Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Campaign

Campaign

Para Peretas Melakukan Hijacking pada Situs-situs Resmi untuk Hosting Skrip Pencuri Kartu Kredit.

by

Sebuah kampanye baru yang mencuri kartu kredit Magecart menyusupi situs-situs resmi untuk berfungsi sebagai server command and control (C2) sementara untuk menyisipkan dan menyembunyikan perangkat penyadap pada situs-situs eCommerce yang ditargetkan.

Serangan Magecart terjadi ketika peretas meretas toko-toko online untuk menyisipkan skrip berbahaya yang mencuri kartu kredit dan informasi pribadi pelanggan selama proses pembayaran.

Menurut peneliti dari Akamai yang memantau kampanye ini, telah terjadi kompromi pada organisasi di Amerika Serikat, Inggris, Australia, Brasil, Peru, dan Estonia.

Langkah pertama yang dilakukan oleh para penyerang adalah mengidentifikasi situs resmi yang rentan dan meretasnya untuk menyimpan kode berbahaya mereka, menggunakan situs-situs tersebut sebagai server C2 untuk serangan mereka.

Dengan mendistribusikan perangkat penyadap kartu kredit menggunakan situs web resmi yang memiliki reputasi baik, para pelaku ancaman dapat menghindari deteksi dan pemblokiran serta tidak perlu mengatur infrastruktur mereka sendiri.

“Dalam laporan kami, meskipun tidak jelas bagaimana situs-situs ini diretas, berdasarkan penelitian kami yang baru-baru ini dilakukan terhadap kampanye serupa sebelumnya, para penyerang biasanya mencari kerentanan pada platform perdagangan digital situs web yang ditargetkan (seperti Magento, WooCommerce, WordPress, Shopify, dll.) atau pada layanan pihak ketiga yang rentan yang digunakan oleh situs web,” menjelaskan Akamai dalam laporannya.

Akamai melaporkan adanya dua varian perangkat penyadap yang digunakan dalam kampanye ini.

Varian pertama adalah versi yang sangat terenkripsi yang berisi daftar pemilih CSS yang menargetkan informasi identitas pribadi pelanggan dan detail kartu kredit. Pemilih CSS tersebut berbeda untuk setiap situs yang ditargetkan, dibuat khusus untuk sesuai dengan masing-masing korban.

Varian kedua dari perangkat penyadap tidak dilindungi dengan baik, sehingga mengekspos petunjuk dalam kode yang membantu Akamai memetakan jangkauan kampanye dan mengidentifikasi korban tambahan.

Setelah perangkat penyadap mencuri detail pelanggan, data tersebut dikirim ke server penyerang melalui permintaan HTTP yang dibuat sebagai tag IMG dalam perangkat penyadap.

Selengkapnya: Bleeping Computer

Peretas Lazarus sekarang mendorong malware Linux melalui tawaran pekerjaan palsu

by

Kampanye Lazarus baru yang dianggap sebagai bagian dari “Operation DreamJob” telah ditemukan menargetkan pengguna Linux dengan malware untuk pertama kalinya.

Penargetan baru ini ditemukan oleh peneliti ESET, yang mengatakan hal itu juga membantu mengonfirmasi dengan keyakinan tinggi bahwa Lazarus melakukan serangan rantai pasokan baru-baru ini pada penyedia VoIP 3CX.

Serangan itu ditemukan pada Maret 2023, membahayakan banyak perusahaan yang menggunakan klien 3CX versi trojan dengan trojan pencuri informasi.

Hari ini, Mandiant menerbitkan hasil investigasi mereka terhadap pelanggaran 3CX, yang selanjutnya menghubungkan serangan tersebut dengan aktor ancaman Korea Utara.

Mandiant mengatakan lingkungan pengembang 3CX dikompromikan setelah seorang karyawan memasang perangkat lunak perdagangan dari Trading Technologies, yang penginstalnya telah di-trojanisasi dalam serangan rantai pasokan Korea Utara lainnya.

Operasi DreamJob Lazarus, juga dikenal sebagai Nukesped, adalah operasi berkelanjutan yang menargetkan orang-orang yang bekerja di platform perangkat lunak atau DeFi dengan tawaran pekerjaan palsu di LinkedIn atau media sosial dan platform komunikasi lainnya.

Serangan rekayasa sosial ini berupaya mengelabui korban agar mengunduh file berbahaya yang disamarkan sebagai dokumen yang berisi perincian tentang posisi yang ditawarkan. Namun, dokumen tersebut justru menjatuhkan malware di komputer korban.

Selengkapnya: Bleeping Computer

Dugaan Kampanye Tiongkok untuk Bertahan di Perangkat SonicWall, Menyoroti Pentingnya Perangkat Tepi Pemantauan

by

Mandiant, bekerja dalam kemitraan dengan Tim Keamanan Produk dan Respons Insiden SonicWall (PSIRT), telah mengidentifikasi dugaan kampanye China yang melibatkan pemeliharaan persistensi jangka panjang dengan menjalankan malware pada alat SonicWall Secure Mobile Access (SMA) yang belum ditambal. Malware memiliki fungsi untuk mencuri kredensial pengguna, menyediakan akses shell, dan bertahan melalui peningkatan firmware. Mandiant saat ini melacak aktor ini sebagai UNC4540.

Analisis perangkat yang disusupi mengungkapkan kumpulan file yang memberi penyerang akses yang sangat istimewa dan tersedia ke alat tersebut. Malware terdiri dari serangkaian skrip bash dan biner ELF tunggal yang diidentifikasi sebagai varian TinyShell. Perilaku keseluruhan rangkaian skrip bash berbahaya menunjukkan pemahaman mendetail tentang alat dan disesuaikan dengan baik ke sistem untuk memberikan stabilitas dan kegigihan.

Penyerang berusaha keras untuk stabilitas dan kegigihan perkakas mereka. Ini memungkinkan akses mereka ke jaringan untuk bertahan melalui pembaruan firmware dan mempertahankan pijakan di jaringan melalui Perangkat SonicWall.

Mandiant tidak dapat menentukan asal infeksi, namun malware, atau pendahulunya, kemungkinan besar digunakan pada tahun 2021. Mandiant percaya bahwa akses penyerang tetap ada melalui beberapa pembaruan firmware.

Selengkapnya: Mandiant

Peretas Menargetkan Perusahaan AS dan Jerman, Memantau Desktop Korban dengan Screenshotter

by

Pelaku ancaman yang sebelumnya tidak dikenal telah menargetkan perusahaan di AS dan Jerman dengan malware pesanan khusus yang dirancang untuk mencuri informasi rahasia.

Proofpoint, perusahaan keamanan perusahaan, yang melacak klaster aktivitas dengan nama Screentime, mengatakan grup tersebut, yang dijuluki TA866, kemungkinan besar termotivasi secara finansial.

“TA866 adalah aktor terorganisir yang mampu melakukan serangan yang dipikirkan dengan baik dalam skala besar berdasarkan ketersediaan alat khusus mereka; kemampuan dan koneksi untuk membeli alat dan layanan dari vendor lain; dan meningkatkan volume aktivitas,” penilaian perusahaan.

Kampanye yang dipasang oleh musuh dikatakan telah dimulai sekitar 3 Oktober 2022, dengan serangan diluncurkan melalui email yang berisi lampiran atau URL jebakan yang mengarah ke malware. Lampiran berkisar dari file Microsoft Publisher bertali makro hingga PDF dengan URL yang mengarah ke file JavaScript.

Gangguan juga telah memanfaatkan pembajakan percakapan untuk memikat penerima agar mengklik URL yang tampaknya tidak berbahaya yang memulai rantai serangan multi-langkah.

Terlepas dari metode yang digunakan, menjalankan file JavaScript yang diunduh mengarah ke penginstal MSI yang membongkar VBScript yang diberi nama WasabiSeed, yang berfungsi sebagai alat untuk mengambil malware tahap berikutnya dari server jarak jauh.

Salah satu payload yang diunduh oleh WasabiSeed adalah Screenshotter, sebuah utilitas yang bertugas mengambil screenshot desktop korban secara berkala dan mengirimkan informasi tersebut kembali ke server command-and-control (C2).

“Ini sangat membantu pelaku ancaman selama tahap pengintaian dan pembuatan profil korban,” kata peneliti Proofpoint Axel F.

Selengkapnya: The Hacker News

Ducktail Hacker Group Berkembang, Menargetkan Akun Bisnis Facebook

by

Operasi peretasan yang berbasis di Vietnam yang dijuluki “Ducktail” menargetkan individu dan perusahaan yang beroperasi di platform Iklan dan Bisnis Facebook.

Peneliti keamanan di WithSecure menemukan kampanye tersebut awal tahun ini dan menjelaskan perkembangan baru dalam sebuah nasihat yang diterbitkan sebelumnya hari ini.

“Kami tidak melihat tanda-tanda Ducktail akan segera melambat, tetapi melihat mereka berkembang pesat dalam menghadapi kemunduran operasional,” komentar peneliti WithSecure Mohammad Kazem Hassan Nejad.

“Sampai saat ini, tim operasional di belakang Ducktail tampaknya kecil, tetapi itu telah berubah.”

Selanjutnya, Ducktail telah melakukan upaya penghindaran pertahanan lanjutan dan berkelanjutan dengan mengubah format file dan kompilasi serta sertifikat tanda tangan.

Grup tersebut juga akan berinvestasi dalam pengembangan sumber daya dan perluasan operasional dengan mendirikan bisnis palsu lainnya di Vietnam dan mengikutsertakan afiliasi ke dalam operasi tersebut.

“Serangan Ransomware mendapat banyak perhatian, tetapi ancaman seperti Ducktail dapat menyebabkan kerugian finansial dan merek yang besar dan tidak boleh diabaikan,” jelas Paolo Palumbo, wakil presiden WithSecure.

“Dengan meningkatnya aktivitas, afiliasi baru, dan bisnis palsu, kami mengharapkan peningkatan insiden terkait Ducktail di masa mendatang.”

Untuk mempertahankan diri dari kampanye ini dan kampanye serupa, peneliti WithSecure telah merekomendasikan perusahaan untuk memastikan karyawan mereka memiliki akun terpisah untuk tujuan pribadi dan bisnis.

Selengkapnya: Info Security Magazine

Peretas Menipu Pengguna dengan Unduhan Windows 11 Palsu untuk Mendistribusikan Malware Vidar

by

Domain palsu yang menyamar sebagai portal unduhan Microsoft Windows 11 mencoba mengelabui pengguna agar menyebarkan file instalasi trojan untuk menginfeksi sistem dengan malware pencuri informasi Vidar.

“Situs palsu dibuat untuk mendistribusikan file ISO berbahaya yang mengarah pada infeksi pencuri info Vidar di titik akhir,” kata Zscaler dalam sebuah laporan. “Varian malware Vidar ini mengambil konfigurasi C2 dari saluran media sosial yang dikendalikan penyerang yang dihosting di jaringan Telegram dan Mastodon.”

Beberapa domain vektor distribusi rogue yang didaftarkan pada 20 April bulan lalu, antara lain ms-win11[.]com, win11-serv[.]com, dan win11install[.]com, serta ms-teams-app[. ]net.

Selain itu, perusahaan keamanan siber memperingatkan bahwa aktor ancaman di balik kampanye peniruan identitas juga memanfaatkan versi pintu belakang Adobe Photoshop dan perangkat lunak sah lainnya seperti Microsoft Teams untuk mengirimkan malware Vidar.

File ISO, pada bagiannya, berisi file yang dapat dieksekusi yang berukuran luar biasa besar (lebih dari 300MB) dalam upaya untuk menghindari deteksi oleh solusi keamanan dan ditandatangani dengan sertifikat kedaluwarsa dari Avast yang kemungkinan dicuri setelah pelanggaran terakhir pada Oktober 2019.

Tetapi yang tertanam dalam biner 330MB adalah executable berukuran 3,3MB yang merupakan malware Vidar, dengan sisa konten file diisi dengan 0x10 byte untuk memperbesar ukuran secara artifisial.

Pada fase berikutnya dari rantai serangan, Vidar membuat koneksi ke server command-and-control (C2) jarak jauh untuk mengambil file DLL yang sah seperti sqlite3.dll dan vcruntime140.dll untuk menyedot data berharga dari sistem yang disusupi.

Selengkapnya: The Hacker News

Peretas Menggunakan Layanan PrivateLoader PPI untuk Mendistribusikan Malware NetDooka Baru

by

Layanan malware bayar-per-instal (PPI) yang dikenal sebagai PrivateLoader telah terlihat mendistribusikan kerangka kerja yang “cukup canggih” yang disebut NetDooka, memberikan penyerang kendali penuh atas perangkat yang terinfeksi.

“Kerangka ini didistribusikan melalui layanan bayar-per-instal (PPI) dan berisi beberapa bagian, termasuk loader, dropper, driver perlindungan, dan trojan akses jarak jauh (RAT) berfitur lengkap yang mengimplementasikan protokol komunikasi jaringannya sendiri. , ”kata Trend Micro dalam sebuah laporan yang diterbitkan Kamis.

PrivateLoader, seperti yang didokumentasikan oleh Intel 471 pada Februari 2022, berfungsi sebagai pengunduh yang bertanggung jawab untuk mengunduh dan memasang malware tambahan ke sistem yang terinfeksi, termasuk SmokeLoader, RedLine Stealer, Vidar, Raccoon, GCleaner, dan Anubis.

Menampilkan teknik anti-analisis, PrivateLoader ditulis dalam bahasa pemrograman C++ dan dikatakan dalam pengembangan aktif, dengan keluarga malware pengunduh mendapatkan daya tarik di antara beberapa pelaku ancaman.

Infeksi PrivateLoader biasanya disebarkan melalui perangkat lunak bajakan yang diunduh dari situs web jahat yang didorong ke bagian atas hasil pencarian melalui teknik keracunan optimasi mesin pencari (SEO).

“PrivateLoader saat ini digunakan untuk mendistribusikan ransomware, pencuri, bankir, dan malware komoditas lainnya,” Zscaler mencatat minggu lalu. “Pemuat kemungkinan akan terus diperbarui dengan fitur dan fungsionalitas baru untuk menghindari deteksi dan secara efektif mengirimkan muatan malware tahap kedua.”

Selengkapnya: Olivers Post

Peretas membajak situs web dewasa untuk menginfeksi korban dengan malware

by

Penjahat dunia maya menipu korban agar mengunduh malware (terbuka di tab baru) dengan memberi tahu mereka bahwa browser mereka sudah usang dan perlu diperbarui untuk melihat konten halaman.

Peneliti keamanan siber Avast Jan Rubin dan Pavel Novak menemukan kampanye phishing di mana aktor ancaman yang tidak dikenal menyusupi lebih dari 16.000 WordPress dan situs web Joomla yang dihosting (dibuka di tab baru) dengan kredensial login yang lemah.

Ini biasanya situs web konten dewasa, situs web pribadi, situs universitas, dan halaman pemerintah daerah

Setelah mendapatkan akses ke situs-situs ini, para penyerang akan membuat Traffic Direction System (TDS), Parrot TDS. TDS adalah gerbang berbasis web yang mengarahkan pengguna ke berbagai konten, tergantung pada parameter tertentu.

Itu memungkinkan penyerang untuk menyebarkan malware hanya pada titik akhir (terbuka di tab baru) yang dianggap sebagai target yang baik (tindakan keamanan siber yang buruk, misalnya, atau lokasi geografis tertentu).

Mereka yang mendapatkan pesan untuk “memperbarui” browser mereka, sebenarnya akan disajikan Remote Access Trojan (RAT) yang disebut NetSupport Manager. Ini memberi penyerang akses penuh ke titik akhir target.

Selengkapnya: Tech Radar