Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for FBI

FBI

FIN7 Mengirimkan USB Sticks Berbahaya untuk Menjatuhkan Ransomware

by

Geng ransomware mengirimkan drive USB berbahaya, menyamar sebagai Departemen Kesehatan dan Layanan Kemanusiaan AS (HHS) dan / atau Amazon untuk menargetkan industri transportasi, asuransi dan pertahanan untuk infeksi ransomware, FBI memperingatkan pada hari Jumat.

Dalam peringatan keamanan yang dikirim ke organisasi, FBI mengatakan bahwa FIN7 – alias Carbanak atau Navigator Group, geng cybercrime yang terkenal dan termotivasi secara finansial di balik malware backdoor Carbanak – adalah pihak yang bersalah.

FIN7 telah ada setidaknya sejak 2015. Awalnya, geng membuat reputasinya dengan mempertahankan akses terus-menerus di perusahaan target dengan malware backdoor kustom, dan untuk menargetkan point-of-sale (PoS) sistem dengan perangkat lunak skimmer. Ini sering menargetkan restoran santai, kasino dan hotel. Tetapi pada tahun 2020, FIN7 juga masuk ke permainan ransomware / eksfiltrasi data, dengan kegiatannya melibatkan REvil atau Ryuk sebagai muatan.

FBI mengatakan bahwa selama beberapa bulan terakhir, FIN7 telah mengirimkan perangkat USB berbahaya ke perusahaan AS, dengan harapan bahwa seseorang akan mencolokkan drive, menginfeksi sistem dengan malware dan dengan demikian mengaturnya untuk serangan ransomware di masa depan.

“Sejak Agustus 2021, FBI telah menerima laporan beberapa paket yang berisi perangkat USB ini, dikirim ke bisnis AS di industri transportasi, asuransi, dan pertahanan,” kata fbi dalam peringatan keamanan.

Infeksi BadUSB yang Dikirim Siput

“Paket-paket itu dikirim menggunakan Layanan Pos Amerika Serikat dan Layanan Paket Amerika Serikat,” tambah FBI.

Para penyerang menyemburkan paket, menyamarkan mereka sebagai terkait pandemi atau sebagai barang dari Amazon, biro itu mengatakan: “Ada dua variasi paket – yang meniru HHS sering disertai dengan surat-surat yang merujuk pedoman COVID-19 yang disertakan dengan USB; Dan mereka yang meniru Amazon tiba di kotak hadiah dekoratif yang berisi surat terima kasih palsu, kartu hadiah palsu dan USB.

Yang pasti, paket berisi perangkat USB bermerek LilyGO.

FBI mengatakan bahwa perangkat mengeksekusi serangan BadUSB. Serangan BadUSB mengeksploitasi kerentanan yang melekat pada firmware USB yang memungkinkan aktor jahat untuk memprogram ulang perangkat USB sehingga dapat bertindak sebagai perangkat antarmuka manusia – yaitu, sebagai keyboard USB berbahaya yang dimuat dengan penekanan tombol yang dieksekusi secara otomatis. Setelah pemrograman ulang, USB dapat digunakan untuk diam-diam mengeksekusi perintah atau menjalankan program jahat pada komputer korban.

Serangan terbaru ini adalah salinan karbon dari serangan 2020, ketika FBI juga mengeluarkan peringatan publik yang menyebut FIN7 sebagai pelakunya.

Cara Mengalahkan Kembali Tongkat BadUSB

Karl Sigler, manajer riset keamanan senior Trustwave SpiderLabs, mengatakan kepada Threatpost pada hari Senin bahwa pelatihan kesadaran keamanan yang sedang berlangsung “harus mencakup jenis serangan dan memperingatkan agar tidak menghubungkan perangkat aneh ke komputer Anda.”

Perangkat lunak perlindungan endpoint juga dapat membantu mencegah serangan ini, katanya.

“Serangan ini dipicu oleh stik USB yang meniru keyboard USB, sehingga perangkat lunak perlindungan titik akhir yang dapat memantau akses ke command shell harus mengurus sebagian besar masalah,” kata Sigler melalui email.

Untuk sistem penting yang tidak memerlukan aksesori USB, pemblokir port USB fisik dan berbasis perangkat lunak juga dapat membantu mencegah serangan ini, Sigler menambahkan.

Untuk bagiannya, ACA Group telah menciptakan akronim “CAPs” untuk merujuk pada kebersihan standar yang harus dipantau secara aktif oleh semua organisasi untuk mencegah serangan ransomware. CAPs mengacu pada Konfigurasi, Akses dan Patching, dengan kesadaran karyawan dan pendidikan lagi dianggap penting juga. CAPs mengacu pada:

Manajemen konfigurasi – Kurangi jumlah titik masuk yang dapat digunakan penyerang untuk mendapatkan akses ke sistem Anda. Banyak serangan berhasil karena ada kesalahan konfigurasi pada perangkat keamanan, konfigurasi cloud dan sebagainya.

Akses – Kurangi jumlah titik akses internal untuk penyerang yang telah memasuki sistem Anda.

Patching – Mengurangi kemungkinan serangan terjadi melalui titik yang tidak diketahui atau masuk, dasar dalam memperbaiki dan kerentanan keamanan dan bug lainnya.

Sumber: Threatpost

FBI memperingatkan tentang penipuan otentikasi Google Voice yang sedang berlangsung

by

Biro Investigasi Federal (FBI) mengatakan orang Amerika yang membagikan nomor telepon mereka secara online menjadi sasaran penipuan otentikasi Google Voice.

Seperti yang dijelaskan oleh badan penegak hukum federal, para penipu menargetkan mereka yang telah memposting nomor telepon mereka sebagai bentuk kontak ketika mencoba menjual berbagai barang di pasar online atau aplikasi media sosial.

Jika berhasil, mereka akan membuat akun Google Voice atas nama korbannya atau membajak akun Gmail mereka yang nantinya akan digunakan dalam skema penipuan lain atau dalam serangan phishing.

Penipu akan menjangkau target mereka melalui pesan teks atau email yang menunjukkan minat mereka pada barang yang dijual, meminta penjual untuk memverifikasi bahwa penawaran mereka sah dan mereka adalah orang sungguhan dan bukan bot dengan membagikan kode otentikasi yang mereka berikan. akan menerima dari Google.

“Apa yang sebenarnya dia lakukan adalah menyiapkan akun Google Voice atas nama Anda menggunakan nomor telepon asli Anda sebagai verifikasi,” tambah agensi.

“Setelah diatur, dia dapat menggunakan akun Google Voice itu untuk melakukan sejumlah penipuan terhadap korban lain yang tidak akan langsung kembali kepadanya. Dia juga dapat menggunakan kode itu untuk mendapatkan akses dan mengambil alih akun Gmail Anda. ”

Apa yang harus dilakukan jika Anda menjadi target penipuan otentikasi?
FBI menyarankan korban untuk memeriksa situs web dukungan Google untuk informasi tentang cara mengambil kembali kendali akun Google Voice mereka dan mendapatkan kembali nomor Voice mereka.

Agen federal juga memberikan tip berikut untuk menghindari scammed di tempat pertama jika Anda pernah menjadi target:

  • Jangan pernah membagikan kode verifikasi Google dengan orang lain.
  • Hanya berurusan dengan pembeli, penjual, dan pencari Fluffy secara langsung. Jika uang akan ditukarkan, pastikan Anda menggunakan pemroses pembayaran yang sah.
  • Jangan memberikan alamat email Anda kepada pembeli/penjual yang melakukan bisnis melalui telepon.
  • Jangan biarkan seseorang membuat Anda terburu-buru dalam penjualan. Jika mereka menekan Anda untuk merespons, kemungkinan besar mereka mencoba memanipulasi Anda untuk bertindak tanpa berpikir.

Sumber : Bleeping Computer

FBI menyita $2,2 juta dari afiliasi REvil, geng ransomware Gandcrab

by

FBI menyita $2,2 juta pada bulan Agustus dari afiliasi ransomware REvil dan GandCrab. Dalam pengaduan yang dibuka hari ini, FBI menyita 39.89138522 bitcoin senilai sekitar $2,2 juta dari dompet Exodus pada 3 Agustus 2021.

Exodus adalah dompet desktop atau seluler yang dapat digunakan pemiliknya untuk menyimpan cryptocurrency, termasuk Bitcoin, Ethereum, Solana, dan banyak lainnya.

“Amerika Serikat mengajukan keluhan terverifikasi ini dalam rem terhadap 39.89138522 Bitcoin yang Disita Dari Dompet Keluaran (“Properti Tergugat”) yang sekarang berada dan dalam pengawasan dan pengelolaan Biro Investigasi Federal (“FBI”) Divisi Dallas, One Justice Way, Dallas Texas,” demikian bunyi Complaint for Forfeiture Amerika Serikat.

Keluhan selanjutnya mengatakan bahwa dompet berisi pembayaran tebusan REvil milik afiliasi yang diidentifikasi sebagai “Aleksandr Sikerin, a/k/a Alexander Sikerin, a/k/a Oleksandr Sikerin” dengan alamat email ‘engfog1337@gmail.com .’

Sementara FBI tidak menunjukkan alias online dari pelaku ancaman, nama ‘engfog’ di alamat email terkait dengan afiliasi GandCrab dan REvil/Sodinokibi yang terkenal yang dikenal sebagai ‘Lalartu.’

Organisasi GandCrab dan REvil beroperasi sebagai Ransomware-as-a-Service (RaaS), di mana operator inti bermitra dengan peretas pihak ketiga, yang dikenal sebagai afiliasi.

Operator inti akan mengembangkan dan mengelola perangkat lunak enkripsi/dekripsi, portal pembayaran, dan situs kebocoran data. Afiliasinya ditugaskan untuk meretas jaringan perusahaan, mencuri data, dan menyebarkan ransomware untuk mengenkripsi perangkat.

Setiap pembayaran tebusan kemudian akan dibagi antara afiliasi dan operator inti, dengan operator umumnya mendapatkan 20-30% dari tebusan dan afiliasi membuat sisanya.

Dalam laporan REvil oleh McAfee, para peneliti mengikuti jejak uang untuk aktor ancaman terkenal yang dikenal sebagai ‘Lalartu,’ afiliasi untuk operasi ransomware GandCrab dan REvil.

Pada tahun 2019, aktor ancaman memposting ke forum peretasan berbahasa Rusia yang mengakui bahwa mereka bekerja dengan GandCrab dan beralih ke REvil setelah operasi sebelumnya ditutup.

Posting oleh Lalartu di forum peretasan berbahasa Rusia
Sumber: McAfee

Gal melacak Lalartu ke alias ‘Engfog’ atau ‘Eng_Fog’, yang cocok dengan alamat email ‘engfog1337@gmail.com’ yang tercantum dalam pengaduan FBI.

Pada bulan November, Departemen Kehakiman mengumumkan bahwa FBI menyita $6 juta uang tebusan yang dibayarkan kepada geng ransomware REvil. Strategi lanjutan penegakan hukum untuk mengganggu ekonomi dan sistem afiliasi operasi ransomware membuahkan hasil.

Kegiatan ini telah menyebabkan banyak penangkapan dan pencopotan infrastruktur, termasuk:

  • Gangguan operasi ransomware Netwalker dan penangkapan afiliasi di Kanada.
  • Penangkapan dua anggota operasi Egregor menyebabkan penutupan organisasi.
  • Penangkapan 12 orang yang diyakini terkait dengan serangan ransomware terhadap 1.800 korban di 71 negara.
  • Penangkapan seorang warga negara Ukraina yang diyakini berada di balik serangan ransomware Kaseya.

Penangkapan dan penyitaan infrastruktur juga menakut-nakuti geng ransomware untuk menutup operasi mereka, termasuk REvil pada bulan Oktober dan BlackMatter pada bulan Juli.

7 juta alamat email pengguna Robinhood dijual di forum peretas

by

Sekitar 7 juta data pelanggan Robinhood dicuri dalam pelanggaran data baru-baru ini dan data tersebut dijual di forum dan pasar peretasan populer.

Robinhood mengungkapkan setelah salah satu karyawannya diretas,pelaku kemudian menggunakan akun mereka untuk mengakses informasi sekitar 7 juta pengguna melalui sistem dukungan pelanggan.

Data yang dicuri selama serangan termasuk informasi pribadi adalah:

  • Alamat email untuk 5 juta pelanggan
  • Nama lengkap untuk 2 juta pelanggan lainnya
  • Nama, tanggal lahir, dan kode pos untuk 300 orang
  • Informasi akun yang lebih luas untuk sepuluh orang

Selain mencuri data, Robinhood menyatakan bahwa peretas berusaha memeras perusahaan untuk mencegah pelepasan data. Dua hari setelah Robinhood mengungkapkan serangan itu, seorang aktor ancaman bernama ‘pompompurin’ mengumumkan bahwa mereka menjual data di forum peretasan.

Pompompurin mengatakan dia menjual 7 juta informasi curian pelanggan Robinhood untuk setidaknya lima angka, yaitu $ 10.000 atau lebih tinggi.

Data yang terjual termasuk 5 juta alamat email, dan untuk kumpulan pelanggan Robinhood lainnya, 2 juta alamat email dan nama lengkap mereka. Namun, pompompurin mengatakan mereka tidak menjual data untuk 310 pelanggan yang memiliki informasi lebih sensitif yang dicuri, termasuk kartu identitas untuk beberapa pengguna.

pompompurin memperoleh akses ke sistem dukungan pelanggan Robinhood setelah menipu karyawan meja bantuan untuk menginstal perangkat lunak akses jarak jauh di komputer mereka.

Setelah perangkat lunak akses jarak jauh diinstal pada perangkat, pelaku ancaman dapat memantau aktivitas mereka, mengambil tangkapan layar, dan mengakses komputer dari jarak jauh. Selain itu, saat mengendalikan perangkat dari jarak jauh, penyerang juga dapat menggunakan kredensial login yang disimpan karyawan untuk masuk ke sistem Robinhood internal yang dapat mereka akses.

Pompompurin memposting tangkapan layar yang mengakses sistem internal Robinhood. Tangkapan layar ini termasuk bantuan internal yang digunakan untuk mencari informasi anggota Robinhood melalui alamat email, halaman basis pengetahuan internal tentang inisiatif “Project Oliver Twister” yang dirancang untuk melindungi pelanggan berisiko tinggi, dan halaman “anotasi” yang menunjukkan catatan untuk tujuan tertentu. pelanggan.

Bagian dari tangkapan layar yang menunjukkan catatan anggota internal

pompompurin juga bertanggung jawab atas penyalahgunaan server email FBI untuk mengirim email ancaman selama akhir pekan,entitas AS mulai menerima email yang dikirim dari penerima peringatan infrastruktur FBI bahwa “kluster virtual” mereka menjadi sasaran dalam “serangan berantai canggih,” seperti yang ditunjukkan dalam email di bawah ini.
Email peringatan FBI palsu dikirim akhir pekan ini

Untuk mengirim email ini, pompompurin menemukan bug di portal FBI Law Enforcement Enterprise Portal (LEEP) yang dapat dimanfaatkan aktor untuk mengirim email dari alamat IP milik FBI.

Karena email tersebut berasal dari alamat IP yang dimiliki oleh FBI, itu menambah legitimasi pada email tersebut, menyebabkan badan pemerintah dibanjiri dengan panggilan prihatin tentang peringatan palsu tersebut.

Setelah mengetahui serangan itu, FBI membuat server terkait offline untuk menyelesaikan masalah tersebut.

Selengkapnya : Bleeping Computer

Peretas Mengakses Sistem Email FBI Dan Mengirim Spam Ke 100.000 Akun

by

Peretas mengakses sistem email FBI dan mengirim spam ke 100.000 akun pada hari Sabtu, menurut Proyek Spamhaus, sebuah kelompok pengawas spam email.

Organisasi tersebut memposting contoh di Twitter dari salah satu email yang dikirim ke ribuan akun.

Email tersebut memuat subjek “Urgent: Threat actor in systems” dan dimaksudkan untuk datang dari divisi keamanan siber dari Departemen Keamanan Dalam Negeri.

Email tersebut dimaksudkan untuk memperingatkan penerima tentang potensi “exfiltration” – yang berarti penarikan data – dari sistem mereka oleh pakar keamanan siber Vinny Troia dan kelompok penjahat siber The Dark Overlord.

Spamhaus memberikan sejumlah kemungkinan motivasi peretas untuk mengirim pesan tersebut.

“Tiga tindakan: Meyakinkan orang untuk menutup semuanya untuk berjaga-jaga, sementara kebenaran ditentukan, pembunuhan karakter Vinny Troia yang disebutkan di dalamnya, dan membanjiri FBI dengan panggilan. Atau, seperti yang orang lain katakan, ‘untuk lulz’. Mungkin semua dari yang disebutkan di atas. Atau mungkin sesuatu yang lain!” kelompok itu menulis sebuah tweet.

Austin Berglas, kepala layanan profesional di perusahaan keamanan siber BlueVoyant dan mantan agen khusus FBI, mengatakan kepada Bloomberg bahwa sistem email yang diretas bukanlah yang digunakan agen untuk mengirim informasi rahasia di FBI.

FBI mengatakan dalam sebuah pernyataan bahwa mereka mengetahui serangan itu tetapi tidak dapat memberikan informasi lebih lanjut.

Selengkapnya: The Hill

FBI membagikan detail teknis untuk ransomware Hive

by

Biro Investigasi Federal (FBI) telah merilis beberapa detail teknis dan indikator kompromi yang terkait dengan serangan ransomware Hive.

Dalam kejadian yang jarang terjadi, FBI telah menyertakan tautan ke situs kebocoran tempat geng ransomware menerbitkan data yang dicuri dari perusahaan yang tidak membayar.

Hive ransomware bergantung pada beragam taktik, teknik, dan prosedur, yang mempersulit organisasi untuk mempertahankan diri dari serangannya, kata FBI.

Di antara metode yang digunakan geng untuk mendapatkan akses awal dan bergerak secara lateral di jaringan, ada email phishing dengan lampiran berbahaya dan Remote Desktop Protocol (RDP).

Sebelum menerapkan rutinitas enkripsi, ransomware Hive mencuri file yang mereka anggap berharga, untuk menekan korban agar membayar uang tebusan di bawah ancaman kebocoran data.

FBI mengatakan bahwa aktor ancaman mencari proses untuk pencadangan, penyalinan file, dan solusi keamanan (seperti Windows Defender) yang akan menghalangi tugas enkripsi data dan menghentikannya.

Tahap ini diikuti dengan menjatuhkan skrip hive.bat yang melakukan pembersihan rutin dengan menghapus dirinya sendiri setelah menghapus malware Hive yang dapat dieksekusi.

Skrip lain yang disebut shadow.bat bertugas menghapus salinan bayangan, file cadangan, dan snapshot sistem dan kemudian menghapus dirinya sendiri dari host yang disusupi.

FBI mengatakan bahwa beberapa korban ransomware Hive melaporkan telah dihubungi oleh penyerang yang meminta mereka untuk membayar uang tebusan sebagai ganti file yang dicuri.

Selengkapnya: Bleeping Computer

Penegak Hukum Diam-diam Menjalankan Bagian dari Web Gelap, Sekali Lagi: Apa Pelajarannya Di Sini?

by

Selama hampir dua tahun, FBI tidak seperti yang lain. Organisasi secara sembunyi-sembunyi mendirikan dan mengoperasikan platform komunikasi terenkripsi yang disebut “ANOM” yang digunakan oleh kejahatan terorganisir. Percaya bahwa mereka menggunakan sarana komunikasi pribadi yang aman, banyak pedagang gelap melakukan operasi mereka di sini untuk melakukan bisnis.

Membocorkan sedikit dari topik; beberapa tahun sebelum ini, takedown dark web skala besar lainnya—atau lebih tepatnya, pengambilalihan—terjadi, pada awalnya secara diam-diam. Penghapusan itu dikenal sebagai “Operasi Bayonet” dan melibatkan unit kejahatan dunia maya di beberapa negara (kebanyakan Jerman, Belanda, dan AS).

Jadi mari kita simpulkan apa yang terjadi. Hal pertama yang perlu diperhatikan: Apa yang terjadi melibatkan dua pasar gelap yang terpisah, Hansa dan AlphaBay. Suatu hari, penegak hukum Belanda menerima tip dari seorang peneliti keamanan mengenai lokasi server pengembangan Hansa (tempat di mana pengembangan baru diuji sebelum ditayangkan di situs sebenarnya), yang jelas bukan hal yang mudah.

Belanda tahu hanya dengan menutupnya tidak akan adil bagi para pelanggar hukum ini dan mulai melakukan pengambilalihan. Tepat pada waktu yang sama, FBI memberi tahu Belanda: Mereka akan menutup pasar lain yang tadi disebutkan, AlphaBay. Ketika pasar ditutup, orang mencari penyedia terkemuka berikutnya.

Dengan rencana yang rumit, polisi Belanda dan Jerman merebut dan menguasai pasar Hansa. Dan tidak ada yang tahu, bahkan moderator. Ini sempurna karena sekarang orang baik dapat membuat perubahan di situs web untuk memberi mereka lebih banyak informasi tentang orang-orang yang menggunakan situs ini.

Seperti yang diharapkan, ketika FBI menjatuhkan AlphaBay, banyak yang berbondong-bondong ke Hansa, yang telah diambil alih oleh Unit Kejahatan Teknologi Tinggi Nasional Belanda dan mungkin tim Jerman dan AS.

Pada akhirnya, penegak hukum menjalankan situs untuk sementara waktu, menemukan banyak pengedar narkoba dan yang lainnya, dan menangkap banyak, banyak dari mereka. Di Belanda, polisi bahkan mengetuk pintu beberapa pembeli dan penjual yang lebih kecil.

Jadi, dengan mengingat hal ini, mari kita kembali ke kasus yang lebih baru.

“Untuk pertama kalinya, FBI mengoperasikan perusahaan perangkat terenkripsinya sendiri, yang disebut “ANOM,” yang dipromosikan oleh kelompok kriminal di seluruh dunia. Para penjahat ini menjual lebih dari 12.000 perangkat dan layanan terenkripsi ANOM ke lebih dari 300 sindikat kriminal yang beroperasi di lebih dari 100 negara, termasuk kejahatan terorganisir Italia, Geng Motor Penjahat, dan berbagai organisasi perdagangan narkoba internasional, menurut catatan pengadilan,” bunyi pernyataan yang dikeluarkan oleh FBI.

Operasi itu disebut Trojan Shield dan memuncak dalam 800 penangkapan, serta penyitaan lebih dari 8 ton kokain; 22 ton ganja; 2 ton metamfetamin/amfetamin; enam ton bahan kimia prekursor; 250 senjata api; dan lebih dari $48 juta dalam berbagai mata uang dunia.

Namun, selain menangkap orang jahat, tujuan dari operasi ini adalah untuk membuat para penjahat merasa bahwa tidak ada platform atau metode komunikasi yang aman bagi mereka, dengan harapan mencegah mereka untuk melakukan kegiatan terlarang sejak awal.

Selengkapnya: Interesting Engineering

Aplikasi telepon terenkripsi FBI menyebabkan ratusan penangkapan dunia bawah tanah

by

Ratusan anggota geng kriminal di seluruh dunia ditipu untuk menggunakan aplikasi enkripsi telepon yang dioperasikan oleh FBI untuk merencanakan kejahatan, yang mengarah pada penangkapan mereka, menurut pihak berwenang.

Petugas penegak hukum di Australia dan Selandia Baru mulai mengungkap ruang lingkup dari apa yang dikenal sebagai Operasi Perisai Trojan Senin malam.

Pihak berwenang di Eropa dijadwalkan untuk membuat pengumuman mereka sendiri Selasa pagi, dengan kantor lapangan FBI San Diego melakukan hal yang sama pada siang hari.

Pihak berwenang Antipodean memuji skema tersebut dengan penangkapan lebih dari 250 orang dan penyitaan lebih dari 100 senjata api ilegal dan senjata lainnya, serta jutaan dolar uang tunai, obat-obatan dan aset lainnya.

Selain itu, Komisaris Polisi Federal Australia (AFP) Reece Kershaw mengatakan kepada wartawan bahwa aplikasi tersebut membantu menggagalkan 21 rencana pembunuhan, termasuk satu yang akan menargetkan sebuah keluarga beranggotakan lima orang.

Kershaw mengatakan ide untuk aplikasi tersebut, yang disebut AN0M, dicetuskan oleh petugas penegak hukum Amerika dan Australia pada tahun 2018. Agen Australia yang menyamar akan memberikan ponsel dengan aplikasi AN0M yang sudah diinstal sebelumnya kepada penjahat tingkat tinggi tertentu yang merekomendasikan aplikasi kepada rekan mereka.

Selengkapnya: NY Post