Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Security

Security

Ziggy ransomware menutup bisnis mereka dan melepaskan kunci dekripsi korban

by

Operasi ransomware Ziggy telah ditutup dan merilis kunci dekripsi korban setelah kekhawatiran tentang aktivitas penegakan hukum baru-baru ini dan rasa bersalah karena mengenkripsi korban.

Selama akhir pekan, peneliti keamanan M. Shahpasandi mengatakan kepada BleepingComputer bahwa admin Ziggy Ransomware mengumumkan di Telegram bahwa mereka menutup operasi mereka dan akan melepaskan semua kunci dekripsi.

Sumber: BleepingComputer

Kemarin, admin ransomware Ziggy memposting file SQL yang berisi 922 kunci dekripsi untuk korban yang dienkripsi. Untuk setiap korban, file SQL mencantumkan tiga kunci yang diperlukan untuk mendekripsi file terenkripsi mereka.

Sumber: BleepingComputer

Admin ransomware juga memposting decryptor [VirusTotal] yang dapat digunakan korban dengan kunci yang tercantum dalam file SQL.

Admin ransomware juga membagikan file ini dengan pakar ransomware Michael Gillespie yang memberi tahu BleepingComputer bahwa Emsisoft akan segera merilis decryptor.

Sumber: Bleeping Computer

Serangan phishing baru menggunakan kode Morse untuk menyembunyikan URL berbahaya

by

Kampanye phishing bertarget baru menyertakan teknik kebingungan baru menggunakan kode Morse untuk menyembunyikan URL berbahaya dalam lampiran email.

Mulai minggu lalu, pelaku ancaman mulai menggunakan kode Morse untuk menyembunyikan URL berbahaya dalam bentuk phishing mereka untuk melewati gerbang email dan filter email yang aman.

Setelah pertama kali mengetahui serangan ini dari sebuah pos di Reddit, BleepingComputer dapat menemukan banyak contoh serangan yang ditargetkan yang diunggah ke VirusTotal sejak 2 Februari 2021.

Serangan phishing dimulai dengan email yang berpura-pura menjadi faktur untuk perusahaan dengan subjek email seperti ‘Revenue_payment_invoice February_Wednesday 02/03/2021.’

Sumber: BleepingComputer

Email ini menyertakan lampiran HTML yang diberi nama sedemikian rupa sehingga tampak seperti faktur Excel untuk perusahaan yang ditargetkan.

Saat melihat lampiran menggunakan text editor, Anda dapat melihat bahwa lampiran tersebut menyertakan JavaScript yang memetakan huruf dan angka ke kode Morse. Misalnya, huruf ‘a’ dipetakan ke ‘.-‘ dan huruf ‘b’ dipetakan menjadi ‘-…’, seperti yang ditunjukkan di bawah ini.

Sumber: BleepingComputer

Skrip kemudian memanggil fungsi decodeMorse() untuk mendekode string kode Morse menjadi string heksadesimal. String heksadesimal ini selanjutnya diterjemahkan menjadi tag JavaScript yang dimasukkan ke dalam halaman HTML.

Sumber: BleepingComputer

Skrip yang disuntikkan ini digabungkan dengan lampiran HTML berisi berbagai sumber daya yang diperlukan untuk membuat spreadsheet Excel palsu yang menyatakan waktu masuk mereka habis dan meminta mereka memasukkan kata sandi lagi.

Sumber: BleepingComputer

Setelah pengguna memasukkan kata sandi, formulir akan mengirimkan kata sandi ke situs jarak jauh tempat penyerang dapat mengumpulkan kredensial login.

Sumber: Bleeping Computer

Versi Ransomware Zeoticus 2.0 yang baru menjalankan muatan tanpa konektivitas atau perintah jarak jauh

by

Rilis versi yang lebih fleksibel dan efektif dari ransomware Zeoticus telah menggarisbawahi semakin pentingnya pencegahan serangan, seorang peneliti keamanan menyimpulkan.

Tidak seperti pendahulunya, Zeoticus 2.0 dapat mengeksekusi muatan tanpa konektivitas atau perintah jarak jauh, menurut analisis malware yang dilakukan oleh SentinelOne.

Jenis ransomware, yang pertama kali muncul pada awal 2020, “akan dijalankan sepenuhnya secara offline, tanpa ketergantungan pada C2 (Command & Control)”, tulis Jim Walter, peneliti ancaman senior di vendor keamanan siber, dalam sebuah posting blog.

Sebagian besar peningkatan Zeoticus 2.0 “berfokus pada kecepatan dan efisiensi”, seperti penggunaan algoritme enkripsi cepat, yang mencakup algoritme XChaCha20 simetris dan, di sisi asimetris, Poly1305, XSalsa20, dan Curve25519.

Kumpulan dan permukaan serangan yang dapat dieksploitasi dari target potensial telah meluas juga, dengan malware sekarang dapat menemukan dan menginfeksi drive jarak jauh yang kompatibel dengan semua lini OS Windows dan bahkan mungkin dapat “berjalan di Windows XP dan sebelumnya”.

“Infeksi ransomware aktif semakin sulit dikendalikan, ditahan, dan dimitigasi,” kata Walter. Hal ini membuat pencegahan infeksi “lebih penting daripada sebelumnya mengingat sulitnya pemulihan dari serangan ransomware yang dahsyat”.

Pengguna juga harus dididik tentang metode penyerang dan didorong untuk melaporkan aktivitas yang mencurigakan, lanjut peneliti.

Sumber: The Daily Swig

Pengguna Chrome menghadapi 3 masalah keamanan selama 24 jam terakhir

by

Pengguna browser Google Chrome telah menghadapi tiga masalah keamanan selama 24 jam terakhir dalam bentuk ekstensi jahat dengan lebih dari 2 juta pengguna, zero-day yang baru saja diperbaiki, dan informasi baru tentang bagaimana malware dapat menyalahgunakan fitur sinkronisasi Chrome untuk melewati firewall.

Pertama, Great Suspender, sebuah ekstensi dengan lebih dari 2 juta unduhan dari Toko Web Chrome, telah ditarik dari server Google dan dihapus dari komputer pengguna.

Seperti yang dilaporkan di utas GitHub pada bulan November, pengembang ekstensi asli menjual Great Suspender pada Juni lalu, dan mulai menunjukkan tanda-tanda kejahatab di bawah kepemilikan baru. Secara khusus, kata utas, versi baru berisi kode berbahaya yang melacak pengguna dan memanipulasi permintaan Web.

Selanjutnya, Google pada hari Kamis merilis pembaruan Chrome yang memperbaiki kerentanan zero-day. Dilacak sebagai CVE-2021-21148, kerentanan ini berasal dari bug buffer overflow di V8, mesin JavaScript open source Google. Google menetapkan tingkat keparahannya sebagai “tinggi”.

Namun, dalam sebuah posting yang diterbitkan oleh firma keamanan Tenable, para peneliti mencatat bahwa kerentanan itu dilaporkan ke Google pada 24 Januari, satu hari sebelum kelompok analisis ancaman Google mengeluarkan laporan bahwa peretas yang disponsori oleh negara-bangsa menggunakan situs web jahat untuk menginfeksi peneliti keamanan dengan malware.

Terakhir, seorang peneliti keamanan melaporkan pada hari Kamis bahwa peretas menggunakan malware yang menyalahgunakan fitur sinkronisasi Chrome untuk melewati firewall sehingga malware dapat terhubung ke server perintah dan kontrol.

Sinkronisasi memungkinkan pengguna untuk berbagi bookmark, tab browser, ekstensi, dan sandi di berbagai perangkat yang menjalankan Chrome.

Seorang juru bicara Google mengatakan bahwa pengembang tidak akan mengubah fitur sinkronisasi karena serangan lokal secara fisik (artinya serangan yang melibatkan penyerang yang memiliki akses ke komputer) secara eksplisit berada di luar model ancaman Chrome.

Sumber: Ars Technica

Plex Media Memiliki Cacat Keamanan Besar

by

Plex Media mungkin paling dikenal sebagai layanan streaming yang cocok untuk membuat saluran TV khusus, tetapi ternyata server tersebut dapat disalahgunakan untuk tujuan yang lebih jahat.

Pada hari Kamis, perusahaan keamanan siber Netscout melaporkan bahwa server khusus yang sama yang digunakan untuk menghosting saluran ini juga digunakan untuk meningkatkan serangan denial of service (DDoS) —semuanya bahkan tanpa diketahui oleh pelanggan Plex.

Dirinci oleh Netscout, ketika perangkat tertentu yang menjalankan Server Plex melakukan booting dan terhubung ke internet, perangkat tersebut akan menjalankan apa yang dikenal sebagai Simple Service Discovery Protocol (SSDP), untuk memindai perangkat terdekat yang kompatibel yang mungkin ingin mengakses salah satu konten menarik yang dimilikinya.

Dalam beberapa kasus ketika server ini mengintip melalui SSDP, mereka dapat secara tidak sengaja terhubung ke router pengguna — dan jika router tersebut kebetulan dikonfigurasi dengan buruk, ini dapat mengirimkan informasi tentang koneksi SSDP tersebut ke open web.

Hal-hal ini menjadi sangat berbahaya karena koneksi SSDP, secara umum, dapat dengan mudah dieksploitasi oleh aktor jahat yang ingin meningkatkan serangan DDOS mereka.

Anda dapat membaca spesifikasi teknis lengkap tentang cara kerja amplifikasi ini di sini.

Selengkapnya: Gizmodo

Oxfam Australia menyelidiki pelanggaran data setelah database dijual secara online

by

Oxfam Australia menyelidiki dugaan pelanggaran data setelah seorang pelaku ancaman mengaku menjual database milik mereka di forum peretas.

Oxfam Australia adalah badan amal yang berfokus pada pengentasan kemiskinan di kalangan penduduk asli Australia dan orang-orang dari Afrika, Asia, dan timur tengah.

Minggu lalu, BleepingComputer mengetahui tentang pelaku ancaman yang mengaku menjual database berisi kontak Oxfam Australia dan informasi donor untuk 1,7 juta orang.

Sampel database yang dilihat oleh BleepingComputer termasuk nama, alamat email, alamat, nomor telepon, dan jumlah donasi.

Ketika BleepingComputer mengetahui mengenai penjualan ini, mereka lalu menghubungi Oxfam Australia, yang segera menyatakan bahwa mereka sedang menyelidiki situasinya.

Pada hari Rabu, Oxfam Australia mengatakan kepada BleepingComputer bahwa mereka terus menyelidiki pelanggaran tersebut dan melaporkannya ke Pusat Keamanan Cyber Australia (ACSC) dan Kantor Komisaris Informasi Australia (OAIC).

Oxfam Australia telah memberi tahu BleepingComputer bahwa tidak diketahui data apa yang berpotensi diakses dan berapa banyak orang yang terpengaruh.

Badan amal tersebut sedang menyelidiki insiden tersebut dan akan memperbarui nasihat keamanannya saat lebih banyak informasi diketahui.

Sumber: Bleeping Computer

Kelompok peretas juga menggunakan IE zero-day melawan peneliti keamanan

by

Kerentanan Internet Explorer zero-day telah ditemukan digunakan dalam serangan Korea Utara baru-baru ini terhadap peneliti keamanan dan kerentanan.

Bulan lalu, Google mengungkapkan bahwa kelompok peretas yang disponsori negara Korea Utara yang dikenal sebagai Lazarus sedang melakukan serangan rekayasa sosial terhadap peneliti keamanan.

Untuk melakukan serangan mereka, para pelaku ancaman menciptakan persona ‘peneliti keamanan’ online yang rumit yang kemudian akan menggunakan media sosial untuk menghubungi peneliti keamanan terkenal untuk berkolaborasi dalam pengembangan kerentanan dan eksploitasi.

Sebagai bagian dari kolaborasi ini, para penyerang mengirim Proyek Visual Studio berbahaya dan tautan ke situs web yang menghosting alat eksploitasi yang akan memasang backdoor di komputer peneliti.

Hari ini, firma keamanan siber Korea Selatan ENKI melaporkan bahwa Lazarus menargetkan peneliti keamanan di tim mereka dengan file MHTML dalam kampanye rekayasa sosial ini.

Sementara mereka menyatakan bahwa serangan tersebut gagal, mereka menganalisis muatan yang diunduh oleh file MHT dan menemukan bahwa itu berisi eksploitasi untuk kerentanan zero-day Internet Explorer.

File MHT yang dikirim ke peneliti ENKI berisi apa yang diduga eksploitasi Chrome 85 RCE dan diberi nama ‘Chrome_85_RCE_Full_Exploit_Code.mht.’

Saat file MHT/MHTML dibuka, Internet Explorer secara otomatis diluncurkan untuk menampilkan konten file MHT. Jika eksekusi skrip diizinkan, ENKI mengatakan bahwa javascript berbahaya akan mengunduh dua muatan, dengan satu muatan mengandung zero-day melawan Internet Explorer.

Selengkapnya: Bleeping Computer