Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Malware

Malware

Malware Qbot beralih ke metode autostart Windows baru yang tersembunyi

by

Versi malware Qbot baru sekarang mengaktifkan mekanisme persistensi tepat sebelum perangkat Windows yang terinfeksi dimatikan dan secara otomatis menghapus jejak apa pun saat sistem dimulai ulang atau setelah sleep.

Qbot (juga dikenal sebagai Qakbot, Quakbot, dan Pinkslipbot) adalah trojan perbankan Windows dengan fitur worm yang aktif setidaknya sejak 2009 dan digunakan untuk mencuri kredensial perbankan, informasi pribadi, dan data keuangan.

Malware ini juga telah digunakan untuk mencatat penekanan tombol pengguna, untuk membuka backdoor pada komputer yang disusupi, dan untuk menyebarkan Cobalt Strike yang digunakan oleh operator ransomware untuk mengirimkan muatan ransomware ProLock dan Egregor.

Dimulai pada 24 November, ketika peneliti keamanan Binary Defense James Quinn mengatakan bahwa versi Qbot baru terlihat, malware tersebut menggunakan mekanisme persistensi yang lebih baru dan tersembunyi yang memanfaatkan sistem shutdown dan melanjutkan pesan untuk mengubah persistensi pada perangkat yang terinfeksi.

Qbot Window message listener (Sumber: Binary Defense)

Trojan akan menambahkan registry Run key pada sistem yang terinfeksi yang memungkinkannya untuk memulai secara otomatis saat system login dan akan mencoba untuk segera menghapusnya setelah pengguna menyalakan sistem untuk menghindari deteksi oleh solusi anti-malware atau peneliti keamanan.

Meskipun metode untuk mendapatkan persistensi ini baru untuk Qbot, malware lain telah menggunakan teknik serupa untuk menghindari deteksi di masa lalu, termasuk trojan perbankan Gozi dan Dridex.

Sumber: Bleeping Computer

Malware Android Iran “RANA” juga Memata-matai Pesan Instan

by

Sebuah tim peneliti mengungkap kemampuan implan spyware Android yang sebelumnya dirahasiakan — yang dikembangkan oleh aktor ancaman Iran yang dikenai sanksi — yang memungkinkan penyerang memata-matai obrolan pribadi dari aplikasi pesan instan populer, memaksa koneksi Wi-Fi, dan menjawab panggilan otomatis dari nomor tertentu untuk tujuan menguping percakapan.

Pada bulan September, Departemen Keuangan AS menjatuhkan sanksi pada APT39 (alias Chafer, ITG07, atau Remix Kitten) – aktor ancaman Iran yang didukung oleh Kementerian Intelijen dan Keamanan (MOIS) negara itu – karena melakukan kampanye malware yang menargetkan para pembangkang Iran, wartawan, dan perusahaan internasional di sektor telekomunikasi dan perjalanan.

Bertepatan dengan sanksi tersebut, Federal Bureau of Investigation (FBI) merilis laporan analisis ancaman publik yang menjelaskan beberapa alat yang digunakan oleh Rana Intelligence Computing Company, yang beroperasi sebagai front untuk aktivitas cyber berbahaya yang dilakukan oleh grup APT39.

Secara resmi menghubungkan operasi APT39 ke Rana, FBI merinci delapan set malware terpisah dan berbeda yang sebelumnya tidak diungkapkan yang digunakan oleh grup untuk melakukan gangguan komputer dan aktivitas pengintaian, termasuk aplikasi spyware Android yang disebut “optimizer.apk” dengan kemampuan mencuri informasi dan akses jarak jauh.

Menurut peneliti Karlo Zanki, implan tidak hanya memiliki izin untuk merekam audio dan mengambil foto untuk keperluan pengawasan pemerintah, tetapi juga berisi fitur untuk menambahkan titik akses Wi-Fi khusus dan memaksa perangkat yang dikompromikan untuk terhubung dengannya.

Yang juga perlu diperhatikan adalah kemampuan untuk menjawab panggilan secara otomatis dari nomor telepon tertentu, sehingga memungkinkan pelaku ancaman untuk memanfaatkan percakapan sesuai permintaan.

Selain menampilkan dukungan untuk menerima perintah yang dikirim melalui pesan SMS, varian terbaru malware “optimizer” yang direferensikan oleh FBI menyalahgunakan layanan aksesibilitas untuk mengakses konten aplikasi pesan instan seperti WhatsApp, Instagram, Telegram, Viber, Skype, dan klien Telegram tidak resmi yang berbasis di Iran bernama Talaeii.

Sumber: The Hacker News

Lebih dari 20 juta ponsel Gionee diam-diam ditanami Trojan Horse untuk menghasilkan uang

by

Baru-baru ini, Jaringan Dokumen Penghakiman China menerbitkan putusan tentang kontrol ilegal sistem informasi komputer yang ditemukan telah dieksekusi pada telepon Gionee.

Menurut rincian pengadilan, lebih dari 20 juta ponsel Gionee sengaja ditanami malware Trojan Horse melalui aplikasi antara Desember 2018 dan Oktober 2019. Aplikasi tersebut menjadi alat untuk mendapatkan keuntungan dari pengguna melalui iklan yang tidak diminta dan cara tidak sah lainnya.

Pengadilan memutuskan bahwa Beijing Baice Technology Co., Ltd. bersekongkol dengan tergugat Shenzhen Zhipu Technology Co., Ltd. (anak perusahaan Gionee) untuk menanamkan program Trojan Horse ke dalam ponsel Gionee melalui pembaruan aplikasi “Story Lock Screen”. Perangkat lunak ini secara otomatis diperbarui pada ponsel Gionee yang terpengaruh tanpa sepengetahuan pengguna menggunakan metode “Pull”.

Rincian pengadilan mengungkapkan bahwa dari Desember 2018 hingga Oktober 2019, Beijing Baice Company dan Shenzhen Zhipu Company berhasil melaksanakan “aktivitas pull” sebanyak 2,88 miliar kali.

Dalam hal pendapatan, perusahaan diperkirakan telah memperoleh RMB 27,85 juta dari bisnis “pull” Beijing Baice Company, sementara perkiraan biaya mereka berada pada 8,425 juta yuan.

Praktik ini umum terjadi di ponsel Cina murah menurut laporan yang diterbitkan pada bulan Agustus tahun ini yang mendeteksi malware di ponsel Infinix dan Tecno yang dapat mencuri uang pengguna.

Sumber: Gizmo China

Ransomware Menjadi Bisnis Serius dan Menguntungkan – Semua yang Perlu Kamu Ketahui

by

Apa itu Ransomware?

Penjahat siber menggunakan encrypted ransomware yang menjadi jenis paling umum karena sulit untuk memecahkan enkripsi dan menghapus malware.

Ransomware mengenkripsi file seolah-olah mereka secara aktif dienkripsi, tetapi sebenarnya, mereka disembunyikan dalam file terpisah, yang menunggu serangkaian kondisi yang ditentukan untuk dibuka sebelum mereka didekripsi.

Dalam kasus ransomware, virus dapat mengenkripsi file tanpa sepengetahuan atau persetujuan pengguna.

Kunci enkripsi dibuat secara offline dan disematkan di malware sebelum dikirim untuk menyerang Anda, atau tertanam di malware yang dikirim selama serangan.

Setelah file Anda dienkripsi, virus akan membuat tutorial tentang cara mendapatkan kunci dekripsi yang tersedia untuk Anda jika Anda membayar uang tebusan. Anda akan diperlihatkan tautan untuk mengunduh decoder yang diperlukan.

Jenis-jenis Ransomware

  • Encryption Ransomware
  • Screen-locking Ransomware
  • Master Boot Record (MBR) Ransomware
  • Web Servers Encrypting Ransomware
  • Mobile Ransomware

Timeline Ransomware

Vektor Serangan Ransomware

Ketika perusahaan yang telah diserang oleh ransomware selama bertahun-tahun diperiksa, serangan phishing email, remote desktop protocol (RDP), dan kerentanan keamanan adalah 3 alasan utama.

Aktor ancaman seperti REvil (Sodinokibi), Ragnarok, DoppelPaymer, Maze, CLOP, dan Nefilim telah menggunakan sistem Citrix yang rentan terhadap CVE-2019–19781 sebagai titik masuk untuk serangan ransomware.

Vektor Serangan Lainnya;

  • Penggunaan perangkat media berbahaya
  • Situs web yang disusupi
  • Download file yang terinfeksi
  • Aplikasi seluler berbahaya
  • Aplikasi pesan berbahaya
  • Penggunaan kata sandi yang lemah
  • Kebijakan keamanan yang buruk

Bagaimana Melindungi Diri Anda?

  • Tentukan inventaris aset digital kamu.
  • Sesuaikan pengaturan anti-spam kamu dengan benar dan gunakan filter spam yang kuat.
  • Jangan membuka email yang mencurigakan dan lampirannya.
  • Hindari memberikan informasi pribadi.
  • Gunakan fitur Show File Extensions.
  • Tambal perangkat lunak kamu dan perbarui terus

Dan ingat, jangan pernah membayar tebusan yang diminta oleh pelaku. Perusahaan penegak hukum dan Keamanan TI telah bergabung untuk mengganggu bisnis penjahat siber dengan koneksi ransomware. Dengan tidak membayar tebusan, kamu telah membantu mereka untuk menghentikan adanya serangan ransomware lainnya. Karena sebagian besar pelaku termotivasi secara finansial untuk menyebarkan ransomware dan mendapatkan uang secara mudah dari sana.

Sumber: Medium The Startup

Malware pencuri kartu kredit bersembunyi di ikon berbagi media sosial

by

Malware web skimming yang baru ditemukan mampu bersembunyi di depan mata untuk menyuntikkan skrip skimmer kartu pembayaran ke toko online yang disusupi.

Pembuat malware menggunakan muatan berbahaya yang disembunyikan sebagai tombol media sosial yang meniru platform profil tinggi seperti Facebook, Twitter, dan Instagram.

Skimmer kartu kredit adalah skrip berbasis JavaScript yang disuntikkan oleh grup kejahatan siber Magecart di halaman pembayaran situs e-commerce yang disusupi.

Setelah dimuat di toko yang ditargetkan, skrip secara otomatis memanen pembayaran dan informasi pribadi yang dikirimkan oleh pelanggan dan mengekstraknya ke server di bawah kendali aktor Magecart.

Malware baru ini ditemukan oleh para peneliti di perusahaan keamanan siber Belanda Sansec yang berfokus pada pertahanan situs web e-commerce dari serangan skimming digital (juga dikenal sebagai Magecart).

Syntax untuk menyembunyikan kode sumber skimmer sebagai tombol media sosial dengan sempurna meniru elemen ‘svg’ yang diberi nama menggunakan nama platform media sosial (misalnya, facebook_full, twitter_full, instagram_full, youtube_full, pinterest_full, dan google_full).

Meskipun ini bukan pertama kalinya pelaku ancaman menggunakan skimmer yang disembunyikan dalam gambar yang tampak dengan bantuan steganografi, malware ini adalah yang pertama yang menggunakan “gambar yang benar-benar valid”.

Sumber: Bleeping Computer

Versi TrickBot baru dapat merusak firmware UEFI / BIOS

by

Operator botnet malware TrickBot telah menambahkan kemampuan baru yang memungkinkan mereka berinteraksi dengan firmware BIOS atau UEFI komputer yang terinfeksi.

Kemampuan baru ini terlihat di dalam bagian dari modul TrickBot baru, pertama kali terlihat pada akhir Oktober, perusahaan keamanan Advanced Intelligence dan Eclypsium mengatakan dalam joint report yang diterbitkan pada 3 Desember 2020.

Modul baru ini membuat para peneliti keamanan khawatir karena fitur-fiturnya akan memungkinkan malware TrickBot untuk membangun pijakan yang lebih gigih pada sistem yang terinfeksi, pijakan yang memungkinkan malware bertahan dari penginstalan ulang OS.

Selain itu, AdvIntel dan Eclypsium mengatakan fitur modul baru dapat digunakan lebih dari sekadar persistence yang lebih baik, seperti:

  • Melakukan bricking perangkat dari jarak jauh pada tingkat firmware melalui koneksi jarak jauh malware yang khas.
  • Melewati kontrol keamanan seperti BitLocker, ELAM, Windows 10 Virtual Secure Mode, Credential Guard, kontrol perlindungan endpoint seperti A/V, EDR, dll.
  • Menyiapkan serangan lanjutan yang menargetkan kerentanan Intel CSME, beberapa di antaranya memerlukan akses flash SPI.
  • Membalikkan ACM atau pembaruan kode mikro yang menambal kerentanan CPU seperti Spectre, MDS, dll.

Kabar baiknya adalah bahwa “sejauh ini, modul TrickBot hanya memeriksa pengontrol SPI untuk memeriksa apakah perlindungan penulisan BIOS diaktifkan atau tidak, dan belum terlihat memodifikasi firmware itu sendiri,” menurut AdvIntel dan Eclypsium.

Namun, Modul ini juga dapat digunakan dalam serangan ransomware, di mana geng TrickBot sering terlibat dengan menyewakan akses ke jaringan botnya kepada kru ransomware.

Sumber: AdvIntel

Selama beberapa minggu terakhir, operasi TrickBot telah memperlihatkan banyak pembaruan, dari teknik obfuscation baru, infrastruktur perintah dan kontrol baru, dan kampanye spam baru.

Sumber: ZDNet

Kerentanan Oracle yang menjalankan kode berbahaya sedang aktif dieksploitasi

by

Penyerang menargetkan kerentanan Oracle WebLogic yang baru-baru ini ditambal. Kerentanan ini memungkinkan mereka mengeksekusi kode yang mereka inginkan, termasuk malware yang menjadikan server bagian dari botnet yang mencuri kata sandi dan informasi sensitif lainnya.

WebLogic adalah aplikasi enterprise Java yang mendukung berbagai database. Server WebLogic adalah hadiah yang didambakan oleh para peretas, yang sering menggunakannya untuk menambang cryptocurrency, memasang ransomware, atau sebagai jalan masuk untuk mengakses bagian lain dari jaringan perusahaan.

Dilacak sebagai CVE-2020-14882, ini adalah kerentanan kritis yang ditambal Oracle pada bulan Oktober tahun ini. Ini memungkinkan penyerang untuk mengeksekusi kode berbahaya melalui Internet dengan sedikit usaha atau keterampilan dan tanpa otentikasi. Kode eksploitasi tersedia untuk umum delapan hari setelah Oracle mengeluarkan tambalan.

Menurut Paul Kimayong, seorang peneliti di Juniper Networks, peretas secara aktif menggunakan lima variasi serangan berbeda untuk mengeksploitasi server yang masih rentan terhadap CVE-2020-14882.

Di antara variasinya adalah salah satu yang menginstal bot DarkIRC. Setelah terinfeksi, server menjadi bagian dari botnet yang dapat menginstal malware pilihannya, menambang cryptocurrency, mencuri kata sandi, dan melakukan serangan denial-of-service.

Varian exploit lainnya memasang payload lain seperti, Serangan Cobalt, Perlbot, Penafsir meteran, Mirai.

CVE-2020-14882 memengaruhi versi WebLogic 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0, dan 14.1.1.0.0. Siapa pun yang menggunakan salah satu versi ini harus segera menginstal patch yang dikeluarkan Oracle pada bulan Oktober. Orang-orang juga harus menambal CVE-2020-14750, kerentanan terpisah namun terkait yang diperbaiki Oracle dalam pembaruan darurat dua minggu setelah menerbitkan tambalan untuk CVE-2020-14882.

Sumber: Ars Technica

Malware Gootkit hidup kembali bersama REvil ransomware

by

Setelah tidak muncul selama 1 tahun, Trojan pencuri informasi Gootkit telah hidup kembali bersama REvil Ransomware dalam kampanye baru yang menargetkan Jerman.

Trojan Gootkit adalah malware berbasis Javascript yang melakukan berbagai aktivitas berbahaya, termasuk akses jarak jauh, pengambilan keystroke, perekaman video, pencurian email, pencurian kata sandi, dan kemampuan untuk menyuntikkan skrip berbahaya untuk mencuri kredensial perbankan online.

Tahun lalu, pelaku ancaman Gootkit mengalami kebocoran data setelah membiarkan database MongoDB terbuka di Internet. Setelah pelanggaran ini, diyakini bahwa para aktor Gootkit telah menghentikan operasinya sampai mereka tiba-tiba hidup kembali awal bulan ini.

Minggu lalu, seorang peneliti keamanan yang dikenal sebagai The Analyst mengatakan kepada BleepingComputer bahwa malware Gootkit telah muncul lagi dalam serangan yang menargetkan Jerman.

Dalam kampanye baru ini, pelaku ancaman meretas situs WordPress dan memanfaatkan SEO poisoning untuk menampilkan posting forum palsu kepada pengunjung. Posting ini berpura-pura menjadi pertanyaan dan jawaban dengan tautan ke formulir atau unduhan palsu.

Saat pengguna mengklik link tersebut, mereka akan mendownload file ZIP yang berisi file JS yang dikaburkan yang akan menginstal malware Gootkit atau REvil ransomware.

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Sumber: Bleeping Computer