Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cybersecurity

Cybersecurity

Black-T Malware Muncul Dari Cryptojacker Group TeamTNT

by

Para peneliti telah menemukan langkah awal malware cryptojacking terbaru dari TeamTNT, yang disebut Black-T. Varian ini dibangun di atas pendekatan khas grup, dengan beberapa tambahan baru – dan canggih.

TeamTNT dikenal dengan penargetan kredensial Amazon Web Services (AWS), untuk membobol cloud dan menggunakannya untuk menambang cryptocurrency Monero.

Namun menurut para peneliti dari Palo Alto Network’s Unit 42, menggunakan Black-T, kelompok tersebut telah menambahkan kemampuan tambahan pada taktik, teknik dan prosedur (TTP). Ini termasuk penambahan pemindai jaringan yang canggih; penargetan alat penambangan XMR pesaing di jaringan; dan penggunaan pengikis kata sandi.

Apa yang akan dilakukan TeamTNT dengan kata sandi yang disimpan dan kemampuan tambahan masih belum jelas, tetapi perkembangan menandakan bahwa grup tidak berencana untuk melambat dalam waktu dekat.

Setelah diterapkan, urutan bisnis pertama untuk Black-T adalah menonaktifkan malware lain yang bersaing untuk mendapatkan kekuatan pemrosesan, termasuk Kinsing, Kswapd0, ntpd miner, redis-backup miner, auditd miner, Migration miner, the Crux worm dan Crux worm miner.

Ironisnya, fakta bahwa TeamTNT mengidentifikasi pesaing ini dalam malware mereka memberi para profesional keamanan peringatan kritis untuk mewaspadai potensi ancaman dari kelompok-kelompok ini, kata Unit 42.

Setelah menghilangkan pesaing mereka, Black-T menginstal masscan, libpcap untuk mendengarkan berbagai sumber daya di jaringan, termasuk pnscan, zgrab, Docker dan jq.

Berikutnya, Black-T mengambil berbagai download: Beta untuk membuat direktori baru; alat pengikis sandi mimipy dan mimipenquin; dan perangkat lunak penambangan XMR yang disebut bd.

Karena pekerjaan jarak jauh dan penghematan biaya terus mendorong komputasi ke cloud, lebih banyak grup seperti TeamTNT pasti akan muncul dan siap untuk memanfaatkan, menurut Quist.

Baca berita selengkapnya pada tautan di bawah ini;
Source: The Threat Post

Keluarga Malware Beralih ke Layanan Seperti Pastebin yang Sah

by

Penjahat siber semakin beralih ke layanan web yang sah dan mirip Pastebin untuk mengunduh malware – seperti AgentTesla dan LimeRAT – dalam serangan spear-phishing.

Pastebin, layanan hosting kode yang memungkinkan pengguna untuk berbagi plain text melalui pos publik yang disebut “pastes”, saat ini memiliki 17 juta pengguna unik bulanan dan populer di kalangan penjahat siber (seperti grup FIN5 APT dan grup ancaman Rocke) untuk menampung muatan mereka atau infrastruktur command-and-control (C2).

Tapi sekarang, lebih banyak kelompok malware dan ransomware mulai menggunakan layanan lain, dengan domain Paste.nrecom[.]Net.

Layanan ini sudah ada sejak Mei 2014, dan memiliki fungsi yang mirip dengan Pastebin. Ia juga memiliki API (didukung oleh pastebin berbasis PHP open-source Stikked) yang memungkinkan untuk pembuatan skrip.

Peneliti dengan Juniper Networks mengatakan bahwa fitur API menguntungkan bagi penjahat siber, yang dapat memanfaatkannya untuk dengan mudah memasukkan dan memperbarui data mereka secara terprogram.

Peneliti mengatakan bahwa serangan yang memanfaatkan layanan tersebut umumnya dimulai dengan email spear-phishing yang menyertakan lampiran (seperti dokumen, arsip, atau file yang dapat dieksekusi). Penerima ditipu untuk membuka lampiran berbahaya (sebagai tahap pertama serangan), yang kemudian mendownload tahap berikutnya dari paste.nrecom[.]Net.

Ke depan, para peneliti memperingatkan bahwa lebih banyak keluarga malware akan beralih ke layanan web yang sah untuk menghosting infrastruktur berbahaya mereka.

“Menggunakan layanan web yang sah seperti pastebin atau paste.nrecom untuk infrastruktur malware memberikan keuntungan bagi penjahat siber, karena layanan ini tidak dapat dengan mudah dihapus karena penggunaannya yang sah,” kata peneliti.

Baca berita selengkapnya pada tautan di bawah ini;
Source: The Threat Post

MosaicRegressor: Rootkit UEFI kedua ditemukan di alam liar

by

Rootkit UEFI kedua yang digunakan di alam liar ditemukan oleh peneliti keamanan selama investigasi seputar serangan dari tahun 2019 terhadap dua organisasi non-pemerintah (LSM).

Firmware UEFI (Unified Extensible Firmware Interface) memungkinkan malware yang sangat persisten mengingat bahwa itu diinstal dalam penyimpanan flash SPI yang disolder ke motherboard komputer sehingga tidak mungkin untuk dihilangkan melalui instalasi ulang OS atau penggantian hard drive.

Bootkit UEFI, dijuluki MosaicRegressor oleh peneliti Kaspersky Mark Lechtik dan Igor Kuznetsov yang menemukannya, adalah kerangka kerja malware modular dan multi-stage yang digunakan oleh peretas berbahasa Mandarin dalam operasi pencurian data dan spionase.

Hanya satu contoh lain dari bootkit UEFI yang digunakan di alam liar yang diketahui, yaitu LoJax, rootkit yang ditemukan oleh ESET pada tahun 2018.

LoJax disuntikkan oleh kelompok peretas APT28 berbahasa Rusia dalam perangkat lunak anti-theft LoJack yang sah dalam bentuk modul UEFI yang ditambal.

MosaicRegressor mempunyai beberapa downloader dan, terkadang, beberapa pemuat perantara yang tujuan akhirnya adalah mengunduh dan mengeksekusi muatan berbahaya pada mesin target.

Laporan lengkap Kaspersky (termasuk detail teknis) tentang bootkit MosaicRegressor UEFI multi-stage dan modular dapat ditemukan di sini (PDF).

Baca berita selengkapnya pada tautan di bawah ini;
Source: Bleeping Computer

Grup peretas menyerang penyedia seluler untuk mencuri kartu kredit

by

Grup skimming kartu kredit Fullz House telah menyusupi dan menginjeksi situs web operator jaringan virtual seluler AS (MVNO) Boom! Seluler dengan skrip pencuri kartu kredit.

Jenis penyusupan ini dikenal sebagai serangan MageCart (alias web skimming atau e-skimming), yang terdiri dari pelaku ancaman yang menyuntikkan skrip JavaScript berbahaya dalam satu atau beberapa bagian situs web yang disusupi.

Skrip ini kemudian digunakan oleh peretas untuk mencuri pembayaran atau info pribadi yang dikirimkan oleh pelanggan situs.

Seperti yang ditemukan oleh Tim Intelijen Ancaman Malwarebytes, penyerang memasukkan satu baris kode yang memuat pustaka JavaScript eksternal dari paypal-debit[.]Com/cdn/ga.js, yang disamarkan sebagai skrip Google Analytics.

Skimmer kartu bekerja dengan mengumpulkan informasi kartu pembayaran dari bidang input setiap kali mendeteksi perubahan apa pun, segera mengeksfiltrasi data yang dipanen sebagai permintaan GET yang dikodekan menggunakan Base64.

Meskipun metode pasti yang digunakan oleh grup Fullz House Magecart untuk menyusup ke situs web Boom tidak diketahui, Malwarebytes mengamati bahwa situs perusahaan tersebut menjalankan PHP versi 5.6.40, sebuah versi yang tidak didukung sejak Januari 2019.

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: Bleeping Computer

Chip T2 Apple memiliki kerentanan yang tidak dapat diperbaiki yang memungkinkan akses root

by

Perangkat macOS Apple dengan prosesor Intel dan chip T2 rentan terhadap eksploitasi yang tidak dapat diperbaiki yang dapat memberi penyerang akses root, klaim peneliti keamanan siber.

Chip T2, hadir di sebagian besar perangkat macOS modern, adalah silicon co-processor Apple yang menangani operasi boot dan keamanan, bersama dengan fitur yang berbeda seperti pemroses audio.

Niels H., seorang peneliti keamanan independen, menunjukkan bahwa chip T2 memiliki cacat serius yang tidak dapat ditambal. Menurut Niels H., karena chip T2 didasarkan pada prosesor Apple A10, itu rentan terhadap eksploitasi checkm8 yang sama yang memengaruhi perangkat berbasis iOS. Kerentanan tersebut memungkinkan penyerang untuk menghindari kunci aktivasi dan melakukan serangan berbahaya lainnya.

Setelah penyerang mendapatkan akses ke chip T2, mereka akan memiliki akses root penuh dan hak eksekusi kernel. Meskipun mereka tidak dapat mendekripsi file yang dilindungi oleh enkripsi FileVault, mereka dapat menyuntikkan keylogger dan mencuri kata sandi karena chip T2 mengelola akses keyboard.

Apple juga tidak dapat menambal kerentanan tanpa revisi perangkat keras, karena sistem operasi yang mendasari T2 (SepOS) menggunakan memori hanya-baca untuk alasan keamanan. Di sisi lain, itu juga berarti kerentanannya tidak terus-menerus – ini akan membutuhkan komponen perangkat keras, seperti kabel USB-C yang berbahaya dan dibuat khusus.

Karena sifat kerentanan dan eksploitasi terkait, akses fisik diperlukan agar serangan dapat dilakukan.

Jadi, rata-rata pengguna dapat menghindari eksploitasi dengan menjaga keamanan fisik, dan tidak mencolokkan perangkat USB-C dengan sumber yang tidak diverifikasi.

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: Apple Insider

Peringatan! Steker pintar ini dapat diretas dan menyalakan api

by

Sebuah studi baru-baru ini menemukan beberapa kelemahan keamanan utama dengan steker pintar yang diuji. Jika Anda menggunakan steker pintar di rumah, Anda mungkin ingin mencatat masalahnya.

Organisasi yang berbasis di Inggris, Which?, baru-baru ini menyelesaikan studi tentang steker pintar, dan apa yang ditemukan cukup mengganggu.

Ternyata beberapa steker pintar murah yang ditemukan di pasar online dapat datang dengan masalah keamanan kritis yang membuat Anda rentan terhadap peretas. Lebih buruk lagi? Beberapa kekurangan desain bahkan dapat memicu kebakaran.

Sebagai bagian dari studi, Which? membeli 10 steker pintar dari pengecer online populer untuk pengujian.

Mulai dari merek populer seperti TP-Link dan Hive hingga merek yang kurang terkenal seperti Hictkon, Meross, dan Ajax Online. Sembilan dari 10 steker pintar yang diuji memiliki masalah, dan total 13 kerentanan ditemukan secara bersamaan.

Steker pintar dengan masalah keamanan:
  • Hictkon Smart Plug

    • Masalah utamanya adalah steker yang dirancang dengan buruk menimbulkan risiko kebakaran, terutama untuk rumah dengan kabel yang lebih tua. Jika Anda menggunakan steker pintar ini, Which? merekomendasikan Anda untuk mencabutnya dan segera berhenti menggunakannya.

Steker pintar dengan masalah keamanan:
  • TP Link Kasa Smart Plug

    • Masalah utama adalah Cacat keamanan kritis dapat memungkinkan peretas untuk mengambil kendali penuh atas steker dan daya yang mengalir ke perangkat yang terhubung. Kerentanan khusus ini adalah hasil dari enkripsi yang lemah. Menurut Which?, TP-Link telah mengembangkan perbaikan untuk masalah dengan steker pintar Kasa. Patch akan diluncurkan bulan ini (Oktober).

  • Meross Smart Plug

    • Masalah utama yang diidentifikasi Which? adalah bahwa sandi Wi-Fi pengguna tidak dienkripsi selama penyiapan steker pintar. Itu berarti seorang peretas dapat, secara teori, mencuri mereka dan menggunakan koneksi Wi-Fi atau membahayakan perangkat lain. Meross memberi tahu Which? bahwa mereka akan bekerja untuk memperbaiki masalah tersebut, tetapi belum ada tanggal untuk perbaikan yang telah dicatat.

Untuk beberapa kerentanan pada steker pintar yang lain dapat di baca pada tautan di bawah ini;
Source: Komando

Peretas Mengunggah Sidik Jari Sendiri ke TKP Dalam Serangan Cyber Terbodoh Yang Pernah Ada

by

Max Heinemeyer, direktur threat hunting di Darktrace, membagikan cerita serangan siber yang aneh, tidak konvensional, dan tidak diragukan lagi original kepada Forbes.

Peretas mengunggah sidik jarinya sendiri ke TKP

Paling sering, ketika Anda mendengar profesional keamanan siber berbicara tentang sidik jari peretas, mereka merujuk pada jejak apa pun, jejak digital apa pun, yang telah ditinggalkan oleh pelaku. Jenis sidik jari ini dapat membantu membuat atribusi serangan yang luas, tetapi tetap hampir mustahil untuk mendapatkan atribusi definitif murni dari bukti siber tersebut.

Kecuali, jika Anda adalah peretas yang bertanggung jawab atas serangan terhadap perusahaan barang mewah yang terjadi pada tahun 2018 tetapi baru saja diungkapkan oleh Heinemeyer.

“AI Darktrace mendeteksi peretasan pertama di mana para pelaku dengan sengaja meninggalkan sidik jari mereka di TKP,” kata Heinemeyer, “secara harfiah, sidik jari mereka”. Bisnis barang mewah tersebut telah memasang sepuluh pemindai sidik jari untuk membatasi akses ke gudang dalam upaya mengurangi risiko. “Tanpa sepengetahuan mereka,” lanjut Heinemeyer, “seorang penyerang mulai mengeksploitasi kerentanan di salah satu pemindai. Dalam langkah peretas yang mungkin paling aneh, mereka mulai menghapus sidik jari resmi dan mengunggah sidik jari mereka sendiri dengan harapan mendapatkan akses fisik.”

Otak AI mengambil ini karena satu pemindai berperilaku berbeda dari yang lain, yang berarti tim keamanan menjadi sadar akan serangan itu dalam beberapa menit. Dan, tentu saja, memiliki beberapa bukti yang cukup meyakinkan untuk diberikan kepada penegak hukum.

Ambil contoh kasus aneh lain dari insiden porno meteran parkir. Dikaitkan dengan peretas ‘grey hat’, AI Darktrace juga menangkap insiden ini pada tahun 2018.

Ini melibatkan kios parkir digital di bandara internasional. “Kios mencoba untuk membuat koneksi ke situs web yang menampilkan konten dewasa,” kata Heinemeyer, “ini memperlambat fungsi normal kios, tetapi tidak ada layar untuk menampilkan konten.”

Lalu ada kasus yang menggambarkan betapa internet of things membuka vektor serangan yang tidak akan Anda bayangkan. Pada 2017, sebuah kasino diserang oleh penjahat siber yang ingin mengakses data terkait para pemain papan atas. Mereka melakukannya dengan cara meretas tangki ikan. Atau, lebih tepatnya, sensor yang secara otomatis mengatur suhu, salinitas, dan jadwal makan melalui internet dan jaringan pribadi virtual individu.

Kasino tersebut sebenarnya telah melindungi sistem IT-nya dengan firewall biasa dan software anti-virus tetapi lupa bahwa tangki futuristik terhubung ke sistemnya.

Ada beberapa cerita peretasan aneh lain yang dapat di baca pada tautan di bawah ini;
Source: Forbes

Aplikasi Threema & Telegram palsu yang menyembunyikan spyware untuk serangan yang ditargetkan

by

Dimulai dari sampel malware yang tidak banyak diketahui, peneliti keamanan melacak spyware Android baru yang didistribusikan melalui aplikasi perpesanan palsu seperti Threema, Telegram, dan WeMessage.

Pada April 2020, peneliti keamanan MalwareHunterTeam membuat tweet tentang spyware untuk Android yang memiliki tingkat deteksi sangat rendah di VirusTotal. Memeriksa sampel, para peneliti di ESET menemukan bahwa itu adalah bagian dari malware toolkit yang digunakan oleh aktor ancaman APT-C-23.

Sekitar dua bulan kemudian, pada bulan Juni, MalwareHunterTeam menemukan sampel baru dari malware yang sama yang disembunyikan di file instalasi aplikasi olahpesan Telegram yang tersedia dari DigitalApps, toko Android tidak resmi.

Karena solusi keamanan mereka termasuk di antara beberapa yang mendeteksi spyware baru dari APT-C-23, ESET mulai menyelidiki dan menemukan bahwa malware juga disembunyikan di aplikasi lain yang terdaftar di toko.

Mereka menemukannya di Threema, platform perpesanan yang aman, dan di AndroidUpdate, aplikasi yang menyamar sebagai pembaruan sistem untuk platform seluler.

Dengan Threema dan Telegram, korban akan mendapatkan fungsionalitas penuh dari aplikasi bersama dengan malware, sehingga menyembunyikan sifat jahat dari aplikasi palsu tersebut.

ESET mengamati bahwa daftar fitur sekarang mencakup kemungkinan aplikasi untuk membungkam pemberitahuan dari aplikasi keamanan yang terintegrasi dengan perangkat dari Samsung, Xiaomi, dan Huawei, memungkinkannya untuk tetap tersembunyi bahkan jika aktivitasnya terdeteksi.

Selain itu, spyware versi baru ini dapat membaca pemberitahuan dari aplikasi perpesanan (WhatsApp, Facebook, Telegram, Instagram, Skype, Messenger, Viber), secara efektif mencuri pesan masuk.

Spyware juga dapat merekam layar (video dan gambar) serta panggilan masuk dan keluar melalui WhatsApp. Itu juga dapat melakukan panggilan secara diam-diam, dengan membuat overlay layar hitam yang meniru telepon yang tidak aktif.

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: Bleeping Computer