Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cyber Crime

Cyber Crime

Menanggapi Scam Phishing LogMeIn

by

LogMeIn Hamachi adalah zero-configuration virtual private network (VPN) atau jaringan pribadi virtual tanpa konfigurasi. Hamachi merupakan aplikasi bagi-pakai yang didistribusikan secara bebas yang mampu membangun hubungan secara langsung antar-komputer yang terkoneksi ke dalam jaringan internet tanpa ada konfigurasi yang rumit, dengan kata lain, membentuk hubungan antar-komputer yang saling berjauhan melalui jaringan internet, seakan-akan komputer tersebut terhubung ke dalam jaringan lokal atau LAN.

Phishing LogMeIn sejalan dengan “penipuan pengembalian uang” yang dibuat oleh YouTuber di mana mereka menghabiskan waktu berjam-jam untuk menelepon para penipu untuk membuang-buang waktu.

Arch Cloud Labs berspekulasi dengan keyakinan sedang bahwa kemungkinan besar ini adalah penipuan meja Bantuan TI.

Informasi yang diperoleh dari memeriksa domain dalam kombinasi dengan situs WordPress yang salah konfigurasi, dan kurangnya aktivitas pasca-eksploitasi pada laptop yang terbentuk menunjukkan bahwa tujuannya adalah untuk menakut-nakuti pengguna agar membayar “layanan” tersebut.

Tidak jelas saat ini bagaimana scammer akan meminta uang (kartu kredit/cryptocurrency/money order/kartu hadiah amazon/dll).

Jenis penipuan ini bukanlah hal baru, tetapi masih relevan karena berhasil. Bicaralah dengan orang yang Anda cintai tentang penipuan ini, dan apa yang harus dilakukan jika mereka menghadapi situasi ini.

Sama seperti organisasi perusahaan yang memiliki rencana tanggap insiden untuk infrastrukturnya, Anda harus memilikinya untuk keluarga Anda.

Selengkapnya: Arch Cloud Labs

Hacker Semakin Mengklaim Penargetan Sistem OT

by

Pada Januari 2023, grup hacktivist yang berafiliasi dengan Anonymous, GhostSec, mengklaim di media sosial telah menyebarkan ransomware untuk mengenkripsi unit terminal jarak jauh (RTU) Belarusia—sejenis perangkat teknologi operasional (OT) untuk pemantauan jarak jauh perangkat otomasi industri. Niat yang dinyatakan para aktor adalah untuk menunjukkan dukungan untuk Ukraina dalam invasi Rusia yang sedang berlangsung. Peneliti, profesional keamanan OT, dan media menganalisis klaim tersebut dan menyimpulkan bahwa aktor tersebut melebih-lebihkan implikasi dari dugaan serangan tersebut.

Meskipun tidak ada dampak yang signifikan dalam insiden khusus ini, acara tersebut menyoroti meningkatnya kebutuhan akan diskusi yang lebih luas mengenai sejauh mana risiko yang ditimbulkan para peretas terhadap lingkungan OT. Selama beberapa tahun terakhir, Mandiant telah melacak berbagai klaim peretas yang menargetkan sistem OT yang mengklaim kerusakan fisik sebagai akibatnya. Diperburuk oleh ketegangan geopolitik di berbagai kawasan—seperti invasi Rusia yang sedang berlangsung ke Ukraina—aktor-aktor ini baru-baru ini mengintensifkan aktivitas mereka, mengakibatkan klaim yang lebih sering dan jalan baru untuk memengaruhi target.

Dalam banyak kasus, klaim para peretas dibesar-besarkan atau tidak berdasar. Jumlah klaim palsu terkadang menantang untuk dibantah. Namun, terlepas dari ketidakakuratan sebagian besar klaim, ketika aktivitas peretas yang menargetkan OT menjadi hal yang biasa, kemungkinan insiden OT aktual dan bahkan substansial meningkat. Risikonya lebih tinggi untuk organisasi yang terkait dengan peristiwa politik atau perselisihan sosial berdasarkan lokasi geografis, kebangsaan, bahasa, atau industri yang relevan.

Mandiant menawarkan analisis komprehensif tentang aktivitas peretas baru-baru ini yang menargetkan sistem OT. Mandiant dapat memanfaatkan informasi dari insiden yang sebelumnya dirahasiakan dan diketahui untuk membahas implikasi potensial bagi pembela PL. Kesadaran tentang tren hacktivisme yang muncul membantu para pembela PL untuk memprioritaskan penanggulangan dan membedakan front yang disponsori negara yang memanfaatkan jubah hacktivism.

selengkapnya : mandiant.com

Linus Tech Tips Saluran YouTube diretas untuk mempromosikan video penipuan kripto Elon Musk

by

YouTube memiliki masalah berkelanjutan dengan pelanggaran akun, dan sekarang tampaknya salah satu saluran terbesar di platform tersebut telah diretas. LinusTechTips, yang dikenal dengan konten perangkat keras PC yang dapat diakses, telah menjadi korban terbaru dari serangan ini.

Saluran telah diganti namanya menjadi “LinusTechTipsTemp” di bawah pegangan “@temporaryhandle”. Saluran ini juga telah menghapus sebagian besar videonya, meskipun secara bertahap dipulihkan.

Saluran yang dilanggar mengalirkan dua video yang menampilkan Elon Musk berbicara tentang cryptocurrency dengan pendiri asli Twitter. Satu diberi nama “OpenAI ChatGPT-4: Teknologi AI yang Mengubah Game”, sementara yang lain disebut “LinusTechTips & Elon Musk Special Crypto Giveaway”. Aliran terakhir telah dihapus setelah sekitar 20 menit penyiaran. Aliran pertama turun setelah sekitar 35 menit siaran.

Namun, keduanya sekarang telah ditayangkan kembali dalam apa yang tampaknya merupakan pergulatan antara aktor jahat dan YouTube sendiri.

Namun, kedua streaming langsung tersebut tampak identik, menampilkan video yang sama persis. Padahal, dalam obrolan, ada tautan ke “Crypto Giveaway” yang mungkin berbahaya. Ini tampaknya merupakan upaya phishing untuk mendapatkan detail dompet mata uang kripto dari pemirsa yang tidak menaruh curiga.

Sementara aktor jahat mungkin telah menghapus sebagian besar video LinusTechTips, kasus pelanggaran akun sebelumnya dengan penghapusan video telah mengembalikan akunnya setelah pemulihan oleh pemilik akun. Tampaknya video yang sebelumnya dihapus kini sedang dalam proses pemulihan oleh YouTube sendiri.

Selengkapnya: Dexerto

Penjahat dunia maya mendaftarkan domain baru untuk memangsa SVB, korban Credit Suisse

by

Flashpoint telah melihat sekitar 20 domain berbahaya baru seperti login-svb[.]com terdaftar, dengan pelaku ancaman juga membuat domain untuk bank pesaing seperti Revolut.

“Aktor ancaman yang bermotivasi finansial akan bertindak oportunistik, menggunakan teknik akses awal tingkat rendah yang sama seperti phishing, untuk memangsa mereka yang paling terkena dampak kegagalan,” kata analis intelijen senior Flashpoint, Ashley Alloca.

Alloca memberikan wawasan dan komentar tentang masalah di bawah ini:

“Aktor ancaman yang bermotivasi finansial sering bertindak oportunistik, berusaha memanfaatkan peristiwa yang layak diberitakan. Peristiwa ini dapat memengaruhi tema berbagai taktik rekayasa sosial yang digunakan untuk mendapatkan akses awal ke korban kompromi. Secara umum, pelaku ancaman cenderung mengeksekusi serangan rekayasa sosial bertema SVB atau Credit Suisse dengan penekanan pada penipuan phishing dan umpan malware. Kami melihat potensi penggunaan domain yang baru didaftarkan yang dapat digunakan dalam serangan phishing untuk mengumpulkan informasi sensitif atau memaksa korban untuk berbagi informasi atau mengirim dana ke akun yang dikendalikan aktor.”

“Kami telah melihat aktor ancaman telah mendaftarkan domain baru ini agar terlihat seperti halaman sah yang berafiliasi dengan SVB. Misalnya, pada hari Sabtu 11 Maret, hari setelah SVB runtuh, domain baru seperti login-svb[.]com, svbbailout[.]com, svbdividendpayout[.]com, dan svbfail[.]com didaftarkan. Setidaknya 16 domain lain yang menggunakan ‘SVB’ telah didaftarkan. Sangat mungkin tidak semua domain ini akan dimanfaatkan untuk tujuan jahat, tetapi jelas dalam kasus login-svb[.]com bahwa halaman tersebut kemungkinan akan berubah menjadi halaman login untuk afiliasi SVB, berbahaya atau lainnya.”

Selengkapnya: IT Wire

Badan federal diretas oleh 2 grup berkat cacat yang tidak ditambal selama 4 tahun

by

Berbagai aktor ancaman—salah satunya bekerja atas nama negara-bangsa—mendapatkan akses ke jaringan agen federal AS dengan mengeksploitasi kerentanan berusia empat tahun yang masih belum ditambal, pemerintah AS memperingatkan.

Aktivitas eksploitasi oleh satu kelompok kemungkinan besar dimulai pada Agustus 2021 dan Agustus lalu oleh kelompok lain, menurut sebuah penasehat yang diterbitkan bersama oleh Cybersecurity and Infrastructure Security Agency, FBI, dan Pusat Analisis dan Berbagi Informasi Multi-State. Dari November lalu hingga awal Januari, server menunjukkan tanda-tanda kompromi.

Kedua grup mengeksploitasi kerentanan eksekusi kode yang dilacak sebagai CVE-2019-18935 di alat pengembang yang dikenal sebagai antarmuka pengguna Telerik (UI) untuk ASP.NET AJAX, yang terletak di server web Microsoft Internet Information Services (IIS) agensi. Penasihat itu tidak mengidentifikasi badan tersebut selain mengatakan bahwa itu adalah Badan Cabang Eksekutif Sipil Federal di bawah otoritas CISA.

UI Telerik untuk ASP.NET AJAX dijual oleh perusahaan bernama Progress, yang berkantor pusat di Burlington, Massachusetts, dan Rotterdam di Belanda. Alat ini menggabungkan lebih dari 100 komponen UI yang dapat digunakan pengembang untuk mengurangi waktu yang diperlukan untuk membuat aplikasi Web kustom. Pada akhir 2019, Progress merilis versi 2020.1.114, yang menambal CVE-2019-18935, kerentanan deserialisasi tidak aman yang memungkinkan eksekusi kode dari jarak jauh pada server yang rentan. Kerentanan membawa peringkat keparahan 9,8 dari kemungkinan 10. Pada tahun 2020, NSA memperingatkan bahwa kerentanan sedang dieksploitasi oleh aktor yang disponsori negara China.

“Eksploitasi ini, yang menghasilkan akses interaktif dengan server web, memungkinkan pelaku ancaman berhasil mengeksekusi kode jarak jauh di server web yang rentan,” jelas penasehat hari Kamis. “Meskipun pemindai kerentanan agensi memiliki plugin yang sesuai untuk CVE-2019-18935, ia gagal mendeteksi kerentanan karena perangkat lunak Telerik UI dipasang di jalur file yang biasanya tidak dipindai. Ini mungkin terjadi pada banyak penginstalan perangkat lunak, karena jalur file sangat bervariasi tergantung pada organisasi dan metode penginstalan.”

Selengkapnya: ars TECHNICA

Apa yang terjadi jika Anda ‘menutupi’ infeksi ransomware? Untuk Blackbaud, biaya $3 juta

by

Blackbaud telah setuju untuk membayar $3 juta untuk menyelesaikan tuduhan bahwa ia membuat pengungkapan yang menyesatkan tentang infeksi ransomware tahun 2020 di mana penjahat mencuri lebih dari satu juta file di sekitar 13.000 pelanggan pembuat perangkat lunak cloud.

Menurut pengawas keuangan Amerika, SEC, Blackbaud akan mengeluarkan uang tunai – tanpa mengakui atau menyangkal temuan regulator – dan akan berhenti melakukan pelanggaran lebih lanjut.

“Blackbaud dengan senang hati menyelesaikan masalah ini dengan SEC dan menghargai kolaborasi dan umpan balik konstruktif dari Komisi karena perusahaan terus meningkatkan kebijakan pelaporan dan pengungkapannya,” kata Tony Boor, kepala keuangan perusahaan tersebut, kepada The Register.

“Blackbaud terus memperkuat program keamanan sibernya untuk melindungi pelanggan dan konsumen, serta meminimalkan risiko serangan siber dalam lanskap ancaman yang selalu berubah,” tambah Boor.

Sebagai perspektif: perusahaan yang berbasis di South Carolina – yang menyediakan, antara lain, alat manajemen donor untuk organisasi nirlaba – menghasilkan pendapatan $1,1 miliar pada tahun 2022, yang mengakibatkan kerugian $45,4 juta. Penyelesaian ini adalah yang paling tidak menjadi perhatian bisnis, kami bayangkan.

Inilah yang terjadi: pada bulan Mei 2020, Blackbaud mengalami infeksi ransomware, diam-diam melunasi para penjahat, dan tidak memberi tahu pelanggan tentang pelanggaran keamanan hingga Juli 2020. Dan ketika perusahaan perangkat lunak memberi tahu pelanggan, mereka meyakinkan mereka bahwa ” penjahat dunia maya tidak mengakses…informasi rekening bank, atau nomor jaminan sosial,” menurut perintah SEC.

Namun, pada akhir bulan itu, SEC mengklaim bahwa personel Blackbaud menemukan bahwa penjahat telah mengakses informasi rekening bank donor dan nomor jaminan sosial yang tidak terenkripsi. Tetapi karyawan diduga tidak memberi tahu manajemen senior tentang pencurian data sensitif pelanggan karena Blackbaud “tidak memiliki kebijakan atau prosedur yang dirancang untuk memastikan mereka melakukannya,” kata dokumen pengadilan.

Selengkapnya: The Register

Acer Mengonfirmasi Pembobolsn di Salah Satu Servernya

by

Acer telah mengkonfirmasi seseorang membobol salah satu servernya setelah penjahat menjual database 160GB dari apa yang diklaim sebagai informasi rahasia pembuat PC Taiwan itu.

Kernelware mengklaim barang yang dicuri termasuk slide dan presentasi rahasia, manual teknis staf, file Format Pencitraan Windows, biner, data infrastruktur backend, dokumen produk rahasia, Kunci Produk Digital Pengganti, file ISO, file Gambar Penyebaran Sistem Windows, komponen BIOS, dan file ROM .

Pencuri mengatakan bahwa mereka hanya akan menerima cryptocurrency Monero sebagai pembayaran untuk tangkapan tersebut, dan hanya akan menjual melalui perantara. Tidak ada harga yang diminta – meskipun ada catatan yang memberi tahu calon pembeli untuk mengirim pesan pribadi dengan penawaran.

Acer tidak menanggapi pertanyaan Daftar tentang sifat data yang dicuri, atau apakah telah memverifikasi informasi yang bocor.

Bahkan jika penjahat tidak mencuri informasi pelanggan, data dump masih bisa menyebabkan kerusakan pembuat komputer, menurut Erich Kron, advokat kesadaran keamanan di KnowBe4.

“Tidak semua pelanggaran data harus mengandung informasi pribadi tentang pelanggan atau karyawan, atau informasi keuangan seperti kartu kredit, untuk menjadi perhatian,” kata Kron kepada The Register. “Dalam hal ini Acer berpotensi merilis beberapa kekayaan intelektualnya dan dokumen perusahaan yang berpotensi sensitif.”

Jenis informasi kepemilikan dan teknis tentang prosedur dan produk perusahaan ini dapat menjadi keuntungan bagi pesaing dan penjahat, tambahnya. “Dalam dunia elektronik dan teknologi yang sangat kompetitif, informasi ini bisa sangat berharga bagi pesaing, dan informasi teknis mungkin sangat berharga bagi pelaku kejahatan yang ingin melakukan eksploitasi yang menargetkan produk korban.”

Pelanggaran terbaru mengikuti beberapa snafus keamanan pada tahun 2021. Pada bulan Maret, raksasa PC itu adalah salah satu korban REvil dan geng ransomware terkenal menuntut $50 juta.

selengkapnya : theregister

Polisi Eropa, FBI Menangkap Geng Kejahatan Siber Internasional

by

Pada hari Senin, Polisi Jerman mengatakan telah mengganggu geng kejahatan siber ransomware terkait dengan Rusia yang telah memeras perusahaan dan institusi besar selama bertahun-tahun, meraup jutaan euro.

FBI dan pihak berwenang di Ukraina, bekerja dengan mitra penegak hukum termasuk Europol, polisi di Duesseldorf dapat mengidentifikasi 11 orang yang terkait dengan kelompok yang telah beroperasi dalam berbagai samaran setidaknya sejak 2010.

Geng yang tampaknya berada di belakang ransomware, dikenal sebagai DoppelPaymer, tampaknya terkait dengan Evil Corp, sindikat yang berbasis di Rusia dan terlibat dalam pencurian bank online jauh sebelum ransomware menjadi momok global.

Ransomware adalah kejahatan siber yang paling mengganggu. Geng yang sebagian besar berbasis di Rusia membobol jaringan dan mencuri informasi sensitif sebelum mengaktifkan malware yang mengacak data. Penjahat meminta pembayaran dengan imbalan kunci dekripsi dan janji untuk tidak membuang data yang dicuri secara online.

Polisi Jerman mengidentifikasi para buronan sebagai warga negara Rusia Igor Turashev, 41, dan Irina Zemlyanikina, 36, dan Igor Garshin, 31 tahun, yang lahir di Rusia tetapi kewarganegaraannya tidak segera diketahui.

Selengkapnya: AP News