Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cyber Criminal

Cyber Criminal

Penegak Hukum Diam-diam Menjalankan Bagian dari Web Gelap, Sekali Lagi: Apa Pelajarannya Di Sini?

by

Selama hampir dua tahun, FBI tidak seperti yang lain. Organisasi secara sembunyi-sembunyi mendirikan dan mengoperasikan platform komunikasi terenkripsi yang disebut “ANOM” yang digunakan oleh kejahatan terorganisir. Percaya bahwa mereka menggunakan sarana komunikasi pribadi yang aman, banyak pedagang gelap melakukan operasi mereka di sini untuk melakukan bisnis.

Membocorkan sedikit dari topik; beberapa tahun sebelum ini, takedown dark web skala besar lainnya—atau lebih tepatnya, pengambilalihan—terjadi, pada awalnya secara diam-diam. Penghapusan itu dikenal sebagai “Operasi Bayonet” dan melibatkan unit kejahatan dunia maya di beberapa negara (kebanyakan Jerman, Belanda, dan AS).

Jadi mari kita simpulkan apa yang terjadi. Hal pertama yang perlu diperhatikan: Apa yang terjadi melibatkan dua pasar gelap yang terpisah, Hansa dan AlphaBay. Suatu hari, penegak hukum Belanda menerima tip dari seorang peneliti keamanan mengenai lokasi server pengembangan Hansa (tempat di mana pengembangan baru diuji sebelum ditayangkan di situs sebenarnya), yang jelas bukan hal yang mudah.

Belanda tahu hanya dengan menutupnya tidak akan adil bagi para pelanggar hukum ini dan mulai melakukan pengambilalihan. Tepat pada waktu yang sama, FBI memberi tahu Belanda: Mereka akan menutup pasar lain yang tadi disebutkan, AlphaBay. Ketika pasar ditutup, orang mencari penyedia terkemuka berikutnya.

Dengan rencana yang rumit, polisi Belanda dan Jerman merebut dan menguasai pasar Hansa. Dan tidak ada yang tahu, bahkan moderator. Ini sempurna karena sekarang orang baik dapat membuat perubahan di situs web untuk memberi mereka lebih banyak informasi tentang orang-orang yang menggunakan situs ini.

Seperti yang diharapkan, ketika FBI menjatuhkan AlphaBay, banyak yang berbondong-bondong ke Hansa, yang telah diambil alih oleh Unit Kejahatan Teknologi Tinggi Nasional Belanda dan mungkin tim Jerman dan AS.

Pada akhirnya, penegak hukum menjalankan situs untuk sementara waktu, menemukan banyak pengedar narkoba dan yang lainnya, dan menangkap banyak, banyak dari mereka. Di Belanda, polisi bahkan mengetuk pintu beberapa pembeli dan penjual yang lebih kecil.

Jadi, dengan mengingat hal ini, mari kita kembali ke kasus yang lebih baru.

“Untuk pertama kalinya, FBI mengoperasikan perusahaan perangkat terenkripsinya sendiri, yang disebut “ANOM,” yang dipromosikan oleh kelompok kriminal di seluruh dunia. Para penjahat ini menjual lebih dari 12.000 perangkat dan layanan terenkripsi ANOM ke lebih dari 300 sindikat kriminal yang beroperasi di lebih dari 100 negara, termasuk kejahatan terorganisir Italia, Geng Motor Penjahat, dan berbagai organisasi perdagangan narkoba internasional, menurut catatan pengadilan,” bunyi pernyataan yang dikeluarkan oleh FBI.

Operasi itu disebut Trojan Shield dan memuncak dalam 800 penangkapan, serta penyitaan lebih dari 8 ton kokain; 22 ton ganja; 2 ton metamfetamin/amfetamin; enam ton bahan kimia prekursor; 250 senjata api; dan lebih dari $48 juta dalam berbagai mata uang dunia.

Namun, selain menangkap orang jahat, tujuan dari operasi ini adalah untuk membuat para penjahat merasa bahwa tidak ada platform atau metode komunikasi yang aman bagi mereka, dengan harapan mencegah mereka untuk melakukan kegiatan terlarang sejak awal.

Selengkapnya: Interesting Engineering

Ransomware adalah ancaman keamanan siber teratas yang kita hadapi, kepala siber memperingatkan

by

Ransomware adalah salah satu ancaman keamanan siber utama yang dihadapi Inggris dan kelompok kriminal siber di belakang mereka menjadi lebih berbahaya, kepala siber Inggris memperingatkan.

Lindy Cameron, kepala Pusat Keamanan Siber Nasional (NCSC) akan mengatakan bahwa organisasi – lengan keamanan dunia maya dari agen mata-mata GCHQ – berkomitmen untuk mengatasi ancaman ransomware dan “mendukung korban ransomware setiap hari” tetapi respon yang terkoordinasi diperlukan untuk memerangi ancaman yang berkembang.

Sementara kampanye peretasan yang disponsori negara menimbulkan “ancaman strategis yang berbahaya bagi kepentingan nasional Inggris”, itu adalah kejahatan dunia maya – dan khususnya ransomware – yang telah menjadi ancaman terbesar.

Insiden baru-baru ini seperti serangan ransomware terhadap Colonial Pipeline dan pengolah daging JBS, serta serangan ransomware terhadap layanan kesehatan Irlandia, telah menunjukkan betapa mengganggu nya kampanye kriminal dunia maya ini terhadap layanan penting.

Tidak hanya kelompok ransomware kriminal dunia maya yang mengenkripsi jaringan dan menuntut pembayaran yang signifikan sebagai ganti kunci dekripsi, sekarang juga umum bagi mereka untuk juga mencuri informasi sensitif dan mengancam untuk melepaskannya kecuali uang tebusan dibayarkan – seringkali membuat korban merasa seolah-olah mereka tidak punya pilihan selain menyerah pada tuntutan pemerasan.

Namun, ransomware bukan hanya masalah bagi Inggris saja dan Cameron mendesak pentingnya bekerja sama dengan negara lain untuk mengatasi apa yang benar-benar menjadi masalah internasional ini.

Selengkapnya: ZDNet

Apakah Telegram menjadi alternatif baru untuk Dark Web?

by

Investigasi oleh peneliti keamanan siber terhadap Telegram telah mengungkapkan bahwa data pribadi jutaan orang dibagikan secara terbuka di grup dan saluran aplikasi dengan ribuan anggota.

Penelitian dari penyedia VPN vpnMentor semakin memperkuat posisi Telegram sebagai tempat berlindung yang aman bagi penjahat dunia maya, menemukan penjahat dunia maya menggunakan platform komunikasi terenkripsi yang populer untuk berbagi dan mendiskusikan kebocoran data besar-besaran yang membuat jutaan orang terpapar pada tingkat penipuan, peretasan, dan serangan online yang belum pernah terjadi sebelumnya.

Baru-baru ini, penyelidikan serupa oleh NortonLifeLock menemukan bukti pasar ilegal yang berkembang pesat di Telegram di mana pengguna yang tidak bermoral menjajakan segalanya mulai dari vaksin Covid-19 dan informasi pribadi, hingga perangkat lunak bajakan dan ID palsu.

Para peneliti vpnMentor telah merinci temuan mereka dalam sebuah laporan di mana mereka memeriksa tren yang berkembang dari penjahat dunia maya yang membagikan data bocor di Telegram.

Tim mereka bergabung dengan beberapa grup dan saluran Telegram yang berfokus pada kejahatan dunia maya untuk mengalami pertukaran ilegal antara pelaku kejahatan untuk diri mereka sendiri.

Yang mengejutkan, mereka menemukan peretas secara terbuka memposting dump data di grup, beberapa dengan lebih dari 10.000 anggota. Lebih mengkhawatirkan, pengguna yang tidak bermoral bahkan tidak menghindar dari diskusi tentang cara mengeksploitasi tempat pembuangan data di berbagai perusahaan kriminal.

Selengkapnya: Tech Radar

Microsoft berbagi intelijen tentang aktivitas pasca-kompromi Serangan Exchange Server

by Leave a Comment

Awal pekan ini, Microsoft mengatakan bahwa 92% dari server Exchange yang rentan telah ditambal atau telah diterapkan mitigasi. Namun, firma keamanan siber F-Secure mengatakan “puluhan ribu” server Exchange telah dibobol. Dalam posting blog baru, Microsoft menegaskan kembali peringatannya bahwa “menambal sistem tidak serta merta menghapus akses penyerang”.

“Banyak dari sistem yang disusupi belum menerima tindakan sekunder, seperti serangan ransomware yang dioperasikan oleh manusia atau eksfiltrasi data, yang menunjukkan bahwa penyerang dapat menetapkan dan mempertahankan akses mereka untuk kemungkinan tindakan selanjutnya,” catat Microsoft 365 Defender Threat Intelligence Team.

Jika sistem telah disusupi, Microsoft mendesak admin untuk mempraktikkan prinsip hak istimewa paling rendah dan mengurangi pergerakan lateral pada jaringan.

Hak istimewa terkecil akan membantu mengatasi praktik umum di mana layanan Exchange atau tugas terjadwal telah dikonfigurasi dengan akun dengan hak istimewa tinggi untuk melakukan tugas-tugas seperti pencadangan.

Menggunakan ransomware DoejoCrypt, alias DearCry, sebagai contoh, Microsoft mencatat bahwa web shell yang digunakan oleh strain tersebut menulis file batch ke C: \ Windows \ Temp \ xx.bat. Ini ditemukan di semua sistem yang terkena DoejoCrypt dan mungkin menawarkan penyerang rute untuk mendapatkan kembali akses di mana infeksi telah terdeteksi dan dihapus.

“File batch ini melakukan backup database Security Account Manager (SAM) dan kumpulan registri Sistem dan Keamanan, yang memungkinkan penyerang nanti mengakses sandi pengguna lokal di sistem dan, yang lebih penting, di LSA [Otoritas Keamanan Lokal] Bagian rahasia dari registri, di mana kata sandi untuk layanan dan tugas terjadwal disimpan, “catatan Microsoft.

Meskipun korban belum mendapatkan tebusan, penggunaan file xx.bat oleh penyerang memungkinkan mereka menjelajahi jaringan melalui kerangka web yang meletakkan file tersebut pada awalnya. Shell web juga mengunduh kit pengujian penetrasi Cobalt Strike sebelum mengunduh muatan ransomware dan mengenkripsi file. Dengan kata lain, korban mungkin belum ditebus hari ini, tetapi penyerang telah meninggalkan alat di jaringan untuk melakukannya besok.

Ancaman kejahatan dunia maya lainnya ke server Exchange berasal dari penambang mata uang kripto yang berbahaya. Botnet cryptocurrency Lemon Duck diamati mengeksploitasi server Exchange yang rentan. Menariknya, operator Lemon Duck membersihkan server Exchange dengan file xx.bat dan web shell, memberinya akses eksklusif ke server Exchange. Microsoft juga menemukan bahwa itu digunakan untuk menginstal malware lain, bukan hanya menambang cryptocurrency.

Source : ZDnet

Polisi Belanda memposting peringatan ‘ramah’ di forum peretasan

by

Polisi Belanda telah memposting pesan “ramah” di dua forum peretasan terbesar saat ini yang memperingatkan penjahat siber bahwa “menjadi tuan rumah infrastruktur kriminal di Belanda adalah ‘lost cause’ (perkara yang pasti kalah).”

Pesan-pesan itu diposting setelah “Operasi Ladybird”, di mana lembaga penegak hukum di beberapa negara turun tangan untuk menjatuhkan Emotet, salah satu botnet terbesar saat ini.

Polisi Belanda mengungkapkan bahwa setelah penghapusan Emotet, petugasnya juga melanjutkan Raid dan XSS, dua forum peretasan yang dapat diakses publik dan sangat populer, dan memposting pesan untuk mencegah pelaku ancaman lainnya menyalahgunakan penyedia hosting Belanda untuk menjadi host botnet atau bentuk kejahatan siber lainnya.

Sumber: ZDNet

Tautan ke video YouTube juga disertakan, video yang diakhiri dengan pesan dari polisi Belanda yang mengatakan: “Semua orang membuat kesalahan. Kami menunggu kesalahan Anda.”

Pesan agresif tersebut bukanlah suatu kejutan, setidaknya bagi para pakar keamanan siber, yang sebagian besar sangat menyadari sikap agresif polisi Belanda.

Polisi Belanda saat ini juga berada di jantung operasi pencopotan massal untuk menghapus malware Emotet dari host yang terinfeksi, bersama dengan polisi Jerman.

Sumber: ZDNet

Transaksi blockchain mengonfirmasi pemandangan ransomware yang suram dan saling berhubungan

by

Sebuah laporan yang diterbitkan oleh firma investigasi blockchain Chainalysis mengonfirmasi bahwa kelompok kejahatan siber yang terlibat dalam serangan ransomware tidak beroperasi dalam gelembung mereka sendiri tetapi sering mengganti pemasok ransomware (layanan RaaS) untuk mencari keuntungan yang lebih baik.

Laporan tersebut menganalisis bagaimana dana Bitcoin ditransfer dari korban ke kelompok kriminal, dan bagaimana uang itu dibagi di antara berbagai pihak yang terlibat dalam serangan ransomware, dan bagaimana uang itu akhirnya dicuci.

Lanskap ransomware telah berevolusi dari tahun-tahun sebelumnya dan sekarang menjadi kumpulan dari berbagai kelompok kriminal, masing-masing menyediakan layanannya sendiri yang sangat terspesialisasi satu sama lain, seringkali di berbagai penyedia RaaS (Ransomware-as-a-Service) yang berbeda.

Laporan Chainalysis mengkonfirmasi teori informal ini dengan bukti kriptografi yang tak terbantahkan yang ditinggalkan oleh transaksi Bitcoin yang telah terjadi di antara beberapa kelompok ini.

Misalnya, berdasarkan grafik di bawah ini, Chainalysis mengatakan menemukan bukti yang menunjukkan bahwa afiliasi untuk Maze RaaS yang sekarang sudah tidak berfungsi juga terlibat dengan SunCrypt RaaS.

Sumber: Chainalysis

Temuan serupa juga menunjukkan hubungan antara operasi Egregor dan DoppelPaymer.

Sumber: Chainalysis

Dan yang tak kalah pentingnya, peneliti Chainalysis juga menemukan bukti bahwa operator operasi Maze dan Egregor juga menggunakan layanan pencucian uang dan broker over-the-counter yang sama untuk mengubah dana curian menjadi mata uang fiat.

Sumber: Chainalysis

Sumber: ZDNet

Geng Ransomware Besar Pertama Tahun 2021 Meluncurkan Situs “Leak” yang fanatik.

by

Kelompok di balik ransomware Babyk Locker, malware yang digembar-gemborkan sebagai “ransomware perusahaan” baru pertama tahun 2021, baru-baru ini meluncurkan situs kebocoran data pertamanya — sebuah forum tempat peretas memposting dan mempublikasikan data yang dicuri dari korbannya jika korbannya menolak untuk membayar mereka. Grup tersebut, yang muncul beberapa minggu lalu, telah dijuluki sebagai “Pemburu Game Besar” karena strateginya menargetkan institusi besar untuk pembayaran yang lebih besar. Ini telah menyerang sejumlah entitas besar — ​​tampaknya mengorbankan produsen suku cadang mobil, perusahaan pemanas yang berbasis di AS, dan perusahaan elevator, antara lain.

Menariknya, kelompok tersebut menyatakan bahwa, selain penjahat, mereka juga homofobik dan rasis.

Peneliti Emsisoft Brett Callow membagikan situs baru Babyk kepada kami dan kami menemukan beberapa bahasa yang tidak biasa. Di situs tersebut, grup tersebut telah mencantumkan beberapa parameter untuk operasinya, menguraikan semacam “kode peretas” terkait entitas mana yang akan dan tidak akan mereka serang. Dalam daftar tersebut, kelompok tersebut mencatat bahwa mereka mendukung bisnis kecil (mereka berjanji untuk hanya menyerang perusahaan yang menghasilkan lebih dari $ 4 juta per tahun), mereka mendukung pendidikan (mereka tidak akan menyerang sekolah “kecuali universitas besar”), dan mereka mengatakan mereka akan berhenti menyerang rumah sakit (kecuali tampaknya “klinik bedah plastik swasta” dan beberapa kantor dokter gigi). Sejauh ini mereka terdengar seperti peretas sejati bagi masyarakat.

Hanya dalam beberapa minggu, Babyk telah berhasil membuat heboh. Sebelum peluncuran situs baru mereka, Babyk memposting dump data besar di Raid Forums situs web gelap populer. Callow mengatakan kepada Gizmodo bahwa kelompok itu juga bertanggung jawab atas serangan dunia maya baru-baru ini di Serco, sebuah perusahaan outsourcing multinasional yang telah terlibat dalam upaya pelacakan dan penelusuran Covid-19. Operasi pelacakan dan pelacakan perusahaan dikatakan tidak terpengaruh oleh serangan itu.

Source : Gizmodo

Malwarebytes diretas oleh kelompok dibalik peretasan SolarWinds

by

Perusahaan keamanan dunia maya AS Malwarebytes hari ini mengatakan telah diretas oleh kelompok yang sama yang melanggar perusahaan perangkat lunak IT SolarWinds tahun lalu. Malwarebytes mengatakan intrusi tersebut tidak terkait dengan insiden rantai pasokan SolarWinds karena perusahaan tidak menggunakan perangkat lunak SolarWinds apa pun di jaringan internalnya.

Alih-alih, firma keamanan tersebut mengatakan para peretas melanggar sistem internalnya dengan mengeksploitasi celah pada Azure Active Directory dan menyalahgunakan aplikasi Office 365 yang berbahaya.
Malwarebytes mengatakan telah mengetahui gangguan dari Pusat Respons Keamanan Microsoft (MSRC) pada 15 Desember.

Pada saat itu, Microsoft sedang mengaudit Office 365 dan infrastruktur Azure untuk mencari tanda-tanda aplikasi berbahaya yang dibuat oleh peretas SolarWinds, yang juga dikenal di lingkaran keamanan cyber sebagai UNC2452 atau Dark Halo.

Karena pelaku dicurigai dalang dibalik peretasan SolarWinds yang meracuni perangkat lunak perusahaan dengan memasukkan malware Sunburst ke dalam beberapa pembaruan untuk aplikasi SolarWinds Orion, Kleczynski mengatakan bahwa mereka juga melakukan audit yang sangat menyeluruh terhadap semua produk dan kode sumbernya, mencari apa saja tanda-tanda kompromi serupa atau serangan supply chain.

“Sistem internal kami tidak menunjukkan bukti akses tidak sah atau penyusupan di lingkungan produksi dan di lokasi mana pun.Perangkat lunak kami tetap aman untuk digunakan,”
“Setelah penyelidikan ekstensif, kami menentukan penyerang hanya memperoleh akses ke subset terbatas email internal perusahaan,” kata Marcin Kleczynski, salah satu pendiri Malwarebytes dan CEO saat ini.

Source : ZDnet