Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cyber Attack

Cyber Attack

Peretasan Microsoft China Mungkin Memiliki Tujuan Lebih Besar Dari Sekedar Memata-matai

by

Steven Adair berburu peretas untuk mencari nafkah. Kembali pada bulan Januari, di sudut matanya, cara periferal, dia pikir dia melihat satu di jaringan pelanggannya — kehadiran bayangan yang mengunduh email.

Adair adalah pendiri perusahaan keamanan siber bernama Volexity, dan dia selalu menjebak penyusup. Jadi, dia melihat sekilas server yang digunakan kliennya untuk menjalankan Microsoft Exchange dan terkejut “melihat permintaan yang tidak kami harapkan,” katanya. Ada permintaan untuk akses ke akun email tertentu, permintaan untuk file rahasia.

Apa yang ditemukan Adair adalah peretasan besar-besaran ke Microsoft Exchange — salah satu program perangkat lunak email paling populer di dunia.

Selama hampir tiga bulan, penyusup membantu diri mereka sendiri dalam segala hal mulai dari email, kalender, hingga kontak. Kemudian mereka menjadi liar dan meluncurkan serangan gelombang kedua untuk menyapu data Exchange dari puluhan ribu korban yang tidak menaruh curiga.

Baik Gedung Putih dan Microsoft telah mengatakan dengan tegas bahwa peretas yang didukung pemerintah China adalah dalang dibalik peretasan ini.

Pemeriksaan NPR selama berbulan-bulan atas serangan itu — berdasarkan wawancara dengan lusinan pemain dari pejabat perusahaan hingga pakar forensik dunia maya hingga pejabat intelijen AS — menemukan bahwa mencuri email dan kekayaan intelektual mungkin baru permulaan. Para pejabat percaya bahwa pelanggaran itu bertujuan untuk sesuatu yang lebih besar: Ambisi kecerdasan buatan China. Kepemimpinan Beijing bertujuan untuk memimpin dunia dalam teknologi yang memungkinkan komputer melakukan tugas-tugas yang secara tradisional membutuhkan kecerdasan manusia — seperti menemukan pola dan mengenali ucapan atau wajah.

Selengkapnya dapat dibaca di: NPR

Hampir 73.500 data pasien terkena serangan ransomware di klinik mata di Singapura

by

Serangan ransomware awal bulan ini telah memengaruhi data pribadi dan informasi klinis hampir 73.500 pasien di klinik mata swasta, insiden ketiga yang dilaporkan dalam sebulan.

Informasi tersebut meliputi nama, alamat, nomor kartu identitas, detail kontak dan informasi klinis seperti catatan klinis pasien dan pemindaian mata, kata Eye & Retina Surgeons (ERS) pada Rabu (25 Agustus).

Tetapi klinik mengatakan belum membayar uang tebusan, menambahkan bahwa tidak ada informasi kartu kredit atau rekening bank yang diakses atau dikompromikan.

Kementerian Kesehatan (MOH) mengatakan bahwa sistem TI klinik yang disusupi tidak terhubung ke sistem TI kementerian, seperti Catatan Kesehatan Elektronik Nasional, dan tidak ada serangan siber serupa pada sistem TI Kementerian Kesehatan.

Kementerian menambahkan bahwa mereka telah meminta ERS untuk menyelidiki insiden itu, melakukan tinjauan menyeluruh terhadap sistemnya dan bekerja dengan Badan Keamanan Siber (CSA) untuk “mengambil tindakan mitigasi segera untuk memperkuat pertahanan sibernya”.

Klinik tersebut mengatakan dalam sebuah pernyataan bahwa ia menggunakan “penyedia layanan TI eksternal yang bereputasi dan mapan untuk memberi saran dan memelihara sistem TI-nya, dan berlangganan anti-virus yang sesuai dan perangkat lunak pelindung lainnya, yang diperbarui secara berkala”.

Server dan beberapa terminal komputer di klinik cabang Camden terpengaruh, tetapi sistem TI di cabang Novena tidak.

Meskipun tidak ada data yang bocor ke publik untuk saat ini, klinik tersebut mengatakan akan memantau situasi dengan cermat.

Selengkapnya: The Straits Times

Botnet Menghasilkan Salah Satu Serangan DDoS Terbesar dalam Catatan

by

Bulan lalu, seseorang mencoba meluncurkan salah satu serangan Distributed Denial of Service (DDoS) terbesar yang pernah tercatat untuk menghapus situs keuangan, menurut Cloudflare, penyedia infrastruktur internet.

Serangan itu melibatkan menghasilkan banjir lalu lintas internet melalui permintaan berbasis browser HTTP. Pada puncaknya, pengeboman mencapai 17,2 juta permintaan per detik.

“Untuk perspektif tentang seberapa besar serangan ini: Cloudflare melayani rata-rata lebih dari 25 juta permintaan HTTP per detik,” tulis perusahaan itu dalam sebuah posting blog pada hari Kamis. “Jadi memuncak pada 17,2 juta rps, serangan ini mencapai 68% dari rata-rata rps rata-rata Q2 kami dari lalu lintas HTTP yang sah.”

Secara total, serangan itu membombardir server perusahaan dengan 330 juta permintaan dalam waktu kurang dari satu menit. Namun, Cloudflare mengatakan sistem otomatisnya dapat secara otomatis mendeteksi dan mengurangi banjir lalu lintas.

​​Menurut Cloudflare, insiden tersebut merupakan serangan DDoS berbasis lapisan aplikasi terbesar yang diketahui publik. Pemegang rekor sebelumnya adalah serangan 6 juta permintaan per detik yang terdeteksi Google tahun lalu.

Cloudflare melihat sumber serangan 17,2 juta rps ke botnet 20.000 mesin, yang merupakan pasukan komputer yang dikendalikan malware. “Berdasarkan alamat IP sumber bot, hampir 15% serangan berasal dari Indonesia dan 17% lainnya dari India dan Brasil digabungkan, menunjukkan bahwa mungkin ada banyak perangkat yang terinfeksi malware di negara-negara tersebut,” kata perusahaan tersebut.

Sumber: PC Mag

Selengkapnya: PC Mag

Peretas Terlihat Menggunakan Kode Morse dalam Serangan Phishing untuk Menghindari Deteksi

by

Microsoft telah mengungkapkan rincian kampanye rekayasa sosial selama setahun di mana operator terus mengubah mekanisme penyamaran dan enkripsi mereka rata-rata setiap 37 hari, termasuk mengandalkan kode Morse, dalam upaya untuk menutupi jejak mereka dan secara diam-diam mengumpulkan kredensial pengguna.

Serangan phishing berbentuk umpan bertema faktur yang meniru transaksi bisnis terkait keuangan, dengan email yang berisi file HTML (“XLS.HTML”). Tujuan utamanya adalah untuk mengumpulkan nama pengguna dan kata sandi, yang kemudian digunakan sebagai titik masuk awal untuk upaya penyusupan selanjutnya.

Microsoft menyamakan lampiran dengan “teka-teki jigsaw”, mencatat bahwa setiap bagian dari file HTML dirancang untuk tampak tidak berbahaya dan lolos dari perangkat lunak keamanan endpoint, hanya untuk mengungkapkan niat sebenarnya ketika segmen ini didekodekan dan dirakit bersama. Perusahaan tidak mengidentifikasi peretas di balik operasi tersebut.

“Kampanye phishing ini menunjukkan ancaman email modern: canggih, mengelak, dan terus berkembang,” kata Tim Microsoft 365 Defender Threat Intelligence dalam sebuah analisis.

Kampanye ini dikatakan telah mengalami 10 iterasi sejak ditemukan pada Juli 2020, dengan musuh secara berkala mengganti metode pengkodeannya untuk menutupi sifat jahat dari lampiran HTML dan segmen serangan berbeda yang terkandung dalam file.

Microsoft mengatakan telah mendeteksi penggunaan kode Morse dalam serangan gelombang Februari dan Mei 2021, sementara varian kit phishing kemudian ditemukan untuk mengarahkan korban ke halaman Office 365 yang sah alih-alih menampilkan pesan kesalahan palsu setelah kata sandi dimasukkan.

Selengkapnya: The Hacker News

Peretas Di Balik Pencurian Crypto Bersejarah Dilaporkan Mengembalikan $256 Juta Dana yang Dicuri

by

Setelah peretas menyerang Poly Network dengan salah satu perampokan crypto terbesar dalam ingatan baru-baru ini, perusahaan itu menerbitkan surat terbuka pada hari Selasa yang memohon kepada para pelaku untuk mendapatkan kembali aset mereka. Rupanya, surat itu berhasil, dan para peretas dilaporkan sudah mulai mengembalikan sebagian besar hasil tangkapan mereka.

The Block pertama kali melaporkan bahwa siapa pun yang berada di balik peretasan telah mengembalikan sekitar $256 juta aset crypto kembali ke perusahaan pada Rabu pagi. Itu masih jauh di bawah $611 juta yang dilaporkan dicuri oleh peretas, yang dilaporkan menjadikannya peretasan terbesar dalam sejarah keuangan terdesentralisasi, yang sering dikenal sebagai DeFi.

Kurang dari 24 jam setelah Poly memposting suratnya — mengingatkan penyerang bahwa penegak hukum “di negara mana pun” kemungkinan akan membuntuti mereka karena kejahatan mereka — para peretas mulai mentransfer jutaan aset berbeda kembali ke dompet crypto Poly Network.

Di antara aset lainnya, para peretas mengembalikan $ 2 juta dalam ShibaCoin, $ 1,1 juta dalam Token Binance BTCB, dan sekitar $ 1 juta dalam token khusus yang dibuat oleh penyerang sendiri, secara harfiah disebut “Peretas siap untuk menyerah,” menurut The Block.

Poly Network telah memulihkan lebih dari sepertiga dari peretasannya sejauh ini, tetapi ada banyak perusahaan lain di dunia crypto yang tidak. Sebuah laporan riset pasar pada industri DeFi yang turun awal pekan ini menemukan bahwa aktor jahat telah menipu $474 juta dari platform seperti Poly antara Januari dan Juli tahun ini.

Selengkapnya: Gizmodo

Perusahaan besar lain terkena serangan ransomware

by

(CNN Business) – Accenture, perusahaan konsultan global, telah dihantam oleh geng ransomware LockBit, menurut situs web kelompok penjahat siber.

File terenkripsi Accenture (ACN) akan dirilis oleh grup di dark web pada hari Rabu kecuali perusahaan membayar uang tebusan, klaim LockBit, menurut tangkapan layar situs web yang ditinjau oleh CNN Business dan Emsisoft, sebuah perusahaan keamanan siber.

Stacey Jones, juru bicara Accenture, mengkonfirmasi insiden keamanan siber kepada CNN Business pada hari Rabu, tetapi tidak secara eksplisit mengakui serangan ransomware.

Geng ransomware LockBit pertama kali muncul pada September 2019, menurut profil grup Emsisoft. LockBit, seperti banyak geng ransomware lainnya, menyewakan perangkat lunak berbahayanya kepada afiliasi kriminal pihak ketiga yang kemudian menerima potongan tebusan sebagai imbalan untuk menanamkan kode ke jaringan korban.

Tahun berikutnya, Interpol memperingatkan lonjakan serangan menggunakan perangkat lunak berbahaya LockBit. Korban utama kelompok itu termasuk Merseyrail, jaringan kereta api Inggris, dan Press Trust of India, sebuah organisasi berita India, menurut Emsisoft.

Ransomware telah menjadi ancaman kritis bagi keamanan nasional dan ekonomi, kata pemerintah AS, di tengah serangkaian serangan terhadap target perusahaan dan infrastruktur. Awal tahun ini, serangan oleh kelompok DarkSide memaksa Colonial Pipeline untuk menutup operasi distribusi bahan bakarnya, menyebabkan kekurangan bensin secara nasional.

Selengkapnya: CNN

Kelompok spionase China menargetkan organisasi infrastruktur penting di Asia Tenggara

by

Sebuah kelompok spionase dunia maya yang diyakini beroperasi di luar China telah menargetkan setidaknya empat organisasi infrastruktur penting di negara Asia Tenggara, kata perusahaan keamanan Symantec dalam sebuah laporan pekan lalu.

Penyusupan terjadi antara November 2020 hingga Maret 2021 dan menargetkan:

  • perusahaan air
  • perusahaan listrik
  • perusahaan komunikasi
  • organisasi pertahanan

Symantec mengatakan menemukan bukti bahwa penyerang tertarik untuk menargetkan informasi tentang sistem SCADA, yang merupakan peralatan yang biasanya digunakan untuk mengontrol dan mengelola jalur produksi dan peralatan industri.

Para peneliti mengatakan mereka tidak dapat menentukan titik masuk penyerang ke dalam organisasi yang diretas tetapi mengatakan bahwa begitu di dalam, kelompok itu menunjukkan taktik canggih yang menyembunyikan operasi jahat menggunakan aplikasi yang sah — taktik yang dikenal sebagai LOLbins atau living-off-the-land. Alat yang disalahgunakan meliputi:

  • Windows Management Instrumentation (WMI)
  • ProcDump
  • PsExec
  • PAExec
  • Mimikatz

Selain itu, grup tersebut menggunakan pemutar multimedia gratis bernama PotPlayer Mini untuk memuat DLL berbahaya pada komputer yang disusupi, termasuk pintu belakang, keylogger, dan traffic proxying tool.

Penggunaan alat yang umum dan sah mempersempit jumlah informasi yang dapat dikumpulkan peneliti tentang kelompok tersebut.

Symantec mengatakan pihaknya hanya dapat menunjukkan dengan tepat serangan tersebut ke kelompok spionase yang berbasis di China tetapi tidak menemukan petunjuk tambahan untuk menghubungkan penyusupan tersebut dengan kelompok yang diketahui sebelumnya.

Perusahaan keamanan tidak menyebutkan nama negara tempat target yang diretas berada.

Selengkapnya: The Record

Peretas dilaporkan mengancam akan membocorkan data dari serangan ransomware Gigabyte

by

Gigabyte telah menjadi korban serangan siber, yang dilaporkan merupakan hasil kerja perusahaan ransomware bernama RansomEXX.

Saat ini, beberapa bagian situs web Gigabyte, termasuk bagian dukungannya, sedang tidak aktif, memberikan masalah kepada pelanggan saat mencoba mengakses informasi dan pembaruan perbaikan garansi. Para peretas yang mengklaim telah melakukan serangan itu dilaporkan mengancam akan merilis data dari perusahaan, termasuk dokumen rahasia dari Intel, AMD, dan American Megatrends.

Menurut catatan tebusan dan halaman web darkweb, dilihat oleh Bleeping Computer dan The Record, RansomEXX mengancam untuk mempublikasikan 112GB data yang didapatnya dari Gigabyte dan repo Git Megatrends Amerika.

Bleeping Computer melaporkan bahwa para peretas juga menyertakan tangkapan layar dokumen dari Intel, AMD, dan American Megatrends yang berada di bawah NDA. American Megatrends membuat firmware untuk produsen motherboard dan komputer serta untuk produsen Chromebook tertentu.

Gigabyte tidak menanggapi permintaan komentar, tetapi mengatakan kepada The Record bahwa perusahaan telah mengisolasi server yang terpengaruh, memberi tahu penegak hukum, dan memulai penyelidikan. Gigabyte belum secara terbuka menyebut RansomEXX sebagai pihak yang bertanggung jawab.

Selengkapnya: The Verge