Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cybersecurity

Cybersecurity

Peringatan CISA memperingatkan serangan Emotet terhadap entitas pemerintah AS

by

Badan Keamanan Siber dan Infrastruktur (CISA) mengeluarkan peringatan untuk memperingatkan gelombang serangan Emotet yang telah menargetkan beberapa negara bagian dan pemerintah lokal di AS sejak Agustus.

Selama waktu itu, Sistem Deteksi Intrusi EINSTEIN milik agensi tersebut telah mendeteksi sekitar 16.000 peringatan terkait aktivitas Emotet.

Menurut para ahli dari CISA, serangan Emotet ditargetkan pada entitas pemerintah AS.

Trojan perbankan Emotet telah aktif setidaknya sejak 2014, botnet dioperasikan oleh pelaku ancaman yang dilacak sebagai TA542. Pada pertengahan Agustus, malware tersebut digunakan dalam kampanye spam baru bertema COVID19.

Trojan perbankan terkenal juga digunakan untuk memberikan kode berbahaya lainnya, seperti Trickbot dan QBot trojan atau ransomware seperti Conti (TrickBot) atau ProLock (QBot).

Peringatan yang diterbitkan oleh CISA didasarkan pada data yang disediakan oleh Multi-State Information Sharing & Analysis Center (MS-ISAC) dan CISA sendiri sejak Juli 2020.

CISA dan MS-ISAC merekomendasikan admin dan pengguna untuk menggunakan solusi antimalware untuk memblokir lampiran yang mencurigakan dan untuk memblokir alamat IP yang mencurigakan.

Peringatan tersebut mencakup mitigasi, Indikator Kompromi (IoCs) dan Teknik MITRE ATT&CK.

Mata-mata asing menggunakan perusahaan untuk menyamarkan peretasan mereka, meminjam taktik penyamaran lama

by

Peretas profesional yang sudah mencoba menyembunyikan aktivitas mereka melalui berbagai cara teknis sekarang tampaknya mencoba lebih banyak penyamaran perusahaan, dengan membuat perusahaan depan atau bekerja sebagai kontraktor pemerintah untuk meningkatkan legitimasi mereka.

“Ini hanya mempersulit untuk mengetahui siapa yang melakukan apa, dan apa motivasi mereka,” John Demers, asisten jaksa agung AS untuk keamanan nasional, mengatakan tentang motivasi yang terlihat dalam wawancara baru-baru ini.

Departemen Kehakiman pada 16 September membuka segel dakwaan terhadap lima pria China dan dua warga negara Malaysia atas dugaan peran mereka dalam skema mata-mata selama bertahun-tahun yang menginfeksi perangkat lunak termasuk Asus, CCleaner dan Netsarang dengan malware.

Beberapa tersangka yang bekerja sebagai bagian dari operasi yang lebih besar berfungsi sebagai bagian dari Chengdu 404, yang memasarkan dirinya sebagai perusahaan penetration testing dengan “semangat patriotik”, kata satu dakwaan.

Saat mengiklankan uji peretasan ofensif, Chengdu 404 menggunakan phishing dan cara lain untuk melanggar lebih dari 100 organisasi di AS, Korea Selatan, Jepang, dan negara lain, menurut tuduhan tersebut.

Peretas akan mengeksploitasi akses mereka untuk mencuri kode sumber, sertifikat penandatanganan perangkat lunak, dan informasi identitas pribadi atas nama Beijing, sambil mengumpulkan uang untuk mereka sendiri. (Perusahaan keamanan telah mengaitkan aktivitas tersebut dengan APT41, unit spionase siber China yang diduga terkait dengan Kementerian Keamanan Negara.)

Sejarah yang kurang membanggakan dari peretasan serupa

Jaksa penuntut AS mengatakan tiga pria Ukraina yang ditangkap pada 2018 mengklaim mengoperasikan Combi Security sebagai perusahaan penetration testing yang sah. Alih-alih benar-benar melakukan tes, perusahaan itu meretas terminal tempat penjualan, mencuri informasi kartu kredit, dan melanggar restoran besar Amerika dan rantai ritel.

Berita selengkapnya:
Source: Cyber Scoop

Malware untuk Penipuan Iklan Menjadi Lebih Canggih

by

Minggu lalu, Facebook mengungkapkan bahwa perusahaan telah menemukan serangan luas pada penggunanya yang telah membobol akun, mengumpulkan kredensial dan token sesi, dan menggunakan akses untuk membeli iklan, barang palsu, dan untuk membuat ulasan produk palsu.

Disebut SilentFade – yang menurut perusahaan adalah singkatan dari “Diam-diam Menjalankan Iklan Facebook dengan Eksploitasi” – sistem pengguna yang terinfeksi malware dan mengakibatkan biaya lebih dari $4 juta, Facebook menyatakan dalam analisisnya.

Kampanye ini – yang ditemukan Facebook pada Desember 2018 dan telah mengambil tindakan pada dua bulan kemudian, menghindari deteksi ancaman dengan mencuri cookie sesi dari pengguna dan masuk dari alamat IP yang secara geografis dekat dengan korban.

SilentFade juga menonaktifkan banyak peringatan dan pemberitahuan keamanan dan menggunakan exploit untuk mencegah pengguna membatalkan perubahan, menurut peneliti perusahaan.

Selain itu, SilentFade mencuri cookie yang berisi token sesi, yang sering dianggap lebih berharga daripada sandi, karena cookie merupakan bukti pasca-otentikasi bahwa pengguna memberikan kredensial yang benar. Dengan menggunakan cookie alih-alih mencuri nama pengguna dan kata sandi, penyerang sering menghindari otentikasi dua faktor.

Komponen pencuri cookie dari SilentFade menargetkan sejumlah besar browser, termasuk Chrome, Opera, Internet Explorer, Edge, dan lainnya.

Facebook telah memperkuat layanannya terhadap SilentFade dan serangan grup lainnya, tetapi menekankan bahwa platform media sosial lainnya mungkin masih terpengaruh oleh kampanye penipuan iklan.

Berita selengkapnya dapat di baca pada tautan di bawah ini;
Source: Dark Reading

Cloudflare sekarang dapat mengirim peringatan DDoS untuk situs yang sedang diserang

by

Cloudflare sekarang memungkinkan pelanggan berbayar untuk membuat pemberitahuan yang memperingatkan mereka ketika situs mereka diserang DDoS.

Serangan distributed denial of service (DDoS) terjadi saat penyerang membanjiri server web atau koneksi Internet dengan lebih banyak permintaan daripada yang dapat ditangani. Banjir permintaan ini menyebabkan layanan menjadi tidak tersedia, dan perusahaan atau orang mengalami pemadaman.

Cloudflare selalu menawarkan perlindungan DDoS sebagai salah satu penawaran intinya, tetapi kecuali pemilik atau administrator situs secara aktif menggunakan situs mereka atau menggunakan alat pemantauan, mereka tidak akan tahu bahwa layanan mereka sedang diserang sampai sudah terlambat.

Kemarin, Cloudflare mengumumkan bahwa semua pelanggan berbayar sekarang dapat mengonfigurasi peringatan yang memberi tahu mereka ketika situs yang mereka kelola berada di bawah serangan DDoS.

Ada juga jenis DDoS berbeda yang dapat korban terima – HTTPS DDoS dan serangan L3/L4. Ketersediaan setiap jenis peringatan tergantung pada layanan apa yang Anda gunakan dengan Cloudflare.

Ketika serangan DDoS terjadi, Cloudflare akan memberi tahu Anda ketika serangan itu terdeteksi, jenis serangan DDoS, seberapa besar serangannya, dan apa targetnya.

Sumber: Cloudflare

Baca berita selengkapnya pada tautan di bawah ini;
Source: Bleeping Computer

Peretas menyalahgunakan layanan Windows error dalam serangan malware tanpa file

by

Grup peretasan tak dikenal menyuntikkan kode berbahaya dalam layanan Windows Error Reporting (WER) yang sah untuk menghindari deteksi sebagai bagian dari serangan malware fileless seperti yang ditemukan oleh peneliti Malwarebytes bulan lalu.

Memanfaatkan layanan WER dalam serangan untuk menghindari pertahanan bukanlah taktik baru tetapi, seperti yang dikatakan oleh peneliti Malwarebytes Threat Intelligence Team Hossein Jazi dan Jérôme Segura, kampanye ini kemungkinan besar adalah hasil kerja dari kelompok spionase siber yang belum diketahui.

“Pelaku ancaman menyusupi situs web untuk menampung muatannya dan menggunakan kerangka CactusTorch untuk melakukan serangan fileless yang diikuti oleh beberapa teknik anti-analisis,” jelas laporan tersebut, yang dibagikan sebelumnya dengan BleepingComputer.

Muatan awal yang berbahaya masuk ke komputer target melalui spear-phishing email menggunakan klaim kompensasi pekerja sebagai umpan.

Setelah dibuka, dokumen akan mengeksekusi kode shell melalui makro berbahaya yang diidentifikasi sebagai modul CactusTorch VBA yang memuat muatan .NET langsung ke memori perangkat Windows yang sekarang terinfeksi.

Pada langkah berikutnya, binary ini dijalankan dari memori komputer tanpa meninggalkan jejak pada hard drive, memasukkan kode shell yang tertanam ke dalam WerFault.exe, proses Windows layanan WER.

Jika semua pemeriksaan dilewati dan malware yang dimuat terasa cukup aman untuk melanjutkan ke langkah berikutnya, malware akan mendekripsi dan memuat kode shell terakhir di thread WER yang baru dibuat, yang akan dieksekusi di thread baru.

Muatan malware terakhir yang dihosting di asia-kotoba[.]Net dalam bentuk favicon palsu kemudian akan diunduh dan dimasukkan ke dalam proses baru.

Sementara para peneliti Malwarebytes tidak dapat mengaitkan serangan itu dengan kelompok peretas mana pun dengan cukup percaya diri, beberapa indikator kompromi dan taktik yang digunakan mengarah ke kelompok spionase cyber APT32 yang didukung Vietnam (juga dilacak sebagai OceanLotus dan SeaLotus).

Sayangnya, Malwarebytes tidak berhasil mendapatkan salinan muatan terakhir setelah menyelidiki serangan ini untuk membuat koneksi langsung.

Baca berita selengkapnya pada tautan di bawah ini;
Source: Bleeping Computer

Lonjakan ancaman ransomware, Ryuk menyerang sekitar 20 org per minggu

by

Peneliti malware yang memantau ancaman ransomware melihat peningkatan tajam dalam beberapa serangan ransomware selama beberapa bulan terakhir dibandingkan dengan enam bulan pertama tahun 2020.

Di bagian atas daftar adalah keluarga ransomware Maze, Ryuk, dan REvil (Sodinokibi), menurut data yang baru-baru ini diterbitkan dari Check Point dan tim IBM Security X-Force Incident Response.

Data dari Check Point mengacu pada kuartal ketiga tahun ini menunjukkan bahwa Maze dan Ryuk adalah keluarga ransomware yang paling umum, dengan ransomware menyerang rata-rata 20 perusahaan per minggu.

Perusahaan mengatakan bahwa serangan ransomware meningkat sebesar 50% pada tingkat global pada kuartal ketiga tahun 2020, Ryuk dan Maze adalah ancaman yang paling umum.

Di Amerika, serangan ini hampir dua kali lipat pada kuartal ketiga, menempatkannya di lima besar negara yang paling terpengaruh di Q3:

  • Amerika Serikat (98,1% meningkat)
  • India (39,2% meningkat)
  • Sri Lanka (436% meningkat)
  • Rusia (57,9% meningkat)
  • Turki (32,5% meningkat)

Serangan ransomware sangat menguntungkan bagi penjahat siber sehingga hampir tidak ada peluang ancaman ini menghilang dalam waktu dekat, terutama dengan taktik yang berkembang (mencuri data dan membocorkan atau menjualnya di web gelap) yang dirancang untuk memaksa membayar tebusan.

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: Bleeping Computer

Botnet HEH baru dapat menghapus router dan perangkat IoT

by

Dinamakan HEH, botnet ini menyebar dengan meluncurkan serangan brute force terhadap sistem yang terhubung ke internet yang memiliki port SSH (23 dan 2323) yang terbuka secara online.

Jika perangkat menggunakan kredensial SSH default atau yang mudah ditebak, botnet mendapatkan akses ke sistem, di mana ia segera mengunduh salah satu dari tujuh binary yang kemudian dapat menginstal malware HEH.

Malware HEH ini tidak mengandung fitur ofensif.

Satu-satunya fitur yang ada adalah fungsi yang menjerat perangkat yang terinfeksi dan memaksa mereka untuk melakukan serangan brute force SSH di internet untuk membantu memperkuat botnet; fitur yang memungkinkan penyerang menjalankan perintah Shell pada perangkat yang terinfeksi; dan variasi dari fitur kedua ini yang menjalankan daftar operasi Shell yang telah ditentukan sebelumnya yang menghapus semua partisi perangkat.

HEH ditemukan oleh peneliti keamanan dari Netlab, divisi keamanan jaringan raksasa teknologi China Qihoo 360, dan dirinci untuk pertama kalinya dalam laporan yang diterbitkan pada 6 Oktober 2020.

Karena ini adalah botnet yang relatif baru, peneliti Netlab tidak dapat mengetahui apakah operasi penghapusan perangkat disengaja atau apakah itu hanya rutinitas penghancuran diri dengan kode yang buruk.

Saat ini, Netlab mengatakan telah mendeteksi sampel HEH yang dapat dijalankan pada arsitektur CPU berikut x86 (32/64), ARM (32/64), MIPS (MIPS32 / MIPS-III), dan PPC.

Botnet ini masih menyebar. HEH, meskipun belum memblokir perangkat apa pun, tidak akan menjadi botnet pertama yang menghapus perangkat IoT. Dua yang pertama adalah BirckerBot dan Silex.

Baca berita selengkapnya pada tautan di bawah ini;
Source: ZDNet

Anatomi perampokan siber senilai $15 juta di perusahaan AS

by

Penipu berpengalaman mendapatkan $15 juta dari perusahaan AS setelah dengan hati-hati menjalankan email yang telah disusupi yang membutuhkan waktu sekitar dua bulan untuk menyelesaikannya.

Penjahat siber melaksanakan rencana mereka dengan sangat teliti setelah mendapatkan akses ke percakapan email tentang transaksi komersial. Mereka memasukkan diri mereka ke dalam pertukaran untuk mengalihkan pembayaran dan mampu menyembunyikan pencurian cukup lama untuk mendapatkan uang.

Meskipun peneliti menyelidiki peristiwa pada satu korban, mereka menemukan petunjuk yang menunjukkan bahwa lusinan bisnis di sektor konstruksi, ritel, keuangan, dan hukum ada dalam daftar target mereka.

Setelah aktor tersebut memutuskan sebuah target, mereka menghabiskan waktu sekitar dua minggu untuk mencoba mengakses akun email. Setelah masuk, mereka menghabiskan waktu seminggu lagi untuk mengumpulkan informasi dari kotak surat korban dan mengidentifikasi peluang.

Selama empat minggu, penyerang dengan hati-hati membuat rencana mereka menggunakan informasi yang dikumpulkan dari kotak masuk eksekutif senior yang disusupi. Mereka mengambil alih percakapan menggunakan domain palsu pada saat yang tepat untuk memberikan detail yang diubah untuk pengiriman uang.

Untuk menyembunyikan pencurian hingga mereka memindahkan uang ke bank asing dan membuatnya hilang selamanya, penyerang menggunakan aturan penyaringan kotak masuk untuk memindahkan pesan dari alamat email tertentu ke folder tersembunyi.

Itu adalah langkah yang membuat pemilik kotak masuk yang sah tidak mengetahui komunikasi mengenai pemindahan uang. Itu berlangsung sekitar dua minggu, cukup bagi aktor untuk membuat $15 juta menghilang.

Organisasi dapat memperkuat pertahanan mereka terhadap jenis serangan ini dengan mengikuti sekumpulan rekomendasi sederhana yang mencakup, antara lain, mengaktifkan otentikasi dua faktor di Office 365 dan mencegah email forwarding ke alamat eksternal.

Baca berita selengkapnya pada tautan dibawah ini;
Source: Bleeping Computer