Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for crowdstrike

crowdstrike

Peretas ‘0ktapus’ kembali dan menargetkan perusahaan teknologi dan game, kata laporan yang bocor

by

Laporan tersebut, yang disiapkan oleh perusahaan keamanan siber CrowdStrike, menyebut para peretas sebagai “Scattered Spider”. Laporan seperti yang diperoleh TechCrunch disiapkan oleh perusahaan intelijen ancaman untuk pelanggan mereka, dengan gagasan memperingatkan mereka tentang peretas yang menargetkan pelanggan secara langsung, atau perusahaan lain di sektor yang sama. Dalam laporan tersebut, CrowdStrike mencatat bahwa ia memiliki visibilitas terbatas ke dalam kampanye peretasan karena tidak memiliki “artefak forensik tambahan”, mengacu pada data yang diperoleh langsung dari organisasi yang ditargetkan. Itu sebabnya perusahaan mengakui memiliki “kepercayaan rendah” dalam penilaiannya bahwa ini adalah aktivitas oleh Laba-laba Tersebar.

Dua orang dalam keamanan dunia maya, yang meminta untuk tidak disebutkan namanya karena mereka tidak berwenang untuk berbicara kepada pers, mengatakan bahwa pemahaman dalam industri adalah bahwa Spider Tersebar adalah grup yang sama dengan 0ktapus.

Tidak jelas apakah ini adalah grup yang sama yang meretas Riot Games bulan lalu, tetapi dalam daftar domain phishing yang termasuk dalam laporan CrowdStrike, ada satu yang jelas dibuat untuk menargetkan raksasa video game tersebut karena menyertakan nama perusahaan di dalamnya. URL.

selengkapnya : techcrunch.com

Peretas licik membalikkan mitigasi pertahanan saat terdeteksi

by

Pelaku ancaman meretas penyedia layanan telekomunikasi dan perusahaan outsourcing proses bisnis, dan secara aktif membalikkan mitigasi defensif yang diterapkan saat pelanggaran terdeteksi.

Kampanye tersebut ditemukan oleh Crowdstrike, yang mengatakan serangan dimulai pada Juni 2022 dan masih berlangsung, dengan peneliti keamanan dapat mengidentifikasi lima intrusi berbeda.

Serangan tersebut dikaitkan dengan peretas yang dilacak sebagai ‘Scattered Spider‘ yang menunjukkan persisten dalam mempertahankan akses, membalikkan mitigasi, menghindari deteksi, dan berputar ke target valid lainnya jika digagalkan.

Tujuan utama kampanye ini adalah untuk menembus sistem jaringan telekomunikasi, mengakses informasi pelanggan, dan melakukan operasi seperti pertukaran SIM.

Lima peristiwa intrusi yang dikaitkan dengan Scattered Spider (Crowdstrike)

Pelaku ancaman mendapatkan akses awal ke jaringan perusahaan menggunakan berbagai taktik rekayasa sosial.

Taktik ini termasuk memanggil karyawan dan menyamar sebagai staf TI untuk mengambil kredensial atau menggunakan pesan Telegram dan SMS untuk mengalihkan target ke situs phishing yang dibuat khusus yang menampilkan logo perusahaan.

Jika MFA melindungi akun target, penyerang menggunakan taktik push-notification MFA kelelahan atau terlibat dalam rekayasa sosial untuk mendapatkan kode dari para korban.

Dalam satu kasus, musuh mengeksploitasi CVE-2021-35464, sebuah kelemahan di server ForgeRock AM yang diperbaiki pada Oktober 2021, untuk menjalankan kode dan meningkatkan hak istimewa mereka pada instans AWS.

Setelah peretas mendapatkan akses ke sistem, mereka mencoba menambahkan perangkat mereka sendiri ke daftar perangkat MFA (otentikasi multi-faktor) tepercaya menggunakan akun pengguna yang disusupi.

Crowdstrike memperhatikan para peretas menggunakan utilitas berikut dan alat pemantauan dan manajemen jarak jauh (RMM) dalam kampanye mereka:

  • AnyDesk
  • BeAnywhere
  • Domotz
  • DWservice
  • Fixme.it
  • Fleetdeck.io
  • Itarian Endpoint Manager
  • Level.io
  • Logmein
  • ManageEngine
  • N-Able
  • Pulseway
  • Rport
  • Rsocx
  • ScreenConnect
  • SSH RevShell and RDP Tunnelling via SSH
  • Teamviewer
  • TrendMicro Basecamp
  • Sorillus
  • ZeroTier

Dalam intrusi yang diamati oleh Crowdstrike, musuh tidak henti-hentinya berusaha mempertahankan akses ke jaringan yang dibobol, bahkan setelah terdeteksi.

“Dalam beberapa investigasi, CrowdStrike mengamati musuh menjadi lebih aktif, menyiapkan mekanisme persistensi tambahan, yaitu akses VPN dan/atau beberapa alat RMM, jika tindakan mitigasi diterapkan secara perlahan,” CrowdStrike memperingatkan.

“Dan dalam beberapa kasus, musuh mengembalikan beberapa tindakan mitigasi dengan mengaktifkan kembali akun yang sebelumnya dinonaktifkan oleh organisasi korban.”

Dalam semua intrusi yang diamati oleh Crowdstrike, musuh menggunakan berbagai VPN dan ISP untuk mengakses lingkungan Google Workspace organisasi yang menjadi korban.

Untuk bergerak secara lateral, pelaku ancaman mengekstraksi berbagai jenis informasi pengintaian, mengunduh daftar pengguna dari penyewa yang dilanggar, menyalahgunakan WMI, dan melakukan tunneling SSH dan replikasi domain.

Selengkpanya: Bleeping Computer

Microsoft mendeteksi lonjakan besar dalam aktivitas malware XorDDoS Linux

by

Malware tersembunyi dan modular yang digunakan untuk meretas perangkat Linux dan membangun botnet DDoS telah mengalami peningkatan aktivitas yang sangat besar sebesar 254% selama enam bulan terakhir, seperti yang diungkapkan Microsoft hari ini.

Malware ini (aktif setidaknya sejak 2014) dikenal sebagai XorDDoS (atau XOR DDoS) karena penggunaan enkripsi berbasis XOR saat berkomunikasi dengan server perintah-dan-kontrol (C2) dan digunakan untuk meluncurkan penolakan layanan terdistribusi (DDoS) serangan.

Seperti yang diungkapkan perusahaan, keberhasilan botnet kemungkinan karena penggunaan ekstensif berbagai taktik penghindaran dan ketekunan yang memungkinkannya tetap tersembunyi dan sulit dihilangkan.

XorDDoS dikenal untuk menargetkan banyak arsitektur sistem Linux, dari ARM (IoT) hingga x64 (server), dan mengorbankan yang rentan dalam serangan brute force SSH.

Untuk menyebar ke lebih banyak perangkat, ia menggunakan skrip shell yang akan mencoba masuk sebagai root menggunakan berbagai kata sandi terhadap ribuan sistem yang terpapar Internet hingga akhirnya menemukan kecocokan.

Alur serangan XorDDoS (Microsoft)

Selain meluncurkan serangan DDoS, operator malware menggunakan botnet XorDDoS untuk menginstal rootkit, mempertahankan akses ke perangkat yang diretas, dan, kemungkinan, menjatuhkan muatan berbahaya tambahan.

Peningkatan besar dalam aktivitas XorDDoS yang dideteksi Microsoft sejak Desember sejalan dengan laporan oleh perusahaan keamanan siber CrowdStrike yang mengatakan bahwa malware Linux telah mengalami pertumbuhan 35% selama tahun 2021 dibandingkan tahun sebelumnya.

XorDDoS, Mirai, dan Mozi adalah keluarga yang paling umum, terhitung 22% dari semua serangan malware yang menargetkan perangkat Linux yang diamati pada tahun 2021.

Dari ketiganya, CrowdStrike mengatakan bahwa XorDDoS mengalami peningkatan signifikan dari tahun ke tahun sebesar 123%, sementara Mozi memiliki pertumbuhan aktivitas yang eksplosif, dengan sepuluh kali lebih banyak sampel terdeteksi di alam liar sepanjang tahun lalu.

Laporan Februari 2021 dari Intezer juga mengungkapkan bahwa keluarga malware Linux meningkat sekitar 40% pada tahun 2020 dibandingkan dengan 2019.

Sumber: Bleeping Computer

Malware Tersembunyi Hacker APT29 Rusia Tidak Terdeteksi Selama Bertahun-tahun

by Leave a Comment

Eksklusif: Peretas yang terkait dengan Dinas Intelijen Asing Federasi Rusia (SVR) melanjutkan serangan mereka pada jaringan beberapa organisasi setelah kompromi rantai pasokan SolarWinds menggunakan dua ancaman canggih yang baru-baru ini ditemukan.

Implan berbahaya adalah varian dari backdoor GoldMax untuk sistem Linux dan keluarga malware yang sama sekali baru yang sekarang dilacak oleh perusahaan cybersecurity CrowdStrike sebagai TrailBlazer.

Kedua ancaman telah digunakan dalam kampanye StellarParticle setidaknya sejak pertengahan 2019 tetapi diidentifikasi dua tahun kemudian, selama penyelidikan respons insiden.

Serangan StellarParticle telah dikaitkan dengan kelompok peretas APT29 telah menjalankan kampanye spionase cyber selama lebih dari 12 tahun dan juga dikenal sebagai CozyBear, The Dukes, dan Yttrium.

Mencuri cookie untuk bypass MFA

Dalam sebuah laporan yang dibagikan secara eksklusif dengan BleepingComputer, perusahaan cybersecurity CrowdStrike hari ini menjelaskan secara rinci taktik, teknik, dan prosedur terbaru (TTP) yang diamati dalam serangan cyber dari peretas yang disponsori negara Cozy Bear.

Sementara beberapa teknik agak umum saat ini, Cozy Bear telah menggunakannya jauh sebelum menjadi populer:

  • hopping kredensial
  • membajak Office 365 (O365) Service Principal dan Aplikasi
  • melewati autentikasi multi-faktor (MFA) dengan mencuri cookie browser
  • mencuri kredensial menggunakan Get-ADReplAccount

Credential hopping adalah tahap pertama serangan, memungkinkan aktor ancaman untuk masuk ke Office 365 dari server internal yang dijangkau peretas melalui sistem yang dihadapi publik yang dikompromikan.

CrowdStrike mengatakan bahwa teknik ini sulit dikenali di lingkungan dengan sedikit visibilitas ke dalam penggunaan identitas karena peretas dapat menggunakan lebih dari satu akun administrator domain.

Melewati MFA untuk mengakses sumber daya cloud dengan mencuri cookie browser telah digunakan sejak sebelum 2020. CrowdStrike mengatakan bahwa APT29 tetap low profile setelah mendekripsi cookie otentikasi, kemungkinan offline, dengan menggunakan ekstensi Editor Cookie untuk Chrome untuk memutar ulang; mereka menghapus ekstensi setelah itu.

Hal ini memungkinkan mereka untuk bergerak lateral di jaringan dan mencapai tahap berikutnya dari serangan, menghubungkan ke penyewa O365 korban untuk tahap berikutnya dari serangan.

Laporan CrowdStrike menjelaskan langkah-langkah yang diambil APT29 untuk mencapai kegigihan dalam posisi yang memungkinkan mereka membaca email dan file SharePoint atau OneDrive dari organisasi yang dikompromikan.

Selengkapnya: Bleepingcomputer

AS Menghabiskan $ 2,2 Juta untuk Sistem Keamanan Siber yang Tidak Diimplementasikan

by

Pelanggaran data besar-besaran, yang menurut badan intelijen AS “kemungkinan besar berasal dari Rusia,” menembus sistem komputer lembaga federal, termasuk Departemen Keamanan Dalam Negeri, Departemen Keuangan, Institut Kesehatan Nasional, dan Departemen Kehakiman, juga sebagai sejumlah perusahaan Fortune 500. Para peretas tetap tidak terdeteksi selama berbulan-bulan.

Masalah ini mendorong pengembangan pendekatan baru, didukung oleh $ 2,2 juta dalam bentuk hibah federal dan tersedia secara gratis, yang bertujuan untuk memberikan perlindungan ujung ke ujung untuk seluruh jalur pasokan perangkat lunak. Dinamakan in-toto (bahasa Latin untuk “secara keseluruhan”), ini adalah hasil kerja tim akademisi yang dipimpin oleh Justin Cappos, seorang profesor ilmu komputer dan teknik di Universitas New York. Cappos, 43, telah menjadikan pengamanan rantai pasokan perangkat lunak sebagai pekerjaannya. P\

Cappos dan rekan-rekannya percaya bahwa sistem in-toto, jika digunakan secara luas, dapat memblokir atau meminimalkan kerusakan dari serangan SolarWinds. Namun hal itu tidak terjadi: Pemerintah federal tidak mengambil langkah apa pun untuk meminta vendor perangkat lunaknya, seperti SolarWinds, untuk mengadopsinya. Memang, tidak ada lembaga pemerintah yang menanyakan tentang itu, menurut Cappos.

In-toto dapat memblokir dan mengungkap serangan dunia maya yang tak terhitung jumlahnya yang saat ini tidak terdeteksi, menurut Cappos, yang timnya termasuk Santiago Torres-Arias, asisten profesor teknik listrik dan komputer di Universitas Purdue, dan Reza Curtmola, co-direktur New Jersey Institute of Pusat Penelitian Keamanan Siber Teknologi. Dalam makalah dan presentasi Agustus 2019 di konferensi komputer USENIX, berjudul “in-toto: Memberikan jaminan farm-to-table untuk bit dan byte,” tim Cappos melaporkan mempelajari 30 pelanggaran rantai pasokan utama sejak tahun 2010. Dalam- toto, mereka menyimpulkan, akan mencegah antara 83% dan 100% serangan itu.

“Ini tersedia untuk semua orang secara gratis, dibayar oleh pemerintah, dan harus digunakan oleh semua orang,” kata Cappos. “Orang-orang mungkin masih bisa masuk dan mencoba meretasnya. Tapi ini adalah langkah pertama yang perlu dan akan menangkap banyak hal ini. ” Lambatnya adopsi “benar-benar mengecewakan,” tambah Cappos.

Dmitri Alperovitch, yang ikut mendirikan CrowdStrike (perusahaan keamanan siber SolarWinds telah menyewa untuk menyelidiki peretasan tersebut) sebelum keluar tahun lalu untuk memulai grup kebijakan nirlaba, mengatakan bahwa menurutnya, secara teori, sistem in-toto dapat berfungsi. Tetapi dia memperingatkan bahwa perangkat lunak itu sangat kompleks, dengan banyak produk dan perusahaan dalam rantai pasokan, sehingga tidak ada pertahanan yang menjadi obat mujarab. Namun, dia setuju bahwa in-toto dapat memberikan perlindungan, dan berkata “selalu merupakan hal yang baik untuk memiliki lebih banyak perlindungan untuk rantai pasokan.”

Source : Propublica