Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Breach

Breach

FireEye menghubungkan serangan zero day di server FTA & kampanye pemerasan ke grup FIN11

by

Serangan menggunakan zero-day di server Accellion FTA yang telah melanda sekitar 100 perusahaan di seluruh dunia pada Desember 2020 dan Januari 2021 telah dilakukan oleh kelompok kejahatan siber yang dikenal sebagai FIN11, kata firma keamanan siber FireEye hari ini.

Selama serangan, peretas mengeksploitasi empat kelemahan keamanan untuk menyerang server FTA, memasang kerangka web bernama DEWMODE, yang kemudian digunakan penyerang untuk mengunduh file yang disimpan pada peralatan FTA korban.

“Dari sekitar 300 total klien FTA, kurang dari 100 menjadi korban serangan itu,” kata Accellion dalam siaran pers hari ini. “Dalam grup ini, kurang dari 25 tampaknya mengalami pencurian data yang signifikan”.

Tetapi FireEye mengatakan bahwa beberapa dari 25 pelanggan ini sekarang telah menerima permintaan tebusan menyusul serangan terhadap server berbagi file FTA mereka.

Para penyerang menghubungi melalui email dan meminta pembayaran Bitcoin, atau mereka akan mempublikasikan data korban di “situs kebocoran” yang dioperasikan oleh geng ransomware Clop.

Sumber: FireEye

FireEye, yang telah membantu Accellion menyelidiki serangan-serangan ini, mengatakan serangan tersebut telah dikaitkan dengan dua kelompok aktivitas yang dilacak perusahaan sebagai UNC2546 (eksploitasi zero-day pada perangkat FTA) dan UNC2582 (email yang dikirim ke korban yang mengancam untuk mempublikasikan data tentang Tutup situs kebocoran ransomware).

Kedua grup memiliki infrastruktur yang tumpang tindih dengan FIN11, geng kejahatan siber besar yang ditemukan dan didokumentasikan FireEye tahun lalu, yang memiliki berbagai bentuk operasi kejahatan siber.

Selengkapnya: ZDNet

Microsoft mengatakan peretas SolarWinds mengunduh beberapa kode sumber Azure, Exchange, dan Intune

by

Tim keamanan Microsoft mengatakan hari ini telah secara resmi menyelesaikan penyelidikannya atas pelanggaran terkait SolarWinds dan tidak menemukan bukti bahwa peretas menyalahgunakan sistem internal atau produk resminya untuk berputar dan menyerang pengguna akhir dan pelanggan bisnis.

Pembuat OS mulai menyelidiki pelanggaran tersebut pada pertengahan Desember setelah ditemukan bahwa peretas yang terkait dengan Rusia melanggar vendor perangkat lunak SolarWinds dan memasukkan malware ke dalam platform pemantauan TI Orion, produk yang juga telah digunakan oleh Microsoft secara internal.

Pada laporan bulan Desember, Microsoft sempat mengatakan bahwa peretas telah mengakses kode sumber produk nya.

“Analisis kami menunjukkan viewing pertama file di repositori sumber terjadi pada akhir November dan berakhir ketika kami mengamankan akun yang terpengaruh,” kata perusahaan hari ini, dalam laporan terakhirnya terkait pelanggaran terkait SolarWinds.

Pembuat OS mengatakan penyusup melihat “hanya beberapa file individual […] sebagai hasil dari pencarian repositori.”

Tetapi selain melihat file, para peretas juga berhasil mengunduh beberapa kode. Namun, Microsoft mengatakan datanya tidak ekstensif dan penyusup hanya mengunduh kode sumber dari beberapa komponen yang terkait dengan beberapa produk berbasis cloud-nya.

Menurut Microsoft, repositori ini berisi kode untuk:

  • sebagian kecil komponen Azure (subset layanan, keamanan, identitas)
  • sebagian kecil komponen Intune
  • sebagian kecil komponen Exchange

Sumber: ZDNet

Prancis mengaitkan serangan penyedia hosting ke peretas Sandworm Rusia

by

Badan keamanan siber nasional Prancis telah mengaitkan serangkaian serangan yang mengakibatkan pelanggaran beberapa penyedia TI Prancis selama rentang empat tahun ke grup peretasan Sandworm yang didukung Rusia.

ANSSI (kependekan dari Agence Nationale de la Sécurité des Systèmes d’Information) belum dapat menentukan bagaimana server disusupi.

Oleh karena itu, belum jelas apakah para penyerang mengeksploitasi kerentanan dalam perangkat lunak Centreon yang terekspos atau para korban dikompromikan melalui serangan rantai pasokan.

“Korban pertama tampaknya telah dikompromikan sejak akhir 2017. Kampanye tersebut berlangsung hingga 2020,” kata ANSSI dalam laporan yang diterbitkannya.

“Kampanye ini sebagian besar memengaruhi penyedia teknologi informasi, terutama penyedia web hosting.”

ANSSI menemukan bahwa para penyerang menyebarkan backdoors web shell Exaramel dan PAS (alias Fobushell) saat menganalisis server yang disusupi di jaringan organisasi yang terkena dampak.

Para penyerang menggunakan VPN publik dan komersial serta layanan anonimisasi saat menghubungkan ke pintu belakang termasuk jaringan Tor, EXpressVPN, VPNBook, dan PrivateInternetAccess (PIA).

Menurut badan keamanan siber Prancis, kampanye tersebut menunjukkan beberapa kesamaan dengan perilaku yang diamati saat menganalisis serangan Sandworm sebelumnya, termasuk kampanye penyusupan sebelum memilih salah satu korban untuk kompromi lebih lanjut.

ANSSI juga mengatakan bahwa infrastruktur komando dan kontrol yang digunakan oleh pelaku ancaman untuk mengendalikan malware yang disebarkan pada mesin korban yang dikompromikan dikenal sebagai server yang dikendalikan Sandworm.

Selengkapnya: Bleeping Computer

KeepChange mengatakan mereka menghentikan peretas mencuri dana pengguna, tetapi bukan data pribadi

by

KeepChange, portal pertukaran Bitcoin yang diluncurkan tahun lalu, mengatakan telah diretas selama akhir pekan tetapi perlindungan keamanan yang diterapkannya menghentikan para penyusup untuk mencuri dana pengguna.

“Permintaan penarikan Bitcoin dimulai dari akun pelanggan ke alamat milik penyerang,” kata pasar Bitcoin dalam sebuah posting blog minggu ini.

“Salah satu subsistem kontrol kami menendang dan menghentikan permintaan penarikan tersebut, dan tidak ada Bitcoin yang dicuri dari KeepChange.”

Namun, KeepChange mengatakan bahwa meskipun peretas tidak berhasil mencuri dana pengguna, mereka berhasil mencuri beberapa data pribadi pelanggannya. Ini termasuk detail seperti nama, alamat email, jumlah perdagangan, total jumlah yang diperdagangkan, dan kata sandi yang di hash.

KeepChange telah menghentikan penarikan dana di platform hingga hari ini, Kamis, 11 Februari, untuk memberi pengguna waktu untuk mengubah kata sandi dan mengaktifkan berbagai fitur keamanan untuk akun mereka.

Di antaranya adalah otentikasi dua faktor (2FA), yang perusahaan mendesak pengguna untuk mengaktifkannya pada akun mereka.

Selengkapnya: ZDNet

Singtel mengalami pelanggaran keamanan vendor pihak ketiga, data pelanggan kemungkinan bocor

by

Singtel mengatakan sedang menyelidiki dampak pelanggaran keamanan siber yang mungkin telah membahayakan data pelanggan, setelah dipastikan pada 9 Februari bahwa “file telah diambil”.

Serangan tersebut telah memengaruhi sistem berbagi file yang dikembangkan dua dekade lalu oleh vendor pihak ketiga Accellion, yang telah digunakan oleh perusahaan telekomunikasi Singapura secara internal dan dengan stakeholders eksternal.

Singtel mengungkapkan dalam sebuah pernyataan hari Kamis bahwa mereka telah diberitahu oleh Accellion bahwa sistem berbagi file, yang disebut FTA (File Transfer Appliance), telah dilanggar oleh peretas tak dikenal.

Semua penggunaan sistem telah ditarik kembali dan otoritas terkait, termasuk Badan Keamanan Siber Singapura dan polisi setempat, telah diberitahu mengenai hal ini.

“Informasi pelanggan mungkin telah diakses,” kata perusahaan telekomunikasi itu. “Prioritas kami adalah bekerja secara langsung dengan pelanggan dan stakeholders yang informasinya mungkin telah disusupi agar mereka tetap didukung dan membantu mereka mengelola risiko apa pun. Kami akan menghubungi mereka secepatnya setelah kami mengidentifikasi file mana yang relevan dengan mereka yang diakses secara ilegal.”

Accellion pada 1 Februari mengatakan sistem FTA-nya adalah perangkat lunak transfer file besar berusia 20 tahun yang mendekati akhir siklus hidupnya. Itu telah menjadi target dari “serangan cyber yang canggih”, yang pertama kali diketahui pada tanggal 23 Desember ketika Accellion menginformasikan semua pelanggannya tentang serangan yang melibatkan sistem berbagi file.

Selengkapnya: ZDNet

Oxfam Australia menyelidiki pelanggaran data setelah database dijual secara online

by

Oxfam Australia menyelidiki dugaan pelanggaran data setelah seorang pelaku ancaman mengaku menjual database milik mereka di forum peretas.

Oxfam Australia adalah badan amal yang berfokus pada pengentasan kemiskinan di kalangan penduduk asli Australia dan orang-orang dari Afrika, Asia, dan timur tengah.

Minggu lalu, BleepingComputer mengetahui tentang pelaku ancaman yang mengaku menjual database berisi kontak Oxfam Australia dan informasi donor untuk 1,7 juta orang.

Sampel database yang dilihat oleh BleepingComputer termasuk nama, alamat email, alamat, nomor telepon, dan jumlah donasi.

Ketika BleepingComputer mengetahui mengenai penjualan ini, mereka lalu menghubungi Oxfam Australia, yang segera menyatakan bahwa mereka sedang menyelidiki situasinya.

Pada hari Rabu, Oxfam Australia mengatakan kepada BleepingComputer bahwa mereka terus menyelidiki pelanggaran tersebut dan melaporkannya ke Pusat Keamanan Cyber Australia (ACSC) dan Kantor Komisaris Informasi Australia (OAIC).

Oxfam Australia telah memberi tahu BleepingComputer bahwa tidak diketahui data apa yang berpotensi diakses dan berapa banyak orang yang terpengaruh.

Badan amal tersebut sedang menyelidiki insiden tersebut dan akan memperbarui nasihat keamanannya saat lebih banyak informasi diketahui.

Sumber: Bleeping Computer

Perusahaan keamanan Stormshield mengungkapkan pelanggaran data, pencurian kode sumber

by

Firma keamanan siber Prancis Stormshield, penyedia utama layanan keamanan dan perangkat keamanan jaringan untuk pemerintah Prancis, mengatakan hari ini bahwa pelaku ancaman memperoleh akses ke salah satu portal dukungan pelanggannya dan mencuri informasi beberapa pelanggannya.

Perusahaan juga melaporkan bahwa penyerang berhasil mencuri bagian dari kode sumber untuk firewall Keamanan Jaringan Stormshield (SNS), produk yang disertifikasi untuk digunakan di jaringan sensitif pemerintah Prancis, sebagai bagian dari gangguan.

Perusahaan mengatakan sedang menyelidiki insiden tersebut dengan badan keamanan siber Prancis ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information), yang saat ini menilai dampak pelanggaran terhadap sistem pemerintah.

Insiden Stormshield saat ini diperlakukan sebagai pelanggaran keamanan besar di dalam pemerintahan Prancis. Dalam siaran persnya sendiri, pejabat ANSSI mengatakan mereka telah menempatkan produk SNS dan SNI Stormshield “dalam pengawasan” selama penyelidikan.

Tetapi selain meninjau kode sumber SNS, Stormshield mengatakan juga mengambil langkah lain untuk mencegah bentuk serangan lain, jika penyusup memiliki akses ke bagian lain dari infrastrukturnya.

Perusahaan Prancis itu mengatakan juga mengganti sertifikat digital yang mereka gunakan sebelum insiden untuk menandatangani pembaruan perangkat lunak SNS.

Selengkapnya: ZDNet

3 Miliar Email dan Password Bocor, Periksa Emailmu Dengan Cara Ini !

by

kompilasi baru diposting di forum peretasan online baru-baru ini berisi lebih dari 3,2 miliar pasang email dan sandi yang tidak terenskripsi dari kebocoran sebelumnya.

Dilansir CyberNews, kebocoran data baru ini disebut sebagai COMB “Compilation of Many Breaches” karena berisi lebih dari dua kali lipat jumlah pasangan email dan kata sandi unik daripada koleksi kebocoran data tahun 2017 di mana 1,4 miliar kredensial tersedia secara online.

COMB merupakan kompilasi terbesar dari beberapa kebocoran data yang pernah diposting secara online. Database COMB berisi skrip bernama count_total.sh dan terdapat skrip query.sh untuk menanyakan email dan sorter.sh untuk menyortir data di dalamnya.

Untuk memeriksa apakah data anda bocor, anda dapat melakukan pengecekan dengan memasukkan email anda pada website ini https://cybernews.com/personal-data-leak-check/

Untuk mencegah data anda bocor, kami merekomendasikan agaranda mengatur authentikasi multi-faktor dan menggunakan password manager untuk memberi perlindungan tambahan pada akun online anda.

Source : Techradar