Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Global

Global

AS, Inggris, dan Australia Peringatkan Peretas Iran yang Mengeksploitasi Microsoft, Kelemahan Fortinet

by

Badan keamanan siber dari Australia, Inggris, dan AS pada hari Rabu (17/11/2021) merilis peringatan peringatan bersama tentang eksploitasi aktif kerentanan Fortinet dan Microsoft Exchange ProxyShell oleh aktor yang disponsori negara Iran untuk mendapatkan akses awal ke sistem yang rentan untuk kegiatan lanjutan, termasuk eksfiltrasi data dan ransomware.

Pelaku ancaman diyakini telah memanfaatkan beberapa kerentanan Fortinet FortiOS sejak Maret 2021 serta kelemahan eksekusi kode jarak jauh yang memengaruhi Microsoft Exchange Server setidaknya sejak Oktober 2021, menurut Badan Keamanan Siber dan Infrastruktur AS (CISA), Federal Biro Investigasi (FBI), Pusat Keamanan Siber Australia (ACSC), dan Pusat Keamanan Siber Nasional Inggris (NCSC).

Badan-badan tersebut tidak mengaitkan kegiatan tersebut dengan aktor ancaman persisten lanjutan (APT) tertentu. Korban yang ditargetkan termasuk organisasi Australia dan berbagai entitas di berbagai sektor infrastruktur penting AS, seperti transportasi dan perawatan kesehatan. Daftar kelemahan yang dieksploitasi ada di bawah ini:

  • CVE-2021-34473 (skor CVSS: 9.1) – kerentanan eksekusi kode jarak jauh Microsoft Exchange Server (alias “ProxyShell”)
  • CVE-2020-12812 (skor CVSS: 9,8) – FortiOS SSL VPN 2FA bypass dengan mengubah kasus nama pengguna
  • CVE-2019-5591 (skor CVSS: 6,5) – Konfigurasi default FortiGate tidak memverifikasi identitas server LDAP
  • CVE-2018-13379 (skor CVSS: 9,8) – Kebocoran file sistem FortiOS melalui SSL VPN melalui permintaan sumber daya HTTP yang dibuat khusus

Sebagai mitigasi, agensi merekomendasikan organisasi untuk segera menambal perangkat lunak yang terpengaruh oleh kerentanan yang disebutkan di atas, menegakkan prosedur pencadangan dan pemulihan data, menerapkan segmentasi jaringan, mengamankan akun dengan otentikasi multi-faktor, dan menambal sistem operasi, perangkat lunak, dan firmware saat dan ketika pembaruan dilepaskan.

Selengkapnya: The Hacker News

Penegak Hukum Diam-diam Menjalankan Bagian dari Web Gelap, Sekali Lagi: Apa Pelajarannya Di Sini?

by

Selama hampir dua tahun, FBI tidak seperti yang lain. Organisasi secara sembunyi-sembunyi mendirikan dan mengoperasikan platform komunikasi terenkripsi yang disebut “ANOM” yang digunakan oleh kejahatan terorganisir. Percaya bahwa mereka menggunakan sarana komunikasi pribadi yang aman, banyak pedagang gelap melakukan operasi mereka di sini untuk melakukan bisnis.

Membocorkan sedikit dari topik; beberapa tahun sebelum ini, takedown dark web skala besar lainnya—atau lebih tepatnya, pengambilalihan—terjadi, pada awalnya secara diam-diam. Penghapusan itu dikenal sebagai “Operasi Bayonet” dan melibatkan unit kejahatan dunia maya di beberapa negara (kebanyakan Jerman, Belanda, dan AS).

Jadi mari kita simpulkan apa yang terjadi. Hal pertama yang perlu diperhatikan: Apa yang terjadi melibatkan dua pasar gelap yang terpisah, Hansa dan AlphaBay. Suatu hari, penegak hukum Belanda menerima tip dari seorang peneliti keamanan mengenai lokasi server pengembangan Hansa (tempat di mana pengembangan baru diuji sebelum ditayangkan di situs sebenarnya), yang jelas bukan hal yang mudah.

Belanda tahu hanya dengan menutupnya tidak akan adil bagi para pelanggar hukum ini dan mulai melakukan pengambilalihan. Tepat pada waktu yang sama, FBI memberi tahu Belanda: Mereka akan menutup pasar lain yang tadi disebutkan, AlphaBay. Ketika pasar ditutup, orang mencari penyedia terkemuka berikutnya.

Dengan rencana yang rumit, polisi Belanda dan Jerman merebut dan menguasai pasar Hansa. Dan tidak ada yang tahu, bahkan moderator. Ini sempurna karena sekarang orang baik dapat membuat perubahan di situs web untuk memberi mereka lebih banyak informasi tentang orang-orang yang menggunakan situs ini.

Seperti yang diharapkan, ketika FBI menjatuhkan AlphaBay, banyak yang berbondong-bondong ke Hansa, yang telah diambil alih oleh Unit Kejahatan Teknologi Tinggi Nasional Belanda dan mungkin tim Jerman dan AS.

Pada akhirnya, penegak hukum menjalankan situs untuk sementara waktu, menemukan banyak pengedar narkoba dan yang lainnya, dan menangkap banyak, banyak dari mereka. Di Belanda, polisi bahkan mengetuk pintu beberapa pembeli dan penjual yang lebih kecil.

Jadi, dengan mengingat hal ini, mari kita kembali ke kasus yang lebih baru.

“Untuk pertama kalinya, FBI mengoperasikan perusahaan perangkat terenkripsinya sendiri, yang disebut “ANOM,” yang dipromosikan oleh kelompok kriminal di seluruh dunia. Para penjahat ini menjual lebih dari 12.000 perangkat dan layanan terenkripsi ANOM ke lebih dari 300 sindikat kriminal yang beroperasi di lebih dari 100 negara, termasuk kejahatan terorganisir Italia, Geng Motor Penjahat, dan berbagai organisasi perdagangan narkoba internasional, menurut catatan pengadilan,” bunyi pernyataan yang dikeluarkan oleh FBI.

Operasi itu disebut Trojan Shield dan memuncak dalam 800 penangkapan, serta penyitaan lebih dari 8 ton kokain; 22 ton ganja; 2 ton metamfetamin/amfetamin; enam ton bahan kimia prekursor; 250 senjata api; dan lebih dari $48 juta dalam berbagai mata uang dunia.

Namun, selain menangkap orang jahat, tujuan dari operasi ini adalah untuk membuat para penjahat merasa bahwa tidak ada platform atau metode komunikasi yang aman bagi mereka, dengan harapan mencegah mereka untuk melakukan kegiatan terlarang sejak awal.

Selengkapnya: Interesting Engineering

Ransomware adalah ancaman keamanan siber teratas yang kita hadapi, kepala siber memperingatkan

by

Ransomware adalah salah satu ancaman keamanan siber utama yang dihadapi Inggris dan kelompok kriminal siber di belakang mereka menjadi lebih berbahaya, kepala siber Inggris memperingatkan.

Lindy Cameron, kepala Pusat Keamanan Siber Nasional (NCSC) akan mengatakan bahwa organisasi – lengan keamanan dunia maya dari agen mata-mata GCHQ – berkomitmen untuk mengatasi ancaman ransomware dan “mendukung korban ransomware setiap hari” tetapi respon yang terkoordinasi diperlukan untuk memerangi ancaman yang berkembang.

Sementara kampanye peretasan yang disponsori negara menimbulkan “ancaman strategis yang berbahaya bagi kepentingan nasional Inggris”, itu adalah kejahatan dunia maya – dan khususnya ransomware – yang telah menjadi ancaman terbesar.

Insiden baru-baru ini seperti serangan ransomware terhadap Colonial Pipeline dan pengolah daging JBS, serta serangan ransomware terhadap layanan kesehatan Irlandia, telah menunjukkan betapa mengganggu nya kampanye kriminal dunia maya ini terhadap layanan penting.

Tidak hanya kelompok ransomware kriminal dunia maya yang mengenkripsi jaringan dan menuntut pembayaran yang signifikan sebagai ganti kunci dekripsi, sekarang juga umum bagi mereka untuk juga mencuri informasi sensitif dan mengancam untuk melepaskannya kecuali uang tebusan dibayarkan – seringkali membuat korban merasa seolah-olah mereka tidak punya pilihan selain menyerah pada tuntutan pemerasan.

Namun, ransomware bukan hanya masalah bagi Inggris saja dan Cameron mendesak pentingnya bekerja sama dengan negara lain untuk mengatasi apa yang benar-benar menjadi masalah internasional ini.

Selengkapnya: ZDNet

Polisi membobol operasi video-game-cheat ‘terbesar di dunia’

by

Upaya kolaboratif antara polisi China dan raksasa game Tencent telah menyebabkan penutupan apa yang menurut polisi sebagai operasi video-game-cheat terbesar yang pernah ada.

Geng tersebut merancang dan menjual cheat ke video game populer, termasuk Overwatch dan Call of Duty Mobile. Sekitar $ 76 juta (Rp 1 Triliun) pendapatan dibuat oleh organisasi yang membebankan biaya berlangganan kepada klien.

Polisi menyita aset senilai $ 46 juta (Rp 600 Milyar), termasuk beberapa mobil mewah.

Operasi itu disebut “Chicken Drumstick”, dan memiliki situs web yang menjual ke “ratusan negara dan wilayah”, media lokal melaporkan. Harga langganan untuk pengguna mulai dari sekitar $ 10 per hari, dan hingga $ 200 per bulan.

Polisi Kunshan menemukan dan menghancurkan 17 cheat dan menangkap 10 orang terkait dengan grup tersebut. Dikatakan itu adalah kasus kecurangan “terbesar di dunia” karena banyaknya uang dan permainan yang terlibat.

Selengkapnya: BBC News

Pemerintah Inggris, NATO Bergabung dengan AS dalam Memantau Risiko Dari Peretasan

by

Instansi pemerintah dan perusahaan besar di luar AS sedang meninjau sistem komputer mereka untuk mencari tanda-tanda pelanggaran keamanan, setelah kampanye peretasan yang memasukkan malware ke dalam pembaruan perangkat lunak dari perusahaan AS SolarWinds Corp.

Pemerintah AS pada hari Minggu mengatakan telah dilanda serangan siber, dan semua badan sipil federal diperintahkan oleh Badan Keamanan Siber dan Infrastruktur AS untuk meninjau jaringan mereka dan memutuskan atau mematikan produk SolarWinds Orion segera.

NATO mengatakan dalam sebuah pernyataan bahwa pihaknya “saat ini sedang menilai situasi, dengan tujuan untuk mengidentifikasi dan mengurangi potensi risiko apa pun pada jaringan kami”.

Seorang pejabat pemerintah Inggris, yang berbicara tanpa menyebut nama, mengatakan bahwa pemerintah sedang menilai tingkat infiltrasi di jaringan Inggris, dan menambahkan bahwa kelompok APT29 – kelompok peretas terkenal yang terkait dengan pemerintah Rusia – adalah tersangka potensial.

SolarWinds yang berbasis di Austin, Texas, menjual produk teknologi ke banyak target sensitif, termasuk kelima cabang militer AS. Di luar AS, SolarWinds telah mengambil kontrak untuk Layanan Kesehatan Nasional Inggris Raya, Parlemen Eropa, dan NATO, menurut perincian di situs webnya. Perusahaan tersebut mengatakan memiliki lebih dari 300.000 pelanggan di seluruh dunia, termasuk sejumlah besar anggota Fortune 500 AS.

SolarWinds menyatakan di situs webnya bahwa mereka membantu pelanggannya mengelola jaringan komputer mereka dan memantau mereka untuk potensi pelanggaran data.

Sumber: Bloomberg

Microsoft, FireEye mengkonfirmasi serangan rantai pasokan SolarWinds

by

Peretas yang diyakini beroperasi atas nama pemerintah asing telah melanggar penyedia perangkat lunak SolarWinds dan kemudian menyebarkan pembaruan yang mengandung malware untuk perangkat lunak Orionnya untuk menginfeksi jaringan beberapa di perusahaan AS dan jaringan pemerintahan, kata firma keamanan AS FireEye.

Serangan rantai pasokan SolarWinds juga merupakan cara peretas memperoleh akses ke jaringan FireEye sendiri, yang diungkapkan perusahaan awal pekan ini.

The Washington Post mengutip sumber yang mengklaim bahwa beberapa lembaga pemerintah lainnya juga terkena dampak.

Reuters melaporkan bahwa insiden itu dianggap sangat serius sehingga menyebabkan pertemuan langka Dewan Keamanan Nasional AS di Gedung Putih, sehari sebelumnya, pada hari Sabtu.

Sumber yang berbicara dengan Washington Post mengaitkan gangguan tersebut dengan APT29, codename yang digunakan oleh industri keamanan siber untuk menggambarkan peretas yang terkait dengan Badan Intelijen Luar Negeri Rusia (SVR).

Dalam peringatan keamanan yang dikirim ke pelanggannya secara pribadi pada hari Minggu, Microsoft juga mengkonfirmasi kompromi SolarWinds dan memberikan tindakan pencegahan kepada pelanggan yang mungkin terpengaruh.

SolarWinds mengatakan bahwa pembaruan Orion versi 2019.4 hingga 2020.2.1, yang dirilis antara Maret 2020 dan Juni 2020, telah tercemar malware. FireEye menamai malware ini SUNBURST dan telah menerbitkan laporan teknis, bersama dengan aturan deteksi di GitHub. Microsoft menamai malware ini Solorigate dan menambahkan aturan deteksi ke antivirus Defender-nya.

Sumber: Microsoft

“Korban termasuk pemerintah, konsultan, teknologi, telekomunikasi dan entitas ekstraktif di Amerika Utara, Eropa, Asia dan Timur Tengah. Kami mengantisipasi ada korban tambahan di negara dan vertikal lain,” tambah FireEye.

Sumber: ZDNet

Trojan berusia 13 tahun digunakan dalam kampanye yang menargetkan beberapa negara, termasuk Indonesia.

by

Check Point Research baru-baru ini mengamati kampanye baru yang menggunakan jenis Trojan backdoor berusia 13 tahun bernama Bandook dan menargetkan beberapa sektor di seluruh dunia.

Bandook, yang hampir menghilang dari lanskap ancaman, muncul dalam kampanye 2015 dan 2017, masing-masing diberi nama “Operation Manul” dan “Dark Caracal”.

Dalam gelombang serangan terbaru, peneliti sekali lagi mengidentifikasi berbagai macam sektor dan lokasi yang menjadi target.

Hal ini semakin memperkuat hipotesis sebelumnya bahwa malware tidak dikembangkan sendiri dan digunakan oleh satu entitas, tetapi merupakan bagian dari infrastruktur ofensif yang dijual oleh pihak ketiga kepada pemerintah dan pelaku ancaman di seluruh dunia, untuk memfasilitasi operasi cyber ofensif.

Infection chain lengkap serangan dapat dipecah menjadi tiga tahap utama. Tahap pertama dimulai, seperti di banyak rantai infeksi lainnya, dengan dokumen Microsoft Word yang berbahaya dikirim di dalam file ZIP.

Setelah dokumen dibuka, makro berbahaya diunduh menggunakan fitur external template. Kode makro lalu menjatuhkan dan menjalankan serangan tahap kedua, skrip PowerShell yang dienkripsi di dalam dokumen Word asli. Terakhir, skrip PowerShell mengunduh dan menjalankan tahap terakhir infeksi: backdoor Bandook.

Sumber: checkpoint research

Berbagai sektor yang ditargetkan adalah Pemerintahan, keuangan, energi, industri makanan, perawatan kesehatan, pendidikan, TI, dan lembaga hukum di Singapura, Siprus, Chili, Italia, AS, Turki, Swiss, Indonesia, dan Jerman.

Laporan selengkapnya dapat dibaca pada tautan berikut;
Sumber: Check Point Research

Microsoft mengatakan mereka menghapus 94% dari server perintah dan kontrol TrickBot

by

Minggu lalu, koalisi perusahaan keamanan siber yang dipimpin oleh Microsoft mengatur penghapusan global terhadap TrickBot, salah satu botnet malware dan operasi kejahatan siber terbesar saat ini.

Bahkan jika Microsoft menjatuhkan infrastruktur TrickBot dalam beberapa hari pertama, botnet tetap bertahan, dan operator TrickBot membawa server perintah dan kontrol (C&C) baru secara online dengan harapan dapat melanjutkan kejahatan siber mereka.

“Sejak kami memulai operasi hingga 18 Oktober, kami telah menghentikan 120 dari 128 server yang kami identifikasi sebagai infrastruktur Trickbot di seluruh dunia,” kata Tom Burt, CVP Keamanan dan Kepercayaan Pelanggan di Microsoft.

Burt mengatakan Microsoft menjatuhkan 62 dari 69 server asli TrickBot C&C dan 58 dari 59 server yang coba dihadirkan TrickBot online setelah penghapusan minggu lalu.

Saat ini, botnet TrickBot masih hidup, tetapi sekali lagi telah ditekan aktivitasnya. Meskipun demikian, beberapa server perintah dan kontrol masih hidup, memungkinkan operator TrickBot untuk tetap mengontrol gerombolan perangkat yang terinfeksi.

Menurut firma keamanan siber Intel 471, beberapa sisa C&C TrickBot terakhir ini berlokasi di Brasil, Kolombia, Indonesia, dan Kyrgyzstan.

Meskipun demikian, dari jauh, upaya penghapusan tampaknya tidak terlalu mengkhawatirkan operator TrickBot, karena mereka menghabiskan minggu lalu mencoba membuat korban baru dengan bantuan mitra botnet malware (Emotet).

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: ZDNet