Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cyber Attack

Cyber Attack

Peretas Menggunakan Perangkat Lunak Penagihan Zero-day untuk Menyebarkan Ransomware

by

Grup ransomware yang tidak dikenal mengeksploitasi bug injeksi SQL kritis yang ditemukan dalam solusi penagihan dan waktu BillQuick Web Suite untuk menyebarkan ransomware di jaringan target mereka.

BQE Software, perusahaan di belakang BillQuick, mengklaim memiliki 400.000 basis pengguna yang kuat di seluruh dunia.

Kerentanan, dilacak sebagai CVE-2021-42258, dapat dipicu dengan sangat mudah melalui permintaan login dengan karakter yang tidak valid (kutipan tunggal) di bidang nama pengguna, menurut peneliti keamanan dengan tim Huntress ThreatOps.

Kerentanan yang dieksploitasi secara aktif ini ditambal pada 7 Oktober setelah Huntress Labs memberi tahu BQE Software tentang bug tersebut.

Namun, para peneliti juga menemukan delapan kerentanan zero-day BillQuick lainnya (yaitu, CVE-2021-42344, CVE-2021-42345, CVE-2021-42346, CVE-2021-42571, CVE-2021-42572, CVE-2021- 42573, CVE-2021-42741, CVE-2021-42742) juga dapat digunakan untuk akses awal/eksekusi kode dan siap untuk disalahgunakan karena masih menunggu patch.

Menurut para peneliti, sejak serangan dimulai, sebuah perusahaan teknik AS telah memiliki sistem yang dienkripsi setelah server BillQuick yang rentan diretas dan digunakan sebagai titik awal akses ke jaringannya.

“Aktor yang kami amati tidak selaras dengan aktor ancaman besar yang diketahui/yang kami ketahui. Menurut pendapat pribadi saya, ini adalah aktor dan/atau kelompok yang lebih kecil berdasarkan perilaku mereka selama eksploitasi dan pasca-eksploitasi,” peneliti keamanan Huntress Labs Caleb Stewart memberi tahu BleepingComputer.

“Namun, berdasarkan masalah yang telah kami identifikasi/ungkapkan, saya memperkirakan eksploitasi lebih lanjut oleh pihak lain mungkin terjadi. Kami mengamati aktivitas tersebut selama akhir pekan Hari Columbus (08-10 Oktober 2021).”

BleepingComputer menemukan bahwa ransomware yang disebarkan oleh grup ini telah digunakan setidaknya sejak Mei 2020 dan banyak meminjam kode dari keluarga ransomware berbasis AutoIT lainnya.

Setelah digunakan pada sistem target, itu akan menambahkan ekstensi pusheken91@bk.ru ke semua file terenkripsi tetapi, seperti yang disebutkan di atas, BleepingComputer belum melihatnya menjatuhkan catatan tebusan selama serangan yang diketahui.

Penyerang kemungkinan menggunakan pendekatan ini karena ekstensi yang ditambahkan itu sendiri mengisyaratkan email apa yang harus digunakan korban untuk menanyakan detail tentang cara memulihkan data mereka.

Pada bulan Agustus, FBI dan CISA memperingatkan organisasi untuk tidak menurunkan pertahanan mereka terhadap serangan ransomware selama akhir pekan atau hari libur dalam sebuah penasehat keamanan siber bersama.

Kedua lembaga pemerintah federal mengatakan mereka “mengamati peningkatan serangan ransomware yang sangat berdampak yang terjadi pada hari libur dan akhir pekan—ketika kantor biasanya tutup—di Amerika Serikat, baru-baru ini pada liburan Empat Juli tahun 2021.”

soucer: BLEEPING COMPUTER

Jangan Asal Unduh Aplikasi Bertema Squid Game!

by

Penjahat dunia maya memanfaatkan ketenaran “Squid Game” untuk menguangkan para penggemar serial hit Korea Netflix yang hiper-kekerasan.

Dalam penipuan terbaru, yang ditemukan oleh seorang peneliti keamanan siber, sebuah aplikasi untuk wallpaper bertema SG — tersedia di Google Play Store — telah memasang malware berbahaya ke ponsel orang, Sun melaporkan.

“Sepertinya peluang besar untuk menghasilkan uang dari iklan dalam aplikasi dari salah satu acara TV paling populer tanpa game resmi,” Lukas Stefanko, seorang peneliti malware di perusahaan keamanan ESET, yang dilaporkan menangkap aplikasi tersebut sedang beraksi.

Aplikasi yang diduga jahat, berjudul “Squid Game Wallpaper 4K HD,” tersedia bersama ratusan aplikasi berdasarkan seri sukses besar. Saat diunduh, Trojan akan menginfeksi perangkat Android dengan malware Joker, yang memungkinkan peretas untuk mendaftarkan Anda ke layanan premium yang dapat mereka manfaatkan.

Stefanko telah menge-Tweet bahwa penipu digital menggunakan aplikasi untuk melakukan “penipuan iklan berbahaya dan/atau tindakan berlangganan SMS yang tidak diinginkan,” yang berarti bahwa perangkat yang disusupi dapat dibanjiri dengan iklan yang tidak diinginkan melalui pesan teks.

Pejuang kejahatan dunia maya memberi tahu Google tentang skema tersebut – tetapi skema itu telah diunduh 5.000 kali pada saat mereka menghapusnya.

Sayangnya, penggemar “Game Squid” yang menginstal aplikasi sebelum dihapus dari Google Play terus berisiko terkena malware. Techsperts menyarankan orang untuk segera menghapus aplikasi untuk meniadakan ancaman.

Stefanko mencatat Google Play menawarkan 200 aplikasi berdasarkan “Squid Game” – yang sedang digembar-gemborkan sebagai acara Netflix yang paling banyak ditonton – dengan yang paling populer mengumpulkan 1 juta unduhan dalam 10 hari.

Sayangnya, dampak negatif acara ini bisa lebih dari sekadar digital. Psikolog mengatakan bahwa serial dystopian dapat menghambat “perkembangan sosial dan emosional” anak-anak muda, mendorong mereka untuk menutup mata – atau bahkan bergabung – ketika orang lain diserang.

Awal bulan ini, sebuah sekolah di Belgia mengeluarkan peringatan menyusul laporan siswa yang memainkan permainan meninju yang berbahaya terinspirasi dari “Squid Game”.

source: NYPOST

Discord Menjadi Jembatan Besar Penyebaran Malware

by

Fitur Utama dan Content Delivery Network Discord digunakan untuk mengirim file berbahaya—termasuk RAT—ke seluruh jaringannya yang terdiri dari 150 juta pengguna, yang membahayakan perusahaan.

Threat actors menyalahgunakan fitur inti dari platform komunikasi digital Discord yang populer untuk terus-menerus mengirimkan berbagai jenis malware—khususnya trojan akses jarak jauh (RAT) yang dapat mengambil alih sistem—menempatkan 150 juta penggunanya dalam risiko, menurut RiskIQ dan CheckPoint.

Keduanya menemukan malware multi-fungsi yang dikirim dalam pesan di seluruh platform, yang memungkinkan pengguna untuk mengatur server Discord ke dalam saluran berbasis topik di mana mereka dapat berbagi file teks, gambar atau suara atau executable lainnya. File-file itu kemudian disimpan di server Jaringan Pengiriman Konten (CDN) Discord.

Para peneliti memperingatkan, “banyak file yang dikirim melalui platform Discord berbahaya, menunjukkan sejumlah besar penyalahgunaan CDN yang di-hosting sendiri oleh aktor dengan membuat saluran dengan tujuan tunggal mengirimkan file berbahaya ini,” menurut sebuah laporan yang diterbitkan Kamis oleh Tim RiskIQ.

Awalnya Discord menarik para gamer, tetapi platform tersebut sekarang digunakan oleh organisasi untuk komunikasi di tempat kerja. Penyimpanan file berbahaya di CDN Discord dan proliferasi malware di platform berarti bahwa “banyak organisasi dapat mengizinkan lalu lintas buruk ini ke jaringan mereka,” tulis peneliti RiskIQ.

RAT dan Malware Lain-lain
Fitur malware terbaru yang ditemukan di platform termasuk kemampuan untuk mengambil tangkapan layar, mengunduh dan mengeksekusi file tambahan, dan melakukan keylogging, peneliti CheckPoint Idan Shechter dan Omer Ventura diungkapkan dalam laporan terpisah yang juga diterbitkan Kamis.

CheckPoint juga menemukan bahwa Discord Bot API—implementasi Python sederhana yang memudahkan modifikasi dan mempersingkat proses pengembangan bot di platform—“dapat dengan mudah mengubah bot menjadi RAT sederhana” yang dapat digunakan oleh pelaku ancaman “untuk mendapatkan akses penuh dan jarak jauh. kontrol pada sistem pengguna.”

Bot Discord menjadi bagian yang semakin integral dari cara pengguna berinteraksi dengan Discord, memungkinkan mereka untuk mengintegrasikan kode untuk fitur yang disempurnakan guna memfasilitasi manajemen komunitas, kata para peneliti.

“Bot perselisihan tampaknya kuat, ramah, dan sangat menghemat waktu,” tulis Shechter dan Ventura. “Namun, dengan kekuatan besar juga ada tanggung jawab besar, dan kerangka kerja bot Discord dapat dengan mudah digunakan untuk niat jahat.”

Peneliti CheckPoint menemukan beberapa repositori berbahaya di antara GitHub yang relevan untuk platform Discord. Repositori ini termasuk malware berdasarkan Discord API dan bot jahat dengan fungsi berbeda, kata mereka.

Sementara itu, peneliti RiskIQ memeriksa URL CDN Discord yang berisi .exe, DLL dan berbagai dokumen dan file terkompresi, menemukan setelah meninjau hash di VirusTotal bahwa lebih dari 100 mengirimkan konten berbahaya. Delapan puluh file berasal dari 17 keluarga malware yang berbeda, dengan trojan yang terdiri dari malware paling umum yang diamati di platform, kata para peneliti.

Secara khusus, peneliti RiskIQ mempelajari lebih dalam bagaimana Discord CDN menggunakan domain Discord melalui tautan yang menggunakan [hxxps://cdn.discordapp[.]com/attachments/{ChannelID}/{AttachmentID}/{filename}] sebagai format untuk menemukan malware, kata mereka.

Para peneliti mendeteksi tautan dan menanyakan ID saluran Discord yang digunakan dalam tautan ini, yang memungkinkan mereka mengidentifikasi domain yang berisi halaman web yang tertaut ke tautan CDN Discord dengan ID saluran tertentu, kata mereka.

“Misalnya, platform RiskIQ dapat menanyakan ID saluran yang terkait dengan zoom[-]download[.]ml,” jelas peneliti. “Domain ini mencoba menipu pengguna agar mengunduh plug-in Zoom untuk Microsoft Outlook dan sebagai gantinya mengirimkan pencuri kata sandi Dcstl yang dihosting di CDN Discord.”

Dalam contoh lain, RiskIQ menemukan bahwa ID saluran untuk URL yang berisi file pencuri kata sandi Raccoon mengembalikan domain untuk Taplink, sebuah situs yang menyediakan halaman arahan mikro kepada pengguna untuk mengarahkan individu ke halaman Instagram dan media sosial lainnya, jelas mereka.

“Seorang pengguna kemungkinan menambahkan tautan Discord CDN ke halaman Taplink mereka,” jelas para peneliti. “Meminta ID ini memungkinkan pengguna RiskIQ untuk memahami file Discord mana dan infrastruktur terkait yang bersangkutan dan di mana mereka berada di seluruh web.”

Teknik ini memungkinkan peneliti untuk menentukan tanggal dan waktu saluran Discord dibuat, menghubungkan yang dibuat dalam beberapa hari sebelum pengamatan pertama dari file di VirusTotal ke saluran dengan tujuan tunggal mendistribusikan malware, kata mereka. Pada akhirnya, mereka menemukan dan membuat katalog 27 jenis malware unik yang dihosting di CDN Discord.

source: THREATPOST

Olimpiade Tokyo 2020 Mengalami Setengah Miliar Percobaan Serangan Siber

by

NTT Corporation, yang menyediakan layanannya untuk Olimpiade & Paralimpiade di Tokyo, mengungkapkan ada lebih dari 450 juta percobaan serangan siber selama acara tersebut.

Di antara 450 juta serangan, NTT mengatakan malware Emotet, email spoofing, phishing, serta situs web palsu, termasuk di antara metode yang paling populer. Perusahaan juga mengharapkan serangan Distributed Denial of Service (DDoS), ransomware, serta serangan terhadap infrastruktur penting.

Satu dari antara infrastruktur tersebut adalah 5G, karena semua tempat permainan dialihkan ke jaringan seluler 5G setelah layanan komersial dimulai di Jepang pada awal tahun 2021. Selama acara tersebut, telah terjadi komunikasi tidak sah yang menargetkan kerentanan di terminal. NTT berhasil meredam serangan dengan memblokir komunikasi.

NTT yakin berhasil mempertahankan perimeter berkat empat faktor utama: Intelijen ancaman dan pemantauan; solusi keamanan total (mengadopsi format daftar putih), pelatihan karyawan berkualitas dan program kesadaran; dan manajemen pemangku kepentingan (kolaborasi erat dengan penyedia TIK, infrastruktur penting, Komite Olimpiade Internasional, serta Komite Penyelenggara Tokyo 2020).

“Penjahat dunia maya tentu melihat Olimpiade — dan rantai pasokan terkaitnya — sebagai target bernilai tinggi dengan toleransi waktu henti yang rendah,” komentar Andrea MacLean dari NTT. “Bagaimanapun, kejahatan mengikuti peluang. Dan dengan stadion yang terhubung, platform keterlibatan penggemar, dan lengkap replika digital tempat olahraga dan acara itu sendiri menjadi norma, ada banyak infrastruktur TI dan data yang ditargetkan — dan melalui banyak komponen.”

Selengkapnya: Tech Radar

Microsoft: Peretas Iran Menargetkan Perusahaan Teknologi Pertahanan AS

by Leave a Comment

Pelaku yang berhubungan dengan Iran menargetkan penyewa Office 365 dari perusahaan teknologi pertahanan AS dan Israel dalam serangan extensive password spraying attacks.

Dalam extensive password spraying attacks, pelaku ancaman mencoba untuk memaksa akun dengan menggunakan kata sandi yang sama di beberapa akun secara bersamaan, yang memungkinkan mereka menyembunyikan upaya yang gagal menggunakan alamat IP yang berbeda.

Hal ini memungkinkan mereka untuk mengalahkan pertahanan otomatis seperti penguncian kata sandi dan pemblokiran IP berbahaya yang dirancang untuk memblokir beberapa upaya login yang gagal.

Cluster aktivitas itu untuk sementara dijuluki DEV-0343 oleh para peneliti di Microsoft Threat Intelligence Center (MSTIC) dan Microsoft Digital Security Unit (DSU), yang telah melacaknya sejak akhir Juli.

Menurut Microsoft, aktivitas jahat yang sedang berlangsung ini sejalan dengan kepentingan nasional Iran berdasarkan teknik dan target yang selaras dengan aktor ancaman terkait Iran lainnya.

DEV-0343 juga dikaitkan dengan Iran berdasarkan analisis pola kehidupan dan persilangan ekstensif dalam penargetan sektoral dan geografis dengan kelompok peretas Iran lainnya.

“Penargetan dalam aktivitas DEV-0343 ini telah diamati di seluruh perusahaan pertahanan yang mendukung Amerika Serikat, Uni Eropa, dan mitra pemerintah Israel yang memproduksi radar tingkat militer, teknologi drone, sistem satelit, dan sistem komunikasi tanggap darurat,” kata Microsoft.

“Aktivitas lebih lanjut telah menargetkan pelanggan dalam sistem informasi geografis (GIS), analitik spasial, pelabuhan masuk regional di Teluk Persia, dan beberapa perusahaan transportasi laut dan kargo dengan fokus bisnis di Timur Tengah.”

Tujuan akhir operator DEV-0343 kemungkinan adalah untuk mendapatkan akses ke citra satelit komersial dan rencana pengiriman dan log kepemilikan, yang akan digunakan untuk menambah program satelit dalam pengembangan Iran.

Microsoft telah langsung memberi tahu pelanggan yang telah ditargetkan atau disusupi, memberi mereka informasi yang mereka butuhkan untuk mengamankan akun mereka.

Kurang dari 20 target dilanggar
Sejak serangan dimulai, kurang dari 20 target telah dikompromikan, dengan Microsoft mencatat bahwa akun Office 365 dengan otentikasi multifaktor (MFA) yang diaktifkan tahan terhadap serangan semprotan kata sandi DEV-0343.

DEV-0343 menargetkan titik akhir Autodiscover dan ActiveSync Exchange dengan alat penyemprot enumerasi/sandi untuk memvalidasi akun aktif dan memperbaiki serangan mereka.

“Mereka biasanya menargetkan lusinan hingga ratusan akun dalam suatu organisasi, tergantung pada ukurannya, dan menghitung setiap akun dari lusinan hingga ribuan kali,” kata Microsoft.

“Rata-rata, antara 150 dan 1.000+ alamat IP proxy Tor unik digunakan dalam serangan terhadap setiap organisasi.”

Cara bertahan dari serangan
Perusahaan yang terpapar aktivitas ini didorong untuk mencari perilaku dan taktik DEV-0343 dalam log dan aktivitas jaringan, termasuk:

Lalu lintas masuk yang luas dari alamat IP Tor untuk kampanye extensive password spraying attacks
-Emulasi browser FireFox (paling umum) atau Chrome dalam kampanye penyemprotan kata sandi
-Pencacahan Exchange ActiveSync (paling umum) atau titik akhir Autodiscover
-Penggunaan alat enumerasi/penyemprotan kata sandi yang mirip dengan alat ‘o365spray’
-Penggunaan Autodiscover untuk memvalidasi akun dan kata sandi
-Aktivitas penyemprotan kata sandi yang diamati biasanya memuncak antara 04:00:00 dan 11:00:00 UTC
Microsoft merekomendasikan untuk mengambil langkah-langkah berikut sebagai pertahanan terhadap serangan DEV-0343:

Aktifkan autentikasi multifaktor untuk mengurangi kredensial yang disusupi.
-Untuk pengguna Office 365, lihat dukungan autentikasi multifaktor.
-Untuk akun email Konsumen dan Pribadi, lihat cara menggunakan verifikasi dua langkah.
-Microsoft sangat menganjurkan semua pelanggan untuk mengunduh dan menggunakan solusi tanpa kata sandi.
-Tinjau dan terapkan kebijakan akses Exchange Online yang direkomendasikan:
-Blokir klien ActiveSync agar tidak melewati kebijakan Akses Bersyarat.
-Blokir semua lalu lintas masuk dari layanan anonim jika memungkinkan.
-Peneliti MSTIC dan DSU juga membagikan kueri perburuan lanjutan Microsoft 365 Defender dan Azure Sentinel di akhir entri blog untuk membantu tim SecOps mendeteksi aktivitas terkait DEV-0343.

sumber: bleepingcomputer

Cyberattack menutup bank terbesar di Ekuador, Banco Pichincha

by

Bank swasta terbesar di Ekuador Banco Pichincha telah mengalami serangan siber yang mengganggu operasi dan membuat ATM dan portal perbankan online offline.

Serangan siber terjadi selama akhir pekan, menyebabkan bank menutup sebagian jaringan mereka untuk mencegah penyebaran serangan ke sistem lain.

Penutupan sistem telah menyebabkan gangguan yang meluas bagi bank, dengan ATM tidak lagi berfungsi dan portal perbankan online menampilkan pesan pemeliharaan.

Dalam notifikasi internal yang dikirim ke instansi Bank dan dilihat oleh BleepingComputer, karyawan diberitahu bahwa aplikasi bank, email, saluran digital, dan layanan mandiri tidak akan beroperasi karena masalah teknologi.

Dokumen internal lebih lanjut mengatakan bahwa pelanggan swalayan harus diarahkan ke jendela teller bank untuk dilayani selama pemadaman.

Setelah dua hari diam mengenai kesulitan teknis bank, Banco Pichincha mengeluarkan pernyataan Selasa sore mengakui bahwa mereka mengalami serangan cyber yang menyebabkan gangguan sistem mereka.

Saat ini, Banco Pichincha belum mengungkapkan secara terbuka sifat serangan tersebut. Namun, sumber di industri keamanan siber mengatakan kepada BleepingComputer bahwa ini adalah serangan ransomware dengan pelaku ancaman memasang suar Cobalt Strike di jaringan.

Selengkapnya: Bleeping Computer

Microsoft Mengatakan Telah Memitigasi Salah Satu Serangan DDoS Terbesar Yang Pernah Ada

by

Microsoft mengatakan mampu mengurangi serangan Distributed Denial-of-Service (DDoS) 2,4Tbps pada bulan Agustus. Serangan tersebut menargetkan pelanggan Azure di Eropa dan 140 persen lebih tinggi dari volume bandwidth serangan tertinggi yang dicatat Microsoft pada tahun 2020.

Ini juga melebihi volume lalu lintas puncak 2,3Tbps yang diarahkan ke Amazon Web Services tahun lalu, meskipun itu adalah serangan yang lebih kecil daripada 2,54Tbps yang dimitigasi Google pada tahun 2017.

Microsoft mengatakan serangan itu berlangsung lebih dari 10 menit, dengan ledakan lalu lintas berumur pendek yang memuncak pada 2,4Tbps, 0,55Tbps, dan akhirnya 1,7Tbps.

Serangan DDoS biasanya digunakan untuk memaksa situs web atau layanan offline, berkat banjir lalu lintas yang tidak dapat ditangani oleh host web.

Mereka biasanya dilakukan melalui botnet, jaringan mesin yang telah disusupi menggunakan malware atau perangkat lunak berbahaya untuk mengontrolnya dari jarak jauh. Azure dapat tetap online selama serangan, berkat kemampuannya menyerap puluhan terabit serangan DDoS.

Sementara jumlah serangan DDoS telah meningkat pada tahun 2021 di Azure, serangan maksimum secara keseluruhan telah menurun menjadi 625Mbps sebelum serangan 2,4Tbps ini pada minggu terakhir bulan Agustus.

Microsoft tidak menyebutkan nama pelanggan Azure di Eropa yang menjadi sasaran, tetapi serangan semacam itu juga dapat digunakan sebagai perlindungan untuk serangan sekunder yang berupaya menyebarkan malware dan menyusup ke sistem perusahaan.

Peretas Rusia di balik peretasan SolarWinds mencoba menyusup ke jaringan pemerintah AS dan Eropa

by

Peretas Rusia di balik pelanggaran agen federal AS pada tahun 2020 yang sukses dalam beberapa bulan terakhir mencoba menyusup ke jaringan pemerintah AS dan Eropa, kata analis keamanan siber yang melacak kelompok itu kepada CNN.

Kelompok Rusia telah melanggar beberapa perusahaan teknologi dalam aktivitas yang sebelumnya tidak dilaporkan, kata Charles Carmakal, wakil presiden senior dan CTO di perusahaan keamanan siber Mandiant. Para peretas juga telah menggunakan alat dan teknik baru dalam beberapa operasi mereka tahun ini, kata Carmakal.

Tidak jelas data apa, jika ada, yang diakses peretas. Tetapi kegiatan tersebut merupakan pengingat akan tantangan yang dihadapi pemerintahan Biden ketika mencoba untuk menumpulkan upaya musuh digital utama Amerika untuk mengakses data pemerintah yang sensitif.

“Kelompok ini telah mengkompromikan beberapa entitas pemerintah, organisasi yang fokus pada masalah politik dan kebijakan luar negeri, dan penyedia teknologi yang menyediakan akses langsung atau tidak langsung ke organisasi target utama di Amerika Utara dan Eropa,” kata Carmakal kepada CNN. Dia menolak untuk mengidentifikasi penyedia teknologi.

Grup Rusia terkenal karena menggunakan malware yang dibuat oleh kontraktor federal SolarWinds untuk melanggar setidaknya sembilan agen AS dalam aktivitas yang terungkap pada Desember 2020.

Para penyerang tidak terdeteksi selama berbulan-bulan di jaringan email yang tidak diklasifikasikan dari departemen Kehakiman, Keamanan Dalam Negeri, dan lainnya, dan FireEye, mantan perusahaan induk Mandiant, bukan agen pemerintah, yang menemukan kampanye peretasan tersebut.

Sumber: CNN