Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cryptomining

Cryptomining

Sistem Pembajakan Malware KmsdBot Baru Crypto Mining dan Meluncurkan Serangan DDoS

by

Malware penghindar yang baru ditemukan memanfaatkan protokol kriptografi Secure Shell (SSH) untuk masuk ke sistem yang ditargetkan dengan tujuan menambang cryptocurrency dan melakukan serangan penolakan layanan (DDoS) terdistribusi.

Dijuluki KmsdBot oleh Akamai Security Intelligence Response Team (SIRT), malware berbasis Golang telah ditemukan menargetkan berbagai perusahaan mulai dari game hingga merek mobil mewah hingga perusahaan keamanan.

Malware mendapatkan namanya dari executable bernama “kmsd.exe” yang diunduh dari server jarak jauh setelah kompromi yang berhasil. Ini juga dirancang untuk mendukung banyak arsitektur, seperti Winx86, Arm64, mips64, dan x86_64.

KmsdBot hadir dengan kemampuan untuk melakukan operasi pemindaian dan menyebarkan dirinya sendiri dengan mengunduh daftar kombinasi nama pengguna dan kata sandi. Itu juga dilengkapi untuk mengontrol proses penambangan dan memperbarui malware.

Akamai mengatakan target pertama yang diamati dari malware adalah perusahaan game bernama FiveM, mod multipemain untuk Grand Theft Auto V yang memungkinkan pemain mengakses server permainan peran khusus.

Serangan DDoS yang diamati oleh perusahaan infrastruktur web termasuk serangan Layer 4 dan Layer 7, di mana banjir permintaan TCP, UDP, atau HTTP GET dikirim untuk membanjiri sumber daya server target dan menghambat kemampuannya untuk memproses dan merespons.

Temuan ini muncul karena perangkat lunak yang rentan semakin banyak digunakan untuk menyebarkan penambang cryptocurrency, melonjak dari 12% di Q1 2022 menjadi 17% di Q3, menurut data telemetri dari Kaspersky. Hampir setengah dari sampel perangkat lunak penambangan berbahaya yang dianalisis (48%) secara diam-diam menambang Monero (XMR).

“Menariknya, negara yang paling ditargetkan pada Q3 2022 adalah Ethiopia (2,38%), di mana penggunaan dan penambangan cryptocurrency ilegal,” kata perusahaan keamanan siber Rusia. “Kazakhstan (2,13%) dan Uzbekistan (2,01%) mengikuti di tempat kedua dan ketiga.”

Sumber: The Hackernews

Grup peretas ‘8220’ mengembangkan botnet cloud ke lebih dari 30.000 host

by

Geng cryptomining yang dikenal sebagai 8220 Gang telah mengeksploitasi kerentanan Linux dan aplikasi cloud untuk mengembangkan botnet mereka ke lebih dari 30.000 host yang terinfeksi.

Grup ini adalah aktor berketerampilan rendah, bermotivasi finansial yang menginfeksi host AWS, Azure, GCP, Alitun, dan QCloud setelah menargetkan sistem yang tersedia untuk umum yang menjalankan versi Docker, Redis, Confluence, dan Apache yang rentan.

Serangan sebelumnya dari geng ini mengandalkan eksploitasi yang tersedia untuk umum untuk mengkompromikan server Confluence.

Setelah mendapatkan akses, penyerang menggunakan paksaan SSH untuk menyebar lebih jauh dan membajak sumber daya komputasi yang tersedia untuk menjalankan cryptominers yang menunjuk ke kumpulan yang tidak dapat dilacak.

Geng 8220 telah aktif setidaknya sejak 2017 dan tidak dianggap sangat canggih, tetapi ledakan tiba-tiba dalam jumlah infeksi menggarisbawahi betapa berbahaya dan berdampaknya aktor tingkat bawah ini ketika mereka mengabdikan diri untuk tujuan mereka.

Dalam kampanye terbaru, yang diamati dan dianalisis oleh SentinelLabs, Geng 8220 telah menambahkan hal-hal baru ke skrip yang digunakan untuk memperluas botnet mereka, sepotong kode yang cukup tersembunyi meskipun tidak memiliki mekanisme penghindaran deteksi khusus.

Mulai akhir bulan lalu, grup tersebut mulai menggunakan file khusus untuk pengelolaan langkah paksa SSH, yang berisi 450 kredensial hardcode yang sesuai dengan berbagai perangkat dan aplikasi Linux.

Pembaruan lainnya adalah penggunaan daftar blokir dalam skrip untuk mengecualikan host tertentu dari infeksi, sebagian besar mengenai honeypot yang dibuat oleh peneliti keamanan.

Akhirnya, 8220 Gang sekarang menggunakan versi baru dari cryptominer kustomnya, PwnRig, yang didasarkan pada XMRig penambang Monero open-source.

Dalam versi terbaru PwnRig, penambang menggunakan subdomain FBI palsu dengan alamat IP yang mengarah ke domain pemerintah federal Brasil untuk membuat permintaan kumpulan palsu dan mengaburkan tujuan sebenarnya dari uang yang dihasilkan.

Penurunan harga cryptocurrency memaksa aktor cryptojacking untuk meningkatkan operasi mereka sehingga mereka dapat mempertahankan keuntungan yang sama. Monero, khususnya, telah kehilangan lebih dari 20% nilainya selama enam bulan terakhir.

Sumber: Bleeping Computer

Pengguna Antivirus Avira 500M Dikenalkan ke Cryptomining

by

Banyak pembaca terkejut mengetahui baru-baru ini bahwa suite antivirus Norton 360 yang populer sekarang dikirimkan dengan program yang memungkinkan pelanggan menghasilkan uang dengan menambang mata uang virtual. Tetapi Norton 360 tidak sendirian dalam upaya yang meragukan ini: Antivirus Avira – yang telah membangun basis 500 juta pengguna di seluruh dunia sebagian besar dengan membuat produk gratis – baru-baru ini dibeli oleh perusahaan yang sama yang memiliki Norton 360 dan memperkenalkan pelanggannya ke layanan yang disebut Avira Crypto.

Didirikan pada tahun 2006, Avira Operations GmbH &Co. KG adalah perusahaan perangkat lunak multinasional Jerman yang terkenal dengan Avira Free Security (alias Avira Free Antivirus). Pada Januari 2021, Avira diakuisisi oleh Tempe, NortonLifeLock Inc. yang berbasis di Ariz., perusahaan yang sama yang sekarang memiliki Norton 360.

Pada 2017, perusahaan perlindungan pencurian identitas LifeLock diakuisisi oleh Symantec Corp., yang berganti nama menjadi NortonLifeLock pada 2019. LifeLock sekarang termasuk dalam layanan Norton 360; Avira menawarkan pengguna layanan serupa yang disebut Breach Monitor.

Seperti Norton 360, Avira hadir dengan cryptominer yang sudah diinstal, tetapi pelanggan harus memilih untuk menggunakan layanan yang memberi daya padanya. FAQ Avira pada layanan cryptomining-nya agak jarang. Misalnya, itu tidak menentukan berapa banyak NortonLifeLock keluar dari kesepakatan (NortonLifeLock menyimpan 15 persen dari cryptocurrency yang ditambang oleh Norton Crypto).

“Avira Crypto memungkinkan Anda menggunakan waktu idle komputer Anda untuk menambang cryptocurrency Ethereum (ETH),” FAQ menjelaskan. “Karena cryptomining membutuhkan tingkat kekuatan pemrosesan yang tinggi, itu tidak cocok untuk pengguna dengan komputer rata-rata. Bahkan dengan perangkat keras yang kompatibel, menambang cryptocurrency sendiri bisa kurang bermanfaat. Pilihan terbaik Anda adalah bergabung dengan kolam penambangan yang berbagi kekuatan komputer mereka untuk meningkatkan peluang mereka menambang cryptocurrency. Hadiahnya kemudian didistribusikan secara merata kepada semua anggota di kolam renang.”

Tangkapan layar di atas diambil pada Virustotal.com, layanan milik Google yang memindai file yang dikirimkan terhadap puluhan produk antivirus. Laporan deteksi yang digambarkan ditemukan dengan mencari Virustotal untuk “ANvOptimusEnablementCuda,” sebuah fungsi yang termasuk dalam komponen penambangan Norton Crypto “Ncrypt.exe.”

Beberapa pelanggan Norton lama turun ke forum online NortonLifeLock untuk mengekspresikan kengerian pada prospek produk antivirus mereka menginstal perangkat lunak penambangan koin, terlepas dari apakah layanan penambangan dimatikan secara default.

“Norton harus MENDETEKSI dan membunuh pembajakan penambangan crypto, bukan menginstalnya sendiri,” bunyi utas 28 Desember di forum Norton berjudul “Benar-benar marah.”

Yang lain telah menuduh bahwa penawaran crypto akan berakhir dengan biaya pelanggan lebih banyak dalam tagihan listrik daripada yang dapat mereka harapkan dari membiarkan tambang antivirus mereka ETH. Terlebih lagi, ada biaya besar dan kuat yang terlibat dalam memindahkan ETH yang ditambang oleh Norton atau Avira Crypto ke akun yang dapat diuangkan pengguna, dan banyak pengguna tampaknya tidak mengerti bahwa mereka tidak dapat menguangkan sampai mereka setidaknya mendapatkan cukup ETH untuk menutupi biaya.

Sumber: Kresbon Security