• Skip to main content

Naga Cyber Defense

Trusted Security for all of Indonesia

  • Home
  • About
  • Programs
  • Contact
  • Blog
You are here: Home / Archives for Botnet

Botnet

Google Mengganggu Botnet Glupteba Besar-besaran, Menuntut Operator Rusia

December 8, 2021 by Eevee

Google mengumumkan hari ini bahwa mereka telah mengambil tindakan untuk mengganggu botnet Glupteba yang sekarang mengendalikan lebih dari 1 juta PC Windows di seluruh dunia, tumbuh oleh ribuan perangkat baru yang terinfeksi setiap hari.

Glupteba adalah malware yang mendukung blockchain dan modular yang telah menargetkan perangkat Windows di seluruh dunia setidaknya sejak 2011, termasuk AS, India, Brasil, dan negara-negara dari Asia Tenggara.

Aktor ancaman di balik strain malware ini terutama mendistribusikan muatan ke perangkat target melalui jaringan pay-per-install (PPI) dan lalu lintas yang dibeli dari sistem distribusi lalu lintas (TDS) yang disamarkan sebagai “perangkat lunak, video, atau film gratis yang dapat diunduh.”

Setelah menginfeksi host, ia dapat menambang cryptocurrency, mencuri kredensial dan cookie pengguna, dan menyebarkan proxy pada sistem Windows dan perangkat IoT, yang kemudian dijual sebagai ‘proxy perumahan’ ke penjahat dunia maya lainnya.

Sebagai bagian dari upaya bersama Google untuk mengganggu botnet, perusahaan mengambil alih infrastruktur perintah dan kontrol utama Glupteba (C2), yang menggunakan mekanisme cadangan blockchain Bitcoin untuk menambah ketahanan jika server C2 utama berhenti merespons.

“Kami percaya tindakan ini akan berdampak signifikan pada operasi Glupteba,” kata Shane Huntley dan Luca Nagy dari Google Threat Analysis Group.

“Namun, operator Glupteba kemungkinan akan mencoba untuk mendapatkan kembali kendali atas botnet menggunakan perintah cadangan dan mekanisme kontrol yang menggunakan data yang dikodekan pada blockchain Bitcoin.”

Tindakan hukum terhadap gangguan botnet

Google juga mengajukan perintah penahanan sementara dan pengaduan di Distrik Selatan New York terhadap dua terdakwa Rusia (Dmitry Starovikov dan Alexander Filippov) dan 15 orang tak dikenal lainnya.

Keluhan tersebut mengklaim bahwa 17 terdakwa adalah orang-orang yang mengoperasikan dan mengkoordinasikan serangan Glupteba dengan tujuan akhir mencuri akun pengguna dan info kartu kredit, menjual penempatan iklan dan akses proxy pada perangkat yang terinfeksi, dan menambang cryptocurrency dalam penipuan dan penyalahgunaan komputer, pelanggaran merek dagang, dan skema lainnya.

Di antara layanan online yang ditawarkan oleh operator botnet Glupteba, Google menyebutkan “menjual akses ke mesin virtual yang sarat dengan kredensial curian (jangan [.] farm), akses proxy (awmproxy), dan menjual nomor kartu kredit (extracard) untuk digunakan untuk kegiatan berbahaya lainnya seperti menayangkan iklan berbahaya dan penipuan pembayaran di Google Ads.

“Sifat blockchain yang terdesentralisasi memungkinkan botnet pulih lebih cepat dari gangguan, membuat mereka jauh lebih sulit untuk ditutup. “Kami bekerja sama dengan industri dan pemerintah saat kami memerangi perilaku semacam ini, sehingga bahkan jika Glupteba kembali, internet akan lebih terlindungi darinya.”

Pada hari Senin, Microsoft juga menyita puluhan situs berbahaya yang digunakan oleh kelompok peretasan yang berbasis di Nickel China (alias KE3CHANG, APT15, Vixen Panda, Royal APT, dan Playful Dragon) untuk menargetkan server milik organisasi pemerintah, entitas diplomatik, dan organisasi non-pemerintah (LSM) di AS dan 28 negara lain di seluruh dunia.

Sumber: Bleepingcomputer

Tagged With: Botnet, Botnet Glupteba, Google, Rusia

Botnet EwDoor menargetkan perangkat tepi jaringan AT&T di perusahaan AS

December 1, 2021 by Eevee

Botnet yang baru-baru ini ditemukan menyerang perangkat tepi jaringan perusahaan AT&T yang belum ditambal menggunakan eksploitasi untuk kelemahan keamanan Blind Command Injection.

Botnet yang dijuluki EwDoor oleh peneliti di Lab Penelitian Keamanan Jaringan Qihoo 360 (360 Netlab), menargetkan pelanggan AT&T yang menggunakan perangkat edge EdgeMarc Enterprise Session Border Controller (ESBC).

Peralatan EdgeMarc mendukung VoIP dan lingkungan data berkapasitas tinggi, menjembatani kesenjangan antara jaringan perusahaan dan penyedia layanan mereka, dalam hal ini, operator AT&T.

Namun, ini juga mengharuskan perangkat untuk terbuka secara publik ke Internet, meningkatkan keterpaparan mereka terhadap serangan jarak jauh.

360 Netlab melihat botnet pada 27 Oktober ketika serangan pertama yang menargetkan perangkat Edgewater Networks yang terpapar Internet yang belum ditambal terhadap kerentanan kritis CVE-2017-6079 dimulai.

Para peneliti dapat melihat sekilas ukuran botnet dengan mendaftarkan salah satu domain command-and-control (C2) cadangannya dan memantau permintaan yang dibuat dari perangkat yang terinfeksi.

Selama tiga jam sebelum operator botnet beralih ke model komunikasi jaringan C2 yang berbeda, 360 Netlab dapat melihat sekitar 5.700 perangkat yang terinfeksi.

“Dengan memeriksa kembali sertifikat SSL yang digunakan oleh perangkat ini, kami menemukan bahwa ada sekitar 100 ribu IP yang menggunakan sertifikat SSL yang sama. Kami tidak yakin berapa banyak perangkat yang sesuai dengan IP ini yang dapat terinfeksi, tetapi kami dapat berspekulasi bahwa itu milik mereka. untuk kelas perangkat yang sama, kemungkinan dampaknya adalah nyata.”

360 Netlab mengatakan botnet kemungkinan digunakan untuk meluncurkan serangan penolakan layanan (DDoS) terdistribusi dan sebagai pintu belakang untuk mendapatkan akses ke jaringan target.

Saat ini botnet memiliki enam fitur utama: pembaruan sendiri, pemindaian port, manajemen file, serangan DDoS, shell terbalik, dan eksekusi perintah sewenang-wenang pada server yang disusupi.

“Berdasarkan perangkat yang diserang terkait komunikasi telepon, kami menganggap bahwa tujuan utamanya adalah serangan DDoS, dan pengumpulan informasi sensitif, seperti log panggilan.”

EwDoor botnet (360 Netlab)

EwDoor menggunakan enkripsi TLS untuk memblokir upaya intersepsi lalu lintas jaringan dan mengenkripsi sumber daya untuk memblokir analisis malware.

Detail teknis tambahan tentang botnet EwDoor dan indikator kompromi (IOC), termasuk domain C2 dan hash sampel malware, dapat ditemukan di laporan 360 Netlab.

Bleeping Computer

Tagged With: AT&T, Blind Command Injection., Botnet, EdgeMarc, EwDoor

PERINGATAN ANCAMAN: Serangan penambang Crypto – Sysrv-Hello Botnet menargetkan pod WordPress

August 31, 2021 by Winnie the Pooh

Tim Riset Keamanan Sysdig telah mengidentifikasi serangan Cryptominer yang menyerang pod Kubernetes yang menjalankan WordPress, terkait dengan Botnet Sysrv-Hello baru-baru ini.

Tujuan serangan itu adalah untuk mengontrol pod, menambang cryptocurrency, dan mereplikasi dirinya dari sistem yang disusupi.

Secara khusus, penyerang menargetkan WordPress yang salah dikonfigurasi untuk melakukan akses awal. Mereka kemudian mencoba menghentikan malware potensial lainnya, menginstal dan mengeksekusi cryptominer, dan akhirnya, mencoba mereplikasi dirinya sendiri (dalam infrastruktur honeypot Sysdig dan di internet).

Yang perlu diperhatikan tentang serangan ini adalah bahwa hash biner dari skrip serangan dan cryptominer sangat baru, dan pendaftar pada basis data malware menunjukkan bahwa sangat sedikit orang yang mendeteksinya. Jadi, sebagian besar perangkat lunak keamanan tidak akan dapat mendeteksi serangan tersebut, dan Anda harus bergantung pada pendeteksian perilakunya untuk mendapatkan peringatan.

Apa itu Botnet Sysrv-Hello?

Botnet Sysrv-hello adalah infeksi Windows dan Linux yang pertama kali diidentifikasi pada akhir Desember 2020, yang mengeksploitasi banyak kerentanan dan disebarkan melalui skrip shell.

sejak identifikasi pertama, penyerang melakukan beberapa perubahan dalam skrip shell yang menginstal implan Sysrv-hello, yang merupakan cara malware executable disebarkan pada sistem host.

Dalam perubahan terbaru mereka, botnet memiliki fitur dan eksploitasi baru untuk replikasi. Fitur baru yang paling penting adalah kemampuan untuk mengunduh penambang seperti Monero dan mulai menambang cryptocurrency.

Selengkapnya: Sysdig

Tagged With: Botnet, cryptocurrency, Cybersecurity, Sysrv-Hello, WordPress

Peringatan keamanan siber: Kelemahan Realtek membuat lusinan merek terkena serangan rantai pasokan

August 27, 2021 by Winnie the Pooh

Sebuah cacat baru-baru ini diungkapkan dalam chipset dari perusahaan semikonduktor Taiwan Realtek sedang ditargetkan oleh botnet berdasarkan malware IoT lama, Mirai.

Perusahaan keamanan Jerman IoT Inspector melaporkan bahwa bug Realtek, dilacak sebagai CVE-2021-35395, memengaruhi lebih dari 200 produk Wi-Fi dan router dari 65 vendor, termasuk Asus, Belkin, China Mobile, Compal, D-Link, LG, Logitec, Netgear, ZTE, dan Zyxel.

Cacat ini terletak di perangkat pengembang perangkat lunak Realtek (SDK) dan saat ini sedang diserang dari kelompok yang menggunakan varian malware IoT, Mirai, yang dirancang untuk berfungsi pada perangkat dengan budget prosesor dan sedikit memori.

Jika serangan berhasil, penyerang akan mendapatkan kontrol penuh atas modul Wi-Fi dan akses root ke sistem operasi perangkat.

Serangan tersebut menyoroti kerentanan dalam rantai pasokan perangkat lunak yang diharapkan oleh Presiden AS Joe Biden dapat ditambal dengan miliaran dolar yang dijanjikan minggu ini oleh Microsoft dan Google.

Sementara Mirai menimbulkan beberapa ancaman terhadap informasi yang disimpan di perangkat seperti router, kerusakan yang lebih besar disebabkan oleh serangan penolakan layanan terdistribusi (DDoS) bertenaga tinggi di situs web yang menggunakan perangkat yang disusupi.

Realtek telah merilis tambalan, tetapi merek perangkat (OEM) perlu mendistribusikannya ke pengguna akhir pada perangkat yang, sebagian besar, tidak memiliki antarmuka pengguna, dan oleh karena itu tidak dapat digunakan untuk mengomunikasikan bahwa tambalan tersedia. Vendor perlu menganalisis firmware mereka untuk memeriksa keberadaan kerentanan.

Selengkapnya: ZDNet

Tagged With: Botnet, Cybersecurity, Mirai, Realtek, Vulnerability

Botnet Menghasilkan Salah Satu Serangan DDoS Terbesar dalam Catatan

August 23, 2021 by Winnie the Pooh

Bulan lalu, seseorang mencoba meluncurkan salah satu serangan Distributed Denial of Service (DDoS) terbesar yang pernah tercatat untuk menghapus situs keuangan, menurut Cloudflare, penyedia infrastruktur internet.

Serangan itu melibatkan menghasilkan banjir lalu lintas internet melalui permintaan berbasis browser HTTP. Pada puncaknya, pengeboman mencapai 17,2 juta permintaan per detik.

“Untuk perspektif tentang seberapa besar serangan ini: Cloudflare melayani rata-rata lebih dari 25 juta permintaan HTTP per detik,” tulis perusahaan itu dalam sebuah posting blog pada hari Kamis. “Jadi memuncak pada 17,2 juta rps, serangan ini mencapai 68% dari rata-rata rps rata-rata Q2 kami dari lalu lintas HTTP yang sah.”

Secara total, serangan itu membombardir server perusahaan dengan 330 juta permintaan dalam waktu kurang dari satu menit. Namun, Cloudflare mengatakan sistem otomatisnya dapat secara otomatis mendeteksi dan mengurangi banjir lalu lintas.

​​Menurut Cloudflare, insiden tersebut merupakan serangan DDoS berbasis lapisan aplikasi terbesar yang diketahui publik. Pemegang rekor sebelumnya adalah serangan 6 juta permintaan per detik yang terdeteksi Google tahun lalu.

Cloudflare melihat sumber serangan 17,2 juta rps ke botnet 20.000 mesin, yang merupakan pasukan komputer yang dikendalikan malware. “Berdasarkan alamat IP sumber bot, hampir 15% serangan berasal dari Indonesia dan 17% lainnya dari India dan Brasil digabungkan, menunjukkan bahwa mungkin ada banyak perangkat yang terinfeksi malware di negara-negara tersebut,” kata perusahaan tersebut.

Sumber: PC Mag

Selengkapnya: PC Mag

Tagged With: Botnet, Cloudflare, Cyber Attack, DDoS, Indonesia

Bug yang dieksploitasi secara aktif melewati otentikasi pada jutaan router

August 9, 2021 by Winnie the Pooh

Pelaku ancaman secara aktif mengeksploitasi kerentanan bypass otentikasi kritis yang memengaruhi router rumah dengan firmware Arcadyan untuk mengambil alih dan menyebarkan muatan berbahaya botnet Mirai.

Kerentanan yang dilacak sebagai CVE-2021-20090 adalah kerentanan traversal jalur kritis (diberi peringkat 9.9/10) di antarmuka web router dengan firmware Arcadyan yang dapat memungkinkan penyerang jarak jauh yang tidak diautentikasi untuk mem-bypass otentikasi.

Serangan yang sedang berlangsung ditemukan oleh peneliti Juniper Threat Labs saat memantau aktivitas aktor ancaman yang dikenal menargetkan jaringan dan perangkat IoT sejak Februari.

Perangkat yang rentan termasuk lusinan model router dari beberapa vendor dan ISP, termasuk Asus, British Telecom, Deutsche Telekom, Orange, O2 (Telefonica), Verizon, Vodafone, Telstra, dan Telus.

Berdasarkan jumlah model router dan daftar panjang vendor yang terkena dampak bug ini, jumlah total perangkat yang terkena serangan kemungkinan mencapai jutaan router.

Cacat keamanan ditemukan oleh Tenable, yang menerbitkan penasihat keamanan pada 26 April dan menambahkan bukti konsep kode eksploitasi pada Selasa, 3 Agustus.

A little video demo from the Buffalo writeup ( https://t.co/ySft5EP299 ) : pic.twitter.com/1ulDi0CyXZ

— evan grant (@stargravy) August 3, 2021

Sejak Kamis, Juniper Threat Labs “mengidentifikasi beberapa pola serangan yang mencoba mengeksploitasi kerentanan ini di alam liar yang berasal dari alamat IP yang terletak di Wuhan, provinsi Hubei, Cina.”

Pelaku ancaman di balik aktivitas eksploitasi yang sedang berlangsung ini menggunakan alat berbahaya untuk menyebarkan varian botnet Mirai, serupa dengan yang digunakan dalam kampanye Mirai yang menargetkan perangkat IoT dan keamanan jaringan, yang ditemukan oleh peneliti Unit 42 pada bulan Maret.

Selengkapnya: Bleeping Computer

Tagged With: Botnet, Cybersecurity, Mirai, Router, Vulnerability

Singapura melihat lonjakan serangan ransomware dan botnet

July 8, 2021 by Winnie the Pooh

Singapore Computer Emergency Response Team (SingCERT) tahun lalu menangani 9.080 kasus, naik dari 8.491 pada tahun sebelumnya dan 4.977 pada 2018, menurut laporan terbaru Singapore Cyber Landscape yang dirilis Kamis oleh Cyber Security Agency of Singapore (CSA). Badan pemerintah mencatat bahwa tahun lalu terjadi peningkatan yang nyata dalam ransomware, penipuan online, dan aktivitas phishing COVID-19.

Secara khusus, jumlah serangan ransomware yang dilaporkan mengalami lonjakan signifikan sebesar 154% pada tahun 2020, dengan 89 insiden, dibandingkan dengan 35 pada tahun 2019. Ini sebagian besar mempengaruhi usaha kecil dan menengah (UKM) di berbagai sektor termasuk manufaktur, ritel, dan perawatan kesehatan.

CSA mengaitkan peningkatan kasus ransomware di Singapura dengan wabah ransomware global, di mana serangan semacam itu berubah dari tidak pandang bulu dan bersifat oportunistik menjadi “Perburuan Besar” yang lebih bertarget. Penjahat dunia maya juga beralih ke taktik ransomware-as-a-service dan “kebocoran dan rasa malu”, kata agensi tersebut.

Disebutkan bahwa jumlah serangan server command-and-control (C&C) berbahaya juga tumbuh 94% menjadi 1.026 insiden yang dilaporkan tahun lalu. Ini sebagian didorong oleh peningkatan server semacam itu yang mendistribusikan malware Emotet dan Cobalt Strike, yang merupakan sepertiga dari malware di server C&C.

Sekitar 6.600 botnet drone dengan alamat IP Singapura diidentifikasi setiap hari tahun lalu, naik dari 2.300 pada 2019. CSA mengungkapkan bahwa varian malware Mirai dan Gamarue lazim di antara botnet yang terinfeksi pada 2020, dengan malware sebelumnya menargetkan terutama perangkat Internet of Things (IoT).

Selengkapnya: ZDNet

Tagged With: Botnet, Cyber Threat, Cybersecurity, Cybersecurity Report, Ransomware, Singapore

TrickBot Botnet Ditemukan Menyebarkan Ransomware Baru yang Disebut Diavol

July 6, 2021 by Winnie the Pooh

Pelaku ancaman di balik malware TrickBot yang terkenal telah dikaitkan dengan jenis ransomware baru bernama “Diavol,” menurut penelitian terbaru.

Muatan ransomware Diavol dan Conti dikerahkan pada sistem yang berbeda dalam kasus serangan yang gagal menargetkan salah satu pelanggannya awal bulan ini, kata peneliti dari FortiGuard Labs Fortinet minggu lalu.

TrickBot, Trojan perbankan yang pertama kali terdeteksi pada tahun 2016, secara tradisional merupakan solusi crimeware berbasis Windows, menggunakan modul yang berbeda untuk melakukan berbagai aktivitas berbahaya di jaringan target, termasuk pencurian kredensial dan melakukan serangan ransomware.

Terlepas dari upaya penegakan hukum untuk menetralisir jaringan bot, malware yang terus berkembang telah terbukti menjadi ancaman yang tangguh, dengan operator yang berbasis di Rusia – dijuluki “Wizard Spider” – dengan cepat mengadaptasi alat baru untuk melakukan serangan lebih lanjut.

Diavol dikatakan telah dikerahkan di alam liar dalam satu insiden hingga saat ini. Sumber intrusi masih belum diketahui. Yang jelas, bagaimanapun, adalah bahwa kode sumber payload memiliki kesamaan dengan Conti, meskipun catatan tebusan telah ditemukan untuk menggunakan kembali beberapa bahasa dari ransomware Egregor.

Aspek lain dari ransomware yang menonjol adalah ketergantungannya pada teknik anti-analisis untuk mengaburkan kodenya dalam bentuk gambar bitmap, dari mana rutinitas dimuat ke dalam buffer dengan izin eksekusi.

Selengkapnya: The Hacker News

Tagged With: Botnet, Cyber Attack, Cybersecurity, Diavol, Ransomware, TrickBot

  • « Go to Previous Page
  • Page 1
  • Page 2
  • Page 3
  • Page 4
  • Page 5
  • Page 6
  • Interim pages omitted …
  • Page 9
  • Go to Next Page »

Copyright © 2025 · Naga Cyber Defense · Sitemap

Cookies Settings
We use cookies on our website to give you the most relevant experience by remembering your preferences and repeat visits. By clicking “Accept”, you consent to the use of ALL the cookies.
Do not sell my personal information.
AcceptReject AllCookie Settings
Manage consent

Privacy Overview

This website uses cookies to improve your experience while you navigate through the website. Out of these, the cookies that are categorized as necessary are stored on your browser as they are essential for the working of basic functionalities of the website. We also use third-party cookies that help us analyze and understand how you use this website. These cookies will be stored in your browser only with your consent. You also have the option to opt-out of these cookies. But opting out of some of these cookies may affect your browsing experience.
Necessary
Always Enabled
Necessary cookies are absolutely essential for the website to function properly. These cookies ensure basic functionalities and security features of the website, anonymously.
Functional
Functional cookies help to perform certain functionalities like sharing the content of the website on social media platforms, collect feedbacks, and other third-party features.
Performance
Performance cookies are used to understand and analyze the key performance indexes of the website which helps in delivering a better user experience for the visitors.
Analytics
Analytical cookies are used to understand how visitors interact with the website. These cookies help provide information on metrics the number of visitors, bounce rate, traffic source, etc.
CookieDurationDescription
_ga2 yearsThe _ga cookie, installed by Google Analytics, calculates visitor, session and campaign data and also keeps track of site usage for the site's analytics report. The cookie stores information anonymously and assigns a randomly generated number to recognize unique visitors.
_gat_gtag_UA_172707709_11 minuteSet by Google to distinguish users.
_gid1 dayInstalled by Google Analytics, _gid cookie stores information on how visitors use a website, while also creating an analytics report of the website's performance. Some of the data that are collected include the number of visitors, their source, and the pages they visit anonymously.
Advertisement
Advertisement cookies are used to provide visitors with relevant ads and marketing campaigns. These cookies track visitors across websites and collect information to provide customized ads.
Others
Other uncategorized cookies are those that are being analyzed and have not been classified into a category as yet.
non-necessary
SAVE & ACCEPT
Powered by CookieYes Logo