Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Malware

Malware

Malware BLISTER menyelinap masuk tanpa diketahui di sistem Windows

by

Peneliti keamanan telah menemukan kampanye jahat yang mengandalkan sertifikat penandatanganan kode yang valid untuk menyamarkan kode berbahaya sebagai file executable yang sah.

Salah satu muatan yang oleh para peneliti disebut Blister, bertindak sebagai pemuat malware lain dan tampaknya menjadi ancaman baru yang menikmati tingkat deteksi rendah.

Pelaku ancaman di balik Blister telah mengandalkan beberapa teknik untuk menjaga serangan mereka di bawah radar, penggunaan sertifikat penandatanganan kode hanya salah satu trik mereka.

Dalam posting blog minggu ini, Elastic mengatakan bahwa mereka secara bertanggung jawab melaporkan sertifikat yang disalahgunakan ke Sectigo sehingga dapat dicabut.

Para peneliti mengatakan bahwa pelaku ancaman mengandalkan berbagai teknik untuk menjaga agar serangan tidak terdeteksi. Salah satu metodenya adalah menyematkan malware Blister ke pustaka yang sah (mis. colorui.dll).

Malware kemudian dieksekusi dengan hak istimewa melalui perintah rundll32. Ditandatangani dengan sertifikat yang valid dan digunakan dengan hak administrator membuat Blister lolos dari solusi keamanan.

Pada langkah berikutnya, Blister memecahkan kode dari kode bootstrap bagian sumber daya yang “sangat dikaburkan,” kata peneliti Elastic. Selama sepuluh menit, kode tetap tidak aktif, kemungkinan dalam upaya untuk menghindari analisis sandbox.

Kemudian beraksi dengan mendekripsi muatan tertanam yang menyediakan akses jarak jauh dan memungkinkan gerakan lateral: Cobalt Strike dan BitRAT – keduanya telah digunakan oleh beberapa pelaku ancaman di masa lalu.

Selengkapnya: Bleeping Computer

Malware pencuri informasi TinyNuke kembali menyerang pengguna Prancis

by

Malware pencuri informasi TinyNuke telah muncul kembali dalam kampanye baru yang menargetkan pengguna Prancis dengan umpan bertema faktur dalam email yang dikirim ke alamat perusahaan dan individu yang bekerja di bidang manufaktur, teknologi, konstruksi, dan layanan bisnis.

Tujuan dari kampanye ini adalah untuk mencuri kredensial dan informasi pribadi lainnya dan menginstal muatan tambahan ke sistem yang disusupi.

Menurut peneliti di Proofpoint yang telah mengikuti kampanye ini, kemunculan kembali ini bermanifestasi melalui dua rangkaian aktivitas yang berbeda, dengan infrastruktur C2 terpisah, muatan, dan tema iming-iming.

Ini juga dapat menunjukkan bahwa malware digunakan oleh dua aktor berbeda, satu terkait dengan aktor TinyNuke awal dan satu terkait dengan aktor yang biasanya menggunakan alat komoditas.

Aktor tersebut mengkompromikan situs web Prancis yang sah untuk meng-host URL payload, sementara yang dapat dieksekusi disamarkan sebagai perangkat lunak yang tidak berbahaya.

Dalam hal kemampuan, payload TinyNuke dapat mencuri kredensial dengan kemampuan mengambil formulir dan kemampuan web-inject untuk Firefox, Internet Explorer, dan Chrome, dan juga dapat memasang muatan tambahan.

Sangat penting untuk tetap waspada dan menghindari mengklik tombol tersemat yang mengarah ke situs yang menghosting executable terkompresi berbahaya.

Karena situs-situs ini dinyatakan sah, solusi keamanan Internet Anda mungkin tidak menimbulkan tanda apa pun, jadi disarankan untuk sangat berhati-hati.

Selengkapnya: Bleeping Computer

Penipuan Android berbahaya menguras rekening bank Anda dengan satu panggilan telepon

by

Pemilik perangkat Android sekarang memiliki penipuan lain yang harus diwaspadai karena kampanye malware berbahaya menyebar ke wilayah baru.

Pakar keamanan siber dari Cleafy mengatakan bahwa mereka telah melihat lonjakan infeksi trojan akses jarak jauh (RAT) Android selama setahun terakhir.

Menurut Cleafy, BRATA – malware yang pertama kali ditemukan di Brasil – telah menyebar ke Italia. Peretas menggunakan trojan untuk mencuri detail perbankan dari pengguna Android dan kemudian menguras rekening bank mereka.

Seperti yang dijelaskan oleh pakar keamanan siber, versi baru malware BRATA ini sulit dideteksi.

Pertama, pelaku ancaman mengirim pesan teks SMS berisi tautan ke situs web. Teks tersebut tampaknya berasal dari bank. Ini adalah taktik yang dikenal sebagai smishing (phishing dengan SMS). Jika korban mengklik tautan tersebut, situs yang mereka kunjungi akan meminta mereka untuk mengunduh aplikasi anti-spam. Situs tersebut juga memberi tahu korban bahwa operator bank akan segera menghubungi mereka untuk membahas aplikasi yang mereka unduh.

Di sinilah BRATA berdiri terpisah dari kampanye malware Android umum lainnya.

Setelah Anda mengunjungi situs dan menawarkan informasi Anda, Anda akan menerima telepon dari operator penipuan. Orang sungguhan kemudian akan mencoba mempengaruhi Anda untuk mengunduh aplikasi berbahaya. Mereka akan menggunakan berbagai teknik rekayasa sosial untuk meyakinkan Anda bahwa mereka bekerja dengan bank. Jika Anda jatuh cinta, Anda mungkin akan menginstal aplikasi yang dapat digunakan peretas untuk mengontrol ponsel Anda.

Selengkapnya: BGR

Pria Rusia Dihukum 60 Bulan Penjara karena Menjalankan Hosting ‘Bulleproof’ untuk Kejahatan Dunia Maya

by

Seorang warga negara Rusia yang dituduh menyediakan apa yang disebut layanan hosting antipeluru untuk penjahat dunia maya yang digunakan untuk menyebarkan malware dan menyerang organisasi dan lembaga keuangan AS telah menerima hukuman penjara 60 bulan.

Aleksandr Grichishkin, 34, menawarkan layanan infrastruktur teknologi, termasuk alamat IP, server, dan domain, bagi penjahat dunia maya untuk membuat botnet, menginfeksi organisasi yang ditargetkan dengan malware, dan mencuri kredensial perbankan. Organisasinya mendukung penjahat siber yang menargetkan organisasi AS dalam kampanye serangan siber antara 2009 dan 2015.

Di antara galeri malware jahat yang dihosting di sistem: Zeus, SpyEye, Citadel, dan Blackhole Exploit Kit. Dua komplotan Grichishkin telah dijatuhi hukuman penjara: Pavel Stassi, 30, dari Estonia (24 bulan), dan Aleksandr Skorodumov, 33, dari Lithuania, (48 bulan).

Menurut dokumen pengadilan, Grichishkin adalah pendiri dan pemimpin organisasi hosting antipeluru yang menyewakan alamat internet protocol (IP), server, dan domain kepada klien penjahat dunia maya yang menggunakan infrastruktur teknis ini untuk menyebarkan malware yang memungkinkan mereka mendapatkan akses ke komputer korban, membentuk botnet, dan mencuri kredensial perbankan untuk digunakan dalam penipuan.

Grichishkin juga membantu klien menghindari deteksi oleh penegak hukum dan melanjutkan kejahatan mereka tanpa gangguan dengan memantau situs yang digunakan untuk memblokir infrastruktur teknis yang digunakan untuk kejahatan, memindahkan konten yang “ditandai” ke infrastruktur baru, dan mendaftarkan semua infrastruktur tersebut dengan identitas palsu atau dicuri.

Selengkapnya: Justice

KMSPico Windows Activator Berbahaya Mencuri Dompet Cryptocurrency Pengguna

by

Pengguna yang ingin mengaktifkan Windows tanpa menggunakan lisensi digital atau product key sedang ditargetkan oleh installer berbahaya untuk menyebarkan malware yang dirancang untuk mencuri kredensial dan informasi lainnya di dompet cryptocurrency.

Malware, yang dijuluki sebagai “CryptBot,” adalah pencuri informasi yang mampu memperoleh kredensial untuk browser, dompet cryptocurrency, cookie browser, kartu kredit, dan menangkap tangkapan layar dari sistem yang terinfeksi. Disebarkan melalui software bajakan, serangan terbaru melibatkan malware yang menyamar sebagai KMSPico.

KMSPico adalah alat tidak resmi yang digunakan untuk mengaktifkan fitur lengkap salinan perangkat lunak bajakan seperti Microsoft Windows dan Office suite tanpa benar-benar memiliki kunci lisensi.

“Pengguna terinfeksi dengan mengklik salah satu tautan berbahaya dan mengunduh KMSPico, Cryptbot, atau malware lain tanpa KMSPico,” kata peneliti Red Canary Tony Lambert dalam laporan yang diterbitkan minggu lalu. “Penyerang akan menginstal KMSPico juga, karena itulah yang diharapkan korban terjadi, sambil secara bersamaan menyebarkan Cryptbot di belakang layar.”

Perusahaan keamanan siber Amerika mengatakan juga mengamati beberapa departemen TI menggunakan perangkat lunak tidak sah alih-alih lisensi Microsoft yang valid untuk mengaktifkan sistem, ditambah installer KMSpico yang diubah didistribusikan melalui sejumlah situs web yang mengklaim menawarkan versi “resmi” dari aktivator.

Selengkapnya: The Hacker News

Emotet sekarang menjatuhkan Cobalt Strike, mempercepat serangan ransomware

by

Dalam perkembangan yang mengkhawatirkan, malware Emotet yang terkenal sekarang menginstal beacon Cobalt Strike secara langsung, memberikan akses jaringan langsung ke pelaku ancaman dan membuat serangan ransomware segera diluncurkan. Temuan ini ditemukan oleh Kelompok riset Emotet Cryptolaemus.

Emotet adalah infeksi malware yang menyebar melalui email spam yang berisi dokumen Word atau Excel berbahaya. Dokumen-dokumen ini menggunakan makro untuk mengunduh dan menginstal Trojan Emotet di komputer korban, yang kemudian digunakan untuk mencuri email dan menyebarkan malware lebih lanjut ke perangkat.

Secara historis, Emotet akan menginstal trojan TrickBot atau Qbot pada perangkat yang terinfeksi. Trojan ini pada akhirnya akan menyebarkan Cobalt Strike pada perangkat yang terinfeksi atau melakukan perilaku jahat lainnya.

Sekarang setelah muatan malware awal ini dilewati, pelaku ancaman akan memiliki akses langsung ke jaringan untuk menyebar secara lateral, mencuri data, dan menyebarkan ransomware dengan cepat.

Penyebaran cepat Cobalt Strike ini kemungkinan akan mempercepat penyebaran ransomware di jaringan yang disusupi. Hal ini terutama berlaku untuk geng ransomware Conti yang meyakinkan operator Emotet untuk kembali setelah mereka ditutup oleh penegak hukum pada bulan Januari.

Selengkapnya: Bleeping Computer

Microsoft menyita situs yang digunakan oleh peretas negara bagian APT15 China

by

Microsoft menyita lusinan situs berbahaya yang digunakan oleh kelompok peretas berbasis di Nikel China yang menargetkan organisasi di AS dan 28 negara lain di seluruh dunia.

Aktor ancaman Nikel (juga dilacak sebagai KE3CHANG, APT15, Vixen Panda, Royal APT, dan Playful Dragon) menyusup ke server organisasi pemerintah, entitas diplomatik, dan organisasi non-pemerintah (LSM) di 29 negara, terutama dari Eropa dan Amerika Latin.

“Kami yakin serangan ini sebagian besar digunakan untuk pengumpulan intelijen dari lembaga pemerintah, think tank, dan organisasi hak asasi manusia.”

Microsoft dapat menghapus infrastruktur Nikel setelah Pengadilan Distrik AS untuk Distrik Timur Virginia memberikan perintah menyusul pengaduan yang diajukan pada 2 Desember.

Menurut perintah pengadilan domain dialihkan untuk mengamankan server dengan mengubah server nama resmi menjadi NS104a.microsoftintemetsafety.net dan NS104b.microsoftintemetsafety.net.”

Unit Kejahatan Digital (DCU) Microsoft pertama kali melihat kelompok ancaman di balik domain berbahaya ini pada 2016. Mandiant melacak mereka sebagai Ke3chang dan mengatakan mereka telah aktif setidaknya sejak 2010.

Sejak 2019, itu diamati menargetkan entitas pemerintah di seluruh Amerika Latin dan Eropa oleh Microsoft’s Threat Intelligence Center (MSTIC) dan Digital Security Unit (DSU).

Tujuan akhir Nickel adalah untuk menyebarkan malware di server yang disusupi yang memungkinkan operatornya memantau aktivitas korban mereka, serta mengumpulkan data dan mengekstraknya ke server di bawah kendali mereka.

Peretas tersebut menggunakan pemasok VPN (jaringan pribadi virtual) pihak ketiga yang disusupi, kredensial yang dicuri dalam kampanye spear-phishing, dan memanfaatkan penargetan Exchange Server dan server SharePoint lokal yang belum ditambal untuk meretas ke jaringan target mereka.

Nickel Target

“Sampai saat ini, dalam 24 tuntutan hukum kami telah menghapus lebih dari 10.000 situs web jahat yang digunakan oleh penjahat dunia maya dan hampir 600 situs yang digunakan oleh aktor negara-bangsa,” tambah Burt.

“Kami juga telah berhasil memblokir pendaftaran 600.000 situs untuk mendahului pelaku kriminal yang berencana menggunakannya secara jahat di masa depan.”

Pada Maret 2020, perusahaan mengambil alih infrastruktur berbasis di AS yang digunakan botnet spam Necurs untuk mendistribusikan muatan malware dan menginfeksi jutaan komputer.

Menurut Microsoft, sebelum diturunkan, Necurs mengirim sekitar 3,8 juta pesan spam ke lebih dari 40,6 juta target hanya dalam 58 hari.

Redmond juga menggugat kelompok spionase cyber Thallium yang terkait dengan Korea Utara pada Desember 2019 dan menyita 50 domain bagian dari infrastruktur domain berbahaya kelompok peretasan.

Unit Kejahatan Digital Microsoft juga mengganggu aktor ancaman APT35 (alias Charming Kitten, Phosphorus, atau Tim Keamanan Ajax) yang didukung Iran pada Desember 2019 setelah mengambil alih server yang digunakan dalam serangan sibernya.

Sumber : Bleeping Computer

Finlandia memperingatkan malware Flubot yang menargetkan pengguna Android

by

Pusat Keamanan Siber Nasional Finlandia (NCSC-FI) telah mengeluarkan “peringatan parah” kampanye besar-besaran yang menargetkan pengguna Android negara itu dengan malware perbankan Flubot yang didorong melalui pesan teks yang dikirim dari perangkat yang disusupi.

Kampanye spam tersebut menggunakan tema pesan suara, meminta target untuk membuka tautan yang memungkinkan mereka mengakses pesan pesan suara atau pesan dari operator seluler.

Namun, penerima SMS dialihkan ke situs berbahaya yang mendorong penginstal APK untuk menyebarkan malware perbankan Flubot di perangkat Android mereka alih-alih membuka pesan suara.

Target yang menggunakan iPhone atau perangkat lain hanya akan dialihkan ke halaman penipuan dan kemungkinan juga berbahaya lainnya seperti halaman arahan phishing yang mencoba mengelabui detail kartu kredit mereka.

“Kami berhasil menghilangkan FluBot hampir sepenuhnya dari Finlandia pada akhir musim panas berkat kerja sama antara pihak berwenang dan operator telekomunikasi. Kampanye malware yang aktif saat ini adalah yang baru, karena tindakan pengendalian yang diterapkan sebelumnya tidak efektif,” kata NCSC-FI penasihat keamanan informasi Aino-Maria Väyrynen.

Malware perbankan ini (juga dikenal sebagai Fedex Banker dan Cabassous) telah aktif sejak akhir 2020 dan digunakan untuk mencuri kredensial perbankan, informasi pembayaran, pesan teks, dan kontak dari perangkat yang terinfeksi.

Awalnya, botnet terutama menargetkan pengguna Android dari Spanyol. Namun, sekarang telah diperluas untuk menargetkan negara-negara Eropa tambahan (Jerman, Polandia, Hongaria, Inggris, Swiss) dan Australia dan Jepang dalam beberapa bulan terakhir.

Setelah menginfeksi perangkat Android, Flubot menyebar ke orang lain dengan mengirim spam pesan teks ke kontak yang dicuri dan menginstruksikan target untuk menginstal aplikasi yang mengandung malware dalam bentuk APK. Bulan lalu, Flubot juga mulai menipu korbannya agar menginfeksi diri mereka sendiri menggunakan pembaruan keamanan palsu yang memperingatkan infeksi Flubot.

Setelah digunakan pada perangkat baru, ia akan mencoba mengelabui korban agar memberikan izin tambahan dan memberikan akses ke layanan Aksesibilitas Android, yang memungkinkannya menyembunyikan dan menjalankan tugas berbahaya di latar belakang.

Kemudian mengambil alih perangkat yang terinfeksi, mendapatkan akses ke pembayaran korban dan info perbankan melalui halaman webview phishing yang dihamparkan di atas antarmuka aplikasi mobile banking dan cryptocurrency yang sah.

Flubot juga mengekstrak buku alamat ke server perintah-dan-kontrol (dengan kontak kemudian dikirim ke bot Flubot lain untuk mendorong spam), membaca pesan SMS, membuat panggilan telepon, dan memantau pemberitahuan sistem untuk aktivitas aplikasi.

Mereka yang telah menginfeksi perangkat mereka dengan malware Flubot disarankan untuk mengambil langkah-langkah berikut:

  • Lakukan reset pabrik pada perangkat. Jika Anda memulihkan pengaturan dari cadangan, pastikan Anda memulihkan dari cadangan yang dibuat sebelum malware diinstal.
  • Jika Anda menggunakan aplikasi perbankan atau menangani informasi kartu kredit pada perangkat yang terinfeksi, hubungi bank Anda.
  • Laporkan kerugian finansial apa pun kepada polisi.
  • Atur ulang kata sandi Anda pada layanan apa pun yang telah Anda gunakan dengan perangkat. Malware mungkin telah mencuri kata sandi Anda jika Anda masuk setelah menginstal malware.
  • Hubungi operator Anda, karena langganan Anda mungkin telah digunakan untuk mengirim pesan teks dengan dikenakan biaya. Malware yang saat ini aktif untuk perangkat Android menyebar dengan mengirim pesan teks dari perangkat yang terinfeksi.

Sumber : Bleeping Computer