Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cyber Attack

Cyber Attack

Microsoft berbagi intelijen tentang aktivitas pasca-kompromi Serangan Exchange Server

by Leave a Comment

Awal pekan ini, Microsoft mengatakan bahwa 92% dari server Exchange yang rentan telah ditambal atau telah diterapkan mitigasi. Namun, firma keamanan siber F-Secure mengatakan “puluhan ribu” server Exchange telah dibobol. Dalam posting blog baru, Microsoft menegaskan kembali peringatannya bahwa “menambal sistem tidak serta merta menghapus akses penyerang”.

“Banyak dari sistem yang disusupi belum menerima tindakan sekunder, seperti serangan ransomware yang dioperasikan oleh manusia atau eksfiltrasi data, yang menunjukkan bahwa penyerang dapat menetapkan dan mempertahankan akses mereka untuk kemungkinan tindakan selanjutnya,” catat Microsoft 365 Defender Threat Intelligence Team.

Jika sistem telah disusupi, Microsoft mendesak admin untuk mempraktikkan prinsip hak istimewa paling rendah dan mengurangi pergerakan lateral pada jaringan.

Hak istimewa terkecil akan membantu mengatasi praktik umum di mana layanan Exchange atau tugas terjadwal telah dikonfigurasi dengan akun dengan hak istimewa tinggi untuk melakukan tugas-tugas seperti pencadangan.

Menggunakan ransomware DoejoCrypt, alias DearCry, sebagai contoh, Microsoft mencatat bahwa web shell yang digunakan oleh strain tersebut menulis file batch ke C: \ Windows \ Temp \ xx.bat. Ini ditemukan di semua sistem yang terkena DoejoCrypt dan mungkin menawarkan penyerang rute untuk mendapatkan kembali akses di mana infeksi telah terdeteksi dan dihapus.

“File batch ini melakukan backup database Security Account Manager (SAM) dan kumpulan registri Sistem dan Keamanan, yang memungkinkan penyerang nanti mengakses sandi pengguna lokal di sistem dan, yang lebih penting, di LSA [Otoritas Keamanan Lokal] Bagian rahasia dari registri, di mana kata sandi untuk layanan dan tugas terjadwal disimpan, “catatan Microsoft.

Meskipun korban belum mendapatkan tebusan, penggunaan file xx.bat oleh penyerang memungkinkan mereka menjelajahi jaringan melalui kerangka web yang meletakkan file tersebut pada awalnya. Shell web juga mengunduh kit pengujian penetrasi Cobalt Strike sebelum mengunduh muatan ransomware dan mengenkripsi file. Dengan kata lain, korban mungkin belum ditebus hari ini, tetapi penyerang telah meninggalkan alat di jaringan untuk melakukannya besok.

Ancaman kejahatan dunia maya lainnya ke server Exchange berasal dari penambang mata uang kripto yang berbahaya. Botnet cryptocurrency Lemon Duck diamati mengeksploitasi server Exchange yang rentan. Menariknya, operator Lemon Duck membersihkan server Exchange dengan file xx.bat dan web shell, memberinya akses eksklusif ke server Exchange. Microsoft juga menemukan bahwa itu digunakan untuk menginstal malware lain, bukan hanya menambang cryptocurrency.

Source : ZDnet

Nine meminta bantuan dari pemerintah setelah tertimpa serangan siber besar-besaran

by

Raksasa media Nine Entertainment Co telah meminta bantuan Direktorat Sinyal Australia setelah serangan siber besar menghantam sistem siarannya pada Minggu pagi.

Saat Nine bekerja untuk menyelesaikan masalah ini, Parlemen Australia juga menyelidiki potensi serangan siber di Canberra pada Minggu malam, yang memengaruhi ponsel cerdas dan tablet yang dikeluarkan pemerintah.

Asisten Menteri Pertahanan Andrew Hastie mengatakan pada Minggu malam bahwa dia “tidak terkejut” tentang serangan itu, yang menyebabkan masalah dengan operasi siaran langsung Nine dan sistem produksi cetak. Dia mengatakan itu adalah peringatan bagi semua bisnis bahwa mereka perlu mewaspadai potensi ancaman.

Seorang juru bicara Departemen Layanan Parlemen mengatakan pemerintah sedang bekerja untuk menyelidiki penyebab gangguan di Canberra, dengan Pusat Keamanan Siber Australia memberikan nasihat.

Direktur people and culter Nine, Vanessa Morley mengatakan perusahaan mungkin tidak dapat memulihkan sistem sepenuhnya untuk beberapa waktu dan menginstruksikan staf untuk bekerja dari rumah tanpa batas waktu. Asal dan motif serangan tidak jelas, tetapi tidak ada permintaan tebusan yang diajukan.

Sumber yang mengetahui diskusi di Nine mengatakan perusahaan telah melakukan pembicaraan dengan sejumlah besar pakar keamanan eksternal pada hari Minggu yang mengatakan mereka belum pernah melihat serangan semacam ini sebelumnya di Australia. Sumber tersebut mengatakan para ahli percaya itu adalah semacam ransomware yang kemungkinan dibuat oleh aktor yang disponsori negara.

Selengkapnya: Sydney Morning Herald

Raksasa asuransi CNA terkena ransomware Phoenix CryptoLocker baru

by

Raksasa asuransi CNA telah mengalami serangan ransomware menggunakan varian baru bernama Phoenix CryptoLocker yang mungkin terkait dengan grup peretasan Evil Corp.

Minggu ini, BleepingComputer melaporkan bahwa CNA telah mengalami serangan siber yang memengaruhi layanan online dan operasi bisnis mereka.

Segera setelah mereka melaporkan serangan itu, CNA mengeluarkan pernyataan yang mengonfirmasi bahwa mereka telah mengalami serangan siber akhir pekan lalu.

“Pada 21 Maret 2021, CNA menetapkan bahwa kami mengalami serangan keamanan siber yang canggih. Serangan tersebut menyebabkan gangguan jaringan dan memengaruhi sistem CNA tertentu, termasuk email perusahaan,” ungkap CNA dalam sebuah pernyataan.

Sejak pelaporan pertama BleepingComputer, mereka telah mengonfirmasi bahwa CNA mengalami serangan oleh ransomware baru yang dikenal sebagai ‘Phoenix CryptoLocker.’

Sumber yang akrab dengan serangan itu mengatakan kepada BleepingComputer bahwa pelaku ancaman menyebarkan ransomware di jaringan CNA pada 21 Maret, di mana ia melanjutkan untuk mengenkripsi lebih dari 15.000 perangkat di jaringan mereka.

Dilaporkan oleh BleepingComputer bahwa itu juga mengenkripsi komputer karyawan yang bekerja dari jarak jauh yang masuk ke VPN perusahaan pada saat serangan terjadi.

Saat mengenkripsi perangkat, ransomware menambahkan ekstensi .phoenix ke file yang dienkripsi dan membuat catatan tebusan bernama PHOENIX-HELP.txt, seperti yang ditunjukkan di bawah ini.

Sumber: BleepingComputer

Sebuah sumber mengatakan kepada BleepingComputer bahwa Phoenix Locker diyakini sebagai keluarga ransomware baru yang dirilis oleh Evil Corp berdasarkan kesamaan dalam kodenya.

Selengkapnya: Bleeping Computer

Perusahaan asuransi CNA terkena serangan siber dan berpengaruh terhadap operasi mereka

by

CNA Financial, perusahaan asuransi terkemuka yang berbasis di AS, telah mengalami serangan siber yang memengaruhi operasi bisnisnya dan menutup situs webnya.

Mulai kemarin, situs web CNA mulai menampilkan pesan yang menyatakan bahwa mereka “saat ini mengalami gangguan jaringan yang memengaruhi beberapa sistem kami. Kami sedang berupaya mengatasi masalah ini untuk meminimalkan gangguan pada Anda”.

Sumber telah memberi tahu BleepingComputer bahwa perusahaan mengalami serangan siber yang telah mengganggu operasi bisnis dan memaksa mereka untuk mematikan sistem tertentu.

BleepingComputer belum dapat memverifikasi apakah pemadaman disebabkan oleh serangan ransomware, meskipun tampaknya itu adalah serangan ransomware menurut sumber yang tahu mengenai serangan tersebut.

Sumber lain mengatakan kepada The Insurer bahwa serangan tersebut mengganggu sisi underwriting dan klaim bisnis, kemungkinan karena sistem menjadi tidak tersedia.

Dalam pernyataan terbaru di situs web mereka, CNA telah mengonfirmasi bahwa serangan siber menyebabkan gangguan jaringan, termasuk email perusahaan. Untuk amannya, CNA juga mengonfirmasi bahwa mereka memutus sistem mereka dari jaringan.

Selengkapnya: Bleeping Computer

Geng ransomware membocorkan data yang dicuri dari universitas Colorado, Miami

by

Nilai dan nomor jaminan sosial untuk mahasiswa di University of Colorado dan data pasien di University of Miami telah diposting online oleh grup ransomware Clop.

Mulai bulan Desember, pelaku ancaman yang berafiliasi dengan operasi ransomware Clop mulai menargetkan server Accellion FTA dan mencuri data yang tersimpan di dalamnya. Perusahaan menggunakan server ini untuk berbagi file dan informasi sensitif dengan orang di luar organisasi mereka.

Geng ransomware kemudian menghubungi organisasi tersebut dan meminta $ 10 juta dalam bentuk bitcoin atau mereka akan mempublikasikan data yang dicuri.

Sumber: BleepingComputer

Sejak Februari, operasi ransomware Clop telah menerbitkan file yang dicuri menggunakan kerentanan di server berbagi file Accellion FTA.

Minggu ini, geng ransomware Clop mulai menerbitkan tangkapan layar file yang dicuri dari server Accellion FTA yang digunakan oleh Universitas Miami dan Colorado.

Pada bulan Februari, University of Colorado (CU) mengungkapkan bahwa mereka mengalami serangan siber di mana pelaku ancaman mencuri data melalui kerentanan Accellion FTA.

Clop ransomware telah mulai memposting tangkapan layar dari data yang dicuri, termasuk dokumen keuangan universitas, nilai siswa, catatan akademik, informasi pendaftaran, dan informasi biografi siswa.

Sementara University of Miami tidak pernah mengungkapkan insiden keamanan, operasi ransomware Clop juga menerbitkan tangkapan layar data pasien.

Data ini mencakup rekam medis, laporan demografis, dan spreadsheet dengan alamat email dan nomor telepon.

Selengkapnya: Bleeping Computer

Serangan ransomware menghantam pembuat Sierra Wireless IoT

by

Sierra Wireless, penyedia solusi IoT (Internet of Things) terkemuka di dunia, hari ini mengungkapkan serangan ransomware yang memaksanya menghentikan produksi di semua lokasi manufaktur.

Perusahaan multinasional Kanada yang berkantor pusat di Richmond, British Columbia, memiliki lebih dari 1.300 karyawan di seluruh dunia, mengembangkan peralatan komunikasi, dan memiliki pusat penelitian dan pengembangan di Amerika Utara, Eropa, dan Asia.

Serangan ransomware menghantam jaringan internal Sierra Wireless selama akhir pekan, pada 20 Maret. Perusahaan mengatakan bahwa serangan itu tidak berdampak pada layanan atau produk yang digunakan pelanggan.

Setelah serangan itu, perusahaan juga harus menutup pabriknya di seluruh dunia, dan berharap dapat segera melanjutkan produksi dan operasinya.

Situs web Sierra Wireless saat ini menampilkan pesan “situs sedang dalam pemeliharaan”.

Setelah perusahaan mengetahui serangan tersebut, tim TI dan operasinya segera menerapkan langkah-langkah untuk melawan serangan tersebut sesuai dengan prosedur dan kebijakan keamanan siber yang ditetapkan yang dikembangkan bekerja sama dengan penasihat pihak ketiga. Tim ini, dengan bantuan dari ini dan penasihat pihak ketiga tambahan, yakin bahwa mereka telah mengatasi serangan tersebut, dan saat ini bekerja untuk membuat sistem TI internal Sierra Wireless kembali online. – Sierra Wireless

Sumber: Bleeping Computer

10 Pelajaran Cybersecurity yang dapat dipetik satu tahun dalam pandemi

by

Menurut laporan Global Digital Trust Insights 2021 PWC, 96% eksekutif bisnis dan teknologi memprioritaskan investasi siber mereka karena Covid-19 dan dampaknya terhadap organisasi mereka tahun ini.

Laporan ini didasarkan pada wawancara dengan 3.249 eksekutif bisnis dan teknologi di seluruh dunia, dan setengah dari eksekutif yang disurvei mengatakan cybersecurity dan privasi sedang dimasukkan dalam setiap keputusan dan rencana bisnis. Pada tahun 2019, angka itu mendekati 25%.

Sumber: PwC

Kemampuan aktor jahat untuk di rumah pada kesenjangan cybersecury, dalam sistem dan manusia, terbukti secara akurat pada tahun 2020. Dari banyak pelajaran yang dipetik pada tahun 2020, mungkin yang paling berharga adalah bahwa elemen manusia harus datang lebih dulu.

Berikut ini adalah 10 pelajaran teratas yang dipelajari dalam satu tahun pandemi, menurut Cisos, CIO, dan tim mereka:

  1. Rantai pasokan dunia nyata rentan terhadap serangan siber
  2. Tenaga kerja virtual membuat self-diagnosing dan self-remediating endpoint menjadi sebuah keharusan
  3. Perdagangan Touchless berarti Kode QR sekarang menjadi vektor ancaman yang tumbuh paling cepat
  4. Peningkatan akan serangan siber terhadap penyedia layanan terkelola (MSP).
  5. Penyerang dapat membahayakan rantai pasokan perangkat lunak dan memodifikasi executable
  6. Rekayasa Sosial Dapat Mengompromi Platform Media Sosial
  7. Menggunakan zero-trust untuk mengelola identitas mesin
  8. Aktor jahat Mengubah Catatan Perawatan Kesehatan menjadi Penjualan Terbaik
  9. Kesalahan konfigurasi keamanan cloud adalah penyebab utama pelanggaran data cloud
  10. Pemantauan infrastruktur sangat penting untuk mengidentifikasi anomali.

Selengkapnya: Venturebeat

Raksasa komputer Acer terkena serangan ransomware senilai $ 50 juta

by

Raksasa komputer Acer telah terkena serangan ransomware REvil di mana pelaku ancaman menuntut tebusan terbesar yang diketahui hingga saat ini, $50.000.000.

Acer adalah produsen elektronik dan komputer Taiwan yang terkenal dengan laptop, desktop, dan monitor. Acer mempekerjakan sekitar 7.000 karyawan dan menghasilkan $ 7,8 miliar pada 2019.

Kemarin, geng ransomware mengumumkan di situs kebocoran data mereka bahwa mereka telah membobol Acer dan membagikan beberapa gambar dari file yang diduga dicuri sebagai bukti.

Gambar yang bocor ini untuk dokumen yang mencakup spreadsheet keuangan, saldo bank, dan komunikasi bank.

Sumber: BleepingComputer

Menanggapi pertanyaan dari BleepingComputer, Acer tidak memberikan jawaban yang jelas mengenai apakah mereka mengalami serangan ransomware REvil, sebaliknya mengatakan bahwa mereka “melaporkan situasi abnormal baru-baru ini” ke LEA dan DPA yang relevan.

Setelah menerbitkan berita mengenai ini, Valery Marchive dari LegMagIT menemukan sampel REvil ransomware yang digunakan dalam serangan Acer yang menuntut tebusan $ 50 juta.

Segera setelah itu, BleepingComputer menemukan sampel tersebut dan dapat mengonfirmasi bahwa berdasarkan catatan tebusan dan percakapan korban dengan penyerang, sampel tersebut berasal dari serangan siber di Acer.

Selengkapnya: Bleeping Computer