Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Malware

Malware

Hacker menggunakan Attachments Microsoft OneNote untuk Menyebarkan Malware

by

Pelaku ancaman sekarang menggunakan Attachment OneNote di email phishing yang menginfeksi korban dengan malware akses jarak jauh yang dapat digunakan untuk menginstal malware lebih lanjut, mencuri kata sandi, atau bahkan dompet cryptocurrency.

Ini terjadi setelah penyerang mendistribusikan malware di email menggunakan Attchment Word dan Excel berbahaya yang meluncurkan makro untuk mengunduh dan menginstal malware selama bertahun-tahun.

Menyalahgunakan Attachment OneNote

Microsoft OneNote adalah aplikasi notebook digital desktop yang dapat diunduh secara gratis dan disertakan dalam Microsoft Office 2019 dan Microsoft 365.

Karena Microsoft OneNote terinstal secara default di semua instalasi Microsoft Office/365, bahkan jika pengguna Windows tidak menggunakan aplikasi tersebut, masih tersedia untuk membuka format file.

Sebagai gantinya, OneNote memungkinkan pengguna untuk memasukkan Attachment ke dalam Buku Catatan yang, ketika diklik dua kali, akan meluncurkan Attachment tersebut.

Pelaku ancaman menyalahgunakan fitur ini dengan melampirkan Attachment VBS berbahaya yang secara otomatis meluncurkan skrip saat diklik dua kali untuk mengunduh malware dari situs jarak jauh dan memasangnya.

Untungnya, saat meluncurkan Attachment OneNote, program memperingatkan Anda bahwa hal itu dapat membahayakan komputer dan data Anda.

Namun sayangnya, sejarah telah menunjukkan kepada kita bahwa jenis permintaan ini biasanya diabaikan, dan pengguna cukup mengeklik tombol OK.

Melindungi dari ancaman ini
Setelah diinstal, malware jenis ini memungkinkan pelaku ancaman mengakses perangkat korban dari jarak jauh untuk mencuri file, menyimpan kata sandi browser, mengambil screenshot, dan dalam beberapa kasus, bahkan merekam video menggunakan webcam.

Cara terbaik untuk melindungi diri Anda dari Attachment malicious adalah dengan tidak membuka file dari orang yang tidak Anda kenal. Namun, jika Anda salah membuka file, jangan abaikan peringatan yang ditampilkan oleh sistem operasi atau aplikasi.

sumber : bleepingcomputer

Hati-hati Pengguna Android: Malware Hook Baru dengan Kemampuan RAT Muncul

by

trojan

Aktor ancaman di balik trojan perbankan BlackRock dan ERMAC Android telah merilis malware lain untuk disewakan yang disebut Hook yang memperkenalkan kemampuan baru untuk mengakses file yang disimpan di perangkat dan membuat sesi interaktif jarak jauh.

ThreatFabric, dalam laporan yang dibagikan dengan The Hacker News, mencirikan Hook sebagai fork ERMAC baru yang diiklankan untuk dijual seharga $7.000 per bulan sambil menampilkan “semua kemampuan pendahulunya”.

Sebagian besar aplikasi keuangan yang ditargetkan oleh malware tersebut berada di AS, Spanyol, Australia, Polandia, Kanada, Turki, Inggris, Prancis, Italia, dan Portugal.

Hook adalah hasil karya aktor ancaman yang dikenal sebagai DukeEugene dan mewakili evolusi terbaru ERMAC, yang pertama kali diungkapkan pada September 2021 dan didasarkan pada trojan lain bernama Cerberus yang kode sumbernya bocor pada tahun 2020.

Keluarga Malware Terdeteksi Paling Banyak

Di antara fitur-fitur utama lainnya yang akan ditambahkan ke Hook adalah kemampuan untuk melihat dan berinteraksi dari jarak jauh dengan layar perangkat yang terinfeksi, mendapatkan file, mengekstrak frase benih dari dompet crypto, dan melacak lokasi ponsel, mengaburkan batas antara spyware dan malware perbankan.

ThreatFabric mengatakan artefak Hook diamati sejauh ini dalam tahap pengujian, tetapi mencatat bahwa itu dapat dikirimkan melalui kampanye phishing, saluran Telegram, atau dalam bentuk aplikasi dropper Google Play Store.

selengkapnya : thehackernews

ChatGPT Membuat Malware Polimorfik

by

ChatGPT OpenAI dilaporkan telah menciptakan untaian baru malware polimorfik setelah interaksi berbasis teks dengan peneliti keamanan siber di CyberArk.

Menurut tulisan teknis yang baru-baru ini dibagikan oleh perusahaan dengan Infosecurity, malware yang dibuat menggunakan ChatGPT dapat “dengan mudah menghindari produk keamanan dan membuat mitigasi menjadi rumit dengan sedikit usaha atau investasi oleh musuh.”

Laporan tersebut, yang ditulis oleh peneliti keamanan CyberArk Eran Shimony dan Omer Tsarfati, menjelaskan bahwa langkah pertama untuk membuat malware adalah melewati filter konten yang mencegah ChatGPT membuat alat berbahaya.

Untuk melakukannya, para peneliti CyberArk hanya bersikeras, mengajukan pertanyaan yang sama dengan lebih otoritatif.

“Menariknya, dengan meminta ChatGPT untuk melakukan hal yang sama menggunakan beberapa batasan dan memintanya untuk patuh, kami menerima kode fungsional,” kata Shimony dan Tsarfati.

Lebih lanjut, para peneliti mencatat bahwa ketika menggunakan versi API dari ChatGPT (berlawanan dengan versi web), sistem dilaporkan tampaknya tidak menggunakan filter kontennya.

“Tidak jelas mengapa ini terjadi, tetapi itu membuat tugas kami jauh lebih mudah karena versi web cenderung macet dengan permintaan yang lebih kompleks,” demikian laporan CyberArk.

Shimony dan Tsarfati kemudian menggunakan ChatGPT untuk mengubah kode asli, sehingga membuat banyak variasi.

“Dengan kata lain, kami dapat memutasikan output dengan cepat, menjadikannya unik setiap saat. Selain itu, menambahkan batasan seperti mengubah penggunaan panggilan API tertentu membuat hidup produk keamanan menjadi lebih sulit.”

Berkat kemampuan ChatGPT untuk membuat dan terus memutasikan injektor, para peneliti keamanan siber mampu membuat program polimorfik yang sangat sulit dipahami dan sulit dideteksi.

“Dengan memanfaatkan kemampuan ChatGPT untuk menghasilkan berbagai teknik persistensi, modul Anti-VM, dan muatan berbahaya lainnya, kemungkinan pengembangan malware menjadi sangat besar,” jelas para peneliti.

Selengkapnya: Info Security Magazine

Malware Batloader Menyalahgunakan Alat yang Sah, Menggunakan File JavaScript yang Dikaburkan dalam Serangan Q4 2022

by

Kami membahas kampanye malware Batloader yang kami amati pada kuartal terakhir tahun 2022, termasuk analisis kami tentang peristiwa terkait Water Minyades (Ini adalah rangkaian intrusi yang kami lacak di balik pembuatan Batloader).

Batloader (terdeteksi oleh Trend Micro sebagai Trojan.Win32.BATLOADER), adalah keluarga malware akses awal yang dikenal menggunakan teknik malvertising dan menggunakan malware berbasis skrip di dalam paket Instalasi Perangkat Lunak Microsoft (MSI) yang diunduh dari paket yang terlihat sah namun berbahaya situs web. Awal tahun ini, peneliti Mandiant mengamati Batloader menggunakan teknik keracunan mesin pencari (SEO) dalam serangannya.

Batloader dikaitkan dengan set intrusi yang kami beri nama “Water Minyades”. Para pelaku di balik Water Minyades dikenal mengirimkan malware lain selama kuartal terakhir tahun 2022, seperti Qakbot, RaccoonStealer, dan Bumbleloader melalui teknik rekayasa sosial.

Batloader biasanya tiba melalui situs web jahat yang menyamar sebagai perangkat lunak atau aplikasi yang sah. Korban dapat dialihkan ke situs web ini melalui teknik malvertising dan komentar palsu di forum yang berisi tautan yang mengarah ke situs web distribusi Batloader.

Water Minyades dikenal sangat mengandalkan teknik penghindaran pertahanan, salah satunya adalah menyebarkan payload dengan ukuran file yang sangat besar untuk menghindari analisis kotak pasir dan batas ukuran file mesin antivirus.

Water Minyades juga menyalahgunakan alat yang sah, seperti alat manajemen sistem NSudo dan alat enkripsi email dan file Gpg4win, untuk meningkatkan hak istimewa dan mendekripsi muatan berbahaya.

TRENDMICRO

Peretas dapat menggunakan GitHub Codespaces untuk menghosting dan mengirimkan malware

by

Dalam laporan baru oleh Trend Micro, para peneliti mendemonstrasikan bagaimana GitHub Codespaces dapat dengan mudah dikonfigurasi untuk bertindak sebagai server web untuk mendistribusikan konten berbahaya sambil berpotensi menghindari deteksi karena lalu lintas berasal dari Microsoft.

Saat meneruskan port di VM Codespace, fitur GitHub akan menghasilkan URL untuk mengakses aplikasi yang berjalan di port tersebut, yang dapat dikonfigurasi sebagai pribadi atau publik.

Port forward pribadi memerlukan autentikasi dalam bentuk token atau cookie untuk mengakses URL. Namun, port publik dapat diakses oleh siapa saja yang mengetahui URL tanpa memerlukan otentikasi.

Port visibility setting on Codespaces

Fitur GitHub ini memberi pengembang fleksibilitas dalam demonstrasi kode, tetapi Trend Micro mengatakan penyerang saat ini dapat dengan mudah menyalahgunakannya untuk menghosting malware di platform.

Analis mengatakan bahwa sementara HTTP digunakan secara default dalam sistem penerusan port Codespaces, pengembang dapat mengaturnya ke HTTPS, meningkatkan ilusi keamanan untuk URL.

Karena GitHub adalah ruang tepercaya, alat antivirus cenderung membunyikan alarm sehingga pelaku ancaman dapat menghindari deteksi dengan biaya minimal.

Codespaces abuse attack diagram (Trend Micro)

Melanjutkan serangan
Analis Trend Micro juga mengeksplorasi penyalahgunaan Dev Containers di GitHub Codespaces untuk membuat operasi distribusi malware mereka lebih efisien.

Sebuah “wadah dev” di GitHub Codespaces adalah wadah pra-konfigurasi yang berisi semua dependensi dan alat yang diperlukan untuk proyek tertentu. Pengembang dapat menggunakannya untuk penerapan cepat, membagikannya dengan orang lain, atau terhubung melalui VCS.

Penyerang dapat menggunakan skrip untuk meneruskan port, menjalankan server HTTP Python, dan mengunduh file berbahaya di dalam Codespace mereka.

Selanjutnya, visibilitas port disetel ke publik, yang membuat server web dengan direktori terbuka yang menyajikan file berbahaya ke target.

BleepingComputer dapat mereplikasi pembuatan server web “jahat” menggunakan Codespaces dalam waktu kurang dari 10 menit, tanpa pengalaman dengan fitur tersebut.

Menjalankan server web pada GitHub Codespaces VM

Kebijakan GitHub adalah ruang kode yang tidak aktif akan dihapus secara otomatis setelah 30 hari, sehingga penyerang dapat menggunakan URL yang sama selama sebulan penuh.

Meskipun tidak ada penyalahgunaan GitHub Codespaces yang diketahui saat ini, laporan tersebut menyoroti kemungkinan yang realistis, karena pelaku ancaman umumnya lebih memilih untuk menargetkan platform “bebas penggunaan” yang juga dipercaya oleh produk keamanan.

sumber : bleepingcomputer

Paket PyPi ‘Lolip0p’ Berbahaya Menginstal Malware Pencuri Info

by

Pelaku ancaman telah mengunggah tiga paket berbahaya ke repositori PyPI (Python Package Index), membawa kode untuk menjatuhkan malware pencuri informasi pada sistem pengembang.

Seluruh paket jahat yang ditemukan Fortinet diunggah oleh penulis bernama ‘Lolip0p’ antara 7 dan 12 Januari 2023. Nama mereka adalah ‘colorslib’, ‘httpslib’, dan ‘libhttps’. Ketiganya telah dilaporkan dan dihapus dari PyPI.

Popularitas PyPi menjadikannya menarik bagi pelaku ancaman yang menargetkan pengembang atau proyek mereka. Apalagi PyPI tidak memiliki sumber daya untuk memeriksa semua unggahan paket.

Kampanye Baru
Trio yang ditemukan Fortinet menampilkan deskripsi lengkap yang membantu mengelabui pengembang agar percaya bahwa itu adalah sumber daya asli.

Deskripsi paket berbahaya di PyPI (Fortinet)

Nama paket tidak meniru proyek lain, hanya berusaha meyakinkan bahwa mereka datang dengan kode yang andal dan bebas risiko.

Menurut layanan penghitungan stat paket PyPI ‘pepy.tech,’ tiga entri berbahaya memiliki jumlah unduhan yang tampak kecil, namun dampak potensial dari infeksi ini sebagai bagian dari rantai pasokan membuatnya signifikan.

Tingkat deteksi untuk ketiga executable yang digunakan dalam serangan ini cukup rendah, berkisar antara 4,5% dan 13,5%, memungkinkan file berbahaya untuk menghindari deteksi dari beberapa agen keamanan yang mungkin berjalan di host korban.

Hasil deteksi untuk ‘update.exe’ di VirusTotal (Fortinet)

Pengembang perangkat lunak harus memperhatikan pemilihan paket untuk diunduh, termasuk memeriksa pembuat paket dan meninjau kode jika ada niat mencurigakan atau jahat demi memastikan keamanan dan keselamatan proyek mereka.

Selengkapnya: BleepingComputer

Backdoor Baru Dibuat Menggunakan Bocoran Malware Sarang CIA yang Ditemukan di Alam Liar

by

Pelaku ancaman tak dikenal telah menyebarkan backdoor baru yang meminjam fitur-fiturnya dari suite malware multi-platform Hive Central Intelligence Agency (CIA), yang kode sumbernya dirilis oleh WikiLeaks pada November 2017.

Hal baru bagi Qihoo Netlab 360 dalam menangkap varian kit serangan CIA Hive di alam liar. Mereka memberinya nama xdr33 berdasarkan sertifikat sisi Bot yang disematkan CN=xdr33.

xdr33 disebarkan dengan mengeksploitasi kerentanan keamanan N-day yang tidak ditentukan di peralatan F5. Berkomunikasi dengan server perintah-dan-kontrol (C2) menggunakan SSL dengan sertifikat Kaspersky palsu.

Backdoor dimaksudkan untuk mengumpulkan informasi sensitif dan bertindak sebagai landasan peluncuran untuk intrusi berikutnya. Ini meningkatkan Hive dengan menambahkan instruksi dan fungsionalitas C2 baru, di antara perubahan implementasi lainnya.

Malware menggabungkan modul pemicu yang dirancang untuk menguping lalu lintas jaringan untuk paket pemicu tertentu untuk mengekstrak server C2 yang disebutkan dalam muatan paket IP, membuat koneksi, dan menunggu eksekusi perintah yang dikirim oleh C2.

Selengkapnya: The Hacker News

Kinsing Malware Menargetkan Kubernetes

by

Malware Kinsing telah lama diketahui oleh administrator Linux, dan, sekarang — mengejutkan! — ini juga datang setelah Kubernetes.

Kinsing adalah program malware Linux/Unix Executable and Link format (ELF) jadul, yang ditulis dalam Go. Diberi kesempatan, itu menjalankan cryptominer dan mencoba menyebarkan dirinya ke wadah dan host lain.

Selama bertahun-tahun, itu telah digunakan dalam serangan terhadap Docker, Redis, dan SaltStack. Dan, sekarang, sekarang, peretas Kinsing mengejar Kubernetes. Saya kaget, kaget saat mengetahui bahwa cryptomining sedang terjadi di Kubernetes!

Sunders Bruskin, Microsoft Defender untuk peneliti keamanan Cloud, melaporkan tentang bagaimana sekarang sering menargetkan kluster Kubernetes menggunakan dua teknik vektor akses awal yang berbeda. Ini adalah eksploitasi wadah PostgreSQL yang dikonfigurasi dengan lemah dan gambar yang rentan.

Selengkapnya: Linux Security