Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cybersecurity

Cybersecurity

Dua operator ransomware ditangkap di Ukraina

by

Dua anggota geng ransomware ditangkap di Ukraina setelah operasi penegakan hukum internasional bersama dilakukan.

Penangkapan tersebut terjadi pekan lalu, pada 28 September, di Kyiv, ibu kota Ukraina, dan dilakukan oleh petugas Kepolisian Nasional Ukraina, dengan bantuan dari Gendarmerie Prancis, FBI, Europol, dan Interpol.

Dua tersangka ditangkap, termasuk seorang pria berusia 25 tahun yang diyakini sebagai anggota penting dari operasi ransomware besar.

Pejabat menolak menyebutkan afiliasi tersangka ke geng ransomware tertentu, mengutip penyelidikan resmi yang sedang berlangsung, kata juru bicara Europol kepada The Record.

Pejabat Ukraina mengatakan dalam siaran pers tersangka bertanggung jawab atas serangan terhadap lebih dari 100 perusahaan di seluruh dunia dan telah menyebabkan kerusakan lebih dari $150 juta.

Dalam siaran pers, Europol mengatakan para tersangka telah aktif sejak April 2020 dan bahwa kelompok mereka “dikenal karena tuntutan tebusan mereka yang terlalu tinggi (antara €5 hingga €70 juta).”

Beberapa peneliti keamanan menduga bahwa dua tersangka yang ditangkap minggu lalu adalah anggota geng ransomware REvil.

Selengkapnya: The Record

Akademisi menemukan lapisan tersembunyi di Great Firewall China

by

Sebuah tim akademisi dari University of Maryland telah menemukan lapisan tersembunyi sebelumnya dalam sistem sensor Great Firewall China.

Diperkenalkan pada akhir 90-an, Great Firewall (GFW) adalah sistem kotak tengah yang dipasang di titik pertukaran internet China dan penyedia layanan internet yang memungkinkan pemerintah untuk mencegat lalu lintas internet, mengendus kontennya, dan memblokir koneksi ke situs web dan server yang dianggap tidak dapat diterima oleh negara.

Meskipun ada mekanisme sensor yang berbeda di dalam Great Firewall China yang melayani protokol yang berbeda, sistemnya yang paling kuat dan canggih secara teknis adalah yang dimaksudkan untuk menangani lalu lintas web terenkripsi HTTPS.

Saat ini, mekanisme sensor HTTPS ini mencakup dua sistem terpisah.

Yang pertama, dan yang tertua, adalah yang bekerja dengan mencegat koneksi HTTPS pada tahap awal dan kemudian melihat bidang data koneksi yang disebut SNI, yang memperlihatkan domain yang coba diakses pengguna.

Yang kedua, diperkenalkan tahun lalu, mirip dengan yang pertama tetapi melayani koneksi HTTPS yang menggunakan protokol modern yang mengenkripsi bidang SNI (sebagai eSNI).

Karena sistem ini tidak dapat melihat apa yang pengguna domain coba akses, mekanisme sensor ini jauh lebih tumpul karena GFW hanya memblokir semua koneksi di mana bidang eSNI terdeteksi.

Namun dalam makalah penelitian [PDF], akademisi dari University of Maryland mengungkapkan bahwa mereka menemukan sistem penyaringan HTTPS SNI sekunder bekerja secara paralel dengan yang pertama.

“Ini sebenarnya adalah penemuan yang tidak disengaja, dan sesuatu yang kami temukan di tahun 2019,” Kevin Bock, Ph.D. kandidat di departemen ilmu komputer di University of Maryland, mengatakan kepada The Record dalam email.

“Kami mulai menemukan strategi aneh di mana Geneva [sistem penghindaran sensor] dapat menghindari sensor di bagian pertama handshake TLS (di mana penyensoran dipahami terjadi), tetapi masih gagal lebih dalam di jabat tangan.”

Bock dan rekan-rekannya mengatakan sistem ini sama efektifnya dengan lapisan pertama dalam menyensor lalu lintas HTTPS, bahkan jika itu mengintervensi pada tahap terakhir koneksi.

“Penemuan ini berarti bahwa GFW sekarang menjalankan setidaknya tiga middlebox berbeda secara paralel dengan menyensor HTTPS: dua untuk koneksi berbasis SNI dan keluarga middlebox lainnya sepenuhnya untuk menyensor koneksi berbasis ESNI,” tambah peneliti.

Sumber: The Record

Ransomware Atom Silo baru menargetkan server Confluence yang rentan

by

Atom Silo, grup ransomware yang baru ditemukan, menargetkan kerentanan Confluence Server dan Pusat Data yang baru-baru ini ditambal dan dieksploitasi secara aktif untuk menyebarkan muatan ransomware mereka.

Atlassian Confluence adalah ruang kerja tim perusahaan berbasis web yang sangat populer yang membantu karyawan berkolaborasi dalam berbagai proyek.

Pada 25 Agustus, Atlassian mengeluarkan pembaruan keamanan untuk menambal kerentanan eksekusi kode jarak jauh (RCE) Confluence yang dilacak sebagai CVE-2021-26084 dan sedang aktif dieksploitasi.

Eksploitasi yang berhasil memungkinkan penyerang yang tidak diautentikasi untuk menjalankan perintah pada server yang belum ditambal dari jarak jauh.

Penemuan ini dibuat oleh para peneliti SophosLabs saat menyelidiki insiden baru-baru ini. Mereka juga menemukan bahwa ransomware yang digunakan oleh grup baru ini hampir identik dengan LockFile, yang sangat mirip dengan yang digunakan oleh grup ransomware LockBit.

Namun, operator Atom Silo menggunakan “beberapa teknik baru yang membuatnya sangat sulit untuk diselidiki, termasuk side-loading library dynamic-link berbahaya yang dirancang untuk mengganggu perangkat lunak perlindungan titik akhir.”

Setelah mengkompromikan server Confluence dan memasang backdoor, pelaku ancaman menjatuhkan backdoor tersembunyi tahap kedua menggunakan side-loading DLL untuk meluncurkannya pada sistem yang dilanggar.

Payload Ransomware yang disebarkan oleh Atom Silo juga dilengkapi dengan driver kernel berbahaya yang digunakan untuk mengganggu solusi perlindungan titik akhir dan menghindari deteksi.

Rincian teknis lebih lanjut tentang Atom Silo dan taktik gerakan lateral dapat ditemukan dalam laporan SophosLabs.

Sumber: Bleeping Computer

Perusahaan yang Mengarahkan Miliaran Pesan Teks Diam-diam Mengatakan Telah Diretas

by

Sebuah perusahaan yang merupakan bagian penting dari infrastruktur telekomunikasi global yang digunakan oleh AT&T, T-Mobile, Verizon dan beberapa lainnya di seluruh dunia seperti Vodafone dan China Mobile, diam-diam mengungkapkan bahwa peretas telah berada di dalam sistemnya selama bertahun-tahun, berdampak pada lebih dari 200 kliennya dan berpotensi memiliki jutaan pengguna ponsel di seluruh dunia.

Perusahaan, Syniverse, mengungkapkan dalam pengajuan tanggal 27 September dengan Komisi Keamanan dan Pertukaran AS bahwa “individu atau organisasi yang tidak dikenal memperoleh akses tidak sah ke basis data dalam jaringannya pada beberapa kesempatan, dan informasi masuk yang memungkinkan akses ke atau dari Data Elektroniknya. Lingkungan Transfer (EDT) dikompromikan untuk sekitar 235 pelanggannya.”

Seorang mantan karyawan Syniverse yang bekerja pada sistem EDT memberi tahu Motherboard bahwa sistem tersebut memiliki informasi tentang semua jenis catatan panggilan.

Syniverse berulang kali menolak untuk menjawab pertanyaan spesifik dari Motherboard tentang skala pelanggaran dan data spesifik apa yang terpengaruh, tetapi menurut orang yang bekerja di operator telepon, siapa pun yang meretas Syniverse dapat memiliki akses ke metadata seperti panjang dan biaya, penelepon dan nomor penerima, lokasi pihak dalam panggilan, serta isi pesan teks SMS.

Perusahaan menulis bahwa mereka menemukan pelanggaran pada Mei 2021, tetapi peretasan dimulai pada Mei 2016.

Syniverse menyediakan layanan tulang punggung untuk operator nirkabel seperti AT&T, Verizon, T-Mobile, dan beberapa lainnya di seluruh dunia.

Itu berarti pelanggaran data yang baru-baru ini ditemukan dan selama bertahun-tahun berpotensi mempengaruhi jutaan — jika bukan miliaran — pengguna ponsel, tergantung pada operator apa yang terpengaruh.

Sumber: Vice

Membuat Sinyal Nirkabel dengan Kabel Ethernet untuk Mencuri Data dari Sistem Air-Gapped

by

Mekanisme eksfiltrasi data yang baru ditemukan menggunakan kabel Ethernet sebagai “antena pemancar” untuk secara diam-diam menyedot data yang sangat sensitif dari air-gapped systems, menurut penelitian terbaru.

“Sangat menarik bahwa kabel yang datang untuk melindungi celah udara menjadi kerentanan celah udara dalam serangan ini,” Dr. Mordechai Guri, kepala R&D di Pusat Penelitian Keamanan Siber di Universitas Ben Gurion Negev di Israel, kepada The Hacker News.

Dijuluki “LANtenna Attack”, teknik baru ini memungkinkan kode berbahaya di komputer dengan celah udara untuk mengumpulkan data sensitif dan kemudian menyandikannya melalui gelombang radio yang berasal dari kabel Ethernet seolah-olah itu adalah antena.

Sinyal yang ditransmisikan kemudian dapat dicegat oleh penerima software-defined radio (SDR) terdekat secara nirkabel, memecahkan kode data, dan mengirimkannya ke penyerang yang berada di ruangan yang berdekatan.

“Khususnya, kode berbahaya dapat berjalan dalam proses mode pengguna biasa dan berhasil beroperasi dari dalam mesin virtual,” catat para peneliti dalam makalah berjudul “LANTENNA: Exfiltrating Data from Air-Gapped Networks via Ethernet Cables.”

Sebagai tindakan pencegahan, para peneliti mengusulkan pelarangan penggunaan penerima radio di dalam dan di sekitar jaringan yang memiliki celah udara dan memantau aktivitas lapisan tautan kartu antarmuka jaringan untuk setiap saluran rahasia, serta mengganggu sinyal, dan menggunakan pelindung logam untuk membatasi medan elektromagnetik agar tidak mengganggu atau memancar dari kabel berpelindung.

Sumber: The Hacker News

Malware Baru ‘BloodyStealer’ Menargetkan Akun Epic dan Steam

by

Menurut para ahli di Kaspersky, BloodyStealer adalah malware baru yang dibuat untuk meretas komputer dan mengumpulkan data sensitif dari perangkat yang rentan. Data ini berkisar dari kata sandi, data cookie, data pengisian otomatis, data perangkat, log, dan data klien dari layanan game populer. Layanan ini termasuk Epic Games, peluncur Bethesda, Steam, Origin, dan GOG. Bahkan layanan perpesanan seperti Telegram adalah target untuk BloodyStealer, yang signifikan karena Telegram telah mendorong lebih banyak fitur untuk menyerupai Discord akhir-akhir ini, termasuk streaming langsung dan obrolan video grup.

Model penyebaran BloodyStealer di antara peretas dan penjahat dunia maya menyerupai sarana industri perangkat lunak untuk merilis perangkat lunak, karena pengguna dapat menyewa malware untuk mendapatkan akses ke botnetnya, mengatur serangan, dan bahkan mengakses dukungan teknis.

Komposisi teknis BloodyStealer mencakup metode anti-analisis bawaan untuk mencegah pakar keamanan siber merekayasa balik perangkat lunak untuk menciptakan metode untuk mencegah sistem agar tidak terinfeksi olehnya. BloodyStealer juga dapat menetapkan ID unik ke sistem yang terinfeksi dan mengidentifikasi sistem berdasarkan alamat IP mereka, sehingga memudahkan peretas untuk menargetkan pengguna tertentu dalam serangan berbahaya.

Salah satu metode terbaik untuk mencegah serangan berbahaya terhadap informasi pribadi Anda adalah mengubah dan memperbarui kata sandi Anda secara teratur. Pastikan untuk mengubah kata sandi Steam, Epic, GOG, dll setidaknya setiap bulan ke frasa yang dapat Anda ingat. Banyak layanan seperti Steam dan Epic menawarkan otentikasi dua faktor baik melalui penggunaan perangkat pintar atau email Anda untuk memastikan keamanan tambahan.Hindari mengunduh program yang dapat dieksekusi dari sumber yang tidak dapat dipercaya.

Selengkapnya: ESportTalk

Peretas Telah Menemukan Teknik Penghindaran Malware Baru untuk Terbang di Bawah Radar

by

Grup Threat Analysis milik Google baru-baru ini menemukan jenis malware yang mengeksploitasi metode baru untuk menghindari deteksi oleh produk keamanan, dan malware ini dengan mudah memodifikasi tanda tangan digital filenya.

Tanda tangan kode yang ada pada file executable Windows memberikan jaminan mengenai integritas executable yang dikonfirmasi, menyediakan data dan memberi tahu identitas sebenarnya dari pembuat kode.

Pelaku ancaman dapat menghindari deteksi jika mereka mampu menyamarkan identitas mereka dalam tanda tangan pada proses penyerangan integritas tanda tangan.

Neel Mehta salah satu peneliti keamanan yang mendeteksi malware tersebut mengklaim metode ini digunakan oleh strain adware yang disebut OpenSUpdater.

OpenSUpdater adalah keluarga malware yang sangat terkenal, dan mereka terkenal dengan perangkat lunak yang tidak diinginkan yang umumnya melanggar kebijakan Google.

Sampel OpenSUpdater telah memberikan tanda tangan yang tidak valid, dan penelitian tambahan menunjukkan bahwa ini adalah upaya yang disengaja untuk menghindari deteksi.

Namun, produk keamanan menggunakan OpenSSL untuk mengambil data tanda tangan, dan kemudian akan menolak pengkodean ini sebagai tidak valid. Dan untuk parser yang mengotorisasi pengkodean ini, tanda tangan digital biner akan menyerupai sah dan efisien.

Selengkapnya: Cyber Security News

Bangkitnya Bot Intersepsi One-Time Password (OTP)

by

Pada bulan Februari, KrebsOnSecurity menulis tentang layanan kejahatan dunia maya baru yang membantu penyerang melakukan intersepsi pada One-Time Password(OTP) yang dibutuhkan banyak situs web sebagai faktor otentikasi kedua selain kata sandi. Layanan itu hanya muncul sesaat kemudian menghilang, tetapi penelitian baru mengungkapkan sejumlah pesaing telah meluncurkan layanan berbasis bot yang membuatnya relatif mudah bagi penjahat untuk mengelabui OTP dari target. Layanan baru tersebut beroperasi melalui Telegram, sistem pesan instan berbasis cloud.

Intel471 mengatakan salah satu bot Telegram OTP baru adalah “SMSRanger” populer karena sangat mudah digunakan, serta karena banyak testimonial yang diposting oleh pelanggan yang tampak senang dengan tingkat keberhasilannya yang tinggi dalam mengekstrak token OTP ketika penyerang sudah memiliki target “fullz”, informasi pribadi seperti nomor Jaminan Sosial dan tanggal lahir.

“Mereka yang membayar untuk akses dapat menggunakan bot dengan memasukkan perintah yang mirip dengan bagaimana bot digunakan pada alat kolaborasi tenaga kerja populer Slack.

Perintah slash sederhana memungkinkan pengguna untuk mengaktifkan berbagai ‘mode’ — skrip yang ditujukan sebagai berbagai layanan — yang dapat menargetkan bank tertentu, serta PayPal, Apple Pay, Google Pay, atau operator nirkabel. Setelah nomor telepon target dimasukkan, bot melakukan sisa pekerjaan, yang pada akhirnya memberikan akses ke akun apa pun yang telah ditargetkan.

Pengguna mengklaim bahwa SMSRanger memiliki tingkat kemanjuran sekitar 80% jika korban menjawab panggilan dan informasi lengkap (fullz) yang diberikan pengguna akurat dan diperbarui” Tambah peneliti Intel471.

Selengkapnya: Krebs on Security