Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Malware

Malware

Drokbk Malware Menggunakan GitHub sebagai Dead Drop Resolver

by

Sebuah sub kelompok dari kelompok ancaman COBALT MIRAGE Iran memanfaatkan Drokbk untuk kegigihan.

Peneliti Secureworks® Counter Threat Unit™ (CTU) sedang menyelidiki malware Drokbk, yang dioperasikan oleh subgrup Cluster B dari grup ancaman COBALT MIRAGE yang disponsori pemerintah Iran. Drokbk ditulis dalam .NET dan terdiri dari dropper dan payload. Malware memiliki fungsi bawaan yang terbatas dan terutama mengeksekusi perintah atau kode tambahan dari server perintah dan kontrol (C2). Tanda awal kemunculannya yaitu dalam intrusi Februari 2022 di jaringan pemerintah lokal AS. Sampel malware Drokbk tidak tersedia dari insiden tersebut untuk dianalisis, tetapi peneliti CTU™ menemukan sampel yang diunggah ke layanan analisis VirusTotal.

Intrusi Februari yang diselidiki oleh responden insiden Secureworks dimulai dengan kompromi server VMware Horizon menggunakan dua kerentanan Log4j (CVE-2021-44228 dan CVE-2021-45046). Artefak forensik menunjukkan Drokbk.exe diekstraksi dari arsip terkompresi (Drokbk.zip) yang dihosting di file transfer yang sah. sh layanan online. Aktor ancaman mengekstrak file ke C:\Users\DomainAdmin\Desktop\ dan kemudian menjalankannya.

Gambar 1 mengilustrasikan proses instalasi. Peneliti CTU telah mengamati bahwa operator Cluster B menyukai c:\users\public\ sebagai direktori yang digunakan di beberapa alat malware.

Gambar 1. Pohon proses untuk instalasi Drokbk

SessionService.exe adalah muatan malware utama, dan dimulai dengan menemukan domain C2-nya. Domain C2 sering kali dikonfigurasikan sebelumnya di malware. Namun, Drokbk menggunakan teknik dead drop resolver untuk menentukan server C2-nya dengan menghubungkan ke layanan resmi di internet (mis., GitHub). Informasi server C2 disimpan di layanan cloud di akun yang telah dikonfigurasi sebelumnya di malware atau yang dapat ditentukan lokasinya oleh malware.

Gambar 2. Kode yang digunakan untuk menemukan server C2 di dalam akun GitHub

Menggunakan informasi dari README.md, SessionService.exe mengirimkan permintaan awal ke server C2. Permintaan berisi nama host dan waktu saat ini (lihat Gambar 6).Selama eksekusi, peneliti CTU mengamati Drokbk membuat beberapa file. Tidak ada muatan atau perintah yang diterima dari C2 selama analisis.

Selengkapnya: Secureworks

APT37 Menggunakan Internet Explorer Zero-Day untuk Menyebarkan Malware

by

Grup ancaman Korea Utara APT37 dapat mengeksploitasi kerentanan zero-day Internet Explorer untuk menyebarkan dokumen yang sarat dengan malware sebagai bagian dari kampanye yang menargetkan pengguna di Korea Selatan, termasuk pembelot, jurnalis, dan kelompok hak asasi manusia.

Threat Analysis Group (TAG) milik google menemukan kelemahan zero-day di mesin JScript Internet Explorer pada akhir Oktober, dilacak di bawah CVE-2022-41128, dan sekarang melaporkan bahwa Microsoft responsif dan telah mengeluarkan tambalan yang sesuai.

Untuk memikat calon korban, dokumen jahat tersebut merujuk pada insiden penghancuran massa yang mematikan di Seoul yang terjadi selama perayaan Halloween pada 29 Oktober.

“Insiden ini dilaporkan secara luas, dan iming-iming tersebut memanfaatkan minat publik yang luas terhadap kecelakaan tersebut,” lapor tim TAG. “Ini bukan pertama kalinya APT37 menggunakan eksploitasi 0 hari Internet Explorer untuk menargetkan pengguna.”

sumber : dark reading

Clop Ransomware Menggunakan Malware TrueBot Untuk Akses ke Jaringan

by

Peneliti keamanan telah memperhatikan lonjakan perangkat yang terinfeksi pengunduh malware TrueBot yang dibuat oleh grup peretasan berbahasa Rusia yang dikenal sebagai Silence.

Grup Silence dikenal karena perampokannya yang besar terhadap lembaga keuangan, dan telah mulai beralih dari phishing sebagai vektor kompromi awal.

Infeksi truebot

silence hackers telah menanam malware mereka di lebih dari 1500 sistem di seluruh dunia untuk mengambil shellcode, cobalt strike beacon the grace malwaare

Kampanye baru dianalisis oleh para peneliti di Cisco Talos, yang mengamati beberapa vektor serangan baru yang digunakan sejak Agustus 2022. para peretas menginfeksi sistem dengan Truebot (Silence.Downloader) setelah mengeksploitasi kerentanan kritis di server Netwrix Auditor yang dilacak sebagai CVE-2022- 31199.

Laporan dari Microsoft pada bulan Oktober telah menghubungkan worm dengan distribusi ransomware Clop oleh aktor ancaman yang mereka lacak sebagai DEV-0950, yang aktivitas jahatnya tumpang tindih dengan FIN11 dan TA505 (dikenal menggunakan Clop).

Truebot adalah modul tahap pertama yang dapat mengumpulkan informasi dasar dan mengambil tangkapan layar. Itu juga mengekstraksi informasi hubungan kepercayaan Direktori Aktif yang membantu aktor ancaman merencanakan aktivitas pasca-infeksi.

Diagram Fungsi Truebot (Cisco Talos)

Alat eksfiltrasi data teleport baru

Pada fase pasca-kompromi, peretas menggunakan Truebot untuk menjatuhkan beacon Cobalt Strike atau malware Grace (FlawedGrace, GraceWire), yang dikaitkan dengan kelompok penjahat dunia maya TA505.

Setelah itu, penyusup menyebarkan Teleport, yang digambarkan Cisco sebagai alat kustom baru yang dibangun di C++ yang membantu peretas mencuri data secara diam-diam.

Saluran komunikasi antara Teleport dan server C2 dienkripsi. Operator dapat membatasi kecepatan unggah, memfilter file berdasarkan ukuran untuk mencuri lebih banyak, atau menghapus muatan. Semua ini dirancang untuk menjaga profil rendah pada mesin korban.

Teleportasi juga menampilkan opsi untuk mencuri file dari folder OneDrive, mengumpulkan email Outlook korban, atau menargetkan ekstensi file tertentu.

Dalam beberapa kasus, penyerang menyebarkan ransomware Clop setelah berpindah secara lateral ke sebanyak mungkin sistem dengan bantuan Cobalt Strike.

Aktivitas pasca-infeksi yang mengarah ke penerapan Clop (Cisco Talos)

Aktivitas silence gang
Silence melanjutkan serangan mereka dan dalam tiga tahun antara 2016 dan 2019 mereka mencuri setidaknya $4,2 juta dari bank-bank di bekas Uni Soviet, Eropa, Amerika Latin, dan Asia,

Pada dasarnya, mereka hanya menyerang organisasi di Russia namun Silence memperluas kemampuan mereka hingga titik global.

sumber : bleeping computer

Hacker masih mengeksploitasi Internet Explorer zero-days

by

Grup Analisis Ancaman Google (TAG) mengungkapkan bahwa sekelompok peretas Korea Utara yang dilacak sebagai APT37 mengeksploitasi kerentanan Internet Explorer yang sebelumnya tidak diketahui (dikenal sebagai zero-day) untuk menginfeksi target Korea Selatan dengan malware.

Google TAG mengetahui serangan baru-baru ini pada tanggal 31 Oktober ketika beberapa pengirim VirusTotal dari Korea Selatan mengunggah dokumen Microsoft Office berbahaya bernama “221031 Situasi tanggap kecelakaan Yongsan Itaewon Seoul (06:00).docx.”

Setelah dibuka di perangkat korban, dokumen tersebut akan mengirimkan muatan yang tidak diketahui setelah mengunduh template jarak jauh file teks kaya (RTF) yang akan merender HTML jarak jauh menggunakan Internet Explorer.

Memuat konten HTML yang mengirimkan eksploit dari jarak jauh memungkinkan penyerang untuk mengeksploitasi IE zero-day bahkan jika target tidak menggunakannya sebagai browser web default mereka.

Kerentanan (dilacak sebagai CVE-2022-41128) disebabkan oleh kelemahan dalam mesin JavaScript Internet Explorer, yang memungkinkan pelaku ancaman yang berhasil mengeksploitasinya untuk mengeksekusi kode arbitrer saat merender situs web yang dibuat secara berbahaya.

Microsoft menambalnya selama Patch Selasa bulan lalu, pada 8 November, lima hari setelah menetapkannya sebagai ID CVE menyusul laporan dari TAG yang diterima pada 31 Oktober.

Tidak ada informasi tentang malware yang didorong ke perangkat korban
Meskipun Google TAG tidak dapat menganalisis muatan jahat terakhir yang didistribusikan oleh peretas Korea Utara di komputer target Korea Selatan mereka, pelaku ancaman dikenal menyebarkan berbagai malware dalam serangan mereka.

“Meskipun kami tidak mendapatkan muatan akhir untuk kampanye ini, kami sebelumnya telah mengamati kelompok yang sama mengirimkan berbagai implan seperti ROKRAT, BLUELIGHT, dan DOLPHIN,” kata Clement Lecigne dan Benoit Stevens dari Google TAG.

“Implan APT37 biasanya menyalahgunakan layanan cloud yang sah sebagai saluran C2 dan menawarkan kemampuan yang khas dari sebagian besar backdoor.”

Kelompok ancaman ini dikenal karena memfokuskan serangannya pada individu yang berkepentingan dengan rezim Korea Utara, termasuk para pembangkang, diplomat, jurnalis, aktivis hak asasi manusia, dan pegawai pemerintah.

Sumber: Bleeping Computer

Tantangan TikTok ‘Invisible Body’ Dieksploitasi Untuk mendorong Malware

by

Peretas memanfaatkan tantangan TikTok yang sedang tren bernama ‘Tantangan Tak Terlihat’ untuk menginstal malware di ribuan perangkat dan mencuri kata sandi, akun Discord, dan, berpotensi, dompet cryptocurrency.

Tantangan TikTok yang baru dan sedang tren mengharuskan Anda memfilmkan diri Anda telanjang saat menggunakan filter “Tubuh Tak Terlihat” TikTok, yang menghapus tubuh dari video dan menggantinya dengan latar belakang buram.

Untuk memanfaatkan ini, pelaku ancaman membuat video TikTok yang mengklaim menawarkan filter “unfiltering” khusus untuk menghapus efek penyamaran tubuh TikTok dan mengekspos tubuh telanjang para TikToker.

perangkat lunak tersebut palsu dan menginstal malware “WASP Stealer (Discord Token Grabber)”, yang mampu mencuri akun Discord, kata sandi, dan kartu kredit yang disimpan di browser, dompet cryptocurrency, dan bahkan file dari komputer korban.

Video-video ini menerima lebih dari satu juta tampilan segera setelah diposting, dengan salah satu server Discord aktor ancaman mengumpulkan lebih dari 30.000 anggota.

Menargetkan tren TikTok
Pengguna TikTok yang sekarang ditangguhkan @learncyber dan @kodibtc membuat video untuk mempromosikan aplikasi perangkat lunak untuk “menghapus filter badan tak terlihat” yang ditawarkan di server Discord bernama “Space Unfilter.”

Pelaku ancaman telah memindahkan server Discord ini, tetapi Checkmarx menyatakan bahwa mereka memiliki sekitar 32.000 anggota pada satu titik.

Video TikTok yang diposting oleh penyerang (Checkmarx)

Setelah para korban bergabung dengan server Discord, mereka melihat tautan yang diposting oleh bot yang menunjuk ke repositori GitHub yang menghosting malware tersebut.

Setelah para korban bergabung dengan server Discord, mereka melihat tautan yang diposting oleh bot yang menunjuk ke repositori GitHub yang menghosting malware tersebut.

Serangan ini sangat sukses sehingga repositori jahat tersebut telah mencapai status “proyek GitHub yang sedang tren”, dan meskipun telah diganti namanya, saat ini memiliki 103 bintang dan 18 garpu

Paket jahat menyalin kode asli tetapi berisi modifikasi untuk menginstal malware WASP di host.

“Serangan ini menunjukkan lagi bahwa penyerang dunia maya telah mulai memusatkan perhatian mereka pada ekosistem paket sumber terbuka; Kami percaya tren ini hanya akan meningkat pada tahun 2023.”

Server Discord “Unfilter Space” dibuat offline, dengan pelaku ancaman mengklaim telah pindah ke server lain.

sumber : bleeping computer

34 Grup Cybercrime Rusia Mencuri Lebih dari 50 Juta Kata Sandi dengan Malware Stealer

by

Sebanyak 34 geng berbahasa Rusia mendistribusikan malware pencuri informasi di bawah model pencuri sebagai layanan mencuri tidak kurang dari 50 juta kata sandi dalam tujuh bulan pertama tahun 2022.

Mayoritas korban berada di AS, diikuti oleh Brasil, India, Jerman, Indonesia, Filipina, Prancis, Turki, Vietnam, dan Italia. Secara total, lebih dari 890.000 perangkat di 111 negara terinfeksi selama jangka waktu tersebut.

Group-IB mengatakan anggota dari beberapa grup scam yang menyebarkan pencuri informasi sebelumnya berpartisipasi dalam operasi Classiscam.

Setelah kompromi yang berhasil, para penjahat dunia maya menjajakan informasi yang dicuri di web gelap untuk mendapatkan uang.

Perkembangan tersebut menyoroti peran penting yang dimainkan oleh Telegram dalam memfasilitasi berbagai kegiatan kriminal, termasuk berfungsi sebagai pusat untuk mengumumkan pembaruan produk, menawarkan dukungan pelanggan, dan mengekstraksi data dari perangkat yang disusupi.

Temuan ini juga mengikuti laporan baru dari SEKOIA, yang mengungkapkan bahwa tujuh tim traffer yang berbeda telah menambahkan pencuri informasi yang sedang naik daun yang dikenal sebagai Aurora ke perangkat mereka.

“Popularitas skema yang melibatkan pencuri dapat dijelaskan dengan hambatan masuk yang rendah,” jelas Group-IB. “Pemula tidak perlu memiliki pengetahuan teknis lanjutan karena prosesnya sepenuhnya otomatis dan satu-satunya tugas pekerja adalah membuat file dengan pencuri di bot Telegram dan mengarahkan lalu lintas ke sana.”

sumber : the hacker news

Serangan DUCKTAIL Memakan Korban Ratusan Ribu Dolar

by Leave a Comment

“DUCKTAIL”, sebuah operasi kejahatan dunia maya yang berbasis di Vietnam yang ditemukan oleh WithSecure™ (sebelumnya dikenal sebagai bisnis F-Secure) awal tahun ini, terus mengembangkan operasinya, menurut sebuah analisis baru.

Sejak 2021, DUCKTAIL telah menggunakan LinkedIn untuk menargetkan individu dan organisasi yang beroperasi di platform Iklan dan Bisnis Facebook untuk membajak akun Facebook Business.

Aktivitas DUCKTAIL baru-baru ini yang diamati sejak awal September menampilkan beberapa perubahan pada mode operasinya, termasuk:

  • Jalan baru untuk menyasar target spear-phish, seperti WhatsApp.
  • Perubahan pada kemampuan malware dengan cara yang lebih kuat untuk mengambil alamat email yang dikontrol penyerang dan membuat malware terlihat lebih sah dengan membuka dokumen dummy dan file video saat diluncurkan.
  • Upaya berkelanjutan untuk penghindaran pertahanan dengan mengubah format dan kompilasi file, serta penandatanganan sertifikat.
  • Pengembangan sumber daya lebih lanjut dan perluasan operasional dengan mendirikan bisnis palsu tambahan di Vietnam dan memasukkan afiliasi ke dalam operasi.

Cara Mengatasi DUCKTAILL
Tim respons insiden WithSecure telah membantu beberapa organisasi korban merespons serangan dari DUCKTAIL dan ancaman lain yang menargetkan platform Iklan & Bisnis Facebook. Kerugian dari serangan ini berkisar antara satu hingga enam ratus ribu dolar kredit iklan.

Pembela dapat mengambil langkah-langkah berikut untuk melindungi diri dari DUCKTAIL dan ancaman serupa:

  • Tingkatkan kesadaran tentang spear-phishing di antara pengguna dengan akses ke akun bisnis Facebook/Meta.
  • Terapkan aplikasi yang diizinkan untuk mencegah eksekusi yang tidak diketahui berjalan.
  • Gunakan solusi EDR/EPP untuk mencegah dan mendeteksi malware pada tahap awal siklus serangan.
  • Pastikan perangkat terkelola atau pribadi yang digunakan dengan akun Facebook perusahaan memiliki kebersihan dan perlindungan dasar.
  • Gunakan penjelajahan pribadi untuk mengautentikasi setiap sesi kerja saat mengakses akun Facebook Business (sehingga sesi dilupakan setelah selesai, yang mencegah cookie dicuri dan disalahgunakan).
  • Follow Meta’s recommended security practices.
  • Unduh dan analisis log yang relevan secepat mungkin saat menanggapi insiden yang dicurigai.

sumber : with secure

Peretas Mengunci Operator Mars Stealer dari Server Mereka Sendiri

by

Mars Stealer adalah malware pencuri data sebagai layanan, memungkinkan penjahat dunia maya menyewa akses ke infrastruktur untuk meluncurkan serangan mereka sendiri. Malware itu sendiri sering didistribusikan sebagai lampiran email, iklan jahat, dan dibundel dengan file torrent di situs berbagi file. Setelah terinfeksi, malware mencuri kata sandi korban dan kode dua faktor dari ekstensi browser mereka, serta konten dompet mata uang kripto mereka. Malware juga dapat digunakan untuk mengirimkan muatan berbahaya lainnya, seperti ransomware.

Awal tahun ini, salinan crack dari malware Mars Stealer bocor secara online, memungkinkan siapa saja untuk membangun server perintah dan kontrol Mars Stealer mereka sendiri, tetapi dokumentasinya cacat, dan memandu calon aktor jahat untuk mengonfigurasi server mereka dengan cara yang akan secara tidak sengaja mengekspos file log yang dikemas dengan data pengguna yang dicuri dari komputer korban.

Mars Stealer mendapatkan daya tarik pada bulan Maret setelah pencopotan Raccoon Stealer, malware pencuri data populer lainnya. Itu menyebabkan peningkatan dalam kampanye Mars Stealer baru, termasuk penargetan massal Ukraina dalam minggu-minggu setelah invasi Rusia, dan upaya skala besar untuk menginfeksi korban dengan iklan berbahaya. Pada bulan April, peneliti keamanan mengatakan mereka menemukan lebih dari 40 server hosting Mars Stealer.

Sekarang, Buguard, startup pengujian penetrasi, mengatakan kerentanan yang ditemukannya dalam malware yang bocor memungkinkannya masuk dari jarak jauh dan “mengalahkan” server perintah dan kontrol Mars Stealer yang digunakan untuk mencuri data dari komputer korban yang terinfeksi.

kepala petugas teknologi perusahaan, memberi tahu TechCrunch bahwa kerentanan, setelah dieksploitasi, menghapus log dari server Mars Stealer yang ditargetkan, menghentikan semua sesi aktif yang memutuskan hubungan dengan komputer korban, lalu mengacak kata sandi dasbor sehingga operator dapat ‘ t login kembali.

Mohamed mengatakan perusahaannya telah menemukan dan menetralkan lima server Mars Stealer sejauh ini, empat di antaranya kemudian offline. Kerentanan juga ada di Erbium, malware pencuri data lainnya dengan model malware-as-a-service yang mirip dengan Mars Stealer, kata Mohamed.

sumber : tech crunch