Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cybersecurity

Cybersecurity

EtterSilent maldoc builder digunakan oleh geng-geng penjahat siber papan atas

by

Sebuah pembuat dokumen berbahaya (maldoc) bernama EtterSilent mendapatkan lebih banyak perhatian di forum bawah tanah, catat peneliti keamanan. Seiring popularitasnya meningkat, pengembang terus meningkatkannya untuk menghindari deteksi dari solusi keamanan.

Iklan yang mempromosikan pembuat dokumen berbahaya EtterSilent telah dipublikasikan di forum bawah tanah setidaknya sejak pertengahan tahun 2020, dengan fitur-fitur seperti bypass Windows Defender, Windows AMSI (Antimalware Scan Interface), dan layanan email populer, termasuk Gmail.

Dalam posting blog, para peneliti di perusahaan intelijen ancaman Intel 471 mencatat bahwa penjual menawarkan dokumen Microsoft Office (2007 hingga 2019) yang dipersenjatai dalam dua ‘varian’: dengan eksploitasi untuk kerentanan yang diketahui atau dengan makro berbahaya.

Salah satu kerentanan yang dimanfaatkan adalah CVE-2017-8570, eksekusi kode jarak jauh dengan tingkat keparahan tinggi. Penulis juga menyebutkan dua kerentanan lainnya (CVE-2017-11882 dan CVE-2018-0802), meskipun beberapa pembatasan diterapkan, dan menunjukkannya dalam sebuah video.

Maldoc EtterSilent dengan kode makro dapat berpura-pura sebagai dokumen DocuSign atau DigiCert yang meminta pengguna untuk mengaktifkan dukungan untuk makro yang mengunduh muatan di latar belakang.

Sumber: BleepingComputer

Karena menggunakan makro XML Excel 4.0, EtterSilent tidak bergantung pada bahasa pemrograman Visual Basic for Applications (VBA), yang biasanya terlihat dengan makro berbahaya.

Para peneliti mencatat bahwa maldoc EtterSilent disertakan dalam kampanye spam baru-baru ini yang menjatuhkan versi terbaru dari Trickbot.

Intel 471 mengatakan bahwa kelompok penjahat siber lainnya memanfaatkan layanan EtterSilent untuk operasi mereka. Beberapa contohnya adalah trojan perbankan IcedID/BokBot, Ursnif/Gozi ISFB, dan QakBot/QBot. Bersama dengan Trickbot, kebanyakan dari mereka telah digunakan untuk mengirimkan berbagai jenis ransomware (Ryuk, Conti, Maze, Egregor, ProLock).

Blog Intel 471 menyediakan daftar indikator penyusupan untuk dokumen berbahaya EtterSilent serta untuk muatan yang mereka kirimkan: Trickbot, IcedID, QBot, Ursnif, dan BazarLoader.

Sumber: Bleeping Computer

Panggilan dukungan pelanggan palsu menempatkan data Anda dalam risiko

by

Sebagian besar orang yang paham teknologi akrab dengan penipuan dukungan teknis palsu yang telah terjadi selama bertahun-tahun. Biasanya, peringatan penipuan akan muncul di layar komputer Anda, menginstruksikan Anda untuk memanggil sebuag nomor agar malware dapat dihapus.

Di sisi lain panggilan, penipu akan mencoba mengakses komputer Anda dari jarak jauh untuk mencuri informasi pribadi atau detail perbankan Anda.

Tampaknya pencuri mengubah taktik dalam metode pengiriman mereka. Penjahat siber telah menambahkan sentuhan baru pada skema dukungan teknis yang membuatnya lebih mudah untuk mengelabui korban. Mari kita lihat cara kerjanya.

Penipuan ini bekerja dengan mengirimkan email langganan palsu kepada calon korban. Email biasanya melibatkan beberapa masa percobaan palsu yang akan kedaluwarsa atau memberi tahu Anda bahwa Anda akan ditagih untuk suatu layanan.

Hal yang benar untuk dilakukan adalah menghapus email dan memblokir pengirimnya, tetapi rasa ingin tahu terkadang bisa menguasai orang-orang. Email tersebut berisi nomor yang dapat Anda hubungi jika Anda ingin membatalkan layanan yang seharusnya atau berhenti ditagih untuk layanan yang tidak pernah Anda daftarkan.

Jika Anda menghubungi nomor tersebut, “teknisi dukungan” akan mendengarkan kekhawatiran Anda terkait pesan tersebut dan meminta nomor ID pelanggan yang disebutkan dalam email.

Jika Anda memberi mereka nomor ID pelanggan, penipu akan menginstruksikan Anda untuk mengunjungi situs web tertentu untuk mengisi formulir pembatalan. Dalam beberapa kasus, penjahat akan mengatakan bahwa Anda perlu membatalkan langganan secara digital melalui situs karena melibatkan layanan medis.

Langkah selanjutnya pasti akan menunjukkan bahwa penipuan sedang terjadi. Penipu akan tetap berada di telepon sambil mengarahkan Anda untuk “mendaftar” di situs web. Setelah selesai, mereka mendesak Anda untuk mengunduh spreadsheet Microsoft Excel atau dokumen Word untuk “ditandatangani.”

Setelah Anda membuka dokumen tersebut, komputer Anda akan terinfeksi malware. Itu juga merupakan malware yang sangat jahat yang menginstal lebih banyak malware semakin lama berada di komputer Anda.

Komando

FBI: APT Secara Aktif Memanfaatkan Lubang Keamanan VPN Fortinet

by

FBI dan Cybersecurity and Infrastructure Security Agency (CISA) memperingatkan bahwa pelaku negara-bangsa ancaman persisten tingkat lanjut (APT) secara aktif mengeksploitasi kerentanan keamanan yang diketahui dalam sistem operasi keamanan siber Fortinet FortiOS, yang memengaruhi produk SSL VPN perusahaan tersebut.

Menurut peringatan yang dikeluarkan hari Jumat oleh FBI dan CISA, penyerang siber memindai perangkat di port 4443, 8443, dan 10443, mencari implementasi keamanan Fortinet yang belum ditambal. Secara khusus, APT mengeksploitasi kerentanan CVE-2018-13379, CVE-2019-5591 dan CVE-2020-12812.

Bug yang dilacak sebagai CVE-2018-13379 adalah masalah jalur-traversal di Fortinet FortiOS, di mana portal web SSL VPN memungkinkan penyerang yang tidak terautentikasi mengunduh file sistem melalui permintaan sumber daya HTTP yang dibuat secara khusus.

Cacat CVE-2019-5591 adalah kerentanan konfigurasi default di FortiOS yang memungkinkan penyerang tidak terautentikasi pada subnet yang sama mencegat informasi sensitif dengan meniru identitas server LDAP.

Dan terakhir, CVE-2020-12812 adalah kerentanan otentikasi yang tidak tepat di SSL VPN di FortiOS, yang memungkinkan pengguna untuk berhasil masuk tanpa dimintai faktor kedua dari otentikasi (FortiToken) jika mereka mengubah kasus nama pengguna mereka.

“Penyerang semakin menargetkan aplikasi eksternal yang penting – VPN semakin menjadi sasaran tahun lalu,” kata Zach Hanley, red team engineer senior di Horizon3.AI, melalui email. “Ketiga kerentanan yang menargetkan Fortinet VPN ini memungkinkan penyerang mendapatkan kredensial yang valid, melewati otentikasi multifaktor (MFA), dan lalu lintas otentikasi man-in-the-middle (MITM) untuk mencegat kredensial.”

Hanley menambahkan, “Tema umum di sini adalah: setelah mereka berhasil, mereka akan terlihat seperti pengguna biasa.”

Bug ini populer di kalangan penyerang dunia maya secara umum, karena jejak Fortinet yang tersebar luas, catat para peneliti.

Selengkapnya: Threat Post

Cheat berbahaya untuk Call of Duty: Warzone beredar online

by

Penjahat telah menyembunyikan malware di dalam perangkat lunak yang tersedia untuk umum yang dimaksudkan sebagai cheat untuk Call of Duty: Warzone dari Activision, para peneliti dengan pembuat game memperingatkan awal pekan ini.

Pada hari Rabu, Activision mengatakan bahwa situs curang populer mengedarkan cheat palsu untuk Call of Duty: Warzone yang berisi dropper, istilah untuk jenis backdoor yang menginstal malware tertentu yang dipilih oleh orang yang membuatnya. Dinamakan Warzone Cheat Engine, cheat tersebut tersedia di situs pada April 2020 dan bulan lalu.

Orang-orang yang mempromosikan cheat tersebut menginstruksikan pengguna untuk menjalankan program sebagai administrator dan menonaktifkan antivirus. Meskipun setelan ini sering kali diperlukan agar cheat berfungsi, setelan ini juga memudahkan malware untuk bertahan dari reboot dan tidak terdeteksi, karena pengguna tidak akan mendapatkan peringatan tentang infeksi atau bahwa software mencari hak istimewa yang lebih tinggi.

Analisis Activision mengatakan bahwa beberapa forum malware secara teratur mengiklankan kit yang menyesuaikan cheat palsu. Kit ini memudahkan pembuatan versi Warzone Cheat Engine yang mengirimkan muatan berbahaya yang dipilih oleh penjahat yang menggunakannya.

Laporan Activision datang pada hari yang sama saat tim keamanan Cisco Talos mengungkapkan kampanye malware baru yang menargetkan pemain game yang menggunakan cheat.

Selengkapnya: Ars Technica

CPU AMD Zen 3 Rentan Terhadap Kerentanan Seperti Spectre

by

AMD telah menerbitkan whitepaper tentang potensi kerentanan keamanan yang memengaruhi prosesor Zen 3 terbaru perusahaan. Eksploitasi saluran samping mirip dengan Spectre yang memengaruhi sebagian besar prosesor Intel tiga tahun lalu.

Dengan Zen 3, AMD memperkenalkan teknologi baru yang disebut Predictive Store Forwarding (PSF), yang membantu meningkatkan kinerja eksekusi kode dengan memprediksi hubungan antara beban dan penyimpanan. Dalam sebagian besar kasus, prediksi PSF tepat sasaran. Namun, masih ada kemungkinan kecil bahwa prediksi tersebut mungkin tidak akurat, yang menghasilkan spekulasi CPU yang salah.

Arsitek CPU AMD telah menemukan bahwa spekulasi PSF yang buruk setara dengan Spectre v4. Perangkat lunak yang mengandalkan isolasi atau “sandboxing” sangat berisiko jika menghasilkan spekulasi yang salah. AMD menyediakan dua skenario di mana prediksi PSF yang salah dapat terjadi.

“Pertama, ada kemungkinan bahwa pasangan store/load memiliki ketergantungan untuk sementara tetapi kemudian berhenti memiliki ketergantungan. Ini dapat terjadi jika alamat penyimpanan atau pemuatan berubah selama pelaksanaan program.”

“Sumber kedua dari prediksi PSF yang salah dapat terjadi jika ada alias dalam struktur prediktor PSF. Prediktor PSF dirancang untuk melacak pasangan store/load berdasarkan bagian RIP mereka. Ada kemungkinan bahwa pasangan store/load yang memiliki ketergantungan dapat alias dalam prediktor dengan pasangan store/load lain yang tidak. Hal ini dapat mengakibatkan spekulasi yang salah saat pasangan store/load kedua dijalankan.”

Selengkapnya: Tom’s Hardware

CISO baru harus lebih fokus pada orang dan lebih sedikit pada teknologi, menurut laporan

by

Menurut sebuah laporan baru dari Forrester yang mengacu pada wawancara dengan lusinan eksekutif keamanan, beberapa bulan pertama CISO di tempat kerja adalah ujian ketajaman politik dan keterampilan membangun hubungan mereka sama seperti tentang rencana keterampilan teknis atau transformasi digital.

Dua tema utama muncul dari penelitian dan wawancara yang dilakukan dengan CISO. Yang pertama adalah bahwa mengembangkan hubungan manusia lebih penting untuk keberhasilan awal CISO daripada penguasaan detail teknis. Kedua: meskipun secara virtual tidak mungkin untuk memperbaiki atau mengatasi tantangan keamanan utama perusahaan dalam 100 hari pertama, sangatlah mungkin untuk mengasingkan unit bisnis lain dan merusak merek tim keamanan Anda secara tidak dapat diperbaiki di mata rekan dan kolega.

Eksekutif keamanan baru harus tetap memiliki rencana terperinci tentang cara menangani beberapa bulan pertama mereka, tetapi juga fleksibel dan mudah beradaptasi, karena kemungkinan besar perlu diperbarui saat informasi baru masuk. Selain memetakan keamanan teratas masalah, rencana ini juga harus mempertimbangkan pertanyaan seperti mengapa perusahaan membutuhkan CISO baru di tempat pertama (Apakah pendahulu dipecat atau apakah perusahaan bahkan memilikinya?), apakah mereka baru-baru ini mengalami pelanggaran data yang serius dan bagaimana masalah keamanan dikomunikasikan ke atas dan ke bawah rantai komando.

Jeff Pollard, wakil presiden, analis utama dan penulis utama laporan Forrester, mengatakan kepada SC Media bahwa CISO berkali-kali menyebut kemampuan untuk membina hubungan positif sebagai kualitas paling penting untuk dimiliki di awal pekerjaan.

selengkapnya : www.scmagazine.com

Google: Peretas Korea Utara menargetkan peneliti keamanan lagi

by

Grup Threat Analysis (TAG) Google mengatakan bahwa peretas yang disponsori pemerintah Korea Utara sekali lagi menargetkan peneliti keamanan menggunakan akun Twitter dan media sosial LinkedIn palsu.

Para peretas juga membuat situs web untuk perusahaan palsu bernama SecuriElite (berlokasi di Turki) dan diduga menawarkan layanan keamanan ofensif ketika tim keamanan Google fokus memburu peretas yang didukung negara yang ditemukan pada 17 Maret.

Semua akun LinkedIn dan Twitter yang dibuat oleh peretas Korea Utara dan terkait dengan kampanye baru ini dilaporkan oleh Google dan sekarang dinonaktifkan.

Sama seperti serangan yang terdeteksi selama Januari 2021, situs ini juga menghosting public key PGP penyerang, yang digunakan sebagai umpan untuk menginfeksi peneliti keamanan dengan malware setelah memicu eksploitasi browser saat membuka halaman.

Sumber: BleepingComputer

Namun, serangan tersebut terlihat pada fase awal karena situs SecuriElite belum disiapkan untuk mengirimkan muatan berbahaya apa pun.

“Saat ini, kami belum mengamati situs web penyerang baru yang menyajikan konten berbahaya, tetapi kami telah menambahkannya ke Penjelajahan Aman Google sebagai tindakan pencegahan,” kata Adam Weidemann dari Grup Threat Analysis.

“Berdasarkan aktivitas mereka, kami terus percaya bahwa aktor ini berbahaya, dan kemungkinan memiliki lebih banyak zero day.

“Kami mendorong siapa pun yang menemukan kerentanan Chrome untuk melaporkan aktivitas tersebut melalui proses pengiriman Chrome Vulnerabilities Rewards Program.”

Selengkapnya: Bleeping Computer

Malware BazarCall menggunakan call center berbahaya untuk menginfeksi korban

by

Selama dua bulan terakhir, peneliti keamanan telah melakukan pertempuran online melawan malware ‘BazarCall’ baru yang menggunakan pusat panggilan (call center) untuk mendistribusikan beberapa malware Windows yang paling merusak.

Malware baru ditemukan sedang didistribusikan oleh pusat panggilan pada akhir Januari dan diberi nama BazarCall, atau BazaCall, karena pelaku ancaman awalnya menggunakannya untuk menginstal malware BazarLoader.

Seperti banyak kampanye malware lainnya, BazarCall dimulai dengan email phishing tetapi dari sana menyimpang ke metode distribusi baru – menggunakan pusat panggilan telepon untuk mendistribusikan dokumen Excel berbahaya yang menginstal malware.

Alih-alih mengirimkan lampiran dengan email, email BazarCall meminta pengguna untuk menghubungi nomor telepon untuk membatalkan langganan sebelum mereka ditagih secara otomatis. Pusat panggilan ini kemudian akan mengarahkan pengguna ke situs web yang dibuat khusus untuk mengunduh “formulir pembatalan” yang menginstal malware BazarCall.

Sumber: BleepingComputer

Sementara sebagian besar email yang dilihat oleh BleepingComputer berasal dari perusahaan fiktif bernama “Medical reminder service, Inc.”, email tersebut juga menggunakan nama perusahaan palsu lainnya seperti ‘iMed Service, Inc.’, ‘Blue Cart Service, Inc . ‘, dan ‘iMers, Inc. ‘

Semua email ini menggunakan subjek yang mirip seperti “Terima kasih telah menggunakan uji coba gratis Anda” atau “Masa uji coba gratis Anda hampir berakhir!” Peneliti keamanan ExecuteMalware telah mengumpulkan daftar subjek email yang lebih luas yang digunakan oleh serangan ini.

Selengkapnya: Bleeping Computer