Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Hacker

Hacker

Peretas Menjual Akses ke 576 Jaringan Perusahaan Seharga $4 Juta

by

Sebuah laporan baru menunjukkan bahwa peretas menjual akses ke 576 jaringan perusahaan di seluruh dunia dengan total harga penjualan kumulatif $4.000.000, memicu serangan terhadap perusahaan.

Meskipun jumlah penjualan untuk akses jaringan tetap sama seperti pada dua kuartal sebelumnya, harga permintaan kumulatif kini telah mencapai $4.000.000.

Jalan manuju ransomware

Pialang akses awal (IAB) adalah peretas yang menjual akses ke jaringan perusahaan, biasanya dicapai melalui pencurian kredensial, webshell, atau mengeksploitasi kerentanan dalam perangkat keras yang terbuka untuk umum.

Alasan IAB memilih untuk tidak memanfaatkan akses jaringan bervariasi, mulai dari kurangnya keterampilan intrusi yang beragam hingga memilih untuk tidak mengambil risiko peningkatan masalah hukum.

statistik babak 3 2022

Pada babak ketiga tahun 2022, analis KELA mengamati 110 pelaku ancaman memposting 576 penawaran akses awal dengan total nilai kumulatif $4.000.000.


Volume bulanan penjualan akses awal (KELA)

Harga jual rata-rata listing ini adalah $2.800, sedangkan harga jual rata-rata mencapai rekor $1.350.


Harga jual akses awal (KELA)

KELA juga melihat kasus akses tunggal yang ditawarkan untuk pembelian dengan harga astronomi $3.000.000. Namun, daftar ini tidak termasuk dalam statistik dan total Q3 ’22 karena keraguan tentang keasliannya.


Negara yang paling banyak ditargetkan oleh IAB di Q3 (KELA)

Ketika melihat sektor yang ditargetkan, layanan profesional, manufaktur, dan teknologi menempati urutan teratas dengan masing-masing 13,4%, 10,8%, dan 9,4%. Sekali lagi, serangan ransomware memiliki peringkat yang sama, menekankan hubungan antara keduanya.


IAB sektor yang paling banyak ditargetkan di Q3 (KELA)

Karena broker akses awal telah menjadi bagian integral dari rantai serangan ransomware, mengamankan jaringan Anda dengan benar dari gangguan sangat penting.

Peretas Rusia Bertanggung Jawab Atas Sebagian Besar Skema Ransomware 2021, Kata AS

by

WASHINGTON, 1 November (Reuters) – Perangkat lunak pencari pembayaran yang dibuat oleh peretas Rusia digunakan di tiga perempat dari semua skema ransomware yang dilaporkan ke AS.

Jaringan Penegakan Kejahatan Keuangan AS (FinCEN) mengatakan telah menerima 1.489 pengajuan terkait ransomware senilai hampir $1,2 miliar pada tahun 2021, melonjak 188% dari tahun sebelumnya.

Dari 793 insiden ransomware yang dilaporkan ke FinCEN pada paruh kedua tahun 2021, 75% “memiliki hubungan dengan Rusia, proksinya, atau orang yang bertindak atas namanya,” kata laporan itu.

Pada tanggal 31 Oktober, Washington menjadi tuan rumah pertemuan dengan pejabat dari 36 negara dan Uni Eropa, serta 13 perusahaan global untuk mengatasi meningkatnya ancaman ransomware dan kejahatan dunia maya lainnya, termasuk penggunaan cryptocurrency secara ilegal.

130 Github Repositori Dicuri dari Dropbox oleh Hacker

by

Dropbox mengungkapkan pelanggaran keamanan setelah pelaku ancaman mencuri 130 repositori kode setelah mendapatkan akses ke salah satu akun GitHub-nya menggunakan kredensial karyawan yang dicuri dalam serangan phishing.

Perusahaan menemukan penyerangan akun pada 14 Oktober ketika GitHub memberi tahunya tentang aktivitas mencurigakan yang dimulai sehari sebelum peringatan dikirim.

“Kode dan data di sekitarnya juga mencakup beberapa ribu nama dan alamat email milik karyawan Dropbox, pelanggan saat ini dan sebelumnya, prospek penjualan, dan vendor (untuk konteksnya, Dropbox memiliki lebih dari 700 juta pengguna terdaftar).”

serangan phishing yang menargetkan beberapa karyawan Dropbox menggunakan email yang meniru platform integrasi dan pengiriman berkelanjutan CircleCI dan mengarahkan mereka ke halaman arahan phishing di mana mereka diminta untuk memasukkan nama pengguna dan kata sandi GitHub mereka.

karyawan juga diminta untuk “menggunakan kunci otentikasi perangkat keras mereka untuk memberikan One Time Password (OTP).”


Email phishing yang meniru CircleCI (BleepingComputer)

130 kode repositori telah dicuri saat pemberantasan

penyerang memperoleh akses ke salah satu organisasi GitHub Dropbox dan mencuri 130 repositori kodenya.

“Yang penting, mereka tidak menyertakan kode untuk aplikasi atau infrastruktur inti kami. Akses ke repositori itu bahkan lebih terbatas dan dikontrol dengan ketat.”

Dropbox menambahkan bahwa penyerang tidak pernah memiliki akses ke akun pelanggan, kata sandi, atau informasi pembayaran, dan aplikasi serta infrastruktur intinya tidak terpengaruh akibat pelanggaran ini.

Menanggapi insiden tersebut, Dropbox berupaya mengamankan seluruh lingkungannya menggunakan WebAuthn dan token perangkat keras atau faktor biometrik.

Pada bulan September, pengguna GitHub lainnya juga menjadi sasaran dalam serangan serupa yang meniru platform CircleCI dan meminta mereka untuk masuk ke akun GitHub mereka untuk menerima persyaratan pengguna dan pembaruan kebijakan privasi untuk tetap menggunakan layanan.

“Sementara GitHub sendiri tidak terpengaruh, kampanye tersebut telah berdampak pada banyak organisasi korban,” kata GitHub dalam sebuah nasihat saat itu.

GitHub mengatakan mendeteksi eksfiltrasi konten dari repositori pribadi segera setelah kompromi, dengan pelaku ancaman menggunakan VPN atau layanan proxy untuk membuat pelacakan lebih sulit.

sumber : bleeping computer

Peretas OceanLotus Beralih ke File Arsip Web untuk Menyebarkan Backdoors

by

Kelompok OceanLotus dari hacker yang disponsori negara sekarang menggunakan format file arsip web (. MHT dan . MHTML) untuk menyebarkan backdoors ke sistem yang dikompromikan.

Tujuannya adalah untuk menghindari deteksi oleh alat solusi antivirus yang lebih mungkin untuk menangkap format dokumen yang umum disalahgunakan dan menghentikan korban dari membukanya di Microsoft Office.

Juga dilacak sebagai APT32 dan SeaLotus, para peretas telah menunjukkan kecenderungan di masa lalu untuk mencoba metode yang kurang umum untuk menyebarkan malware.

Sebuah laporan dari Netskope Threat Labs yang dibagikan dengan Bleeping Computer sebelumnya mencatat bahwa kampanye OceanLotus menggunakan file arsip web masih aktif, meskipun ruang lingkup penargetan sempit dan meskipun server command and control (C2) terganggu.

Dari RAR ke word macros

Rantai serangan dimulai dengan kompresi RAR dari file arsip web besar 35-65MB yang berisi dokumen Word berbahaya.

Untuk melewati perlindungan Microsoft Office, para aktor telah mengatur properti ZoneID dalam metadata file ke “2”, membuatnya tampak seolah-olah diunduh dari sumber yang dapat dipercaya.

Saat membuka file arsip web dengan Microsoft Word, dokumen yang terinfeksi meminta korban untuk “Mengaktifkan Konten”, yang membuka jalan untuk mengeksekusi kode makro VBA berbahaya.

Skrip melakukan tugas-tugas berikut pada mesin yang terinfeksi:

  • Menjatuhkan payload ke “C:ProgramDataMicrosoftUser Account Picturesguest.bmp”;
  • Menyalin payload ke “C:ProgramDataMicrosoft Outlook Syncguest.bmp”;
  • Membuat dan menampilkan dokumen umpan bernama “Dokumen.doc”;
  • Mengganti nama muatan dari “tamu.bmp” menjadi “latar belakang.dll”;
  • Menjalankan DLL dengan memanggil fungsi ekspor “SaveProfile” atau “OpenProfile”

Setelah payload dieksekusi, kode VBA menghapus file Word asli dan membuka dokumen umpan yang melayani korban kesalahan palsu.

Backdoor menggunakan layanan hosting Glitch

Payload yang dijatuhkan dalam sistem adalah DLL 64-bit yang mengeksekusi setiap 10 menit berkat tugas terjadwal yang meniru cek pembaruan WinRAR.

Backdoor disuntikkan ke dalam proses rundll32.exe berjalan tanpa batas waktu dalam memori sistem untuk menghindari deteksi, netskope mencatat dalam laporan teknisnya.

Malware mengumpulkan informasi adaptor jaringan, nama komputer, nama pengguna, menyebutkan direktori dan file sistem, memeriksa daftar proses yang berjalan.

Setelah data dasar dikumpulkan, backdoor mengkompilasi semuanya menjadi satu paket dan mengenkripsi konten sebelum dikirim ke server C2.

Server ini di-host di Glitch, hosting cloud dan layanan kolaborasi pengembangan web yang sering disalahgunakan untuk tujuan jahat.

Dengan menggunakan layanan cloud hosting yang sah untuk komunikasi C2, para aktor semakin mengurangi kemungkinan terdeteksi bahkan ketika alat pemantauan lalu lintas jaringan dikerahkan.

Meskipun Glitch menurunkan URL C2 yang diidentifikasi dan dilaporkan oleh para peneliti Netskope, tidak mungkin ini akan menghentikan APT32 dari membuat yang baru menggunakan akun yang berbeda.

Untuk daftar lengkap indikator kompromi dari kampanye ini, Anda dapat memeriksa repositori GitHub ini.

Sumber: Bleepingcomputer

Industri perekrutan peretas sekarang terlalu besar untuk gagal

by

NSO Group, perusahaan Israel bernilai miliaran dolar yang telah menjual alat peretasan kepada pemerintah di seluruh dunia selama lebih dari satu dekade telah menarik pengawasan ketat setelah serangkaian skandal publik. Perusahaan tersebut sedang dalam krisis. Masa depannya diragukan.

Namun, pemerintah lebih mungkin membeli kemampuan dunia maya dari industri yang telah ditentukan oleh NSO. Bisnis sedang booming untuk perusahaan “peretas yang disewa”. Dalam dekade terakhir, industri telah berkembang dari sesuatu yang baru menjadi instrumen kekuatan utama bagi negara-negara di seluruh dunia. Bahkan potensi kegagalan perusahaan besar seperti NSO Group tidak akan memperlambat pertumbuhan.

Facebook melaporkan bahwa tujuh perusahaan peretas dari seluruh dunia telah menargetkan sekitar 50.000 orang di platform perusahaan. Laporan tersebut menyoroti empat perusahaan Israel lagi di samping operasi dari China, India, dan Makedonia Utara.

NSO Group telah dikepung oleh kritik dan tuduhan pelecehan selama bertahun-tahun. Pada tahun 2016, Uni Emirat Arab ketahuan menargetkan aktivis hak asasi manusia Ahmed Mansoor menggunakan Pegasus NSO Group, alat yang memanfaatkan kelemahan perangkat lunak untuk meretas iPhone dan menyerahkan kendali kepada pelanggan NSO Group. Dalam kasus itu, pemerintah UEA dipandang sebagai pelakunya, dan NSO pergi tanpa cedera (Mansoor masih di penjara dengan tuduhan mengkritik rezim negara).

Pola ini berulang selama bertahun-tahun. pemerintah akan dituduh menggunakan alat peretasan NSO terhadap para pembangkang, tetapi perusahaan tersebut membantah melakukan kesalahan dan lolos dari hukuman. Kemudian, pada pertengahan 2021, muncul laporan baru tentang dugaan pelecehan terhadap pemerintah Barat. Perusahaan tersebut mendapat sanksi dari AS pada bulan November, dan pada bulan Desember Reuters melaporkan bahwa pejabat Departemen Luar Negeri AS telah diretas menggunakan Pegasus.

Sekarang NSO Group menghadapi tuntutan hukum publik yang mahal dari Facebook dan Apple. Ia harus berurusan dengan utang, moral yang rendah, dan ancaman mendasar bagi masa depannya.

Industri hacker-for-hire rahasia pertama kali muncul di berita utama surat kabar internasional pada tahun 2014, ketika tim Hacking perusahaan Italia dituduh menjual spyware “tidak dapat dilacak” ke puluhan negara tanpa memperhatikan pelanggaran hak asasi manusia atau privasi.

Pelanggan awal industri ini adalah sekelompok kecil negara yang ingin memproyeksikan kekuatan di seluruh dunia melalui internet. Situasinya jauh lebih kompleks hari ini. Lebih banyak negara membayar untuk meretas musuh baik secara internasional maupun di dalam perbatasan mereka sendiri.

Sementara pengawasan publik terhadap perusahaan yang menyediakan peretas untuk disewa telah meningkat, permintaan global untuk kemampuan siber ofensif juga meningkat. Pada abad ke-21, target pemerintah dengan nilai tertinggi lebih dari sebelumnya—dan peretasan biasanya merupakan cara paling efektif untuk mencapainya.

Banyak dnegara-negara yang mencari bantuan dari luar. Misalnya, negara-negara kaya minyak di Teluk Persia secara historis tidak memiliki kemampuan teknis yang cukup besar yang diperlukan untuk mengembangkan kekuatan peretasan domestik.

Permintaan untuk apa yang dijual oleh perusahaan peretasan swasta tidak akan hilang. “Industri ini lebih besar dan lebih terlihat hari ini daripada satu dekade lalu,” kata Winnona DeSombre, seorang peneliti keamanan dan rekan di Dewan Atlantik. “Permintaan meningkat karena dunia menjadi lebih terhubung secara teknologi.”

DeSombre baru-baru ini memetakan industri yang terkenal buram dengan memetakan ratusan perusahaan yang menjual alat pengawasan digital di seluruh dunia. Dia berpendapat bahwa sebagian besar pertumbuhan industri disembunyikan dari pandangan publik, termasuk penjualan senjata siber dan teknologi pengawasan perusahaan Barat kepada musuh geopolitik.

Diperingatkan akan dampak industri yang meningkat, pihak berwenang di seluruh dunia sekarang bertujuan untuk membentuk masa depannya dengan sanksi, dakwaan, dan peraturan baru tentang ekspor. Meski begitu, permintaan akan alat tersebut terus meningkat.

Selengkapnya : Technology Review

Peretas sembunyi-sembunyi WIRTE menargetkan pemerintah di Timur Tengah

by

Grup peretas tersembunyi bernama WIRTE telah dikaitkan dengan kampanye penargetan pemerintah yang melakukan serangan setidaknya sejak 2019 menggunakan makro Excel 4.0 yang berbahaya.

Cakupan penargetan utama mencakup entitas publik dan swasta profil tinggi di Timur Tengah, tetapi peneliti juga mengamati target di wilayah lain.

Kaspersky menyimpulkan bahwa WIRTE memiliki motif pro-Palestina dan diduga menjadi bagian dari ‘Gaza Cybergang’. WIRTE memiliki OpSec yang lebih baik dan teknik yang lebih tersembunyi, dan mereka dapat menghindari deteksi untuk waktu yang lama.

WIRTE melakukan email phishing dengan menyertakan dokumen Excel yang mengeksekusi makro berbahaya untuk mengunduh dan menginstal muatan malware di perangkat penerima.

Sementara fokus utama WIRTE menyerang pemerintah dan entitas diplomatik, Kaspersky telah melihat serangan ini menargetkan berbagai industri di seluruh Timur Tengah dan wilayah lainnya.

“Entitas yang terkena dampak berlokasi di Armenia, Siprus, Mesir, Yordania, Lebanon, Palestina, Suriah, dan Turki.”

Dokumen jahat tersebut dirancang untuk meningkatkan minat korban yang ditargetkan, dan menggunakan logo dan tema yang meniru merek, otoritas, atau organisasi yang ditargetkan.

Dokumen phishing dikirim ke korban
Sumber: Kaspersky

Penetes Excel pertama-tama menjalankan serangkaian rumus di kolom tersembunyi, yang menyembunyikan permintaan “aktifkan pengeditan” dari file asli dan memperlihatkan spreadsheet sekunder yang berisi umpan.

Penetes kemudian menjalankan rumus dari spreadsheet ketiga dengan kolom tersembunyi, dan melakukan tiga pemeriksaan anti-kotak pasir berikut:

  • Dapatkan nama lingkungan
  • Periksa apakah ada tikus
  • Periksa apakah komputer host dapat memutar suara

kemudian makro menulis skrip VBS yang menulis cuplikan PowerShell yang disematkan dengan dua kunci registri

Menambahkan dua kunci registri
Sumber: Kaspersky

Makro kemudian melanjutkan dengan menulis PowerShell dengan kode VB ke %ProgramData%. Cuplikan ini adalah stager ‘LitePower’ yang akan mengunduh muatan dan menerima perintah dari C2.

Perintah dan kontrol yang tidak jelas

Para aktor telah menempatkan domain C2 mereka di belakang Cloudflare untuk menyembunyikan alamat IP yang sebenarnya, tetapi Kaspersky dapat mengidentifikasi beberapa dari mereka dan menemukan bahwa mereka di-host di Ukraina dan Estonia.

Banyak dari domain ini berasal dari setidaknya Desember 2019, yang menunjukkan kemampuan WIRTE untuk menghindari deteksi, analisis, dan pelaporan untuk waktu yang lama.

Infrastruktur WIRTE C2 yang dipetakan
Sumber: Kaspersky

Intrusi terbaru menggunakan TCP/443 melalui HTTPS dalam komunikasi C2, tetapi mereka juga menggunakan port TCP 2096 dan 2087, seperti yang disebutkan dalam laporan 2019 oleh Lab52.

Fungsi tidur pada skrip
Sumber: Kaspersky

WIRTE sekarang terlihat secara tentatif memperluas cakupan penargetannya ke lembaga keuangan dan organisasi swasta besar, yang dapat merupakan hasil eksperimen atau perubahan fokus secara bertahap.

Kaspersky memperingatkan bahwa meskipun TTP yang digunakan oleh aktor-aktor ini sederhana dan agak biasa, mereka masih sangat efektif terhadap target kelompok.

Selengkapnya : Bleeping Computer

APT37 menargetkan jurnalis dengan malware multi-platform Chinotto

by

Kelompok peretas negara Korea Utara APT37 menargetkan jurnalis, pembelot, dan aktivis hak asasi manusia Korea Selatan, email spear-phishing, dan serangan smishing yang mengirimkan malware yang dijuluki Chinotto yang mampu menginfeksi perangkat Windows dan Android.

APT37 (alias Reaper) telah aktif setidaknya sejak 2012 dan merupakan kelompok ancaman persisten tingkat lanjut (APT) yang terkait dengan pemerintah Korea Utara dengan kepercayaan tinggi oleh FireEye.

Kelompok ini dikenal menargetkan individu yang berkepentingan dengan rezim Korea Utara, termasuk jurnalis, diplomat, dan pegawai pemerintah.

Chinotto, malware yang disebar memungkinkan kelompok peretas untuk mengontrol perangkat yang disusupi, memata-matai penggunanya melalui tangkapan layar, menyebarkan muatan tambahan, mengumpulkan data yang menarik, dan mengunggahnya ke server yang dikendalikan penyerang

Seperti yang ditemukan Kaspersky, pintu belakang tersebut dikirimkan ke perangkat korban beberapa bulan setelah penyusupan awal. Dalam satu kasus, para peretas menunggu selama enam bulan sebelum menginstal Chinotto, yang memungkinkan mereka untuk mengekstrak data sensitif dari perangkat yang terinfeksi.

APT37 Garis waktu serangan Chinotto (Kaspersky)

Chinotto adalah malware yang sangat dapat disesuaikan, seperti yang ditunjukkan oleh banyak varian yang ditemukan saat menganalisis kampanye, terkadang beberapa muatan disebarkan pada perangkat yang terinfeksi yang sama.

Varian Windows dan Android malware menggunakan pola komunikasi perintah-dan-kontrol yang sama dan mengirimkan informasi yang dicuri ke server web yang sebagian besar berlokasi di Korea Selatan.

Karena varian Android meminta izin tambahan pada perangkat yang disusupi, setelah diberikan, Chinotto dapat menggunakannya untuk mengumpulkan data sensitif dalam jumlah besar, termasuk kontak korban, pesan teks, log panggilan, info perangkat, dan bahkan rekaman audio.

Jika mereka menemukan dan mencuri kredensial korban, itu memungkinkan operator APT37 menjangkau target lain menggunakan kredensial yang dicuri melalui email dan media sosial.
APT37 Aliran serangan Chinotto

APT37 Aliran serangan Chinotto (Kaspersky)

“Singkatnya, pelaku menargetkan korban dengan kemungkinan serangan spear-phishing untuk sistem Windows dan smishing untuk sistem Android. Pelaku memanfaatkan versi Windows yang dapat dijalankan dan versi PowerShell untuk mengontrol sistem Windows,” Kaspersky menyimpulkan.

“Kami mungkin berasumsi bahwa jika host dan ponsel korban terinfeksi pada saat yang sama, operator malware dapat mengatasi otentikasi dua faktor dengan mencuri pesan SMS dari ponsel.”

Sumber : Bleeping Computer

Peretas negara Iran menggunakan malware yang telah di-upgrade dalam serangan terhadap perusahaan telekomunikasi

by

APT yang didukung negara Iran yang dikenal sebagai ‘Lyceum’ (Hexane, Spilrin) menargetkan ISP dan penyedia layanan telekomunikasi di Timur Tengah dan Afrika antara Juli dan Oktober 2021.

Selain Israel, yang secara permanen menjadi sasaran para peretas Iran, para peneliti telah melihat serangan malware backdoor Lyceum di Maroko, Tunisia, dan Arab Saudi.

Dalam kampanye terbaru yang dianalisis dalam laporan bersama antara peneliti di Accenture dan Prevailion, Lyceum terlihat menggunakan dua keluarga malware yang berbeda, dijuluki Shark dan Milan.

Backdoor Shark adalah executable 32-bit yang ditulis dalam C# dan .NET yang digunakan untuk menjalankan perintah dan mengekstrak data dari sistem yang terinfeksi.

Milan adalah trojan akses jarak jauh (RAT) 32-bit yang dapat mengambil data dari sistem yang disusupi dan mengekstraknya ke host yang berasal dari domain generation algorithms (DGA).

Kedua backdoor berkomunikasi melalui DNS dan HTTPS dengan server perintah dan kontrol (C2), dengan Shark juga menggunakan tunneling DNS.

Menurut analisis, yang mengungkapkan adanya pembaruan terus-menerus dari beacon dan payload, Lyceum tampaknya memantau peneliti yang menganalisis malware mereka untuk memperbarui kode mereka dan tetap berada di depan mekanisme pertahanan.

Kelompok peretas ini diyakini bermotivasi politik dan secara eksklusif tertarik pada spionase dunia maya daripada menyebabkan gangguan operasional terhadap target mereka.

Inilah sebabnya mengapa mereka fokus pada intrusi jaringan ISP, karena mengorbankan penyedia layanan tingkat tinggi adalah cara terbaik untuk mengumpulkan intelijen berharga di negara asing.

Selengkapnya: Bleeping Computer