Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cybersecurity

Cybersecurity

Reverse Engineering Terminator alias Zemana AntiMalware/AntiLogger Driver

by

Baru-baru ini, seorang aktor ancaman (TA) yang dikenal sebagai SpyBot memposting sebuah alat, di forum peretasan Rusia, yang dapat menghentikan perangkat lunak antivirus/Endpoint Detection & Response (EDR/XDR). IMHO, semua hype di balik pengumuman ini sama sekali tidak dapat dibenarkan karena ini hanyalah contoh lain dari teknik serangan Bring Your Own Rentan Driver (BYOVD) yang terkenal: di mana driver bertanda tangan yang sah dijatuhkan ke mesin korban dan kemudian digunakan untuk menonaktifkan keamanan solusi dan/atau mengirimkan muatan tambahan.

Teknik ini memerlukan hak administratif dan penerimaan Kontrol Akun Pengguna (UAC) agar dapat berfungsi dengan baik, dan ini bukan salah satu yang paling tersembunyi. Selain itu, jika penyerang sudah menjadi admin lokal di mesin, tidak ada batas keamanan yang dapat dilintasi karena selalu GAME OVER; kemungkinannya tidak terbatas dari perspektif serangan itu.

Meskipun saya telah melihat banyak materi dari komunitas defensif (mereka cepat dalam hal ini) tentang mekanisme deteksi, IOC, kebijakan pencegahan, dan intelijen, saya merasa beberapa jalur kode rentan lain yang mungkin lebih menarik dalam driver ini belum dieksplorasi. maupun dibahas.

Zemana memiliki dua lini produk:

  • Zemana AntiMalware, zamguard64.sys
  • Zemana AntiLogger, zam64.sys

Meskipun namanya berbeda, drivernya sama (mereka juga berbagi hash yang sama); mari selami driver Zemana (zam64.sys).

Jika TA lebih teliti dengan analisisnya, mereka akan menemukan bahwa driver Zemana adalah paket awal kit ransomware yang sempurna, dan mereka akan menggunakannya daripada hanya menjualnya:

  • Itu dapat menghentikan proses: yang sempurna untuk mematikan AV/EDR/XDR dan produk keamanan lainnya.
  • Itu dapat memberikan kemampuan eskalasi hak istimewa: membantu untuk kegigihan.
  • Ini memiliki akses Baca/Tulis disk SCSI mentah sewenang-wenang yang dapat dimanfaatkan untuk melakukan enkripsi disk penuh.

Saya sangat berharap Microsoft akan menambahkan driver ini ke daftar blokir, karena mudah dipersenjatai untuk serangan paling jahat.

selengkapnya : github.com

Malware AI Mengembangkan Masalah Keamanan, survei CyberArk menemukan

by

Sebuah laporan global baru oleh perusahaan keamanan siber CyberArk mengungkapkan bahwa pertemuan antara kondisi ekonomi yang menantang dan inovasi teknologi yang cepat, termasuk munculnya kecerdasan buatan (AI), memperluas lanskap ancaman keamanan siber yang dipimpin oleh identitas.

CyberArk 2023 Identity Security Threat Landscape Report, ditugaskan oleh CyberArk dan dilakukan oleh firma riset pasar Vanson Bourne, mensurvei 2.300 pembuat keputusan keamanan siber di seluruh organisasi sektor swasta dan publik dengan 500 karyawan ke atas di 16 negara. Ditemukan bahwa hampir semua organisasi — 99,9% — mengantisipasi kompromi terkait identitas tahun ini, karena faktor-faktor seperti pemotongan ekonomi, masalah geopolitik, adopsi cloud, dan kerja hybrid.

Ancaman yang diaktifkan oleh AI adalah masalah yang signifikan, dengan 93% profesional keamanan yang disurvei memperkirakan ancaman tersebut akan berdampak pada organisasi mereka pada tahun 2023. Malware bertenaga AI disebut-sebut sebagai perhatian utama.

Enam puluh delapan persen organisasi mengharapkan masalah keamanan siber didorong oleh churn karyawan pada tahun 2023.

Laporan tersebut juga mengungkapkan bahwa organisasi berencana untuk menerapkan 68% lebih banyak alat software-as-a-service (SaaS) dalam 12 bulan ke depan. Karena sebagian besar identitas manusia dan mesin memiliki akses ke data sensitif melalui alat ini, jika tidak diamankan dengan baik, mereka dapat menjadi gerbang serangan.

Delapan puluh sembilan persen organisasi mengalami serangan ransomware dalam satu tahun terakhir, dengan 60% organisasi yang terkena dampak melaporkan melakukan pembayaran berkali-kali untuk pulih dari serangan ini.

Sektor energi, minyak, dan gas tampak sangat rentan, dengan 67% perusahaan di industri ini berharap mereka tidak akan dapat menghentikan atau bahkan mendeteksi serangan yang berasal dari rantai pasokan perangkat lunak mereka.

Area penting dari lingkungan TI tidak cukup terlindungi, dan tipe identitas tertentu menunjukkan risiko yang signifikan. Misalnya, 63% responden mengatakan bahwa akses karyawan dengan sensitivitas tertinggi tidak cukup aman.

sumber : venturebeat.com

Evolusi Ancaman Teknologi Informasi Kuartal Pertama 2023

by

Targeted Attacks

BlueNoroff memperkenalkan metode baru untuk bypass MotW

Pada akhir tahun 2022, peneliti melaporkan aktivitas BlueNoroff, aktor ancaman yang bermotivasi finansial dan dikenal mencuri mata uang kripto. Pelaku ancaman biasanya mengeksploitasi dokumen Word, menggunakan file shortcut untuk intrusi awal. Namun, baru-baru ini grup tersebut telah mengadopsi metode baru untuk mengirimkan malware-nya.
Salah satunya, yang dirancang untuk menghindari bendera Mark-of-the-Web (MotW), adalah penggunaan format file .ISO (optical disk image) dan .VHD (virtual hard disk). MotW adalah ukuran keamanan Windows — sistem menampilkan pesan peringatan saat seseorang mencoba membuka file yang diunduh dari internet.

BlueNoroff
BlueNoroff

Roaming Mantis menerapkan DNS changer baru

Peneliti juga terus melacak aktivitas Roaming Mantis (alias Shaoye), aktor ancaman mapan yang menargetkan negara-negara di Asia. Dari 2019 hingga 2022, pelaku ancaman ini terutama menggunakan ‘smishing’ untuk mengirim tautan ke laman landasnya, dengan tujuan mengendalikan perangkat Android yang terinfeksi dan mencuri informasi perangkat, termasuk kredensial pengguna.

Namun, pada September 2022, peneliti menganalisis malware Android Wroba.o baru, yang digunakan oleh Roaming Mantis, dan menemukan fungsi pengubah DNS yang diterapkan untuk menargetkan router Wi-Fi tertentu yang digunakan terutama di Korea Selatan.

Roaming Mantis
Roaming Mantis

BadMagic: APT baru yang berhubungan dengan konflik Russia-Ukraina

Sejak awal konflik Rusia-Ukraina, peneliti telah mengidentifikasi sejumlah besar serangan dunia maya geo-politik, sebagaimana diuraikan dalam ikhtisar kami tentang serangan dunia maya yang terkait dengan konflik tersebut.

Oktober lalu, peneliti mengidentifikasi infeksi aktif organisasi pemerintah, pertanian, dan transportasi yang berlokasi di Donetsk, Lugansk, dan Krimea. Vektor awal kompromi tidak jelas, tetapi detail tahap selanjutnya menyiratkan penggunaan spear-phishing atau yang serupa. Target menavigasi ke URL yang mengarah ke arsip ZIP yang dihosting di server web berbahaya. Arsip ini berisi dua file: dokumen umpan (peneliti menemukan versi PDF, XLSX, dan DOCX) dan file LNK berbahaya dengan ekstensi ganda (mis. PDF.LNK) yang, ketika dibuka, menyebabkan infeksi.

BadMagic
BadMagic

Malware

Prilex menargetkan transaksi contactless pada credit card

Prilex telah berevolusi dari malware yang berfokus pada ATM menjadi ancaman PoS tercanggih yang pernah kami lihat sejauh ini. Pelaku ancaman melampaui pengikis memori lama yang terlihat dalam serangan PoS, hingga malware yang sangat canggih yang menyertakan skema kriptografi unik, penambalan perangkat lunak target secara real-time, memaksa penurunan versi protokol, memanipulasi kriptogram, melakukan apa yang disebut “transaksi GHOST” dan kredit penipuan kartu — bahkan pada kartu chip-dan-PIN.

Saat menyelidiki suatu insiden, kami menemukan sampel Prilex baru, dan salah satu fitur baru mencakup kemampuan untuk memblokir transaksi nirsentuh. Transaksi ini menghasilkan pengidentifikasi unik yang valid hanya untuk satu transaksi, menjadikannya tidak berharga bagi penjahat dunia maya. Dengan memblokir transaksi, Prilex mencoba memaksa pelanggan memasukkan kartu mereka untuk melakukan transaksi chip-dan-PIN, memungkinkan penjahat dunia maya untuk mengambil data dari kartu menggunakan teknik standar mereka.

Mencuri cryptocurrency menggunakan Tor browser palsu

Kami baru-baru ini menemukan kampanye pencurian mata uang kripto yang sedang berlangsung yang memengaruhi lebih dari 15.000 pengguna di 52 negara. Para penyerang menggunakan teknik yang telah ada selama lebih dari satu dekade dan awalnya digunakan oleh Trojan perbankan untuk mengganti nomor rekening bank. Namun, dalam kampanye baru-baru ini, penyerang menggunakan Tor Browser versi Trojan untuk mencuri mata uang kripto.

Target mengunduh Tor Browser versi Trojan dari sumber daya pihak ketiga yang berisi arsip RAR yang dilindungi kata sandi — kata sandi digunakan untuk mencegahnya terdeteksi oleh solusi keamanan. Setelah file dijatuhkan ke komputer target, ia mendaftarkan dirinya sendiri di mulai otomatis sistem dan menyamar sebagai ikon untuk aplikasi populer, seperti uTorrent.

Crypto Stealer
Crypto Stealer

Malvertising menggunakan search engine

Dalam beberapa bulan terakhir, kami mengamati peningkatan jumlah kampanye berbahaya yang menggunakan Iklan Google sebagai sarana untuk mendistribusikan dan mengirimkan malware. Setidaknya dua pencuri berbeda, Rhadamanthys dan RedLine, menyalahgunakan rencana promosi mesin pencari untuk mengirimkan muatan berbahaya ke komputer korban.

Mereka tampaknya menggunakan teknik yang sama untuk meniru situs web yang terkait dengan perangkat lunak terkenal, seperti Notepad ++ dan Blender 3D. Pelaku ancaman membuat salinan situs web perangkat lunak yang sah dan menggunakan “typosquatting” (menggunakan merek atau nama perusahaan yang dieja salah sebagai URL) atau “combosquatting” (seperti di atas, tetapi menambahkan kata acak sebagai URL) untuk membuat situs terlihat sah. Mereka kemudian membayar untuk mempromosikan situs di mesin pencari untuk mendorongnya ke bagian atas hasil pencarian — sebuah teknik yang dikenal sebagai “malvertising”.

Se

Malvertising
Malvertising

Selengkapnya: Secure List

Pengelola Kata Sandi Chrome Google mendapatkan fitur keamanan dan utilitas baru

by

Google Password Manager, yang terintegrasi ke dalam Chrome di desktop, Android, dan iOS, melakukan perbaikan kecil dengan sejumlah fitur keamanan dan utilitas baru. Salah satunya fiturnya dirancang untuk membuat Anda menggunakannya dengan benar sejak awal, dengan memungkinkan Anda mengunggah file .csv dari layanan pesaing.

Pada pembaruan Google Password Manager yang terakhir, penambahan catatan ke detail login yang disimpan. Jika ada pin tambahan atau pertanyaan keamanan yang perlu Anda ingat jawabannya, informasi tersebut sekarang dapat disimpan bersama dengan kata sandi akun tersebut.

Yang perlu Anda lakukan hanyalah memilih kata sandi, klik “catatan,” dan kemudian “edit.” Setelah Anda menambahkan informasinya, cukup tekan simpan, dan itu akan disimpan secara aman. Saat login, klik ikon kunci untuk mengakses apa yang Anda tulis.

Dalam hal keamanan, Google menambahkan lebih banyak pilihan otentikasi biometrik di desktop Anda. Langkah ini memungkinkan Anda untuk memerlukan sidik jari atau pengenalan wajah sebelum kata sandi Anda diisi otomatis. Ini adalah pilihan yang baik jika Anda menggunakan komputer bersama dan ingin menjaga privasi akun Anda.

Di iOS, Google Password Manager akan menandai kata sandi yang digunakan ulang dan kata sandi yang lemah di tab “Pemeriksaan Kata Sandi” — tempat pemberitahuan tentang kata sandi yang kompromi berada. Penanda tambahan akan diluncurkan dalam beberapa bulan mendatang, sementara otentikasi biometrik untuk desktop akan segera tersedia. Anda dapat mengakses semua pembaruan kenyamanan tersebut sekarang.

Selengkapnya: engadget

Para Ahli Mengungkap Eksploitasi untuk Kerentanan Windows Terbaru Sedang Aktif Diekploitasi

by

Muncul laporan tentang celah keamanan dalam Microsoft Windows yang sedang dieksploitasi secara aktif, yang dapat disalahgunakan oleh penyerang untuk memperoleh hak istimewa yang lebih tinggi pada sistem yang terpengaruh.

Kerentanan ini, yang dikenali sebagai CVE-2023-29336, memiliki tingkat keparahan 7.8 dan berkaitan dengan bug elevation of privilege dalam komponen Win32k.

“Penyerang yang berhasil mengeksploitasi kerentanan ini dapat memperoleh hak istimewa SISTEM,” ungkap Microsoft dalam sebuah peringatan yang dikeluarkan bulan lalu sebagai bagian dari pembaruan Patch Tuesday.

Peneliti Avast, yaitu Jan Vojtěšek, Milánek, dan Luigino Camastra, diakui sebagai orang yang menemukan dan melaporkan kerentanan ini.

Win32k.sys adalah driver mode kernel dan bagian integral dari arsitektur Windows, bertanggung jawab atas graphical user interface (GUI) dan pengelolaan jendela.

Meskipun rincian spesifik tentang penyalahgunaan celah ini di lingkungan nyata saat ini belum diketahui, Numen Cyber telah memecahkan kode dari pembaruan yang dirilis oleh Microsoft untuk membuat eksplorasi konsep (PoC) yang digunakan sebagai bukti untuk Windows Server 2016.

Perusahaan keamanan siber yang berbasis di Singapura menyatakan bahwa kerentanan ini bergantung pada alamat kernel handle yang bocor di memori heap untuk akhirnya memperoleh izin read-write.

“Kerentanan Win32k telah dikenal dalam sejarah,” kata Numen Cyber. “Namun, dalam versi pratinjau Windows 11 terbaru, Microsoft telah mencoba memperbarui bagian kode kernel ini menggunakan Rust. Hal ini mungkin akan menghilangkan kerentanan semacam itu di sistem baru di masa depan.”

Numen Cyber membedakan dirinya dari perusahaan keamanan Web3 biasa dengan menekankan perlunya kemampuan keamanan lanjutan, khususnya dalam hal serangan keamanan dan pertahanan tingkat OS. Produk dan layanan mereka menawarkan solusi terkini untuk mengatasi tantangan keamanan unik yang dihadapi dalam lingkungan Web3.

Selengkapnya: The Hacker News

Aktor Jahat Memanipulasi Foto dan Video untuk Membuat Konten Eksplisit dan Skema Sextortion

by

FBI memperingatkan publik tentang aktor jahat yang membuat konten sintetik (biasanya disebut sebagai “deepfakes”) dengan memanipulasi foto atau video jinak untuk menargetkan korban. Kemajuan teknologi terus meningkatkan kualitas, kemampuan penyesuaian, dan aksesibilitas pembuatan konten yang mendukung kecerdasan buatan (AI). FBI terus menerima laporan dari para korban, termasuk anak-anak kecil dan orang dewasa yang tidak setuju, yang foto atau videonya diubah menjadi konten eksplisit. Foto atau video tersebut kemudian diedarkan secara publik di media sosial atau situs porno, untuk tujuan melecehkan korban atau skema sextortion.

EXPLICIT CONTENT
Untuk mengubah foto dan video—biasanya diambil dari akun media sosial korban, internet terbuka, atau atas permintaan korban—menjadi gambar bertema seksual yang sangat mirip dengan korban, pelaku jahat menggunakan teknologi dan layanan manipulasi konten. Gambar-gambar ini kemudian dibagikan di media sosial, forum publik, atau situs web porno. Banyak korban—termasuk anak di bawah umur—tidak menyadari bahwa foto mereka telah diambil, diubah, dan disebarluaskan hingga orang lain menunjukkannya kepada mereka. Aktor jahat kemudian mengirimkan foto langsung ke korban untuk sextortion atau pelecehan, atau hingga foto tersebut ditemukan sendiri secara online. Setelah konten yang dimodifikasi menyebar, korban mungkin mengalami kesulitan untuk menghentikan penyebaran lebih lanjut atau menghapusnya dari internet.

Sextortion dan Pelecehan
Untuk mengubah foto dan video—biasanya diambil dari akun media sosial korban, internet terbuka, atau atas permintaan korban—menjadi gambar bertema seksual yang sangat mirip dengan korban, pelaku jahat menggunakan teknologi dan layanan memperbudak konten. Gambar-gambar ini kemudian dibagikan di media sosial, forum publik, atau situs web porno. Banyak korban—termasuk anak di bawah umur—tidak menyadari bahwa foto mereka telah diambil, diubah, dan disebarkan hingga orang lain menunjukkannya kepada mereka. Aktor jahat kemudian mengirimkan foto langsung ke korban untuk sextortion atau memudar, atau hingga foto tersebut ditemukan sendiri secara online. Setelah konten yang dimodifikasi disebarkan, korban mungkin mengalami kesulitan untuk menghentikan penyebaran lebih lanjut atau menghapusnya dari internet.

Rekomendasi
FBI menyarankan masyarakat untuk berhati-hati saat memposting atau mengirim pesan langsung yang berisi konten pribadi atau mengidentifikasi di media sosial, aplikasi kencan, dan situs web lainnya. Meskipun foto dan video tampak tidak bersalah saat dibagikan atau diposting, aktor jahat mungkin menggunakannya sebagai sumber konten yang kaya untuk terlibat dalam perilaku ilegal. Kemampuan untuk dengan mudah mengakses foto-foto pribadi secara online dan peningkatan teknologi pembuatan konten memberi pelaku kejahatan cara tambahan untuk mencari dan menargetkan korban. Ini membuat orang terbuka terhadap penghinaan, ejekan, pemerasan, kehilangan uang, atau viktimisasi ulang jangka panjang.

sumber : public service announcement FBI

Para Peretas Melakukan Hijacking pada Situs-situs Resmi untuk Hosting Skrip Pencuri Kartu Kredit.

by

Sebuah kampanye baru yang mencuri kartu kredit Magecart menyusupi situs-situs resmi untuk berfungsi sebagai server command and control (C2) sementara untuk menyisipkan dan menyembunyikan perangkat penyadap pada situs-situs eCommerce yang ditargetkan.

Serangan Magecart terjadi ketika peretas meretas toko-toko online untuk menyisipkan skrip berbahaya yang mencuri kartu kredit dan informasi pribadi pelanggan selama proses pembayaran.

Menurut peneliti dari Akamai yang memantau kampanye ini, telah terjadi kompromi pada organisasi di Amerika Serikat, Inggris, Australia, Brasil, Peru, dan Estonia.

Langkah pertama yang dilakukan oleh para penyerang adalah mengidentifikasi situs resmi yang rentan dan meretasnya untuk menyimpan kode berbahaya mereka, menggunakan situs-situs tersebut sebagai server C2 untuk serangan mereka.

Dengan mendistribusikan perangkat penyadap kartu kredit menggunakan situs web resmi yang memiliki reputasi baik, para pelaku ancaman dapat menghindari deteksi dan pemblokiran serta tidak perlu mengatur infrastruktur mereka sendiri.

“Dalam laporan kami, meskipun tidak jelas bagaimana situs-situs ini diretas, berdasarkan penelitian kami yang baru-baru ini dilakukan terhadap kampanye serupa sebelumnya, para penyerang biasanya mencari kerentanan pada platform perdagangan digital situs web yang ditargetkan (seperti Magento, WooCommerce, WordPress, Shopify, dll.) atau pada layanan pihak ketiga yang rentan yang digunakan oleh situs web,” menjelaskan Akamai dalam laporannya.

Akamai melaporkan adanya dua varian perangkat penyadap yang digunakan dalam kampanye ini.

Varian pertama adalah versi yang sangat terenkripsi yang berisi daftar pemilih CSS yang menargetkan informasi identitas pribadi pelanggan dan detail kartu kredit. Pemilih CSS tersebut berbeda untuk setiap situs yang ditargetkan, dibuat khusus untuk sesuai dengan masing-masing korban.

Varian kedua dari perangkat penyadap tidak dilindungi dengan baik, sehingga mengekspos petunjuk dalam kode yang membantu Akamai memetakan jangkauan kampanye dan mengidentifikasi korban tambahan.

Setelah perangkat penyadap mencuri detail pelanggan, data tersebut dikirim ke server penyerang melalui permintaan HTTP yang dibuat sebagai tag IMG dalam perangkat penyadap.

Selengkapnya: Bleeping Computer

Operasi Baru Dari Horabot Mengambil Alih Akun Gmail & Outlook Korban

by

Operasi Horabot yang baru ini ditemukan oleh para analis di Cisco Talos, yang melaporkan bahwa pelaku ancaman di baliknya kemungkinan berbasis di Brasil.

Malicious page hosted on AWS (Cisco)
Malicious page hosted on AWS (Cisco)

Rantai infeksi dengan beberapa tahap dimulai dengan email phishing berisi tema pajak yang dikirim kepada target, dengan lampiran HTML yang seolah-olah merupakan tanda terima pembayaran.

Membuka file HTML tersebut akan memicu rangkaian pengalihan URL yang mengarahkan korban ke halaman HTML yang dihosting pada instansi AWS yang dikendalikan oleh penyerang.

Korban mengklik hyperlink pada halaman tersebut dan mengunduh sebuah arsip RAR yang berisi file batch dengan ekstensi CMD, yang kemudian mengunduh sebuah skrip PowerShell yang mengambil DLL trojan dan serangkaian file eksekusi yang sah dari server C2.

Trojan-trojan ini dijalankan untuk mengambil dua payload terakhir dari server C2 yang berbeda. Salah satunya adalah skrip pengunduh PowerShell, dan yang lainnya adalah binary Horabot.

Function to extract email addresses (Cisco)
Function to extract email addresses (Cisco)

Payload utama yang dijatuhkan ke sistem korban adalah Horabot, sebuah botnet berbasis PowerShell yang terdokumentasi dan mengincar kotak surat Outlook korban untuk mencuri kontak dan menyebarkan email phishing yang berisi lampiran HTML berbahaya.

Malware ini menjalankan aplikasi desktop Outlook korban untuk memeriksa buku alamat dan kontak dari isi inbox.

Horabot infection flow (Cisco)
Horabot infection flow (Cisco)

Semua alamat email yang diekstraksi ditulis ke dalam file “.Outlook” dan kemudian dienkripsi dan dieksfiltrasi ke server C2.

Terakhir, malware ini membuat sebuah file HTML secara lokal, mengisinya dengan konten yang disalin dari sumber eksternal, dan mengirimkan email phishing ke semua alamat email yang diekstraksi secara individu.

Setelah proses distribusi email phishing selesai, file dan folder yang dibuat secara lokal dihapus untuk menghapus jejak-jejak yang ada.

Selengkapnya: Bleeping Computer