Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Backdoor

Backdoor

Peretas Tiongkok Menargetkan Lembaga Keuangan Taiwan dengan Pintu Belakang Tersembunyi yang baru

by

Sebuah kelompok ancaman persisten lanjutan (APT) China telah menargetkan lembaga keuangan Taiwan sebagai bagian dari “kampanye gigih” yang berlangsung setidaknya selama 18 bulan.

Penyusupantersebut bertujuan pionase, mengakibatkan penyebaran pintu belakang yang disebut xPack, yang memberikan kontrol ekstensif kepada musuh atas mesin yang disusupi, kata Symantec milik Broadcom dalam sebuah laporan yang diterbitkan minggu lalu.

Apa yang penting dari kampanye ini adalah jumlah waktu aktor ancaman mengintai di jaringan korban, memberikan operator banyak kesempatan untuk pengintaian rinci dan menggali informasi yang berpotensi sensitif yang berkaitan dengan kontak bisnis dan investasi tanpa menaikkan bendera merah apapun.

Di salah satu organisasi keuangan yang tidak disebutkan namanya, para penyerang menghabiskan hampir 250 hari antara Desember 2020 dan Agustus 2021, sementara entitas manufaktur memiliki jaringannya di bawah pengawasan mereka selama sekitar 175 hari.

Meskipun vektor akses awal yang digunakan untuk menembus target masih belum jelas, diduga Antlion memanfaatkan kelemahan aplikasi web untuk mendapatkan pijakan dan menjatuhkan pintu belakang khusus xPack, yang digunakan untuk menjalankan perintah sistem, menghapus malware dan alat berikutnya, dan tahap data untuk eksfiltrasi.

Selain itu, aktor ancaman menggunakan pemuat kustom berbasis C++ serta kombinasi alat yang sah seperti AnyDesk dan teknik living-off-the-land (LotL) untuk mendapatkan akses jarak jauh, membuang kredensial, dan mengeksekusi arbitrer perintah.

Temuan ini menambah daftar kelompok negara-bangsa terkait China yang telah menargetkan Taiwan dalam beberapa bulan terakhir, dengan aktivitas siber jahat yang dipasang oleh aktor ancaman yang dilacak saat Tropic Trooper dan Earth Lusca menyerang lembaga pemerintah, perawatan kesehatan, transportasi, dan pendidikan di negara.

Sumber : The Hacker News

Peretas Iran Menggunakan Backdoor PowerShell Baru dalam Serangan Espionage Cyber

by

Kelompok ancaman Iran telah memperbarui perangkat malwarenya untuk memasukkan implan berbasis PowerShell baru yang disebut PowerLess Backdoor.

Perusahaan keamanan siber di Boston mengaitkan malware tersebut dengan kelompok peretasan yang dikenal sebagai Charming Kitten (alias Fosfor, APT35, atau TA453), sementara juga menyerukan eksekusi PowerShell yang mengelak dari pintu belakang.

“Kode PowerShell berjalan dalam konteks aplikasi .NET, sehingga tidak meluncurkan ‘powershell.exe’ yang memungkinkannya untuk menghindari produk keamanan,” Daniel Frank, peneliti malware senior di Cybereason, mengatakan. “Toolset yang dianalisis mencakup malware multi-tahap yang sangat modular yang mendekripsi dan menyebarkan muatan tambahan dalam beberapa tahap demi siluman dan kemanjuran.”

Awal bulan ini, Check Point Research mengungkapkan rincian operasi spionase yang melibatkan kelompok peretas yang mengeksploitasi kerentanan Log4Shell untuk menyebarkan pintu belakang modular yang dijuluki CharmPower untuk serangan lanjutan.

Penyempurnaan terbaru pada arsenalnya, merupakan perangkat yang sepenuhnya baru yang mencakup PowerLess Backdoor, yang mampu mengunduh dan menjalankan modul tambahan seperti browser info-stealer dan keylogger.

Juga berpotensi terkait dengan pengembang pintu belakang yang sama adalah sejumlah artefak malware lainnya, termasuk perekam audio, varian pencuri informasi sebelumnya, dan apa yang para peneliti duga sebagai varian ransomware yang belum selesai dikodekan dalam .NET.

Selain itu, infrastruktur tumpang tindih telah diidentifikasi antara kelompok Fosfor dan jenis ransomware baru yang disebut Memento, yang pertama kali muncul pada November 2021 dan mengambil langkah yang tidak biasa dengan mengunci file dalam arsip yang dilindungi kata sandi, diikuti dengan mengenkripsi kata sandi dan menghapus file asli, setelah upaya mereka untuk mengenkripsi file secara langsung diblokir oleh perlindungan titik akhir.

Sumber : The Hacker News

Lebih dari 90 Tema WordPress, Plugin Backdoored dalam Serangan Rantai Pasokan

by

Serangan rantai pasokan besar-besaran membahayakan 93 tema dan plugin WordPress berisi backdoor, memberikan aktor ancaman akses penuh ke situs web.

Secara total, aktor ancaman mengkompromikan 40 tema dan 53 plugin milik AccessPress, pengembang add-on WordPress yang digunakan di lebih dari 360.000 situs web aktif.

Serangan itu ditemukan oleh para peneliti di Jetpack, pencipta alat keamanan dan pengoptimalan untuk situs WordPress, yang menemukan bahwa backdoor PHP telah ditambahkan ke tema dan plugin.

Jetpack percaya bahwa aktor ancaman eksternal melanggar situs web AccessPress untuk mengkompromikan perangkat lunak dan menginfeksi situs WordPress lebih lanjut.

Backdoor untuk memberikan kontrol penuh

Segera setelah admin menginstal produk AccessPress yang dikompromikan di situs mereka, para aktor menambahkan file “awal.php” baru ke dalam direktori tema utama dan memasukkannya ke dalam file “fungsi.php” utama.

File ini berisi muatan yang dikodekan base64 yang menulis webshell ke dalam file “./wp-includes/vars.php”.

Kode berbahaya menyelesaikan instalasi backdoor dengan decoding payload dan menyuntikkannya ke dalam file “vars.php”, pada dasarnya memberikan aktor ancaman remote control atas situs yang terinfeksi.

Satu-satunya cara untuk mendeteksi ancaman ini adalah dengan menggunakan solusi pemantauan integritas file inti, karena malware menghapus pipet file “awal.php” untuk menutupi jejaknya.

Menurut peneliti Sucuri yang menyelidiki kasus ini untuk mengetahui tujuan para aktor, aktor ancaman menggunakan backdoor untuk mengarahkan pengunjung ke situs malware-dropping dan scam. Oleh karena itu, kampanye tidak terlalu canggih.

Ada juga kemungkinan bahwa aktor menggunakan malware ini untuk menjual akses ke situs web backdoored di web gelap, yang akan menjadi cara yang efektif untuk memonetisasi infeksi skala besar seperti itu.

Apakah saya terpengaruh?

Jika Anda telah menginstal salah satu plugin atau tema yang dikompromikan di situs Anda, menghapus / mengganti / memperbaruinya tidak akan mencabut webshells apa pun yang mungkin telah ditanam melaluinya.

Dengan demikian, administrator situs web disarankan untuk memindai situs mereka untuk tanda-tanda kompromi dengan melakukan hal berikut:

  • Periksa file wp-includes/vars.php Anda di sekitar baris 146-158. Jika Anda melihat fungsi “wp_is_mobile_fix” di sana dengan beberapa kode yang dikaburkan, Anda telah dikompromikan.
  • Kueri sistem file Anda untuk “wp_is_mobile_fix” atau “wp-theme-connect” untuk melihat apakah ada file yang terpengaruh.
  • Ganti file WordPress inti Anda dengan salinan baru.
  • Upgrade plugin yang terpengaruh dan beralih ke tema yang berbeda.
  • Ubah kata sandi wp-admin dan database.

Jetpack telah menyediakan aturan YARA berikut yang dapat digunakan untuk memeriksa apakah sebuah situs telah terinfeksi dan mendeteksi dropper dan webshell yang diinstal.

rule accesspress_backdoor_infection
{
strings:

// IoC’s for the dropper
$inject0 = “$fc = str_replace(‘function wp_is_mobile()’,”
$inject1 = “$b64($b) . ‘function wp_is_mobile()’,”
$inject2 = “$fc);”
$inject3 = “@file_put_contents($f, $fc);”

// IoC’s for the dumped payload
$payload0 = “function wp_is_mobile_fix()”
$payload1 = “$is_wp_mobile = ($_SERVER[‘HTTP_USER_AGENT’] == ‘wp_is_mobile’);”
$payload2 = “$g = $_COOKIE;”
$payload3 = “(count($g) == 8 && $is_wp_mobile) ?”

$url0 = /https?:\/\/(www\.)?wp\-theme\-connect\.com(\/images\/wp\-theme\.jpg)?/

condition:

all of ( $inject* )
or all of ( $payload* )
or $url0
}

Jetpack pertama kali mendeteksi backdoor pada September 2021, dan segera setelah itu, para peneliti menemukan bahwa aktor ancaman telah mengkompromikan semua plugin dan tema gratis milik vendor.

Sebagian besar produk kemungkinan telah dikompromikan pada awal September.

Sumber: Bleepingcomputer

Penyerang SolarWinds Menyerang Server Active Directory dengan FoggyWeb Backdoor

by

Pelaku ancaman di balik serangan rantai pasokan SolarWinds yang terkenal telah mengirimkan malware baru untuk mencuri data dan mempertahankan kegigihan di jaringan korban, menurut temuan para peneliti.

Para peneliti dari Microsoft Threat Intelligence Center (MSTIC) telah mengamati APT yang disebut Nobelium menggunakan pintu belakang pasca-eksploitasi yang dijuluki FoggyWeb, untuk menyerang server Active Directory Federation Services (AD FS). AD FS memungkinkan sistem masuk tunggal (SSO) di seluruh aplikasi berbasis cloud di lingkungan Microsoft, dengan berbagi identitas digital dan hak kepemilikan.

Serangan dimulai sejak April, tulis Ramin Nafisi dari MSTIC dalam sebuah posting blog yang diterbitkan hari Senin.

Nobelium menggunakan “beberapa taktik untuk mengejar pencurian kredensial” untuk mendapatkan hak admin ke server AD FS, tulis Nafisi. Kemudian, setelah server disusupi, kelompok ancaman menyebarkan FoggyWeb “untuk mengekstrak dari jarak jauh database konfigurasi server AD FS yang disusupi, sertifikat penandatanganan token yang didekripsi, dan sertifikat token-dekripsi,” katanya, yang dapat digunakan untuk menembus akun cloud pengguna.

Selain mengekstrak data sensitif dari jarak jauh, FoggyWeb juga mencapai persistence dan berkomunikasi dengan server perintah-dan-kontrol (C2) untuk menerima komponen berbahaya tambahan dan menjalankannya, tambah Nafisi.

Microsoft telah memberi tahu semua pelanggan yang diamati menjadi sasaran atau disusupi oleh FoggyWeb, serta menyertakan daftar lengkap indikator kompromi pada posting blog nya. Perusahaan juga telah merekomendasikan beberapa tindakan mitigasi untuk organisasi, termasuk: Audit infrastruktur lokal dan cloud untuk mengidentifikasi perubahan apa pun yang mungkin telah dilakukan aktor untuk mempertahankan akses; menghapus akses pengguna dan aplikasi, meninjau masing-masing konfigurasi, dan menerbitkan kembali kredensial baru yang kuat; dan menggunakan modul keamanan perangkat keras untuk mencegah eksfiltrasi data sensitif.

Microsoft juga menyarankan agar semua pelanggan meninjau konfigurasi Server AD FS mereka dan menerapkan perubahan apa pun yang diperlukan untuk mengamankan sistem dari serangan.

Selengkapnya: The Threat Post

Bank sentral Denmark terkena peretasan SolarWinds, kata laporan media

by

Bank sentral Denmark dikompromikan dalam operasi peretasan global SolarWinds tahun lalu, meninggalkan “pintu belakang” ke jaringannya terbuka selama tujuh bulan, media IT Version2 melaporkan pada hari Selasa, mengutip dokumen yang terkait dengan kasus tersebut.

Para peretas, yang dituduh oleh Amerika Serikat bekerja untuk intelijen Rusia, sangat hebat dan memodifikasi kode dalam perangkat lunak manajemen jaringan SolarWinds yang diunduh oleh 18.000 pelanggan di seluruh dunia.

Penyerang dapat menggunakan SolarWinds untuk masuk ke dalam jaringan dan kemudian membuat pintu belakang untuk akses lanjutan yang potensial.

Pintu belakang semacam itu terbuka di bank sentral Denmark selama tujuh bulan sampai ditemukan oleh perusahaan keamanan AS Fire Eye, Version2 mengatakan, mengutip berbagai dokumen yang diperolehnya berdasarkan permintaan kebebasan informasi, seperti email SolarWinds.

Bank sentral, yang mengelola transaksi bernilai miliaran dolar setiap hari, mengatakan dalam komentar email kepada Reuters bahwa “tidak ada tanda-tanda bahwa serangan itu memiliki konsekuensi nyata”.

“Serangan SolarWinds juga menghantam infrastruktur keuangan di Denmark. Sistem yang relevan ditampung dan dianalisis segera setelah kompromi SolarWinds Orion diketahui,” tambahnya.

Selengkapnya: Reuters

Malware Linux tersembunyi yang digunakan untuk sistem backdoor selama bertahun-tahun

by

Malware Linux yang baru-baru ini ditemukan dengan kemampuan backdoor telah berada di luar radar selama bertahun-tahun, memungkinkan penyerang untuk memanen dan mengekstrak informasi sensitif dari perangkat yang disusupi.

Backdoor, yang dijuluki RotaJakiro oleh para peneliti di Lab Penelitian Keamanan Jaringan Qihoo 360 (360 Netlab), tetap tidak terdeteksi oleh mesin anti-malware VirusTotal, meskipun sampel pertama kali diunggah pada tahun 2018.

RotaJakiro dirancang untuk beroperasi secara sembunyi-sembunyi, mengenkripsi saluran komunikasinya menggunakan kompresi ZLIB dan enkripsi AES, XOR, ROTATE.

Itu juga melakukan yang terbaik untuk memblokir analis malware agar tidak membedahnya karena informasi sumber daya yang ditemukan dalam sampel yang ditemukan oleh sistem BotMon 360 Netlab dienkripsi menggunakan algoritma AES.

Penyerang dapat menggunakan RotaJakiro untuk mengekstrak info sistem dan data sensitif, mengelola plugin dan file, dan menjalankan berbagai plugin pada perangkat Linux 64-bit yang disusupi.

Namun, 360 Netlab belum menemukan maksud sebenarnya pembuat malware untuk alat berbahaya mereka karena kurangnya visibilitas ketika datang ke plugin yang disebarkannya pada sistem yang terinfeksi.

Sejak 2018 ketika sampel RotaJakiro pertama mendarat di VirusTotal, 360 Netlab menemukan empat sampel berbeda yang diunggah antara Mei 2018 dan Januari 2021, semuanya dengan total nol deteksi yang mengesankan.

Peneliti 360 Netlab juga menemukan tautan ke botnet Torii IoT yang pertama kali ditemukan oleh pakar malware Vesselin Bontchev dan dianalisis oleh Tim Intelijen Ancaman Avast pada September 2018.

Selengkapnya: Bleeping Computer

Cyberspies menargetkan organisasi militer di negara Asia Tenggara dengan backdoor Nebulae baru

by

Aktor ancaman berbahasa Mandarin telah menyebarkan backdoor baru dalam beberapa operasi spionase dunia maya yang berlangsung selama kira-kira dua tahun dan menargetkan organisasi militer dari Asia Tenggara.

Setidaknya selama satu dekade, kelompok peretas yang dikenal sebagai Naikon telah aktif memata-matai organisasi di negara-negara sekitar Laut Cina Selatan, termasuk Filipina, Malaysia, Indonesia, Singapura, dan Thailand, setidaknya selama satu dekade, sejak 2010.

Naikon kemungkinan adalah aktor ancaman yang disponsori negara yang terkait dengan China, sebagian besar dikenal karena memfokuskan upayanya pada organisasi terkenal, termasuk entitas pemerintah dan organisasi militer.

Selama serangan mereka, Naikon menyalahgunakan perangkat lunak yang sah untuk memuat malware tahap kedua yang dijuluki Nebulae kemungkinan digunakan untuk mencapai persistence, menurut penelitian yang diterbitkan oleh peneliti keamanan di Lab Intelijen Ancaman Cyber Bitdefender.

Nebulae menyediakan kemampuan tambahan yang memungkinkan penyerang mengumpulkan informasi sistem, memanipulasi file dan folder, mendownload file dari server perintah dan kontrol, dan menjalankan, mendaftar, atau menghentikan proses pada perangkat yang disusupi.

Dalam rangkaian serangan yang sama, pelaku ancaman Naikon juga mengirimkan malware tahap pertama yang dikenal sebagai RainyDay atau FoundCore yang digunakan untuk menyebarkan muatan tahap kedua dan alat yang digunakan untuk berbagai tujuan, termasuk backdoor Nebulae.

Sumber: Bitdefender

Selengkapnya: Bleeping Computer

Apakah Seseorang di Departemen Perdagangan Menemukan Pintu Belakang SolarWinds pada Agustus 2020?

by

Pada 13 Agustus 2020, seseorang mengunggah file yang dicurigai berbahaya ke VirusTotal, sebuah layanan yang memindai file yang dikirimkan terhadap lebih dari lima lusin produk antivirus dan keamanan. Bulan lalu, Microsoft dan FireEye mengidentifikasi file itu sebagai pintu belakang malware keempat yang baru ditemukan yang digunakan dalam supply chain hack SolarWinds yang luas. Analisis file berbahaya dan kiriman lainnya oleh pengguna VirusTotal yang sama menyarankan akun yang awalnya menandai backdoor sebagai mencurigakan milik personel TI di National Telecommunications and Information Administration (NTIA), sebuah divisi dari Departemen Perdagangan AS yang menangani telekomunikasi dan Kebijakan Internet.
Baik Microsoft dan FireEye menerbitkan posting blog pada 4 Maret tentang pintu belakang baru yang ditemukan pada target bernilai tinggi yang disusupi oleh penyerang SolarWinds. FireEye menyebut pintu belakang sebagai “Sunshuttle”, sedangkan Microsoft menyebutnya “GoldMax”.

Selengkapnya: krebsonsecurity