Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Backdoor

Backdoor

Geng ransomware menargetkan bisnis Rusia dalam serangan terkoordinasi yang jarang terjadi

by

Perusahaan keamanan Group-IB mengatakan telah mengidentifikasi grup kejahatan siber baru yang, selama enam bulan terakhir, telah berulang kali dan dengan sengaja menargetkan bisnis Rusia dengan serangan malware dan ransomware.

Dinamakan OldGremlin, Group-IB mengatakan para peretas berada di balik serangan yang ditargetkan dengan ransomware strain baru yang disebut TinyCryptor (alias decr1pt).

“Mereka telah mencoba untuk menargetkan hanya perusahaan Rusia sejauh ini,” Oleg Skulkin, analis DFIR senior Grup-IB, mengatakan kepada ZDNet minggu ini.

“Ini sangat tidak biasa bagi geng berbahasa Rusia yang memiliki aturan tak terucapkan tentang tidak menargetkan Rusia dan negara-negara pasca-Soviet.”

Serangan OldGremlin biasanya dimulai dengan email spear-phishing yang membawa file ZIP yang mengandung malware, yang biasanya akan menginfeksi korban dengan trojan backdoor bernama TinyNode.

Ini memberi penyerang pijakan awal di jaringan perusahaan, di mana para peretas menyebar secara lateral ke sistem lain dan kemudian menyebarkan ransomware pada tahap akhir serangan mereka.

Setelah jaringan dienkripsi, kru OldGremlin biasanya meminta pembayaran tebusan sekitar $50.000 menggunakan pesan yang ditinggalkan di sistem yang terinfeksi dan mengarah kembali ke alamat ProtonMail.

Skulkin mengatakan Group-IB telah mengidentifikasi grup OldGremlin pada bulan Agustus, tetapi serangan grup tersebut dimulai pada bulan Maret, dengan email phishing mereka menggunakan berbagai macam umpan, mulai dari menyamar sebagai jurnalis yang mencari wawancara hingga menggunakan demonstrasi anti-pemerintah di Belarusia sebagai pembuka percakapan.

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: ZDNet

Sebuah Spyware Tersembunyi di Dalam Perangkat Lunak Perpajakan Cina Yang Diduga Ditanamkan Oleh Aktor Negara-Bangsa

by

Dilansir dari NBCnews.com, sebuah vendor teknologi multinasional yang melakukan bisnis di China diinstruksikan oleh bank China untuk menginstal perangkat lunak untuk membayar pajak lokal pada awal tahun ini.

Perangkat lunak pajak itu sebenarnya sah, tetapi di dalam nya tertanam sesuatu yang tidak menyenangkan, menurut laporan baru oleh sebuah perusahaan keamanan swasta, Trustwave: Sepotong malware canggih yang memberi para penyerang akses penuh ke jaringan perusahaan.

Trustwavejuga mengatakan malware itu, yang diberi nama GoldenSpy, telah aktif pada bulan April, dan karena terdeteksi awal, perusahaan tidak yakin apakah itu pekerjaan pemerintah Cina atau kelompok kriminal. Tetapi kecanggihan malware itu, dan kurangnya hasil finansial yang cepat dan jelas, tampaknya menunjuk pada aktor negara-bangsa sebagai pelakunya, kata Brian Hussey, mantan spesialis siber FBI dan wakil presiden Trustwave untuk deteksi dan respons ancaman.

Trustwave mendeteksi malware itu setelah melihat beberapa “suar” yang mencurigakan dari jaringan klien. Mereka juga menemukan bahwa spyware diaktifkan dua jam setelah perangkat lunak pajak diinstal, dan secara diam-diam memasang pintu belakang (backdoor) yang memungkinkan penyerang memasang malware lain di dalam jaringan.

Kode berbahaya itu sangat canggih, kata Hussey. Ia memiliki apa yang disebutnya sebagai triple layer of persistence. GoldenSpy menginstal dirinya sendiri pada dua lokasi berbeda di jaringan, dan jika satu dihapus, secera otomatis akan mengaktifkan yang lainnya. Ada juga yang disebut modul pelindung, yang akan mengunduh dan menginstal salinan lain jika keduanya dihapus.

“Pada titik ini, kami tidak dapat menentukan seberapa luas penyebaran perangkat lunak ini,” kata laporan itu. “Kami saat ini mengetahui satu vendor teknologi / perangkat lunak yang ditargetkan dan kejadian yang sangat mirip terjadi di sebuah lembaga keuangan besar, tetapi ini dapat dimanfaatkan terhadap banyak perusahaan yang beroperasi dan membayar pajak di Cina atau mungkin ditargetkan hanya pada beberapa organisasi terpilih dengan akses ke informasi penting.”

“Kampanye GoldenSpy memiliki karakteristik yang sama dengan kampanye Advanced Persistent Threat (APT) terkoordinasi yang menargetkan perusahaan asing yang beroperasi di China,” kata laporan Trustwave.

Berita selengkapnya dapat dibaca pada tautan dibawah ini;
Source: NBC News

Keamanan Linux: Grup Peretas Cina Mungkin Telah Mengompromikan Mesin Linux Yang Tak Terhitung Jumlahnya Sejak 2012

by

Menurut laporan baru dari tim penelitian dan intelijen BlackBerry, peretas tingkat lanjut yang bekerja untuk kepentingan Cina telah menyerang dan menargetkan sistem operasi Linux dengan banyak keberhasilan dan sedikit atau tanpa deteksi.

 

Mungkin banyak yang berfikir bahwa ini tidak terlalu bermasalah mengingat bahwa statistik terbaru menunjukkan Linux memegang 1,71% dari pangsa pasar sistem operasi desktop global dibandingkan dengan 77,1% untuk Windows. Sampai Anda menyadari bahwa faktanya Linux memberi daya pada 100% dari 500 superkomputer teratas dan, menurut penelitian BlackBerry, 75% dari semua server web dan penyedia layanan cloud utama menggunakan sistem operasi ini.

Penelitian baru ini menambah kekhawatiran itu, yang mengklaim bahwa upaya terpadu yang melibatkan lima kelompok ancaman persisten tingkat lanjut China (APT) telah difokuskan pada server Linux yang “terdiri dari tulang punggung mayoritas pusat data besar yang bertanggung jawab untuk beberapa operasi jaringan perusahaan yang paling sensitif.”

 

Apa yang para peneliti temukan adalah bukti dari perangkat malware Linux yang sebelumnya tidak terdokumentasi yang digunakan oleh para aktor ancaman ini. Toolset yang mencakup tidak kurang dari dua rootkit tingkat kernel dan tiga backdoors. Toolset yang dikonfirmasi oleh para peneliti, telah secara aktif digunakan sejak 13 Maret 2012.

Analisis Decade of RATs oleh para peneliti BlackBerry menautkan toolkit malware yang sebelumnya tidak dikenal ini dengan salah satu botnet Linux terbesar yang pernah ditemukan, dan menyimpulkan bahwa “sangat mungkin” bahwa jumlah organisasi yang terkena dampak sangat banyak dan “durasi infeksi yang panjang.”

 

Baca artikel selengkapnya pada tautan di bawah ini;

Source: Forbes

Lebih dari 12.000 Aplikasi Android berisi kata sandi utama, kunci akses rahasia dan perintah rahasia

by

Studi akademik yang komprehensif menemukan perilaku seperti backdoor tersembunyi di 6.800 aplikasi Play Store, 1.000 aplikasi dari toko aplikasi pihak ketiga, dan hampir 4.800 aplikasi pra-instal pada perangkat Samsung.

Untuk menemukan perilaku tersembunyi ini, akademisi dari Eropa dan AS mengembangkan alat khusus bernama InputScope.

 

“Evaluasi kami menemukan situasi yang memprihatinkan,” kata tim peneliti. “Kami mengidentifikasi 12.706 aplikasi yang berisi berbagai backdoor seperti kunci akses rahasia, kata sandi utama, dan perintah rahasia.”

Para peneliti mengatakan mekanisme backdoor yang tersembunyi ini dapat memungkinkan penyerang untuk mendapatkan akses tidak sah ke akun pengguna. Lalu jika penyerang memiliki akses fisik ke perangkat dan salah satu aplikasi ini diinstal, itu juga dapat memberikan penyerang akses ke telepon atau memungkinkan mereka untuk menjalankan kode pada perangkat dengan hak istimewa yang tinggi (karena perintah rahasia tersembunyi yang ada di kolom input aplikasi).

 

Seperti dapat dilihat dari contoh yang diberikan oleh tim peneliti diatas, beberapa masalah jelas membahayakan keselamatan pengguna, dan data yang tersimpan di perangkat, sementara yang lain hanya telur Paskah yang tidak berbahaya atau fitur debugging yang secara tidak sengaja dimuat dalam produksi.

 

Tim peneliti mengatakan mereka memberi tahu semua pengembang aplikasi tempat mereka menemukan perilaku tersembunyi atau mekanisme seperti backdoor tersebut. Namun, tidak semua pengembang aplikasi merespons.

Akibatnya, beberapa aplikasi yang disediakan sebagai contoh dalam laporan mereka telah dihapus namanya untuk melindungi pengguna mereka.

 

Detail selengkapnya mengenai penelitian tersebut dapat diakses pada link berikut.

Artikel selengkapnya dapat dibaca pada link dibawah ini:
Source: ZDNet

Malware Backdoor sedang disebarkan melalui peringatan sertifikat keamanan palsu

by

Varian Backdoor dan Trojan malware sedang didistribusikan melalui teknik phishing baru yang berupaya memikat korban agar menerima “pembaruan” sertifikat keamanan situs web.

Pada hari Kamis, para peneliti cybersecurity dari Kaspersky melaporkan bahwa teknik baru ini telah ditemukan di berbagai situs web, mulai dari kebun binatang hingga e-commerce yang menjual suku cadang kendaraan. Infeksi paling awal terjadi pada 16 Januari 2020.

Pengunjung domain yang telah dikompromikan akan melihat layar berikut;

Peringatan mengklaim sertifikat keamanan situs web sudah ketinggalan zaman, tetapi alih-alih ini menjadi masalah pemilik domain, pengunjung didesak untuk menginstal “pembaruan sertifikat keamanan” untuk melanjutkan akses pada situs tersebut.

 

Jika korban memilih untuk mengklik tombol perbarui, unduhan file, Certificate_Update_v02.2020.exe, akan dimulai. Ketika dibuka dan diinstal, executable akan mengirimkan salah satu dari dua varian malware ke perangkat korban; Mokes (Backdoor) atau Buerak (Trojan).

 

Dalam berita yang terkait minggu ini, CA (Certificate Authorities) Let’s Encrypt mengumumkan rencana untuk mencabut lebih dari tiga juta sertifikat karena bug dalam kode backend yang menyebabkan sistem verifikasi mengabaikan beberapa pemeriksaan lapangan CAA. Kesalahan pemrograman sekarang telah diperbaiki. Pemilik domain yang terkena dampak harus meminta sertifikat baru.

 

Info lebih lanjut dapat dibaca pada tautan dibawah ini;

Source: ZDNet

Grup peretas Iran telah meretas server VPN untuk menanam backdoors di perusahaan-perusahaan di seluruh dunia

by

Sebuah laporan baru yang diterbitkan pada hari Minggu kemarin mengungkapkan bahwa grup peretas yang didukung pemerintah Iran telah membuat prioritas utama tahun lalu untuk mengeksploitasi bug VPN segera setelah bug tersebut diketahui publik untuk menyusup dan menanam backdoor di perusahaan-perusahaan di seluruh dunia. Mereka menyebutnya sebagai “Fox Kitten Campaign”

 

Menurut laporan dari perusahaan keamanan siber Israel, ClearSky, peretas Iran telah menargetkan perusahaan dari sektor TI, Telekomunikasi, Minyak dan Gas, Penerbangan, Pemerintahan, dan Keamanan. Tujuan serangan ini adalah untuk menembus jaringan perusahaan, bergerak ke seluruh sistem internal mereka, dan menanam backdoor untuk dieksploitasi di kemudian hari.

 

Pengungkapan lain dari laporan ClearSky adalah bahwa kelompok-kelompok Iran juga tampaknya berkolaborasi dan bertindak sebagai satu group, sesuatu yang belum pernah terlihat sebelumnya.

 

Klik link dibawah ini untuk membaca berita selengkapnya!

Source: ZDNet  |  ClearSky

Backdoor yang ditemukan sejak 2013 pada chip HiSilicon masih aktif sampai sekarang

by

Peneliti keamanan dari Rusia, Vladislav Yarmak, telah menerbitkan rincian mengenai mekanisme backdoor yang ia temukan dalam chip HiSilicon (chip yang digunakan oleh jutaan perangkat pintar di seluruh dunia, seperti kamera keamanan, DVR, NVR, dan lainnya). Dan sebagai catatan, HiSilicon adalah anak perusahaan Huawei.

 

Perbaikan firmware saat ini tidak tersedia karena Yarmak tidak melaporkan masalah ini ke HiSilicon dengan alasan kurangnya kepercayaan kepada vendor untuk memperbaiki masalah dengan benar.

 

Dalam laporan yang diterbitkan Yarmak di Habr, dia mengatakan mekanisme backdoor yang ia temukan sebenarnya merupakan gabungan dari empat bug / backdoor keamanan lama yang awalnya ditemukan dan dipublikasikan pada Maret 2013, Maret 2017, Juli 2017, dan September 2017.

 

Backdoor tersebut dapat dieksploitasi dengan cara mengirimkan serangkaian perintah melalui TCP port 9530, perintah tersebut akan mengaktifkan layanan Telnet pada perangkat yang rentan. Begitu layanan Telnet aktif dan berjalan, penyerang dapat masuk dengan salah satu dari enam kredensial Telnet yang tercantum di bawah ini, dan mendapatkan akses ke akun root yang memberi mereka kendali penuh atas perangkat yang rentan.

 

 

Buka link dibawah untuk membaca berita selengkapnya!

Source: ZDNet | Extreme Tech