Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cyber Attack

Cyber Attack

Fake Installers yang Menargetkan Asia Tenggara dan Timur

by

Peneliti ESET mengidentifikasi kampanye malware yang menargetkan orang-orang berbahasa Mandarin di Asia Tenggara dan Timur dengan membeli iklan yang menyesatkan untuk muncul di hasil pencarian Google yang mengarah pada pengunduhan pemasang trojan. Penyerang tak dikenal membuat situs web palsu yang terlihat identik dengan aplikasi populer seperti Firefox, WhatsApp, atau Telegram, tetapi selain menyediakan perangkat lunak yang sah, juga mengirimkan FatalRAT, trojan akses jarak jauh yang memberikan kendali penyerang atas komputer korban.

Figure 1 menunjukkan peta panas dengan negara tempat kami mendeteksi serangan antara Agustus 2022 dan Januari 2023. Sebagian besar serangan memengaruhi pengguna di Taiwan, China, dan Hong Kong.

Penyerang mendaftarkan berbagai nama domain yang semuanya mengarah ke alamat IP yang sama: server yang menghosting beberapa situs web yang mengunduh perangkat lunak trojan. Beberapa situs web ini terlihat identik dengan rekan mereka yang sah tetapi malah mengirimkan penginstal berbahaya. Situs web lain, yang mungkin diterjemahkan oleh penyerang, menawarkan perangkat lunak versi bahasa China yang tidak tersedia di China, seperti Telegram, seperti yang ditunjukkan pada Gambar 3.

Penyerang telah berusaha keras terkait nama domain yang digunakan untuk situs web mereka, berusaha semirip mungkin dengan nama resmi. Situs web palsu, dalam banyak kasus, merupakan salinan identik dari situs yang sah. Adapun penginstal trojan, mereka menginstal aplikasi sebenarnya yang diminati pengguna, menghindari kecurigaan kemungkinan kompromi pada mesin korban. Untuk semua alasan ini, kami melihat betapa pentingnya untuk rajin memeriksa URL yang kami kunjungi sebelum mengunduh perangkat lunak. Lebih baik lagi, ketikkan ke bilah alamat browser Anda setelah memeriksa bahwa itu adalah situs vendor yang sebenarnya.

Karena malware yang digunakan adalah kampanye ini, FatalRAT, berisi berbagai perintah yang digunakan untuk memanipulasi data dari berbagai browser, dan viktimologi tidak berfokus pada jenis pengguna tertentu, siapa pun dapat terpengaruh. Ada kemungkinan bahwa penyerang hanya tertarik pada pencurian informasi seperti kredensial web untuk menjualnya di forum bawah tanah atau menggunakannya untuk jenis kampanye crimeware lainnya, tetapi untuk saat ini atribusi khusus dari kampanye ini ke aktor ancaman yang dikenal atau baru adalah tidak memungkinkan.

selengkapnya : welivesecurity

APT Rusia “Gamaredon” Mengeksploitasi Hoaxshell untuk Menargetkan Organisasi Ukraina

by

Gamaredon adalah grup peretasan yang disponsori negara Rusia yang telah aktif setidaknya sejak 2013. Grup tersebut diyakini bertanggung jawab atas sejumlah serangan dunia maya terhadap target Ukraina, termasuk militer, pemerintah, dan organisasi infrastruktur penting.

Layanan Keamanan Ukraina mengklasifikasikan grup tersebut sebagai APT (Advanced Persistent Threat), dan secara jelas mengidentifikasinya sebagai unit struktural yang dibuat khusus dari Layanan Keamanan Federal (FSB) Federasi Rusia, yang tugasnya adalah kegiatan intelijen dan subversif terhadap Ukraina di dunia maya.

Gamaredon juga dikenal sebagai Primitive Bear (CrowdStrike), Winterflouder (iDefence), BlueAlpha (Recorded Future), BlueOtso (PWC), IronTiden (SecureWorks), SectorC08 (Red Alert), Callisto (Asosiasi NATO Kanada), Shuckworm dan Armageddon ( CERT-UA).

Taktik, teknik, dan prosedur (TTP) grup telah didokumentasikan dengan baik dan sering melibatkan penggunaan rekayasa sosial, spear-phishing, dan malware, termasuk pintu belakang dan pencuri informasi. Tujuan akhir dari kelompok tersebut diperkirakan untuk mengumpulkan intelijen dan mengganggu operasi Ukraina.

Pada Januari 2023, grup yang terkait dengan Rusia terus melakukan serangan ofensif terhadap target di Ukraina, seperti yang didokumentasikan oleh Symantec, BlackBerry Research, dan Trellix.

Selama beberapa minggu terakhir, saya telah menemukan bukti kampanye yang sebelumnya tidak diketahui oleh Gamaredon yang menargetkan sejumlah organisasi di negara tersebut.

Kampanye tersebut, bagian dari operasi spionase yang sedang berlangsung yang diamati baru-baru ini pada Februari 2023, bertujuan untuk mengirimkan malware ke mesin korban Ukraina dan memanfaatkan skrip PowerShell dan VBScript (VBS) yang disamarkan sebagai bagian dari rantai infeksi.

Malware tersebut adalah WebShell yang mencakup kemampuan untuk mengeksekusi perintah jarak jauh dari penyerang dan menerapkan muatan berbasis skrip dan biner tambahan pada mesin yang terinfeksi.

Selengkapnya: Medium

Peretas Menargetkan Perusahaan AS dan Jerman, Memantau Desktop Korban dengan Screenshotter

by

Pelaku ancaman yang sebelumnya tidak dikenal telah menargetkan perusahaan di AS dan Jerman dengan malware pesanan khusus yang dirancang untuk mencuri informasi rahasia.

Proofpoint, perusahaan keamanan perusahaan, yang melacak klaster aktivitas dengan nama Screentime, mengatakan grup tersebut, yang dijuluki TA866, kemungkinan besar termotivasi secara finansial.

“TA866 adalah aktor terorganisir yang mampu melakukan serangan yang dipikirkan dengan baik dalam skala besar berdasarkan ketersediaan alat khusus mereka; kemampuan dan koneksi untuk membeli alat dan layanan dari vendor lain; dan meningkatkan volume aktivitas,” penilaian perusahaan.

Kampanye yang dipasang oleh musuh dikatakan telah dimulai sekitar 3 Oktober 2022, dengan serangan diluncurkan melalui email yang berisi lampiran atau URL jebakan yang mengarah ke malware. Lampiran berkisar dari file Microsoft Publisher bertali makro hingga PDF dengan URL yang mengarah ke file JavaScript.

Gangguan juga telah memanfaatkan pembajakan percakapan untuk memikat penerima agar mengklik URL yang tampaknya tidak berbahaya yang memulai rantai serangan multi-langkah.

Terlepas dari metode yang digunakan, menjalankan file JavaScript yang diunduh mengarah ke penginstal MSI yang membongkar VBScript yang diberi nama WasabiSeed, yang berfungsi sebagai alat untuk mengambil malware tahap berikutnya dari server jarak jauh.

Salah satu payload yang diunduh oleh WasabiSeed adalah Screenshotter, sebuah utilitas yang bertugas mengambil screenshot desktop korban secara berkala dan mengirimkan informasi tersebut kembali ke server command-and-control (C2).

“Ini sangat membantu pelaku ancaman selama tahap pengintaian dan pembuatan profil korban,” kata peneliti Proofpoint Axel F.

Selengkapnya: The Hacker News

Upaya Kedua Peretas Tim Tonto Tiongkok untuk Menargetkan Grup Perusahaan Keamanan Siber-IB Gagal

by

Pelaku ancaman persisten tingkat lanjut (APT) yang dikenal sebagai Tim Tonto melakukan serangan yang gagal terhadap perusahaan keamanan siber Group-IB pada Juni 2022.

Perusahaan yang berkantor pusat di Singapura itu mengatakan bahwa mereka mendeteksi dan memblokir email phishing berbahaya yang berasal dari grup yang menargetkan karyawannya. Itu juga merupakan serangan kedua yang ditujukan ke Grup-IB, yang pertama terjadi pada Maret 2021.

Tim Tonto, juga disebut Bronze Huntley, Cactus Pete, Earth Akhlut, Karma Panda, dan UAC-0018, adalah kelompok peretas Cina yang diduga telah dikaitkan dengan serangan yang menargetkan berbagai organisasi di Asia dan Eropa Timur.

Aktor ini diketahui aktif setidaknya sejak tahun 2009 dan dikatakan memiliki hubungan dengan Departemen Ketiga (3PLA) Shenyang TRB Tentara Pembebasan Rakyat (Unit 65016).

Rantai serangan melibatkan umpan spear-phishing yang berisi lampiran berbahaya yang dibuat menggunakan perangkat eksploitasi Royal Road Rich Text Format (RTF) untuk menjatuhkan pintu belakang seperti Bisonal, Dexbia, dan ShadowPad (alias PoisonPlug).

“Metode yang sedikit berbeda […] yang digunakan oleh pelaku ancaman ini di alam liar adalah penggunaan alamat email perusahaan yang sah, kemungkinan besar diperoleh dengan phishing, untuk mengirim email ke pengguna lain,” ungkap Trend Micro pada tahun 2020. “Penggunaannya dari email yang sah ini meningkatkan kemungkinan korban mengklik lampiran, menginfeksi mesin mereka dengan malware.”

Selengkapnya: The Hacker News

Siswa Virginia Barat Kembali ke Kelas Setelah Pemadaman Selama Berhari-hari Setelah CyberAttack

by Leave a Comment

Hampir 20.000 siswa di Virginia Barat terpaksa bolos pada hari Senin karena serangan siber yang melumpuhkan sekolah mereka.

Berkeley County Schools mengatakan pada hari Jumat pihaknya mengalami pemadaman internet dan telepon pada hari Jumat dan menghabiskan akhir pekan untuk mengatasi masalah yang terkait dengan serangan dunia maya.

Inspektur Ronald Stephens menulis catatan kepada siswa dan orang tua yang mengatakan operasi TI di seluruh distrik dibatasi karena serangan dunia maya dan mencatat bahwa lembaga penegak hukum telah dihubungi.

Pada hari Minggu, Stephens mengonfirmasi bahwa kelas-kelas dibatalkan dan semua kegiatan sekolah akan ditunda.

Kelas akan dilanjutkan pada hari Selasa tetapi distrik tersebut masih bekerja untuk memulihkan sistem operasi dan menyelidiki serangan dunia maya, menurut pernyataan dari Berkeley County Schools pada Senin sore.

Berkeley County Schools adalah distrik sekolah terbesar kedua di West Virginia dan county – yang berjarak sekitar dua jam dari Washington DC – memiliki populasi sekitar 120.000.

Sekolah tidak menanggapi permintaan komentar tentang apakah mereka menderita serangan ransomware.

Orang tua mengungkapkan keprihatinannya kepada MetroNews karena sekolah membawa banyak informasi sensitif terkait perintah perlindungan anak dan data lain tentang kontak darurat.

Pihak sekolah mengatakan perangkat siswa tidak terpengaruh oleh serangan itu tetapi menjelaskan bahwa pertemuan Dewan Pendidikan yang dijadwalkan pada Senin tidak akan disiarkan lagi karena pemadaman teknologi.

CISA mengatakan jumlah insiden siber K-12 yang dilaporkan antara 2018 dan 2021 meningkat setiap tahun, dari 400 menjadi lebih dari 1.300. Pakar ransomware Emsisoft Brett Callow menjelaskan bahwa 45 distrik dengan 1.981 sekolah terkena dampak ransomware pada tahun 2022.

Serangan di Berkeley County Schools adalah insiden keenam yang dilaporkan pada tahun 2023.

selengkapnya : therecord.media

Apakah kita tidak belajar apa-apa dari serangan rantai pasokan SolarWinds? Belum muncul

by

Peretasan perangkat lunak SolarWinds lebih dari dua tahun lalu mendorong ancaman serangan rantai pasokan perangkat lunak ke depan percakapan keamanan, tetapi apakah ada yang dilakukan?.

Dalam hitungan hari minggu ini, setidaknya empat upaya berbeda untuk menopang keamanan rantai pasokan diumumkan, contoh bagaimana risiko seperti itu menjadi perhatian utama dan dorongan dari vendor dan pengembang untuk menguranginya.

Ancaman semakin berkembang. Gartner memperkirakan bahwa pada tahun 2025, 45 persen organisasi secara global akan mengalami serangan rantai pasokan perangkat lunak, lompatan tiga kali lipat dari tahun 2021. Tidak mengherankan, menurut Neatsun Ziv, CEO startup Ox Security yang sedang membangun MITRE ATT&CK- seperti kerangka kerja bagi perusahaan untuk memeriksa rantai pasokan perangkat lunak.

“Serangan semacam ini menjadi super, sangat menguntungkan hanya karena [serangan] yang bisa Anda dapatkan dari satu senjata tidak sebanding dengan apa pun yang Anda lihat di industri ini,” kata Ziv kepada The Register.

Seperti serangan SolarWinds, penjahat dapat menyuntikkan kode berbahaya ke dalam perangkat lunak sebelum perangkat lunak yang disusupi dikirim ke pelanggan dan membahayakan sistem tersebut. Organisasi tampaknya lambat dalam mengejar ini.

Baru-baru ini, penyerang telah menargetkan repositori kode seperti GitHub dan PyPI dan perusahaan seperti penyedia platform CI/CD CircleCI, sebuah insiden yang memperluas definisi serangan rantai pasokan, menurut Matt Rose, bidang CISO untuk vendor keamanan siber ReversingLabs.

“Apa yang diilustrasikan oleh insiden CircleCI adalah bahwa organisasi tidak hanya harus khawatir tentang malware yang disuntikkan ke dalam objek yang dikompilasi atau dapat dikirimkan, tetapi juga alat yang digunakan untuk membangunnya,” tulis Rose dalam posting blog. “Itulah mengapa peretasan CircleCI membuka mata banyak organisasi di luar sana.”

Selengkapnya: The Register

Cybercrime adalah ekonomi terbesar ketiga di dunia berkat booming pasar gelap

by

Cybercrime telah tumbuh menjadi ekonomi terbesar ketiga di dunia setelah AS dan China, menurut World Economic Forum (WEF). Berdasarkan data dari Cybersecurity Ventures, diproyeksikan akan menelan biaya $8 triliun dunia pada tahun 2023 dan $10,5 triliun pada tahun 2025.

Siapa pun dapat membeli akses ke jaringan dan ransomware secara online, yang merupakan salah satu pendorong utama pertumbuhan ini, kata Gordon kepada Cybernews dalam sebuah wawancara. Pelaku ancaman tidak memerlukan keterampilan teknis untuk meluncurkan serangan siber atau ransomware yang canggih, katanya.

“Ada lebih banyak pemain dalam game karena semua alat ini sudah tersedia, jadi Anda tidak perlu melakukan apa pun,” kata Gordon.

Pembayaran tebusan ransomware rata-rata telah mencapai $800.000, menurut penelitian Sophos tahun lalu. Laporan terbaru dari Nozomi memperingatkan bahwa asuransi siber bisa menjadi salah satu penyebabnya.

Penjahat dunia maya juga siap mengeksploitasi celah keamanan akibat adopsi cepat Internet of Things (IoT) – atau sistem perangkat yang terhubung – di seluruh sektor kesehatan, pendidikan, dan bisnis.

Menurut WEF, 1,5 miliar serangan bertarget IoT tercatat pada paruh pertama tahun 2021, meningkat 15,1% dari tahun sebelumnya. “Jika pelaku ancaman melakukan ini, itu karena mereka berhasil mengeksploitasi perangkat IoT ini,” kata Gordon.

Selain penjahat bermotivasi finansial dan aktor negara-bangsa yang menargetkan infrastruktur kritis untuk keuntungan materi, perang Rusia di Ukraina juga telah menyaksikan munculnya aktivis peretas yang bermotivasi politik, yang selanjutnya berkontribusi pada pertumbuhan ekonomi kejahatan dunia maya.

Fasilitas perawatan kesehatan telah menjadi “target utama” bagi penjahat dunia maya karena sifat sensitif data mereka, menurut laporan Nozomi, yang menimbulkan ancaman unik. “Dalam perawatan kesehatan, serangan bisa berarti hilangnya nyawa,” kata Gordon.

Selengkapnya: Sky Magazine

Melindungi Terhadap Penggunaan Malicious Remote Monitoring dan Management Software

by

Cybersecurity and Infrastructure Security Agency (CISA), National Security Agency (NSA), dan Multi-State Information Sharing and Analysis Center (MS-ISAC) (selanjutnya disebut sebgai “organisasi penulis”) merilis bersama Cybersecurity Advirsoty (CSA) untuk memperingatkan pembela jaringan tentang penggunaan berbahaya perankat lunak RMM yang sah. Secara khusus, pelaku kejahatan dunia maya mengirimkan email phishing yang mengarah ke pengunduhan eprangkat lunka RMM ayng sah – ScreenConnect (sekarang ConnectWise Control) dan AnyDesk – yang digunakan pelaku dalam penipuan pengembalian uang tuntuk mencuri uang dari rekening bank korban.

Menggunakan executable portabel perangkat lunak RMM menyediakan cara bagi pelaku untuk membuat akses pengguna lokal tanpa memerlukan hak istimewa administratif dan instalasi perangkat lunak lengkap—secara efektif melewati kontrol perangkat lunak umum dan asumsi manajemen risiko.

Organisasi penulis sangat menganjurkan pembela jaringan untuk meninjau bagian Indikator Kompromi (IOC) dan Mitigasi dalam CSA ini dan menerapkan rekomendasi untuk melindungi perangkat lunak RMM yang sah dari penggunaan berbahaya.

Berita ini dikembangkan oleh CISA, NSA, dan MS-ISAC sebagai kelanjutan dari misi kemanan siber masing-masing, termasuk tanggungjawab mereka untuk mengembangkan dan mengeluarkan spesisfikasi dan mitigasi kemanan siber

selengkapnya : cisa.gov