Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Malware

Malware

Laporan ancaman malware mengungkapkan risiko pada Mac dibandingkan dengan Windows dan Linux

by

Sepanjang tahun ini kami telah melihat beberapa laporan tentang malware yang memengaruhi Mac. Sekarang Elastic Security Labs telah merilis Laporan Ancaman Global musim semi 2023. Ini menawarkan gambaran besar tentang keadaan malware termasuk seberapa sering malware itu memengaruhi Mac vs Windows dan Linux, malware yang paling umum secara keseluruhan, malware yang paling umum di Mac, dan banyak lagi.

Melihat ke seluruh Windows, Linux, dan Mac, penelitian terbaru Elastic menemukan bahwa Trojan adalah jenis malware paling umum yang mencapai lebih dari 75% dari total. Cryptominers dan ransomware adalah dua kategori umum berikutnya.

Mengenai distribusi malware yang ditemukan, sekitar 54% dari semua kejadian ditemukan di titik akhir Linux, dengan ~39% terjadi di sistem Windows.

Hanya 6% dari deteksi malware yang ditemukan di Mac.

Sementara Malwarebytes awal tahun ini membagikan laporan yang menunjukkan adware sebagai jenis malware yang paling umum di Mac, Elastic mengatakan bahwa mereka menemukan cryptominers sebagai malware dominan di Mac dengan taburan Rootkit yang muncul di awal tahun 2023.

9to5mac

Peretas Cina menggunakan varian malware Linux baru untuk spionase

by

Peretas menyebarkan varian malware Linux baru dalam serangan cyberespionage, seperti varian PingPull baru dan backdoor yang sebelumnya tidak berdokumen yang dilacak sebagai ‘Sword2033.’

PingPull adalah RAT (trojan akses jarak jauh) yang pertama kali didokumentasikan oleh Unit 42 musim panas lalu dalam serangan spionase yang dilakukan oleh grup Gallium yang disponsori negara China, juga dikenal sebagai Alloy Taurus. Serangan tersebut menargetkan pemerintah dan organisasi keuangan di Australia, Rusia, Belgia, Malaysia, Vietnam, dan Filipina.

Unit 42 terus memantau kampanye spionase ini dan hari ini melaporkan bahwa pelaku ancaman China menggunakan varian malware baru terhadap target di Afrika Selatan dan Nepal.

Unit 42 juga menemukan pintu belakang ELF baru yang berkomunikasi dengan server perintah dan kontrol yang sama (C2) dengan PingPull.

Ini adalah alat yang lebih sederhana dengan fungsi yang lebih mendasar seperti mengunggah file pada sistem yang dilanggar, mengekstraksi file, dan menjalankan perintah dengan “; echo \n” ditambahkan padanya.

Perintah gema menambahkan data acak pada log eksekusi, mungkin untuk membuat analisis lebih menantang atau mengaburkan aktivitasnya.

Unit 42 menemukan sampel Sword2023 kedua yang terkait dengan alamat C2 berbeda yang menyamar sebagai militer Afrika Selatan.

Sampel yang sama ditautkan ke alamat Soft Ether VPN, produk yang diketahui digunakan oleh Gallium dalam operasinya.

Peta C2 Gallium berdasarkan komunikasi malware (Unit 42)

Sebagai kesimpulan, Gallium terus menyempurnakan persenjataannya dan memperluas jangkauan targetnya menggunakan varian Linux baru dari PingPull dan backdoor Sword2023 yang baru ditemukan.

Organisasi harus mengadopsi strategi keamanan yang komprehensif untuk melawan ancaman canggih ini secara efektif daripada hanya mengandalkan metode deteksi statis.

selengkapnya : bleepingcomputer

URL Berbahaya Terkait ChatGPT Meningkat

by

Jumlah domain baru terdaftar dan squat yang terkait dengan ChatGPT tumbuh sebesar 910% setiap bulan antara November 2022 dan awal April 2023.

Temuan yang dibagikan oleh Unit 42 Palo Alto Networks hari ini juga menyebutkan pertumbuhan 17.818% domain squatting terkait dari log Keamanan DNS dalam jangka waktu yang sama.

Di antara tren yang diamati oleh para peneliti, beberapa URL phishing mencoba berpura-pura sebagai situs resmi OpenAI.

Palo Alto Networks juga mengamati beberapa scammer yang mengeksploitasi meningkatnya popularitas OpenAI untuk penipuan crypto, misalnya, mencoba menarik korban ke dalam acara giveaway crypto yang curang.

Tetapi beberapa situs penipuan sebenarnya memanfaatkan API ChatGPT resmi, yang disediakan oleh OpenAI pada bulan Maret.

Menurut tim, alat-alat ini, serta peningkatan umum dalam domain terdaftar dan domain jongkok yang terkait dengan ChatGPT, merupakan tren yang berkembang.

“Agar tetap aman, pengguna ChatGPT harus berhati-hati dengan email atau tautan mencurigakan yang terkait dengan ChatGPT,” bunyi peringatan tersebut. “Selain itu, penggunaan chatbot peniru akan membawa risiko keamanan ekstra. Pengguna harus selalu mengakses ChatGPT melalui situs resmi OpenAI.”

selengkapnya : infosecurity-magazine.com

Serangan Ransomware 2023: Sorotan Kuartal Pertama

by

Pada Q1 2023, kami mengamati hampir 850 organisasi diberi nama di situs ransomware dan pemerasan data di web gelap. Ini adalah lompatan 22,4% dari kuartal sebelumnya, yang memiliki jumlah total mendekati 700. Tidak mengherankan, “LockBit” tetap menjadi grup yang paling aktif, dengan selisih yang lebar. Tapi tempat nomor dua datang dari pesaing di menit-menit terakhir: Clop, dengan eksploitasi GoAnywhere.

Jumlah korban disebutkan di 20 situs kebocoran data ransomware teratas, Q1 2023

Maret 2023 mencatat rekor bulan paling aktif yang pernah kami catat dalam sejarah ransomware pemerasan ganda. Lebih dari 400 organisasi disebutkan di situs kebocoran data ransomware; itu 35% lebih banyak dari rekor bulanan sebelumnya.

Aktivitas ransomware menurut bulan sejak Maret 2022

serangan hanya pemerasan berkurang secara substansial: sebesar 90%. Kita berbicara tentang kelompok ancaman yang mencuri data, mengancam untuk membocorkannya di situs kebocoran data, dan kemudian tidak mengenkripsi file. Terobosan dalam aktivitas hanya pemerasan mungkin dapat dijelaskan oleh kelompok pemerasan terkemuka, “Tim Peretasan Karakurt”, sebagian besar tidak aktif.

Aktivitas pemerasan berdasarkan bulan sejak Maret 2022

Ini tidak berarti bahwa serangan pemerasan saja sudah ketinggalan zaman. Jumlah yang dianalisis terbatas pada kelompok pemerasan yang dikonfirmasi yang menyebutkan nama korban di situs kebocoran data, dan ada ratusan pelaku ancaman yang mencuri data dan malah mengekspos organisasi di forum penjahat dunia maya bawah tanah, seperti XSS atau Exploit. Plus, kampanye terbaru Clop, yang menargetkan kelemahan GoAnywhere, dapat dianggap sebagai kampanye pemerasan saja.

Sebaran korban per sektor lebih merata, meski sektor industri barang dan jasa tetap menjadi target paling banyak dengan 21,1% dari seluruh korban. Peningkatan serangan industri perawatan kesehatan merupakan temuan penting; lebih dari 30 organisasi layanan kesehatan disebutkan di situs kebocoran data pada Maret 2023. Itu lebih dari yang kami amati selama empat kuartal terakhir.

selengkapnya : reliaquest.com

Peretas Lazarus sekarang mendorong malware Linux melalui tawaran pekerjaan palsu

by

Kampanye Lazarus baru yang dianggap sebagai bagian dari “Operation DreamJob” telah ditemukan menargetkan pengguna Linux dengan malware untuk pertama kalinya.

Penargetan baru ini ditemukan oleh peneliti ESET, yang mengatakan hal itu juga membantu mengonfirmasi dengan keyakinan tinggi bahwa Lazarus melakukan serangan rantai pasokan baru-baru ini pada penyedia VoIP 3CX.

Serangan itu ditemukan pada Maret 2023, membahayakan banyak perusahaan yang menggunakan klien 3CX versi trojan dengan trojan pencuri informasi.

Hari ini, Mandiant menerbitkan hasil investigasi mereka terhadap pelanggaran 3CX, yang selanjutnya menghubungkan serangan tersebut dengan aktor ancaman Korea Utara.

Mandiant mengatakan lingkungan pengembang 3CX dikompromikan setelah seorang karyawan memasang perangkat lunak perdagangan dari Trading Technologies, yang penginstalnya telah di-trojanisasi dalam serangan rantai pasokan Korea Utara lainnya.

Operasi DreamJob Lazarus, juga dikenal sebagai Nukesped, adalah operasi berkelanjutan yang menargetkan orang-orang yang bekerja di platform perangkat lunak atau DeFi dengan tawaran pekerjaan palsu di LinkedIn atau media sosial dan platform komunikasi lainnya.

Serangan rekayasa sosial ini berupaya mengelabui korban agar mengunduh file berbahaya yang disamarkan sebagai dokumen yang berisi perincian tentang posisi yang ditawarkan. Namun, dokumen tersebut justru menjatuhkan malware di komputer korban.

Selengkapnya: Bleeping Computer

Malware Linux memperkuat hubungan antara Lazarus dan serangan rantai pasokan 3CX

by

Kemiripan dengan malware Linux yang baru ditemukan yang digunakan dalam Operasi DreamJob menguatkan teori bahwa kelompok yang selaras dengan Korea Utara berada di balik serangan rantai pasokan 3CX

Peneliti ESET telah menemukan kampanye Lazarus Operation DreamJob baru yang menargetkan pengguna Linux. Operation DreamJob adalah nama untuk serangkaian kampanye di mana grup tersebut menggunakan teknik rekayasa sosial untuk mengkompromikan targetnya, dengan tawaran pekerjaan palsu sebagai iming-imingnya.

Dalam kasus ini, peneliti dapat merekonstruksi rantai penuh, dari file ZIP yang mengirimkan tawaran pekerjaan HSBC palsu sebagai umpan, hingga muatan terakhir: backdoor SimplexTea Linux yang didistribusikan melalui akun penyimpanan cloud OpenDrive. Sepengetahuan peneliti, ini adalah penyebutan publik pertama dari aktor ancaman besar yang selaras dengan Korea Utara ini menggunakan malware Linux sebagai bagian dari operasi ini.

Selain itu, penemuan ini membantu peneliti mengonfirmasi dengan tingkat kepercayaan yang tinggi bahwa serangan rantai pasokan 3CX baru-baru ini sebenarnya dilakukan oleh Lazarus – tautan yang dicurigai sejak awal dan ditunjukkan oleh beberapa peneliti keamanan sejak saat itu. Dalam posting blog ini, peneliti menguatkan temuan ini dan memberikan bukti tambahan tentang hubungan antara Lazarus dan serangan rantai pasokan 3CX.

Selengkapnya: We Live Security

Maret 2023 memecahkan rekor serangan ransomware dengan 459 insiden

by

Maret 2023 adalah bulan paling produktif yang dicatat oleh analis keamanan siber dalam beberapa tahun terakhir, dengan mencatat 459 serangan, meningkat 91% dari bulan sebelumnya dan 62% dibandingkan Maret 2022.

Menurut NCC Group, yang menyusun laporan berdasarkan statistik yang diperoleh dari pengamatannya, alasan bulan lalu memecahkan semua rekor serangan ransomware adalah CVE-2023-0669.

Aktivitas Maret 2023 melanjutkan tren kenaikan yang diamati oleh NCC Group sejak awal tahun (Januari dan Februari), dengan jumlah insiden peretasan dan kebocoran data tertinggi yang tercatat dalam tiga tahun terakhir.

Grafik serangan ransomware bulanan, biru tua: 2022, biru muda: 2023 (NCC Group)

Clop melakukan 129 serangan yang tercatat bulan lalu, memuncaki grafik NCC Group dengan geng ransomware paling aktif untuk pertama kalinya dalam sejarah operasionalnya.

Grup ransomware lain yang memiliki aktivitas relatif signifikan selama Maret 2023 adalah Royal ransomware, BlackCat (ALPHV), Bianlian, Play, Blackbasta, Stormous, Medusa, dan Ransomhouse.

Menutup lonjakan aktivitas ransomware (NCC Group)

Lonjakan aktivitas yang terekam pada bulan Maret 2023 menyoroti pentingnya menerapkan pembaruan keamanan sesegera mungkin, mengurangi celah keamanan yang berpotensi tidak diketahui seperti nol hari dengan menerapkan tindakan tambahan dan memantau lalu lintas jaringan dan log untuk aktivitas yang mencurigakan.

selengkapnya : bleepingcomputer.com

Malware Android Chameleon baru meniru aplikasi bank, pemerintah, dan crypto

by

Trojan Android baru yang disebut ‘Chameleon’ telah menargetkan pengguna di Australia dan Polandia sejak awal tahun, meniru pertukaran cryptocurrency CoinSpot, lembaga pemerintah Australia, dan bank IKO.

Malware seluler ditemukan oleh perusahaan cybersecurity Cyble, yang melaporkan melihat distribusi melalui situs web yang disusupi, lampiran Discord, dan layanan hosting Bitbucket.

Chameleon menyertakan berbagai fungsi berbahaya, termasuk mencuri kredensial pengguna melalui injeksi overlay dan keylogging, cookie, dan teks SMS dari perangkat yang terinfeksi.

Cyble juga mengamati kode yang memungkinkan Chameleon mengunduh payload selama runtime dan menyimpannya di host sebagai file “.jar”, untuk dieksekusi nanti melalui DexClassLoader. Namun, fitur ini saat ini tidak digunakan.

Chameleon adalah ancaman yang muncul yang dapat menambahkan lebih banyak fitur dan kemampuan di versi mendatang.

Pengguna Android disarankan untuk berhati-hati dengan aplikasi yang dipasang di perangkat mereka, hanya mengunduh perangkat lunak dari toko resmi, dan memastikan bahwa Google Play Protect selalu diaktifkan.

selengkapnya : bleepingcomputer.com