Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Malware

Malware

Ransomware berkembang: Berikut adalah empat cara penyerang masuk ke sistem Anda

by

Dampak ransomware terus berkembang. Menurut data dari firma penyelidikan global Kroll, ransomware adalah masalah keamanan paling umum yang harus ditangani pada tahun 2020, sementara serangan ransomware menyumbang lebih dari sepertiga dari semua kasus hingga September.

Dan inilah cara penyerang masuk: di hampir setengah (47%) dari kasus ransomware yang telah diselidiki Kroll, geng Ransomware menggunakan protokol desktop jarak jauh (RDP) yang tidak diamankan.

Lebih dari seperempat (26%) kasus datang melalui email phishing, dan sejumlah kecil menggunakan eksploitasi kerentanan tertentu (17%). Dan diikuti oleh pengambilalihan akun, di 10%

sumber: ZDNet

Kroll mengatakan telah melihat tiga sektor terpukul sangat keras tahun ini: layanan profesional, perawatan kesehatan, serta teknologi dan telekomunikasi. Itu berbeda dengan data terbaru dari IBM, yang menunjukkan bahwa manufaktur, sektor layanan profesional, dan pemerintah adalah yang paling mungkin terkena dampaknya

Dalam beberapa kasus, geng ransomware telah mengingkari janji untuk menghapus data setelah tebusan pertama dibayarkan dan menuntut pembayaran kedua, ia memperingatkan.

Geng Ransomware juga dapat meningkatkan tekanan dengan berbagai cara: Maze mengklaim bahwa kredensial yang diambil dari korban yang tidak membayar akan digunakan untuk serangan terhadap mitra dan klien korban, sementara salah satu klien perawatan kesehatan Kroll menemukan bahwa geng tersebut telah mengirim email langsung ke pasien mereka. mengancam untuk mengungkap data kesehatan pribadi mereka.

Mempersulit geng ransomware untuk mendapatkan akses awal tersebut mungkin merupakan cara terbaik untuk melindungi organisasi Anda dari serangan, yang berarti memastikan bahwa langkah-langkah keamanan penting telah diambil. Ini termasuk memblokir akses RDP yang tidak perlu, mengamankan semua akses jarak jauh dengan otentikasi dua faktor yang kuat, memastikan bahwa semua perangkat lunak ditambal dan mutakhir, serta memastikan bahwa staf dilatih untuk mengenali email phishing.

Perlu dicatat, Ransomware juga meningkat pesat aktivitasnya di Indonesia. Dan dengan berlangganan layanan kami Anda dapat terhindar dari serangan Ransomware.

Untuk berlangganan, Anda dapat menghubungi tim Sales kami di +62 811-2652-249 atau mengisi form melalui website kami nagacyberdefense.net/programs

Baca berita selengkapnya pada tautan di bawah ini;
Source: ZDNet

BazarLoader digunakan untuk menyebarkan ransomware Ryuk pada target bernilai tinggi

by

Operator geng TrickBot semakin menargetkan target bernilai tinggi dengan trojan BazarLoader siluman baru sebelum menyebarkan ransomware Ryuk.

Selama bertahun-tahun, geng TrickBot telah menggunakan trojan mereka untuk menyusupi jaringan perusahaan dengan mengunduh modul perangkat lunak berbeda yang digunakan untuk perilaku tertentu seperti mencuri kata sandi, menyebarkan ke komputer lain, atau bahkan mencuri domain database Active Directory.

Karena modul-modul ini telah banyak dianalisis dari waktu ke waktu, solusi keamanan menjadi lebih baik dalam mendeteksi modul-modul ini sebelum digunakan.

Dalam laporan baru, peneliti keamanan Advanced Intel menjelaskan bahwa alih-alih menyerang korban dengan trojan TrickBot yang sangat tinggi potensinya untuk terdeteksi, pelaku ancaman sekarang lebih memilih BazarBackdoor sebagai alat pilihan mereka untuk target perusahaan bernilai tinggi.

Penyusupan BazarLoader dimulai dengan serangan phishing yang ditargetkan, seperti yang ditunjukkan oleh email phishing yang diterima oleh BleepingComputer pada bulan April.

Sumber: BleepingComputer

Setelah menginfeksi komputer, BazarLoader akan menggunakan proses hollowing untuk menyuntikkan komponen BazarBackdoor ke dalam proses Windows yang sah seperti cmd.exe, explorer.exe, dan svchost.exe. Sebuah scheduled task dibuat untuk memuat BazarLoader setiap kali pengguna masuk ke sistem.

Akhirnya, BazarBackdoor akan menyebarkan suar Cobalt Strike, yang menyediakan akses jarak jauh ke pelaku ancaman yang memasang alat pasca-eksploitasi seperti BloodHound dan Lasagne untuk memetakan domain Windows dan mengekstrak kredensial.

Pada akhirnya, serangan tersebut mengarah pada pelaku ancaman yang menyebarkan ransomware Ryuk di seluruh jaringan dan menuntut tebusan besar-besaran.

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: Bleeping Computer

Microsoft menghentikan operasi peretasan besar-besaran yang dapat memengaruhi pemilu

by

Microsoft telah mengganggu operasi peretasan besar-besaran yang dikatakannya secara tidak langsung dapat memengaruhi infrastruktur pemilu jika dibiarkan berlanjut.

Perusahaan itu mengatakan pada hari Senin bahwa mereka menghentikan server di belakang Trickbot, jaringan malware besar yang digunakan penjahat untuk meluncurkan serangan siber lainnya, termasuk serangkaian ransomware yang sangat kuat.

Microsoft mengatakan memperoleh perintah pengadilan federal untuk menonaktifkan alamat IP yang terkait dengan server Trickbot, dan bekerja dengan penyedia telekomunikasi di seluruh dunia untuk membasmi jaringan.

Trickbot mengizinkan peretas untuk menjual apa yang dikatakan Microsoft sebagai layanan kepada peretas lain – menawarkan mereka kemampuan untuk menyuntikkan komputer, router, dan perangkat lain yang rentan dengan malware lain.

Itu termasuk ransomware, yang telah diperingatkan oleh Microsoft dan pejabat AS dapat menimbulkan risiko bagi situs web yang menampilkan informasi pemilu atau vendor perangkat lunak pihak ketiga yang menyediakan layanan kepada pejabat pemilu.

Baca berita selengkapnya pada tautan di bawah ini;
Source: CNN

PoetRAT Muncul Kembali dalam Serangan di Azerbaijan Di Tengah Meningkatnya Konflik

by

Iterasi baru dari spyware PoetRAT, dengan peningkatan keamanan operasional, kode yang efisiensi dan membingungkan, sedang beredar di Azerbaijan, menargetkan sektor publik dan organisasi penting lainnya seiring dengan meningkatnya konflik negara dengan Armenia atas wilayah yang disengketakan.

Peneliti intelijen ancaman telah mengamati beberapa serangan baru menggunakan malware yang menunjukkan “perubahan dalam kemampuan aktor” dan “kedewasaan menuju keamanan operasional yang lebih baik,” sambil mempertahankan taktik spear-phishing untuk memikat pengguna agar mengunduh dokumen berbahaya, peneliti Cisco Talos mengungkapkan dalam sebuah posting blog, hari Selasa kemarin.

PoetRAT muncul pada bulan April sebagai backdoor yang bertindak sebagai ujung tombak untuk kerangka spionase yang lebih besar.

Kali ini, serangan tersebut menggunakan dokumen Microsoft Word yang diduga berasal dari pemerintah Azerbaijan – lengkap dengan Lambang Nasional Azerbaijan di pojok atas – untuk menginstal PoetRAT di dua file terpisah pada mesin korban, menurut peneliti Warren Mercer, Paul Rascagneres. dan Vitor Ventura.

Perbedaan antara kampanye sebelumnya dan yang terbaru termasuk perubahan dalam bahasa pemrograman yang digunakan untuk malware dari skrip Python ke Lua.

Kampanye terbaru juga menampilkan beberapa taktik baru untuk menghindari deteksi, catat para peneliti. Ini termasuk protokol eksfiltrasi baru untuk menyembunyikan aktivitas penyerang, serta “teknik obfuscation tambahan untuk menghindari deteksi berdasarkan string atau signatures,” termasuk Base64 dan algoritme kompresi LZMA, catat para peneliti.

Korban kampanye termasuk VIP Azerbaijan dan organisasi di sektor publik, dengan penyerang yang menunjukkan akses ke informasi sensitif, seperti paspor diplomatik milik beberapa warga negara.

Berita selengkapnya:
Source: Threat Post

Peringatan CISA memperingatkan serangan Emotet terhadap entitas pemerintah AS

by

Badan Keamanan Siber dan Infrastruktur (CISA) mengeluarkan peringatan untuk memperingatkan gelombang serangan Emotet yang telah menargetkan beberapa negara bagian dan pemerintah lokal di AS sejak Agustus.

Selama waktu itu, Sistem Deteksi Intrusi EINSTEIN milik agensi tersebut telah mendeteksi sekitar 16.000 peringatan terkait aktivitas Emotet.

Menurut para ahli dari CISA, serangan Emotet ditargetkan pada entitas pemerintah AS.

Trojan perbankan Emotet telah aktif setidaknya sejak 2014, botnet dioperasikan oleh pelaku ancaman yang dilacak sebagai TA542. Pada pertengahan Agustus, malware tersebut digunakan dalam kampanye spam baru bertema COVID19.

Trojan perbankan terkenal juga digunakan untuk memberikan kode berbahaya lainnya, seperti Trickbot dan QBot trojan atau ransomware seperti Conti (TrickBot) atau ProLock (QBot).

Peringatan yang diterbitkan oleh CISA didasarkan pada data yang disediakan oleh Multi-State Information Sharing & Analysis Center (MS-ISAC) dan CISA sendiri sejak Juli 2020.

CISA dan MS-ISAC merekomendasikan admin dan pengguna untuk menggunakan solusi antimalware untuk memblokir lampiran yang mencurigakan dan untuk memblokir alamat IP yang mencurigakan.

Peringatan tersebut mencakup mitigasi, Indikator Kompromi (IoCs) dan Teknik MITRE ATT&CK.

Mata-mata asing menggunakan perusahaan untuk menyamarkan peretasan mereka, meminjam taktik penyamaran lama

by

Peretas profesional yang sudah mencoba menyembunyikan aktivitas mereka melalui berbagai cara teknis sekarang tampaknya mencoba lebih banyak penyamaran perusahaan, dengan membuat perusahaan depan atau bekerja sebagai kontraktor pemerintah untuk meningkatkan legitimasi mereka.

“Ini hanya mempersulit untuk mengetahui siapa yang melakukan apa, dan apa motivasi mereka,” John Demers, asisten jaksa agung AS untuk keamanan nasional, mengatakan tentang motivasi yang terlihat dalam wawancara baru-baru ini.

Departemen Kehakiman pada 16 September membuka segel dakwaan terhadap lima pria China dan dua warga negara Malaysia atas dugaan peran mereka dalam skema mata-mata selama bertahun-tahun yang menginfeksi perangkat lunak termasuk Asus, CCleaner dan Netsarang dengan malware.

Beberapa tersangka yang bekerja sebagai bagian dari operasi yang lebih besar berfungsi sebagai bagian dari Chengdu 404, yang memasarkan dirinya sebagai perusahaan penetration testing dengan “semangat patriotik”, kata satu dakwaan.

Saat mengiklankan uji peretasan ofensif, Chengdu 404 menggunakan phishing dan cara lain untuk melanggar lebih dari 100 organisasi di AS, Korea Selatan, Jepang, dan negara lain, menurut tuduhan tersebut.

Peretas akan mengeksploitasi akses mereka untuk mencuri kode sumber, sertifikat penandatanganan perangkat lunak, dan informasi identitas pribadi atas nama Beijing, sambil mengumpulkan uang untuk mereka sendiri. (Perusahaan keamanan telah mengaitkan aktivitas tersebut dengan APT41, unit spionase siber China yang diduga terkait dengan Kementerian Keamanan Negara.)

Sejarah yang kurang membanggakan dari peretasan serupa

Jaksa penuntut AS mengatakan tiga pria Ukraina yang ditangkap pada 2018 mengklaim mengoperasikan Combi Security sebagai perusahaan penetration testing yang sah. Alih-alih benar-benar melakukan tes, perusahaan itu meretas terminal tempat penjualan, mencuri informasi kartu kredit, dan melanggar restoran besar Amerika dan rantai ritel.

Berita selengkapnya:
Source: Cyber Scoop

Malware untuk Penipuan Iklan Menjadi Lebih Canggih

by

Minggu lalu, Facebook mengungkapkan bahwa perusahaan telah menemukan serangan luas pada penggunanya yang telah membobol akun, mengumpulkan kredensial dan token sesi, dan menggunakan akses untuk membeli iklan, barang palsu, dan untuk membuat ulasan produk palsu.

Disebut SilentFade – yang menurut perusahaan adalah singkatan dari “Diam-diam Menjalankan Iklan Facebook dengan Eksploitasi” – sistem pengguna yang terinfeksi malware dan mengakibatkan biaya lebih dari $4 juta, Facebook menyatakan dalam analisisnya.

Kampanye ini – yang ditemukan Facebook pada Desember 2018 dan telah mengambil tindakan pada dua bulan kemudian, menghindari deteksi ancaman dengan mencuri cookie sesi dari pengguna dan masuk dari alamat IP yang secara geografis dekat dengan korban.

SilentFade juga menonaktifkan banyak peringatan dan pemberitahuan keamanan dan menggunakan exploit untuk mencegah pengguna membatalkan perubahan, menurut peneliti perusahaan.

Selain itu, SilentFade mencuri cookie yang berisi token sesi, yang sering dianggap lebih berharga daripada sandi, karena cookie merupakan bukti pasca-otentikasi bahwa pengguna memberikan kredensial yang benar. Dengan menggunakan cookie alih-alih mencuri nama pengguna dan kata sandi, penyerang sering menghindari otentikasi dua faktor.

Komponen pencuri cookie dari SilentFade menargetkan sejumlah besar browser, termasuk Chrome, Opera, Internet Explorer, Edge, dan lainnya.

Facebook telah memperkuat layanannya terhadap SilentFade dan serangan grup lainnya, tetapi menekankan bahwa platform media sosial lainnya mungkin masih terpengaruh oleh kampanye penipuan iklan.

Berita selengkapnya dapat di baca pada tautan di bawah ini;
Source: Dark Reading

Botnet HEH baru dapat menghapus router dan perangkat IoT

by

Dinamakan HEH, botnet ini menyebar dengan meluncurkan serangan brute force terhadap sistem yang terhubung ke internet yang memiliki port SSH (23 dan 2323) yang terbuka secara online.

Jika perangkat menggunakan kredensial SSH default atau yang mudah ditebak, botnet mendapatkan akses ke sistem, di mana ia segera mengunduh salah satu dari tujuh binary yang kemudian dapat menginstal malware HEH.

Malware HEH ini tidak mengandung fitur ofensif.

Satu-satunya fitur yang ada adalah fungsi yang menjerat perangkat yang terinfeksi dan memaksa mereka untuk melakukan serangan brute force SSH di internet untuk membantu memperkuat botnet; fitur yang memungkinkan penyerang menjalankan perintah Shell pada perangkat yang terinfeksi; dan variasi dari fitur kedua ini yang menjalankan daftar operasi Shell yang telah ditentukan sebelumnya yang menghapus semua partisi perangkat.

HEH ditemukan oleh peneliti keamanan dari Netlab, divisi keamanan jaringan raksasa teknologi China Qihoo 360, dan dirinci untuk pertama kalinya dalam laporan yang diterbitkan pada 6 Oktober 2020.

Karena ini adalah botnet yang relatif baru, peneliti Netlab tidak dapat mengetahui apakah operasi penghapusan perangkat disengaja atau apakah itu hanya rutinitas penghancuran diri dengan kode yang buruk.

Saat ini, Netlab mengatakan telah mendeteksi sampel HEH yang dapat dijalankan pada arsitektur CPU berikut x86 (32/64), ARM (32/64), MIPS (MIPS32 / MIPS-III), dan PPC.

Botnet ini masih menyebar. HEH, meskipun belum memblokir perangkat apa pun, tidak akan menjadi botnet pertama yang menghapus perangkat IoT. Dua yang pertama adalah BirckerBot dan Silex.

Baca berita selengkapnya pada tautan di bawah ini;
Source: ZDNet