Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cybersecurity

Cybersecurity

Para Kriminal Dark Web Telah Membuat Alat yang Memeriksa Bitcoin Kotor

by

Alat yang baru ditemukan di dark web memungkinkan penjahat memeriksa seberapa bersih Bitcoin mereka.

Alat, yang disebut Antinalysis, kemungkinan dibangun oleh administrator pasar darknet untuk membantu pedagang mereka mencuci Bitcoin, menurut analisis oleh Tom Robinson, salah satu pendiri perusahaan investigasi blockchain Elliptic yang berbasis di London.

Setelah dompet ditautkan ke Antinalysis, alat tersebut memecah dari mana Bitcoin yang dipegangnya berasal dan seberapa berisiko memegangnya.

Bitcoin yang diperoleh dari pasar darknet, ransomware, dan pencurian dianggap sebagai “risiko ekstrem”, sementara Bitcoin dari bursa dan koin yang baru ditambang diklasifikasikan sebagai aset “tanpa risiko”.

Penilaian tersebut membantu para penjahat mengetahui seberapa besar kemungkinan pertukaran cryptocurrency akan menandai crypto mereka sebagai hasil kejahatan, tulis Robinson. Elliptic menyediakan alat ini untuk pertukaran mata uang kripto.

Antinalysis berjalan di Tor, browser web berorientasi privasi yang memungkinkan akses ke web gelap. Biayanya sekitar $3 untuk menghasilkan laporan risiko.

Analisis alat oleh pakar keamanan Brian Krebs menunjukkan hasil yang diberikan oleh Antinalysis sama dengan yang disediakan oleh AMLBot, perangkat lunak pendeteksi anti pencucian uang. Itu menunjukkan para penjahat membangun alat di API AMLBot, kata Robinson.

Selengkapnya: Decrypt

Ransomware Magniber 2017 Gunakan Kerentanan PrintNightmare untuk Menginfeksi Korban di Korea Selatan

by

CrowdStrike baru-baru ini mengamati aktivitas baru yang terkait dengan keluarga ransomware 2017, yang dikenal sebagai Magniber, menggunakan kerentanan PrintNighmare pada korban di Korea Selatan. Pada 13 Juli, CrowdStrike berhasil mendeteksi dan mencegah upaya mengeksploitasi kerentanan PrintNightmare, melindungi pelanggan sebelum enkripsi apa pun dilakukan.

Ketika kerentanan PrintNighmare (CVE-2021-34527) diungkapkan, intelijen CrowdStrike menilai kerentanan kemungkinan akan digunakan oleh aktor ancaman karena memungkinkan untuk kemungkinan eksekusi kode jarak jauh (RCE) dan eskalasi hak lokal (LPE). Penilaian ini terbukti akurat mengingat insiden baru-baru ini.

Magniber ransomware pertama kali terlihat pada akhir 2017 yang menargetkan korban di Korea Selatan melalui kampanye malvertising menggunakan Magnitude Exploit Kit (EK). Kampanye Magniber sebelumnya melalui upaya signifikan hanya menginfeksi korban di Korea Selatan, meskipun pada pertengahan 2018 juga terlihat menargetkan korban di negara-negara Asia Pasifik lainnya.

Meskipun ransomware Magniber tampaknya hanya menargetkan Korea Selatan, ia telah aktif sejak 2017. Tim Falcon OverWatch™ juga melihat aktivitas terbaru dari Magniber pada awal Februari 2021, yang mengeksploitasi kerentanan Internet Explorer (CVE-2020-0968) ke secara eksklusif mengkompromikan korban Korea Selatan.

Insiden baru yang melibatkan ransomware Magniber menggunakan kerentanan PrintNightmare Printer Spooler baru-baru ini mengejutkan, tetapi tidak jarang mengingat dampak kerentanan. Beberapa POC telah beredar sejak masalah ini dilaporkan, dan hanya masalah waktu sampai musuh berusaha memanfaatkannya untuk mengkompromikan korban dan mengirimkan muatan berbahaya.

Selengkapnya: Crowdstrike

CES 2021: Intel menambahkan kemampuan deteksi ransomware di tingkat silikon

by

Pada Consumer Electronics Show 2021, Intel mengumumkan penambahan kemampuan pendeteksian ransomware ke prosesor Core vPro Generasi ke-11 yang baru melalui peningkatan pada Hardware Shield dan Threat Detection Technology (TDT).

Kemitraan dengan Cybereason yang berbasis di Boston juga diumumkan, dengan perusahaan keamanan diharapkan dapat menambahkan dukungan untuk fitur-fitur baru ini ke perangkat lunak keamanannya pada paruh pertama tahun 2021.

Kedua perusahaan mengatakan bahwa ini akan menandai kasus pertama di mana “perangkat keras PC memainkan peran langsung” dalam mendeteksi serangan ransomware.

Di belakang layar, semua ini dimungkinkan melalui dua fitur Intel, yaitu Hardware Shield dan Intel Threat Detection Technology (TDT). Keduanya merupakan bagian fitur dari Intel vPro, kumpulan teknologi yang berpusat pada perusahaan yang dikirimkan oleh Intel dengan beberapa prosesornya.

Hardware Shield, teknologi yang mengunci UEFI/BIOS dan TDT, teknologi yang menggunakan telemetri CPU untuk mendeteksi kemungkinan adanya kode berbahaya.

Kedua teknologi ini bekerja pada CPU secara langsung, banyak lapisan di bawah ancaman berbasis perangkat lunak, seperti malware, tetapi juga solusi antivirus. Ide di balik fitur-fitur baru Intel adalah untuk membagikan beberapa datanya dengan perangkat lunak keamanan dan memungkinkannya untuk menemukan malware yang mungkin bersembunyi di tempat-tempat yang tidak dapat dijangkau oleh aplikasi antivirus.

Menurut Intel dan Cybereason, teknologi baru ini seharusnya memungkinkan perusahaan untuk mendeteksi serangan ransomware ketika jenis ransomware mencoba menghindari deteksi dengan bersembunyi di dalam mesin virtual, karena Hardware Shield dan TDT menjalankan banyak lapisan di bawahnya.

Selengkapnya: ZDNet

AlphaBay Pasar Gelap Muncul Kembali

by

Pasar gelap AlphaBay tampaknya telah muncul kembali, empat tahun setelah pencopotan profil tinggi oleh lembaga penegak hukum internasional.

Kemunculan kembali ini, menurut para peneliti di Flashpoint, bukanlah replika yang sama. Sebaliknya, versi situs yang disusun kembali digambarkan sebagai penghormatan kepada yang asli dan penghargaan kepada moderator AlphaBay yang sekarang telah meninggal, Alexandre Cazes.

Perubahan terbaru ini dipimpin oleh aktor ancaman DeSnake, yang diyakini sebagai moderator asli AlphaBay. Menurut peneliti Flashpoint, DeSnake berusaha untuk mendapatkan kepercayaan dari para penjahat dengan mengklaim “pelaku ancaman yang beroperasi di forum [dapat] menarik dana bahkan jika semua server disita.”

Perubahan lain termasuk pelarangan posting tentang obat-obatan terlarang, vaksin COVID-19, dan ransomware. Operator situs juga mengatakan mereka akan menghapus posting yang terkait dengan aktivitas ancaman yang terkait dengan Rusia, Belarus, Kazakhstan, Armenia, dan Kirgistan untuk menghindari perhatian yang tidak diinginkan oleh penegak hukum di negara-negara tersebut.

Pitch tambahan oleh operator layanan, berjanji untuk “memperbarui kode sumber untuk trojan perbankan terkenal” sebagai taktik promosi untuk layanan tersebut. Tidak ada indikasi seperti apa trojan perbankan “terkenal” tersebut.

Selengkapnya: Threat Post

Malware Discord adalah ancaman yang terus-menerus dan terus berkembang, Sophos memperingatkan

by

Beberapa minggu yang lalu, perusahaan keamanan siber terkemuka Sophos mengeluarkan peringatan bahwa Discord menjadi target yang semakin umum bagi peretas.

Beberapa aktor siber yang mendorong keluar malware cenderung menargetkan pengguna layanan online yang sukses, dan mempertimbangkan 140 juta plus pengguna aktif Discord — dengan lebih dari 300 juta terdaftar hingga saat ini — yang menjadikan perangkat lunak obrolan sebagai target yang cukup menarik.

Sophos mencatat jumlah deteksi malware selama beberapa bulan terakhir telah meningkat hampir 140 kali lipat dari periode yang sama tahun lalu. Dan sebagian dari masalah itu bermuara pada bagaimana file Discord disimpan di cloud.

“Setelah file diunggah ke Discord, mereka dapat bertahan tanpa batas waktu kecuali jika dilaporkan atau dihapus,” kata laporan itu.

Dalam penelitiannya tentang jenis malware yang mengotori penyimpanan cloud Discord, Sophos menemukan banyak alat game cheating. Beberapa dimaksudkan untuk mengeksploitasi protokol integrasi Discord untuk merusak permainan lawan, dan beberapa diiklankan sebagai ‘penyempurnaan’ yang dimaksudkan untuk membuka kunci konten berbayar, kunci, dan bypass. Maksud sebenarnya adalah bahwa hanya sedikit yang ditemukan mengandung perangkat lunak cheating yang dimaksud, sebagian besar sebenarnya adalah beberapa bentuk pencurian kredensial yang menyamar.

Di antara cheat-bait, kejahatan lain menyelinap tanpa terdeteksi: keluarga malware pembajak kata sandi, spyware, aplikasi android palsu yang dimaksudkan untuk menangkap info keuangan atau mencegat transaksi.

Sophos menjelaskan, “Aktor ancaman di balik operasi ini menggunakan rekayasa sosial untuk menyebarkan malware pencuri kredensial, kemudian menggunakan kredensial Discord yang diambil korban untuk menargetkan pengguna Discord tambahan.”

Selengkapnya: PC Gamer

Microsoft mengonfirmasi bug zero-day print spooler Windows lainnya

by

Microsoft telah mengeluarkan peringatan untuk kerentanan zero-day print spooler Windows lainnya yang dilacak sebagai CVE-2021-36958 yang memungkinkan penyerang lokal untuk mendapatkan hak istimewa SISTEM di komputer.

Kerentanan ini adalah bagian dari kelas bug yang dikenal sebagai ‘PrintNightmare,’ yang menyalahgunakan pengaturan konfigurasi untuk print spooler Windows, print driver, dan fitur Windows Point and Print.

Microsoft merilis pembaruan keamanan pada bulan Juli dan Agustus untuk memperbaiki berbagai kerentanan PrintNightmare.

Namun, kerentanan yang diungkapkan oleh peneliti keamanan Benjamin Delpy masih memungkinkan pelaku ancaman untuk dengan cepat mendapatkan hak istimewa SISTEM hanya dengan menghubungkan ke print server jarak jauh, seperti yang ditunjukkan di bawah ini.

Kerentanan ini menggunakan direktif registry CopyFile untuk menyalin file DLL yang membuka command prompt ke klien bersama dengan print driver saat Anda menyambung ke printer.

Meskipun pembaruan keamanan terbaru Microsoft mengubah prosedur penginstalan driver printer baru sehingga memerlukan hak admin, Anda tidak akan diminta untuk memasukkan hak admin untuk terhubung ke printer saat driver tersebut sudah diinstal.

Selanjutnya, jika driver ada pada klien, dan karenanya tidak perlu diinstal, menghubungkan ke printer jarak jauh akan tetap menjalankan arahan CopyFile untuk pengguna non-admin. Kelemahan ini memungkinkan DLL Delpy untuk disalin ke klien dan dieksekusi untuk membuka command prompt tingkat SISTEM.

Selengkapnya: Bleeping Computer

Kelompok spionase China menargetkan organisasi infrastruktur penting di Asia Tenggara

by

Sebuah kelompok spionase dunia maya yang diyakini beroperasi di luar China telah menargetkan setidaknya empat organisasi infrastruktur penting di negara Asia Tenggara, kata perusahaan keamanan Symantec dalam sebuah laporan pekan lalu.

Penyusupan terjadi antara November 2020 hingga Maret 2021 dan menargetkan:

  • perusahaan air
  • perusahaan listrik
  • perusahaan komunikasi
  • organisasi pertahanan

Symantec mengatakan menemukan bukti bahwa penyerang tertarik untuk menargetkan informasi tentang sistem SCADA, yang merupakan peralatan yang biasanya digunakan untuk mengontrol dan mengelola jalur produksi dan peralatan industri.

Para peneliti mengatakan mereka tidak dapat menentukan titik masuk penyerang ke dalam organisasi yang diretas tetapi mengatakan bahwa begitu di dalam, kelompok itu menunjukkan taktik canggih yang menyembunyikan operasi jahat menggunakan aplikasi yang sah — taktik yang dikenal sebagai LOLbins atau living-off-the-land. Alat yang disalahgunakan meliputi:

  • Windows Management Instrumentation (WMI)
  • ProcDump
  • PsExec
  • PAExec
  • Mimikatz

Selain itu, grup tersebut menggunakan pemutar multimedia gratis bernama PotPlayer Mini untuk memuat DLL berbahaya pada komputer yang disusupi, termasuk pintu belakang, keylogger, dan traffic proxying tool.

Penggunaan alat yang umum dan sah mempersempit jumlah informasi yang dapat dikumpulkan peneliti tentang kelompok tersebut.

Symantec mengatakan pihaknya hanya dapat menunjukkan dengan tepat serangan tersebut ke kelompok spionase yang berbasis di China tetapi tidak menemukan petunjuk tambahan untuk menghubungkan penyusupan tersebut dengan kelompok yang diketahui sebelumnya.

Perusahaan keamanan tidak menyebutkan nama negara tempat target yang diretas berada.

Selengkapnya: The Record

Mata-mata siber China ‘berpura-pura sebagai orang Iran sambil menargetkan pemerintah Israel’

by

Sebuah kelompok mata-mata siber dari China menyamar sebagai peretas Iran saat membobol dan memata-matai lembaga pemerintah Israel, menurut sebuah laporan baru oleh para peneliti keamanan.

Laporan dari perusahaan keamanan FireEye, yang membuka kedok kelompok itu bersama badan-badan pertahanan Israel, mengatakan tidak ada cukup bukti untuk menghubungkan kelompok spionase dengan negara China.

Namun, analis ancaman perusahaan yakin bahwa kelompok spionase adalah orang China dan bahwa targetnya “sangat menarik bagi tujuan keuangan, diplomatik, dan strategis Beijing”.

Upaya peretas untuk menyembunyikan kewarganegaraan mereka “sedikit tidak biasa”, menurut Jens Monrad, yang mengepalai divisi intelijen ancaman FireEye, Mandiant di EMEA.

“Kami telah melihat secara historis beberapa upaya bendera palsu. Kami melihat satu selama Olimpiade di Korea Selatan,” katanya kepada Sky News, merujuk pada peretas Rusia yang berpura-pura menjadi orang Cina dan Korea Utara.

“Mungkin ada beberapa alasan mengapa aktor ancaman ingin melakukan false flag – jelas itu membuat analisisnya sedikit lebih rumit,” kata Monrad kepada Sky News.

Mr Monrad mengatakan upaya untuk menyembunyikan identitas peretas “tidak terlalu pintar” tetapi memperlambat analisis perusahaan tentang insiden ini, yang dia tambahkan mungkin menjadi tujuannya.

Laporan tersebut berfokus pada mata-mata siber yang menargetkan lembaga pemerintah Israel, penyedia TI, dan entitas telekomunikasi, tetapi kelompok itu juga mencoba meretas jaringan komputer di UEA dan di tempat lain.

Selengkapnya: Sky News