Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Malware

Malware

Server Microsoft Exchange diretas dalam serangan rantai balasan internal

by

Pelaku ancaman meretas server Microsoft Exchange menggunakan ProxyShell dan eksploitasi ProxyLogon untuk mendistribusikan malware dan melewati deteksi menggunakan email rantai balasan internal yang dicuri.

Peneliti TrendMicro telah menemukan taktik menarik yang digunakan untuk mendistribusikan email berbahaya ke pengguna internal perusahaan menggunakan server pertukaran Microsoft milik korban.

Pelaku di balik serangan ini diyakini sebagai ‘TR’, aktor ancaman terkenal yang mendistribusikan email dengan lampiran berbahaya yang menjatuhkan malware, termasuk Qbot, IcedID, Cobalt Strike, dan muatan SquirrelWaffle.

Aktor tersebut mengelabui target perusahaan agar membuka lampiran berbahaya, mengeksploitasi server Microsoft Exchange menggunakan kerentanan ProxyShell dan ProxyLogon.

Pelaku ancaman kemudian menggunakan server Exchange yang disusupi ini untuk membalas email internal perusahaan dalam serangan berantai balasan yang berisi tautan ke dokumen berbahaya yang menginstal berbagai malware.

Salah satu email Squirrelwaffle ke target
Sumber: TrendMicro

Karena email ini berasal dari jaringan internal yang sama dan tampaknya merupakan kelanjutan dari diskusi sebelumnya antara dua karyawan, ini mengarah pada tingkat kepercayaan yang lebih besar bahwa email tersebut sah dan aman.

Dokumen Microsoft Excel berbahaya yang digunakan oleh SquirrelWaffle

Menurut laporan Trend Micro, para peneliti mengatakan bahwa mereka telah melihat serangan ini mendistribusikan pemuat SquirrelWaffle, yang kemudian menginstal Qbot.

Namun, peneliti Cryptolaemus ‘TheAnalyst’ mengatakan bahwa dokumen berbahaya yang digunakan oleh aktor ancaman ini menjatuhkan kedua malware sebagai muatan terpisah, bukan SquirrelWaffle yang mendistribusikan Qbot.

Microsoft telah memperbaiki kerentanan ProxyLogon pada bulan Maret dan kerentanan ProxyShell pada bulan April dan Mei, menanganinya sebagai zero-day pada saat itu.

Pelaku ancaman telah menyalahgunakan kedua kerentanan untuk menyebarkan ransomware atau menginstal webshell untuk akses pintu belakang nanti. Serangan ProxyLogon menjadi sangat buruk sehingga FBI menghapus web shell dari server Microsoft Exchange yang berbasis di AS tanpa terlebih dahulu memberi tahu pemilik server.

Setelah sekian lama dan media luas kerentanan ini telah diterima, tidak menambal Exchange Server hanyalah undangan terbuka untuk peretas.

Sumber : Bleeping Computer

Berikut adalah kampanye spam Emotet baru yang menghantam kotak surat di seluruh dunia

by

Malware Emotet mulai beraksi kemarin setelah jeda sepuluh bulan dengan beberapa kampanye spam yang mengirimkan dokumen berbahaya ke kotak surat di seluruh dunia.

Emotet adalah infeksi malware yang didistribusikan melalui kampanye spam dengan lampiran berbahaya. Jika pengguna membuka lampiran, makro atau JavaScript berbahaya akan mengunduh Emotet DLL dan memuatnya ke dalam memori menggunakan PowerShell.

Setelah dimuat, malware akan mencari dan mencuri email untuk digunakan dalam kampanye spam di masa mendatang dan menjatuhkan muatan tambahan seperti TrickBot atau Qbot yang biasanya menyebabkan infeksi ransomware.

Peneliti cybersecurity Brad Duncan menerbitkan SANS Handler Diary tentang bagaimana botnet Emotet mulai mengirim spam ke beberapa kampanye email untuk menginfeksi perangkat dengan malware Emotet.

Menurut Duncan, kampanye spam menggunakan email replay-chain untuk memikat penerima agar membuka file Word, Excel, dan file ZIP yang dilindungi kata sandi.

Email phishing rantai balasan adalah saat utas email yang sebelumnya dicuri digunakan dengan balasan palsu untuk mendistribusikan malware ke pengguna lain.

Saat Anda membuka lampiran Emotet, templat dokumen akan menyatakan bahwa pratinjau tidak tersedia dan Anda perlu mengeklik ‘Aktifkan Pengeditan’ dan ‘Aktifkan Konten’ untuk melihat konten dengan benar.

Namun, setelah Anda mengklik tombol-tombol ini, makro jahat akan diaktifkan yang meluncurkan perintah PowerShell untuk mengunduh DLL pemuat Emotet dari situs WordPress yang disusupi dan menyimpannya ke folder C:\ProgramData.

Organisasi pemantau malware dan botnet Abuse.ch telah merilis daftar 245 server perintah dan kontrol yang dapat diblokir oleh firewall perimeter untuk mencegah komunikasi dengan server perintah dan kontrol.

Memblokir komunikasi ke C2 juga akan mencegah Emotet menjatuhkan muatan lebih lanjut pada perangkat yang disusupi.

Selengkapnya: Bleeping Computer

Ramalan Malware dan Ransomeware Mendatang

by

Laporan ancaman Sophos tahun 2022 menjelaskan Infeksi malware dan ransomware di masa depan akan terdiri dari “shotgun attacks with pinpoint targeting.”

Seolah itu tidak cukup, infosec biz Inggris menganggap serangan malware komoditas yang sudah mapan akan berakhir dengan memberikan lebih banyak ransomware, sementara taktik pemerasan yang digunakan oleh geng ransomware akan menjadi lebih beragam dan intens – dengan tujuan menggertak korban agar menyerahkan uang tunai.

“Ransomware berkembang pesat karena kemampuannya untuk beradaptasi dan berinovasi,” kata Chester Wisniewski seorang ilmuwan peneliti utama di Sophos. “Misalnya, meskipun penawaran RaaS bukanlah hal baru, di tahun-tahun sebelumnya kontribusi utama mereka adalah membawa ransomware ke dalam jangkauan penyerang berketerampilan rendah atau kurang didanai.”

Ancaman dunia maya yang hampir ada di mana-mana telah banyak ditampilkan dalam berita baru-baru ini, menyusul penghargaan AS senilai jutaan dolar untuk informasi yang mengarah pada penangkapan dan hukuman terhadap geng ransomware high profile tertentu. Selain itu, banyak polisi negara – terutama Ukraina – telah menangkap orang-orang yang diduga sebagai anggota geng.

Selain ransomware, Sophos mengatakan pada 2022 akan terjadi serangan ulang ProxyLogon dan ProxyShell di mana vuln dalam layanan dan produk TI yang banyak digunakan langsung dilompati oleh penjahat dan negara. Perusahaan mengharapkan untuk melihat “peningkatan minat kejahatan dalam sistem berbasis Linux selama tahun 2022, baik di cloud maupun di web dan server virtual.”

Serangan shotgun yang ditargetkan, seperti yang dijelaskan Sophos, juga dapat meningkat. Perusahaan menggunakan serangan Gootloader sebagai contoh, menyoroti bagaimana situs web berbahaya didorong ke atas peringkat hasil pencarian Google oleh kejahatan. Pemfilteran tanda yang mengklik tautan berbahaya ini mengesampingkan mereka yang tidak menjalankan kombinasi sistem operasi dan browser tertentu.

“SophosLabs percaya bahwa ini mungkin merupakan cara baru bagi distributor malware untuk menggagalkan peneliti malware sambil memberi diri mereka sendiri tingkat kepastian yang lebih besar bahwa malware mereka akan menjadi bagian dari korban yang mungkin lebih diinginkan daripada populasi umum,” perusahaan menyimpulkan.

Linux dan sistem virtual dapat berada di bawah ancaman yang lebih besar pada tahun 2022, menurut pandangan Sophos, dengan peringatan tegas: “Satu ransomware yang kami temui pada tahun 2021 menargetkan platform VMware ESXi dan datang dalam bentuk skrip Python yang, ketika dijalankan pada hypervisor, mematikan semua mesin virtual yang berjalan dan kemudian mengenkripsi penyimpanan data tempat hard drive virtual, dan file konfigurasi lainnya, disimpan di hypervisor.”

Hal-hal yang menghebohkan – dan kejadian di atas terjadi pada perusahaan “logistik dan industri perkapalan” selama tahun ini. Trojan RansomEXX, yang menargetkan hypervisor VMware ESXi, ditemukan oleh Sophos pada Juni 2021 setelah serangan terhadap hypervisor ESXi yang berbeda “dijalankan oleh toko roti komersial besar”.

“Ancaman, mereka sedang berkembang. Keyakinan lama bahwa organisasi Anda terlalu kecil, tidak jelas, atau pendapatannya rendah untuk dijadikan target berbahaya akhir-akhir ini – jadi persiapkan diri.”

sumber: The Register

Hapus 7 Aplikasi Android ini jika anda tidak ingin menghabiskan banyak uang

by

Menurut tweet dari Shishkova tujuh aplikasi ini membawa malware Joker yang berarti berbahaya bagi kesejahteraan finansial Anda. Meskipun aplikasi telah dihapus dari Google Play Store, itu tidak berarti aplikasi tersebut tidak lagi ada di ponsel Anda dan ingin mendaftarkan Anda ke layanan berlangganan penipuan yang sebenarnya tidak ingin Anda bayar.

Jadi periksa ponsel Android Anda untuk hal-hal berikut:

  • Now QRcode Scan – Lebih dari 10.000 pemasangan
  • EmojiOne Keyboard – Lebih dari 50.000 pemasangan
  • Battery Charging Animations Battery Wallpaper – Lebih dari 1.000 pemasangan
  • Dazzling Keyboard – Lebih dari 10 pemasangan
  • Volume Booster Louder Sound Equalizer – Lebih dari 100 pemasangan
  • Super Hero-Effect – Lebih dari 5.000 pemasangan
  • Classic Emoji Keyboard – Lebih dari 5.000 pemasangan

Untuk menghindari peluang menjadi korban malware, selalu periksa bagian komentar sebelum Anda menginstal aplikasi. Kedua, hindari menginstal aplikasi dari developer yang tidak dikenal yang memberikan akses luas untuk aplikasi tersebut namun memiliki sedikit ulasan.

Menemukan tanda bahaya untuk menemukan pemberitahuan LinkedIn palsu

Aplikasi jaringan bisnis LinkedIn merupakan aplikasi yang menghubungkan perusahaan dengan orang-orang, menerima pemberitahuan dari LinkedIn bukanlah hal yang luar biasa. Tetapi Kaspersky mengatakan bahwa pesan dari LinkedIn yang tampaknya berasal dari perusahaan yang sah bisa jadi email palsu yang terlihat asli, contoh phishing.

Dalam laporannya, Kaspersky menunjukkan contoh pesan yang dikirim melalui LinkedIn dari seorang pengusaha Arab. Pesan tersebut, yang seharusnya menyertakan foto pengirim, menanyakan penerima apakah dia ingin berbisnis dengannya. Tetapi ada begitu banyak tanda bahaya dengan surat resmi ini yang dapat mengajari Anda apa yang harus dicari ketika menerima pemberitahuan yang tidak diminta di LinkedIn.

Kesalahan ejaan sangat banyak. Di bagian paling atas Anda akan melihat bahwa LinkedIn salah dieja, dengan tambahan “I.” Juga salah dieja adalah kata “pengusaha.” Tidak ada tautan ke LinkedIn di alamat email, dan pesannya terlalu pendek untuk menjadi tawaran yang serius.

Mengklik tautan yang diposting di pemberitahuan memunculkan halaman login yang tampak seperti LinkedIn yang asli. Tetapi URL (optikzade.com.tr) tidak menyebutkan LinkedIn dan alih-alih domain .com, alamat tersebut menunjukkan bahwa halaman masuk palsu berasal dari Turki.

Upaya phishing lain yang melibatkan LinkedIn mungkin lebih sulit untuk ditangkap pada awalnya. Pemberitahuan masih berisi beberapa tanda merah karena meminta “Qoute.” Tetapi siapa di antara kita yang tidak pernah salah mengganti dua huruf, terutama saat mengetik cepat dalam bahasa yang bukan bahasa asli Anda.

Tetapi baris subjek untuk pemberitahuan ini berbunyi, “Juli Jiang mengirimi Anda pesan” hilang sebuah artikel sebelum kata “pesan.” Itu mungkin tidak tampak seperti masalah besar sampai Anda menyadari bahwa LinkedIn membuat baris subjek secara otomatis dan tidak akan ketinggalan memasukkan artikel.” Dan mengetuk tautan membawa Anda ke halaman login palsu yang menunjukkan kesalahan yang menutupi sebagian logo LinkedIn di bagian atas, dan salah menuliskan nama aplikasi sebagai Linkedin.

Selengkapnya : Phone Arena

AT&T Alien Labs menemukan malware Golang (BotenaGo) baru yang menargetkan jutaan router dan perangkat IoT dengan lebih dari 30 eksploitasi

by

AT&T Alien Labs™ telah menemukan malware baru yang ditulis dalam bahasa pemrograman sumber terbuka Golang.

Dikerahkan dengan lebih dari 30 eksploitasi, ia berpotensi menargetkan jutaan router dan perangkat IoT.

BotenaGo memiliki lebih dari 30 fungsi exploit yang berbeda untuk menyerang target.

Malware membuat pintu belakang dan menunggu untuk menerima target untuk diserang dari operator jarak jauh melalui port 19412 atau dari modul terkait lainnya yang berjalan di mesin yang sama.

Belum jelas aktor ancaman mana yang berada di balik malware dan jumlah perangkat yang terinfeksi.

Saat ini, BotenaGo memiliki tingkat deteksi antivirus (AV) yang masih rendah dengan hanya 6/62 AV yang diketahui terlihat di VirusTotal.

Selengkapnya: AT&T Cybersecurity

Malware Android baru menargetkan pengguna Netflix, Instagram, dan Twitter

by

Malware Android baru yang dikenal sebagai MasterFred menggunakan overlay login palsu untuk mencuri informasi kartu kredit pengguna Netflix, Instagram, dan Twitter.

Trojan perbankan Android ini juga menargetkan pelanggan bank dengan overlay login palsu khusus dalam berbagai bahasa.

Sampel MasterFred pertama kali dikirimkan ke VirusTotal pada Juni 2021 dan pertama kali terlihat pada Juni. Analis malware Alberto Segura juga membagikan sampel kedua secara online satu minggu lalu yang menunjukkan bahwa itu digunakan oleh pengguna Android dari Polandia dan Turki.

“Dengan memanfaatkan toolkit Aksesibilitas Aplikasi yang diinstal di Android secara default, penyerang dapat menggunakan aplikasi untuk menerapkan serangan Overlay untuk mengelabui pengguna agar memasukkan informasi kartu kredit untuk pembobolan akun palsu di Netflix dan Twitter,” kata Avast.

Penggunaan jahat dari layanan Aksesibilitas bukanlah sesuatu yang baru karena pembuat malware telah menggunakannya untuk mensimulasikan ketukan dan menavigasi UI Android menginstal muatan mereka, mengunduh dan menginstal malware lain, dan menjalankan berbagai operasi di latar belakang.

Namun, ada beberapa hal yang membuat MasterFred menonjol. Salah satunya adalah aplikasi jahat yang digunakan untuk menyebarkan malware di perangkat Android juga menggabungkan lapisan HTML yang digunakan untuk menampilkan formulir login palsu dan mengambil informasi keuangan korban.

Malware ini juga menggunakan gerbang web gelap Onion.ws (alias proxy Tor2Web) untuk mengirimkan informasi yang dicuri ke server jaringan Tor di bawah kendali operatornya.

Karena setidaknya salah satu aplikasi berbahaya yang menggabungkan bankir MasterFred baru-baru ini tersedia di Google Play Store, aman untuk mengatakan bahwa operator MasterFred juga kemungkinan menggunakan toko pihak ketiga sebagai saluran pengiriman untuk malware baru ini.

Selengkapnya : Bleeping Computer

Malware Wslink Bekerja dalam Bayangan untuk Mengirimkan Muatan Lainnya

by

Malware yang dikembangkan dengan baik biasanya merupakan produk dari pelaku ancaman yang dikenal yang aktivitasnya dilacak dengan cermat oleh peneliti malware. Namun, ada beberapa proyek yang kode, perilaku, dan infrastrukturnya tidak dapat dikaitkan dengan kelompok kejahatan dunia maya yang ada.

Salah satu implan ini adalah Malware Wslink, yang ditemukan pada Oktober 2021. Ancaman tersebut berjalan pada sistem Windows secara eksklusif, dan tampaknya berfungsi sebagai pemuat untuk muatan sekunder. Mayoritas serangan Malware Wslink terkonsentrasi di Eropa Tengah, Timur Tengah, dan Amerika Utara. Penjahat tampaknya mengejar entitas yang beroperasi di industri yang berbeda, dan tidak ada data pasti tentang vektor infeksi yang mereka gunakan untuk menyebarkan Malware Wslink.

Sampel aktif dari Malware Wslink biasanya mencapai pijakan melalui penggunaan layanan Windows yang dibuat khusus. Semua ini dikonfigurasi untuk memulai secara otomatis ketika Windows boot. Perilaku dan koneksi implan sangat dienkripsi, dalam upaya untuk menyembunyikannya dari analis riset dan alat antivirus.

Setelah muatan Malware Wslink didekripsi, muatan tersebut dimuat ke dalam memori komputer, meminimalkan jejak digital yang ditinggalkannya di hard drive. Hal ini membuat perilaku implan lebih menantang untuk dianalisis, dan memiliki manfaat tambahan untuk membantunya menghindari aplikasi anti-malware yang tidak terlalu teliti dengan pemindaiannya.

Sejauh ini tidak ada informasi tentang modul sekunder yang diterima dan dijalankan oleh Malware Wslink. Namun, dilihat dari kemampuannya untuk secara langsung memuatnya ke dalam memori sistem, kemungkinan operatornya berencana untuk menggunakannya dalam kombinasi dengan implan profil tinggi lainnya.

Kabar baiknya adalah bahwa meskipun enkripsi canggih dan teknik penghindaran AV Wslink Malware, masih mudah untuk melindungi diri Anda dari itu dengan menggunakan perangkat lunak antivirus terbaru.

Selengkapnya: Cyclonis

Menerima Email Berisi Link Google Drive Misterius? Jangan Dibuka!

by Leave a Comment

Kampanye phishing baru mencari korban dengan mengirim supplier list palsu berisi ransomware MirCop yang meminta tebusan. Dapat mengenkripsi sistem target dalam waktu kurang dari lima belas menit.

Gambar Supplier List yang Diburamkan (sumber: bleeping computer)

Para pelaku memulai serangan dengan mengirimkan email yang tidak diminta korban. Email berisi gambar yang diburamkan dan link Google Drive yang dapat di klik.

Badan email berisi hyperlink ke URL Google Drive yang jika diklik akan mengunduh file MHT (arsip halaman web) ke perangkat korban.

Google Drive digunakan untuk memberikan legitimasi ke email dan sangat selaras dengan praktik pekerja sehari-hari.

Mereka yang membuka file tersebut hanya dapat melihat gambar buram dari apa yang seharusnya merupakan daftar pemasok, dicap dan ditandatangani untuk sentuhan legitimasi ekstra.

Ketika file MHT dibuka, itu akan mengunduh arsip RAR yang berisi pengunduh malware .NET dari “hXXps://a[.]pomf[.]cat/gectpe.rar”.

Arsip RAR berisi file EXE, yang menggunakan skrip VBS untuk menjatuhkan dan menjalankan muatan MirCop ke sistem yang terinfeksi.

Ransomware langsung aktif dan mulai mengambil tangkapan layar, mengunci file, mengubah latar belakang menjadi gambar bertema zombie yang mengerikan, dan menawarkan petunjuk kepada korban tentang apa yang harus dilakukan selanjutnya.

Menurut Cofense, seluruh proses ini memakan waktu kurang dari 15 menit sejak korban membuka email phishing.

Setelah itu, pengguna hanya diperbolehkan membuka browser web tertentu untuk berkomunikasi dengan pelaku dan mengatur pembayaran uang tebusan.

Para pelaku tidak tertarik untuk menyelinap ke dalam mesin korban secara sembunyi-sembunyi atau tinggal lama di sana untuk melakukan spionase dunia maya atau mencuri file untuk pemerasan.

Sebaliknya, serangan itu terjadi dengan cepat, dan sumber masalah menjadi jelas bagi korbannya

MicroCop adalah jenis ransomware lama yang digunakan untuk memberikan tuntutan tebusan yang tidak masuk akal kepada para korbannya.

Namun Michael Gillespie berhasil memecahkan enkripsinya dan merilis decryptor yang berfungsi secara gratis.

Bleeping Computer belum menguji apakah dekripsi lama itu berfungsi dengan muatan yang dijatuhkan di kampanye terbaru, tetapi ada kemungkinan bahwa itu masih dapat membuka kunci file.

Cofense mengatakan varian yang sama telah beredar sejak Juni tahun ini, jadi MicroCop masih ada di luar sana, dan orang harus berhati-hati dalam menangani email yang tidak diminta.

sumber: BLEEPING COMPUTER