Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for APT

APT

Serangan malware yang melumpuhkan sistem tenaga Mumbai berasal dari China, klaim infosec intel outfit Recorded Future

by

Perusahaan intelijen keamanan, Recorded Future’s Insikt Group, telah menulis sebuah makalah yang menuduh China berada di balik serangan terhadap jaringan listrik India.

Dalam posting blog mereka, perusahaan itu mengatakan telah melihat peningkatan penting dalam serangan bertarget terhadap India dari kelompok yang disponsori negara China.

Perusahaan keamanan siber telah menamai grup tersebut “RedEcho”.

Insiden yang dimaksud terjadi tahun lalu, selama kebuntuan perbatasan India/China pada bulan Mei. Malware disuntikkan ke 10 organisasi sektor listrik India dan sepasang operator pelabuhan India. Serangan itu dianggap sebagai kemungkinan sumber pemadaman listrik Mumbai pada Oktober di tahun yang sama.

Perusahaan itu mengatakan sebagian besar malware tidak diaktifkan dan pemadaman listrik terkait adalah hasil dari sebagian muatan. Recorded Future tidak memiliki akses ke kode sistem tenaga India untuk dianalisis secara lebih rinci.

Recorded Future berhipotesis bahwa pemadaman listrik tahun lalu di Mumbai, yang menyebabkan kekacauan massal di infrastruktur kota – mulai dari kereta api hingga rumah sakit hingga operasi pusat keuangan – adalah “unjuk kekuatan” yang dirancang untuk memperingatkan India tentang kemampuan China.

Selengkapnya: The Register

Peretas LazyScripter menargetkan maskapai penerbangan dengan trojan akses jarak jauh

by

Peneliti keamanan yang menganalisis beberapa set email berbahaya yakin mereka menemukan aktivitas milik aktor yang sebelumnya tidak dikenal yang sesuai dengan deskripsi Advanced Persistent Ancaman (APT).

Aktor tersebut menerima nama LazyScripter dan telah aktif sejak 2018, menggunakan phishing untuk menargetkan individu yang mencari imigrasi ke Kanada untuk mendapatkan pekerjaan, maskapai penerbangan, dan Asosiasi Transportasi Udara Internasional (IATA).

Infrastruktur yang mendukung kampanye jangka panjang ini masih aktif dan pelaku terus berkembang dengan memperbaharui perangkatnya.

Aktivitas terbaru LazyScripter melibatkan penggunaan malware Octopus dan Koadic yang tersedia secara gratis. Keduanya dikirim melalui dokumen berbahaya dan arsip ZIP yang berisi objek yang disematkan (VBScript atau file batch) dan bukan kode makro yang biasa terlihat dalam serangan phishing.

Dengan menggunakan alat pasca-eksploitasi open-source dan malware yang banyak digunakan dalam aktivitas peretasan oleh banyak aktor, LazyScripter meninggalkan sedikit petunjuk tentang atribusi.

Namun, Malwarebytes mencatat bahwa penelitian publik hanya menunjukkan dua aktor ancaman yang telah menggunakan alat pengujian penetrasi Koadic dalam kampanye mereka: MuddyWater yang terkait dengan Iran dan APT28 Rusia (Fancy Bear / Sofacy / Strontium / Sednit).

Perusahaan tersebut mengatakan bahwa mereka tidak menemukan koneksi dengan APT28 tetapi melihat kemiripan dengan MuddyWater di mana kampanye mereka sebelumnya menggunakan Koadic dan PowerShell Empire, dan mengandalkan GitHub untuk menghosting perangkat jahat mereka.

selengkapnya : BleepingComputer

AS Telah Merilis Katalog Kejahatan Siber Korea Utara Paling Lengkap yang Pernah Dipublikasikan

by

Korea Utara selalu sedikit berbeda di antara negara-negara yang menggunakan kemampuan siber ofensif secara ekstensif.

Dakwaan bulan Desember yang disegel minggu ini oleh Departemen Kehakiman memperjelas betapa sentral keuntungan finansial bagi aktivitas siber Korea Utara. Lebih penting lagi, ini menjelaskan sejauh mana cryptocurrency dan kejahatan siber dapat memungkinkan negara-negara untuk melemahkan sanksi ekonomi yang ada.

Surat dakwaan tersebut menuntut tiga peretas yang bekerja untuk Biro Umum Pengintaian Korea Utara dengan daftar panjang gangguan komputer dan kejahatan siber yang menargetkan korban di seluruh dunia dan total sekitar $1,3 miliar dalam upaya pencurian dan pemerasan.

Insiden tersebut berkisar dari serangan terkenal seperti pelanggaran Sony Pictures dan WannaCry hingga gangguan dan pencurian dari Bank Bangladesh, Eksterior Banco Nacional de Comercio di Meksiko (Bancomext), BankIslami Pakistan Limited, Otoritas Pengawasan Keuangan Polandia, dan kasino serta perusahaan cryptocurrency di Amerika Tengah dan Asia, untuk menyebutkan beberapa saja.

Tuduhan tersebut termasuk transfer SWIFT yang curang untuk memanipulasi komputer bank untuk mengeluarkan uang tunai dari ATM, mengembangkan dan mendistribusikan program cryptocurrency yang sebenarnya adalah malware, mencuri dari perusahaan cryptocurrency di seluruh dunia.

Ini adalah katalog kejahatan siber Korea Utara terlengkap dan terpanjang yang pernah dipublikasikan di Amerika Serikat, dan mencakup cukup detail untuk menunjukkan tidak hanya seberapa luas cakupan eksploitasi siber Korea Utara, tetapi juga aktivitas mana yang paling menguntungkan.

Selengkapnya: Slate

Peretas Korea Utara meluncurkan RokRat Trojan dalam kampanye melawan Korea Selatan

by

Grup peretas Korea Utara memanfaatkan Trojan RokRat dalam gelombang baru kampanye melawan pemerintah Korea Selatan.

Remote Access Trojan (RAT) telah dihubungkan dengan serangan tersebut berdasarkan eksploitasi pengolah kata bahasa Korea yang biasa digunakan di Korea Selatan selama beberapa tahun; khususnya, kompromi Hangul Office documents (.HWP).

Dulu, malware ini telah digunakan dalam kampanye phishing yang memikat korban melalui email yang berisi lampiran bertema politik – seperti penyatuan Korea dan hak asasi manusia Korea Utara.

RokRat diyakini merupakan hasil karya APT37, juga dikenal sebagai ScarCruft, Reaper, dan Group123. Aktif sejak 2012, setidaknya, kelompok APT ini kemungkinan besar disponsori negara, dan berpotensi ditugaskan untuk menargetkan entitas yang bernilai untuk partai yang berkuasa di Korea Utara.

Dalam posting blog minggu ini, Malwarebytes menggambarkan penemuan dokumen berbahaya baru yang diunggah ke Virus Total pada 7 Desember. File sampel mengklaim sebagai permintaan untuk pertemuan pada awal 2020, menunjukkan bahwa serangan telah terjadi selama tahun lalu.

Dokumen tersebut tidak mengikuti jalur .HWP tradisional dari APT37; sebaliknya, makro yang disematkan menggunakan teknik dekode mandiri VBA untuk mendekode dirinya sendiri ke dalam memori Microsoft Office.

Setelah Microsoft Office disusupi, stub unpacker kemudian menyematkan varian RokRat ke perangkat lunak Notepad. Menurut Malwarebytes, teknik ini memungkinkan melewati “beberapa mekanisme keamanan” dengan hanya sedikit usaha.

Sumber: ZDNet

TA416 APT Kembali Dengan Varian Baru PlugX Malware

by

Aktor TA416 Advanced Persistent Threat (APT) telah kembali. Setelah sebulan tidak aktif, grup tersebut terlihat meluncurkan serangan spear-phishing dengan varian Golang yang belum pernah dilihat sebelumnya dari malware loader PlugX-nya.

TA416, yang juga dikenal sebagai “Mustang Panda” dan “RedDelta”, terlihat dalam kampanye baru-baru ini yang menargetkan entitas yang terkait dengan hubungan diplomatik antara Vatikan dan Partai Komunis China, serta entitas di Myanmar (semua ini adalah kampanye yang dilaporkan sebelumnya).

Dalam analisis lebih lanjut dari serangan ini, para peneliti menemukan grup tersebut telah memperbarui perangkatnya – khususnya, memberikan varian malware PlugX facelift. Remote access tool (RAT) PlugX sebelumnya telah digunakan dalam serangan yang ditujukan pada lembaga pemerintah dan memungkinkan pengguna jarak jauh untuk melakukan pencurian data atau mengendalikan sistem yang terpengaruh tanpa izin atau otorisasi. Itu dapat menyalin, memindahkan, mengganti nama, mengeksekusi dan menghapus file; log penekanan tombol; sidik jari sistem yang terinfeksi; dan lainnya.

Setelah penyelidikan lebih dekat, peneliti mengidentifikasi dua arsip RAR yang berfungsi sebagai dropper malware PlugX.

Para peneliti mengatakan, vektor pengiriman awal untuk arsip RAR ini tidak dapat diidentifikasi, “namun, secara historis TA416 telah diamati menggunakan URL Google Drive dan Dropbox dalam email phishing yang mengirimkan arsip yang berisi malware PlugX dan komponen terkait,” kata mereka.

Malware Loader ini diidentifikasi sebagai Golang binary; Peneliti mengatakan mereka sebelumnya tidak mengamati jenis file ini digunakan oleh TA416. Meskipun jenis file dari loader PlugX berubah, fungsinya sebagian besar tetap sama, kata para peneliti.

Sumber: Threat Post

Malware Android Firestarter Menyalahgunakan Google Firebase Cloud Messaging

by

Grup APT memulai serangan dengan loader malware Android baru, yang menggunakan layanan perpesanan Google yang sah untuk melewati deteksi.

Malware, yang dijuluki “Firestarter”, digunakan oleh grup ancaman APT yang disebut “DoNot”. DoNot menggunakan Firebase Cloud Messaging (FCM), yang merupakan solusi cloud lintas platform untuk pesan dan notifikasi untuk aplikasi Android, iOS, dan web. Layanan ini disediakan oleh Firebase, anak perusahaan Google, dan sebelumnya juga telah dimanfaatkan oleh penjahat siber.

Dalam hal ini, loader menggunakannya sebagai mekanisme komunikasi untuk terhubung dengan server perintah-dan-kontrol (C2) DoNot, membantu aktivitas grup menghindari deteksi.

“Penelitian kami mengungkapkan bahwa DoNot telah bereksperimen dengan teknik baru untuk menjaga pijakan pada mesin korban mereka,” menurut peneliti dengan Cisco Talos dalam analisis hari Kamis. “Eksperimen ini, yang dibuktikan dengan loader Firestarter, adalah tanda betapa bertekadnya mereka untuk tetap menjalankan operasi meskipun terekspos, yang menjadikan mereka aktor yang sangat berbahaya yang beroperasi di area spionase.”

Tim DoNot terus berfokus pada India dan Pakistan, dan dikenal karena menargetkan pejabat pemerintah Pakistan dan organisasi nirlaba Kashmir (Kashmir adalah kelompok etnis Dardik yang berasal dari Lembah Kashmir yang disengketakan).

Pengguna dibujuk untuk memasang aplikasi berbahaya di perangkat seluler mereka, kemungkinan dilakukan melalui pesan langsung yang memanfaatkan rekayasa sosial, kata peneliti. Nama file aplikasi Android ini (kashmir_sample.apk atau Kashmir_Voice_v4.8.apk) menunjukkan minat yang berkelanjutan di India, Pakistan, dan krisis Kashmir.

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: The Threat Post

Perusahaan Antivirus Tiongkok Ternyata Bagian dari Serangan ‘Supply Chain’ APT41

by

Departemen Kehakiman AS telah mendakwa tujuh warga negara China sebagai peretasan yang menargetkan lebih dari 100 perusahaan game online dan teknologi tinggi. Pemerintah menuduh orang-orang tersebut menggunakan email phishing yang mengandung malware dan serangan “Supply Chain” untuk mencuri data dari perusahaan dan pelanggan mereka. Salah satu terduga peretas pertama kali diprofilkan pada tahun 2012 sebagai pemilik perusahaan antivirus China.

Kegiatan APT41 berlangsung dari pertengahan 2000 hingga saat ini. Awal tahun ini, grup tersebut terkait dengan kampanye malware yang sangat agresif yang mengeksploitasi kerentanan dalam produk jaringan yang banyak digunakan, termasuk Router Cisco dan D-Link, serta peralatan Citrix dan Pulse VPN. Firma keamanan FireEye menjuluki blitz peretasan itu sebagai “salah satu kampanye terluas yang dilakukan oleh aktor spionase dunia maya China yang kami amati dalam beberapa tahun terakhir”.

Pemerintah menuding kelompok itu memonetisasi akses terlarangnya dengan menyebarkan ransomware dan tools “cryptojacking” (menggunakan sistem yang terkompromi untuk menambang cryptocurrency seperti Bitcoin). Selain itu, geng tersebut menargetkan perusahaan video game dan pelanggan mereka dalam upaya untuk mencuri item digital berharga yang dapat dijual kembali, seperti poin, kekuatan, dan item lain yang dapat digunakan untuk meningkatkan pengalaman bermain game.

APT41 diketahui menyembunyikan malware-nya di dalam resume palsu yang dikirim ke target. Itu juga menyebarkan serangan rantai pasokan yang lebih kompleks, di mana mereka akan meretas perusahaan perangkat lunak dan memodifikasi kode dengan malware.

Anvisoft

Salah satu pria yang didakwa sebagai bagian dari APT41, Tan DaiLin berusia 35 tahun, adalah subjek dari cerita KrebsOnSecurity 2012 yang berusaha menjelaskan produk antivirus China yang dipasarkan sebagai Anvisoft. Pada saat itu, produk tersebut telah masuk dalam “whitelist” atau ditandai sebagai aman oleh vendor antivirus yang lebih mapan, meskipun perusahaan tersebut tampaknya tidak menanggapi keluhan pengguna dan pertanyaan tentang kepemimpinan dan asal-usulnya.

Anvisoft mengklaim berbasis di California dan Kanada, tetapi penelusuran pada nama merek perusahaan menemukan catatan pendaftaran merek dagang yang menempatkan Anvisoft di zona teknologi tinggi Chengdu di Provinsi Sichuan, China.

Tinjauan atas catatan pendaftaran situs web Anvisoft menunjukkan bahwa domain perusahaan awalnya dibuat oleh Tan DaiLin, seorang peretas China terkenal yang menggunakan alias “Wicked Rose” dan “Withered Rose”. Saat itu, DaiLin berusia 28 tahun.

Seperti dicatat oleh TechCrunch, setelah dakwaan diajukan, jaksa penuntut mengatakan bahwa mereka memperoleh surat perintah untuk menyita situs web, domain, dan server yang terkait dengan operasi grup, secara efektif menutupnya dan menghambat operasi mereka.

“Para peretas yang diduga masih diyakini berada di China, tetapi tuduhan tersebut berfungsi sebagai upaya hukuman sosial yang digunakan oleh Departemen Kehakiman dalam beberapa tahun terakhir terhadap penyerang dunia maya yang didukung negara,” tulis Zack Whittaker dari TechCrunch.

Source : KerbsOnSecurity

Lazarus membuat ransomware baru yang dicurigai disponsori oleh Korea Utara

by Leave a Comment

VHD, Ransomware baru yang dicurigai sebagai penerus WannaCry pertama kali menarik perhatian para peneliti karena mereka belum pernah melihat ransomware yang teknik penyebarannya tidak seperti biasanya. Ransomware ini, mencoba memecahkan kata sandi SMB pada setiap mesin yang ditemukannya, dan setelah berhasil, ransomware ini menggunakan Windows Management Instrumentation untuk mengeksekusi dirinya sendiri kedalam jaringan.

Setelah mencari tahu lebih dalam, para peneliti menemukan VHD menggunakan backdoor MATA, sebuah framework yang pada Windows, macOS, dan Linux. Dalam sebuah posting yang diterbitkan minggu lalu, Kaspersky Lab menunjukkan bukti hubungan antara MATA dan Lazarus. Keduanya menggunakan backdoor Dacls.

Penggunaan VHD Lazarus konsisten dengan tujuan mendapatkan uang, yang pada September lalu, dilaporkan menghasilkan $ 2 miliar untuk mendanai senjata program pemusnah massal negara. Seperti yang dicatat oleh para peneliti, VHD memiliki jalan panjang untuk mengejar ketertinggalan dengan ransomware yang lebih canggih.