dilengkapi dengan opsi “tampilkan kata sandi”, memiliki atribut HTML “pemeriksaan ejaan” bidang kata sandi yang secara eksplisit disetel ke true:

Sebagai perlindungan tambahan, pengguna Chrome dan Edge dapat mematikan Enhanced Spell Check (dengan mengikuti langkah-langkah yang disebutkan di atas) atau menghapus add-on Microsoft Editor dari Edge hingga kedua perusahaan merevisi pemeriksa ejaan yang diperluas untuk mengecualikan pemrosesan bidang sensitif, seperti kata sandi.

Sumber:

Pasangan Peretas Menghapus Data Jaringan Hotel untuk Bersenang-senang

by

Peretas mengatakan kepada BBC bahwa mereka melakukan serangan siber yang merusak terhadap pemilik Holiday Inn, Intercontinental Hotels Group (IHG) “untuk bersenang-senang”.

Menggambarkan diri mereka sebagai pasangan dari Vietnam, mereka mengatakan bahwa mereka pertama kali mencoba serangan ransomware, kemudian menghapus sejumlah besar data ketika mereka digagalkan.

Mereka mengakses database perusahaan FTSE 100 berkat kata sandi yang mudah ditemukan dan lemah, Qwerty1234.

Seorang ahli mengatakan kasus ini menyoroti sisi balas dendam dari peretas kriminal.

IHG yang berbasis di Inggris mengoperasikan 6.000 hotel di seluruh dunia, termasuk merek Holiday Inn, Crowne Plaza, dan Regent.

Pada hari Senin minggu lalu, pelanggan melaporkan masalah yang meluas dengan pemesanan dan check-in.

Selama 24 jam IHG menanggapi keluhan di media sosial dengan mengatakan bahwa perusahaan “sedang menjalani pemeliharaan sistem”.

Kemudian pada Selasa sore ia memberi tahu investor bahwa itu telah diretas.

“Saluran pemesanan dan aplikasi lain telah terganggu secara signifikan sejak kemarin,” katanya dalam pemberitahuan resmi yang diajukan ke London Stock Exchange.

Gambar, yang telah dikonfirmasi oleh IHG adalah asli, menunjukkan bahwa mereka memperoleh akses ke email Outlook internal perusahaan, obrolan Tim Microsoft, dan direktori server.

“Serangan kami awalnya direncanakan untuk menjadi ransomware tetapi tim TI perusahaan terus mengisolasi server sebelum kami memiliki kesempatan untuk menyebarkannya, jadi kami pikir ada beberapa [sic] yang lucu. Kami melakukan serangan wiper sebagai gantinya,” salah satu peretas dikatakan.

Serangan wiper adalah bentuk serangan cyber yang menghancurkan data, dokumen, dan file secara permanen.

Spesialis keamanan siber Rik Ferguson, wakil presiden keamanan di Forescout, mengatakan insiden itu adalah kisah peringatan karena, meskipun tim TI perusahaan awalnya menemukan cara untuk menangkis mereka, para peretas masih dapat menemukan cara untuk menyerang mereka. kerusakan.

“Perubahan taktik para peretas tampaknya lahir dari frustrasi dendam,” katanya. “Mereka tidak bisa menghasilkan uang sehingga mereka menyerang, dan itu benar-benar mengkhianati fakta bahwa kita tidak berbicara tentang penjahat dunia maya ‘profesional’ di sini.”

IHG mengatakan sistem yang dihadapi pelanggan kembali normal tetapi layanan itu mungkin tetap terputus-putus.

Para peretas tidak menunjukkan penyesalan tentang gangguan yang mereka timbulkan terhadap perusahaan dan pelanggannya.

“Kami tidak merasa bersalah, sungguh. Kami lebih suka memiliki pekerjaan legal di Vietnam tetapi upahnya rata-rata $300 per bulan. Saya yakin peretasan kami tidak akan banyak merugikan perusahaan.”

Peretas mengatakan tidak ada data pelanggan yang dicuri tetapi mereka memiliki beberapa data perusahaan, termasuk catatan email.

TeaPea mengatakan mereka memperoleh akses ke jaringan TI internal IHG dengan menipu seorang karyawan agar mengunduh perangkat lunak berbahaya melalui lampiran email yang dijebak.

Mereka juga harus melewati pesan prompt keamanan tambahan yang dikirim ke perangkat pekerja sebagai bagian dari sistem otentikasi dua faktor.

Para penjahat kemudian mengatakan bahwa mereka mengakses bagian paling sensitif dari sistem komputer IHG setelah menemukan detail login untuk brankas kata sandi internal perusahaan.

“Nama pengguna dan kata sandi untuk lemari besi tersedia untuk semua karyawan, sehingga 200.000 staf dapat melihat. Dan kata sandinya sangat lemah,” kata mereka kepada BBC.

Anehnya, kata sandinya adalah Qwerty1234, yang secara teratur muncul di daftar kata sandi yang paling umum digunakan di seluruh dunia.

“Data sensitif seharusnya hanya tersedia untuk karyawan yang membutuhkan akses ke data itu untuk melakukan pekerjaan mereka, dan mereka harus memiliki tingkat akses minimum [yang diperlukan] untuk menggunakan data itu,” kata Ferguson, setelah melihat tangkapan layar.

“Bahkan kata sandi yang sangat rumit sama tidak amannya dengan kata sandi sederhana jika dibiarkan terbuka.”

Seorang juru bicara IHG membantah bahwa rincian brankas kata sandi tidak aman, mengatakan bahwa penyerang harus menghindari “keamanan berlapis”, tetapi tidak akan memberikan perincian tentang keamanan ekstra.

“IHG menggunakan strategi pertahanan mendalam untuk keamanan informasi yang memanfaatkan banyak solusi keamanan modern,” tambahnya.

Sumber: MSN

LastPass Mengatakan Peretas Memiliki Akses Internal Selama Empat Hari

by

LastPass mengatakan penyerang di balik pelanggaran keamanan Agustus memiliki akses internal ke sistem perusahaan selama empat hari sampai mereka terdeteksi dan diusir.

Dalam pembaruan pemberitahuan insiden keamanan yang diterbitkan bulan lalu, CEO Lastpass Karim Toubba juga mengatakan bahwa penyelidikan perusahaan (dilakukan dalam kemitraan dengan perusahaan keamanan siber Mandiant) tidak menemukan bukti bahwa pelaku ancaman mengakses data pelanggan atau brankas kata sandi terenkripsi.

“Meskipun pelaku ancaman dapat mengakses lingkungan Pengembangan, desain dan kontrol sistem kami mencegah pelaku ancaman mengakses data pelanggan atau brankas kata sandi terenkripsi,” kata Toubba.

Sementara metode di mana penyerang dapat mengkompromikan titik akhir pengembang Lastpass untuk mengakses lingkungan Pengembangan, penyelidikan menemukan bahwa aktor ancaman dapat menyamar sebagai pengembang setelah ia “berhasil mengautentikasi menggunakan otentikasi multi-faktor.”

Setelah menganalisis kode sumber dan pembuatan produksi, perusahaan juga tidak menemukan bukti bahwa penyerang mencoba menyuntikkan kode berbahaya.

Ini mungkin karena hanya tim Rilis Build yang dapat mendorong kode dari Pengembangan ke Produksi, dan meskipun demikian, Toubba mengatakan proses tersebut melibatkan tahap peninjauan kode, pengujian, dan validasi.

Selain itu, ia menambahkan bahwa lingkungan Pengembangan LastPass “secara fisik terpisah dari, dan tidak memiliki konektivitas langsung ke” lingkungan Produksi Lastpass.

Setelah insiden itu, Lastpass telah “menerapkan kontrol keamanan yang ditingkatkan termasuk kontrol dan pemantauan keamanan titik akhir tambahan,” serta kemampuan intelijen ancaman tambahan dan teknologi deteksi dan pencegahan yang ditingkatkan di lingkungan Pengembangan dan Produksi.

Pemberitahuan pelanggaran tertunda selama dua minggu
Pembaruan ini muncul setelah Lastpass memberi tahu pengguna pada 25 Agustus bahwa “baru-baru ini mendeteksi beberapa aktivitas yang tidak biasa” di lingkungan pengembangannya.

Pengungkapan itu terjadi setelah BleepingComputer mengetahui pelanggaran tersebut dari orang dalam satu minggu sebelumnya dan menghubungi perusahaan pada 21 Agustus tanpa menerima jawaban atas pertanyaan dan permintaan untuk mengonfirmasi insiden tersebut.

Dalam surat yang dikirim ke pelanggan setelah email BleepingComputer, Lastpass mengkonfirmasi bahwa itu diretas dua minggu sebelumnya dan bahwa penyerang telah mencuri beberapa kode sumber dan informasi teknis kepemilikan.

“Dua minggu lalu, kami mendeteksi beberapa aktivitas yang tidak biasa dalam bagian dari lingkungan pengembangan LastPass,” kata perusahaan saat itu.

“Setelah memulai penyelidikan segera, kami tidak melihat bukti bahwa insiden ini melibatkan akses ke data pelanggan atau brankas kata sandi terenkripsi.”

LastPass menyediakan salah satu perangkat lunak manajemen kata sandi paling populer di dunia, dengan perusahaan mengklaim bahwa itu digunakan oleh lebih dari 33 juta orang dan 100.000 bisnis.

Sumber: BleepingComputer

Iklan Umpan Berita Microsoft Edge Disalahgunakan untuk Penipuan Dukungan Teknis

by

Kampanye malvertising yang sedang berlangsung menyuntikkan iklan di Umpan Berita Microsoft Edge untuk mengarahkan calon korban ke situs web yang mendorong penipuan dukungan teknis.

Microsoft Edge saat ini adalah browser web default pada komputer yang menjalankan sistem operasi Windows dan saat ini memiliki pangsa pasar 4,3% di seluruh dunia, menurut Statcounter’s Global Stats.

Operasi penipuan ini telah berjalan setidaknya selama dua bulan, menurut Tim Intelijen Ancaman Malwarebytes, yang mengatakan ini adalah salah satu kampanye paling luas saat ini berdasarkan jumlah kebisingan telemetri yang dihasilkannya.

Ini tidak mengherankan mengingat skalanya, dengan penyerang beralih di antara ratusan subdomain ondigitalocean.app untuk meng-host halaman penipuan mereka dalam satu hari.

Beberapa iklan berbahaya yang mereka masukkan ke timeline Edge News Feed juga ditautkan ke lebih dari selusin domain, setidaknya salah satunya (tissatweb[.]us) juga dikenal sebagai hosting loker browser di masa lalu.

Alur pengalihan yang digunakan untuk mengirim pengguna Edge dimulai dengan pemeriksaan browser web target untuk beberapa pengaturan, seperti zona waktu, untuk memutuskan apakah mereka sepadan dengan waktu mereka. Jika tidak, mereka akan mengirimnya ke halaman umpan.

Untuk mengalihkan ke halaman arahan penipuan mereka, pelaku ancaman menggunakan jaringan iklan Taboola untuk memuat skrip JavaScript yang disandikan Base64 yang dirancang untuk memfilter calon korban.

“Tujuan dari skrip ini adalah untuk hanya menampilkan pengalihan berbahaya kepada calon korban, mengabaikan bot, VPN, dan geolokasi yang tidak menarik yang malah ditampilkan halaman yang tidak berbahaya terkait dengan iklan tersebut,” jelas Malwarebytes.

“Skema ini dimaksudkan untuk mengelabui pengguna yang tidak bersalah dengan halaman loker browser palsu, sangat terkenal dan digunakan oleh scammer dukungan teknis.”

Meskipun Malwarebytes tidak mengatakan apa yang terjadi jika Anda menghubungi nomor telepon penipu, dalam kebanyakan kasus, mereka akan mengunci komputer Anda menggunakan berbagai metode atau memberi tahu Anda bahwa perangkat Anda terinfeksi dan Anda perlu membeli lisensi dukungan.

Atau, begitu mereka terhubung ke komputer Anda untuk membantu Anda, scammers akan mencoba meyakinkan korbannya untuk membayar kontrak dukungan teknis yang mahal tanpa manfaat bagi korban.

“Dalam kemitraan dengan penyedia periklanan kami, kami telah menghapus konten ini dan memblokir pengiklan dari jaringan kami,” kata juru bicara Microsoft kepada BleepingComputer.

“Kami tetap berdedikasi untuk keselamatan pengguna kami dan akan terus bekerja dengan mitra kami untuk mendeteksi, menghilangkan, dan memberikan solusi teknologi baru untuk mencegah serangan malware dan mengatasi ancaman ini.”

Pembaruan: Menambahkan pernyataan Microsoft.

Sumber: BleepingComputer

Chrome untuk Android Mendapatkan Tab Penyamaran yang Dilindungi Sidik Jari

by

Inilah fitur baru yang menyenangkan untuk Chrome untuk Android: tab penyamaran yang dilindungi sidik jari. 9to5Google menemukan fitur di saluran stabil Chrome 105, meskipun Anda harus menggali jauh ke dalam pengaturan untuk mengaktifkannya saat ini.

Jika Anda ingin menambahkan sedikit lebih banyak perlindungan ke sesi penjelajahan pribadi Anda, ketik “chrome://flags/#incognito-reauthentication-for-android” ke dalam bilah alamat dan tekan enter. Setelah mengaktifkan bendera dan memulai ulang Chrome, Anda akan melihat opsi untuk “Mengunci tab Penyamaran saat Anda meninggalkan Chrome”. Jika Anda meninggalkan sesi Penyamaran dan kembali, layar “buka kunci Penyamaran” akan muncul alih-alih tab Anda, dan Anda akan diminta untuk memindai sidik jari.

Chrome di iOS telah memiliki fitur Penyamaran yang didukung biometrik, yang disebut “Layar Privasi,” selama beberapa tahun. Ini adalah yang pertama untuk Android. Menu “bendera” Chrome secara teknis untuk eksperimen dan fitur dalam pengembangan, jadi ini tidak dijamin menjadi fitur pengguna yang mudah diakses, tetapi membuatnya ke saluran stabil—ditambah fitur yang sudah ada di iOS—adalah pertanda baik.

Sumber: ArsTechnica

Kematian Ratu Elizabeth II dieksploitasi untuk mencuri kredensial Microsoft

by

Pelaku ancaman mengeksploitasi kematian Ratu Elizabeth II dalam serangan phishing untuk memikat target mereka ke situs yang mencuri kredensial akun Microsoft mereka.

Selain detail akun Microsoft, penyerang juga berusaha mencuri kode otentikasi multi-faktor (MFA) korban mereka untuk mengambil alih akun mereka.

Dalam kampanye yang ditemukan oleh Proofpoint, aktor phishing menyamar sebagai “tim Microsoft” dan mencoba memancing penerima untuk menambahkan memo mereka ke papan memori online “untuk mengenang Yang Mulia Ratu Elizabeth II.”

Setelah mengklik tombol yang disematkan di dalam email phishing, target malah dikirim ke halaman arahan phishing di mana mereka diminta untuk memasukkan kredensial Microsoft mereka terlebih dahulu.

Contoh email phishing (Proofpoint)

Penyerang menggunakan platform reverse-proxy Phishing-as-a-Service (PaaS) baru yang dikenal sebagai EvilProxy yang dipromosikan di forum clearnet dan dark web hacking, yang memungkinkan aktor ancaman berketerampilan rendah mencuri token otentikasi untuk melewati MFA.

Pusat Keamanan Siber Nasional Inggris memperingatkan pada hari Selasa tentang peningkatan risiko penjahat dunia maya mengeksploitasi kematian Ratu untuk keuntungan mereka sendiri dalam kampanye phishing dan penipuan lainnya.

“Sementara NCSC – yang merupakan bagian dari GCHQ – belum melihat bukti ekstensif tentang hal ini, seperti biasa Anda harus menyadari kemungkinan itu dan memperhatikan email, pesan teks, dan komunikasi lain mengenai kematian Yang Mulia Raja. Ratu dan pengaturan pemakamannya,” kata NCSC.

Meskipun aktivitas berbahaya ini tampaknya terbatas, NCSC telah melihat serangan phishing tersebut dan saat ini sedang menyelidikinya.

Sumber juga mengatakan bahwa NCSC mengetahui pesan phishing di mana penyerang berusaha mengelabui calon korban agar menyerahkan informasi sensitif, termasuk rincian perbankan.

“Tujuannya sering kali membuat Anda mengunjungi situs web, yang mungkin mengunduh virus ke komputer Anda, atau mencuri detail bank atau informasi pribadi lainnya.”

Paket malware baru menyebar sendiri melalui video game YouTube

by

Bundel malware baru menggunakan saluran YouTube korban untuk mengunggah video tutorial berbahaya yang mengiklankan cheat dan crack palsu untuk video game populer untuk menyebarkan paket berbahaya lebih jauh.

Bundel malware yang menyebar sendiri telah dipromosikan di video YouTube yang menargetkan penggemar yang bermain FIFA, Final Fantasy, Forza Horizon, Lego Star Wars, dan Spider-Man.

Video yang diunggah ini berisi tautan untuk mengunduh crack dan cheat palsu, tetapi pada kenyataannya, mereka memasang bundel malware yang menyebar sendiri yang menginfeksi pengunggah.

Dalam laporan baru oleh Kaspersky, para peneliti menemukan arsip RAR yang berisi kumpulan malware, terutama RedLine, yang saat ini merupakan salah satu pencuri informasi yang paling banyak didistribusikan.

RedLine dapat mencuri informasi yang disimpan di browser web korban, seperti cookie, kata sandi akun, dan kartu kredit, mengakses percakapan instant messenger, dan membahayakan dompet cryptocurrency.

Selain itu, penambang disertakan dalam arsip RAR, mengambil keuntungan dari kartu grafis korban, yang kemungkinan besar mereka miliki karena mereka menonton video game di YouTube, untuk menambang cryptocurrency untuk penyerang.

Berkat utilitas Nirsoft NirCmd yang sah dalam bundel, bernama “nir.exe,” saat diluncurkan, semua yang dapat dieksekusi akan disembunyikan dan tidak menghasilkan jendela di antarmuka atau ikon bilah tugas apa pun, jadi semuanya tetap tersembunyi dari korban.

Infeksi yang dibundel dan yang dapat dieksekusi sendiri tidak terlalu menarik dan biasanya digunakan oleh aktor ancaman dalam kampanye distribusi malware lainnya.

Namun, Kaspersky menemukan mekanisme propagasi diri yang tidak biasa dan menarik yang bersembunyi di arsip yang memungkinkan malware menyebar sendiri ke korban lain di Internet.

Secara khusus, RAR berisi file batch yang menjalankan tiga executable berbahaya, yaitu “MakiseKurisu.exe”, “download.exe”, dan “upload.exe”, yang melakukan self-propagation bundel.

File yang terdapat dalam RAR (Kaspersky)

Yang pertama, MakiseKurisu, adalah versi modifikasi dari pencuri kata sandi C# yang tersedia secara luas, yang digunakan hanya untuk mengekstrak cookie dari browser dan menyimpannya secara lokal.

Eksekusi kedua, “download.exe”, digunakan untuk mengunduh video dari YouTube, yang merupakan salinan video yang mempromosikan bundel berbahaya.

Video diunduh dari tautan yang diambil dari repositori GitHub untuk menghindari mengarah ke URL video yang dilaporkan dan dihapus dari YouTube.

Video YouTube yang mempromosikan bundel malware (Kaspersky)

Akhirnya, “upload.exe” digunakan untuk mengunggah video yang mempromosikan malware ke YouTube, menggunakan cookie yang dicuri untuk masuk ke akun YouTube korban dan menyebarkan bundel melalui saluran mereka.

Code to upload the malicious videos (Kaspersky)

“Itu [upload.exe] menggunakan Puppiteer Node library, yang menyediakan API tingkat tinggi untuk mengelola Chrome dan Microsoft Edge menggunakan protokol DevTools,” jelas Kaspersky dalam laporannya.

“Ketika video berhasil diunggah ke YouTube, upload.exe mengirim pesan ke Discord dengan tautan ke video yang diunggah.”

Menghasilkan pemberitahuan Discord (Kaspersky)

Sementara pelaku ancaman mendapat informasi tentang unggahan baru, pemilik saluran kemungkinan tidak akan menyadari bahwa mereka mempromosikan perangkat lunak perusak di YouTube jika mereka tidak terlalu aktif di platform tersebut.

Metode distribusi agresif ini membuat pengawasan dan penghapusan di YouTube semakin sulit, karena video yang mengarah ke unduhan berbahaya diunggah dari akun yang kemungkinan memiliki catatan bersih yang sudah lama ada.

Sumber: Bleeping Computer