Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Security

Security

Baru Dirilis, Decryptor Gratis untuk Atom Silo dan LockFile Ransomware

by

Avast baru saja merilis alat dekripsi yang akan membantu korban ransomware AtomSilo dan LockFile memulihkan beberapa file mereka secara gratis tanpa harus membayar uang tebusan.

Avast merilis alat dekripsi lain sebelumnya hari ini untuk membantu korban ransomware Babuk memulihkan file mereka secara gratis.

Seperti yang dijelaskan oleh perusahaan perangkat lunak keamanan siber Ceko, decryptor ini mungkin tidak dapat mendekripsi file dengan tidak dikenal, berpemilik, atau tanpa format sama sekali.

“Selama proses dekripsi, dekripsi Avast AtomSilo bergantung pada format file yang diketahui untuk memverifikasi bahwa file berhasil didekripsi. Oleh karena itu, beberapa file mungkin tidak didekripsi,” kata Tim Intelijen Ancaman Avast.

Decryptor bekerja untuk kedua jenis ransomware karena mereka sangat mirip, meskipun kelompok yang menyebarkannya di jaringan korban menggunakan taktik serangan yang berbeda.

Avast Threat Labs mengatakan dekripsi ransomware ini dibuat bekerja sama dengan analis malware RE – CERT Jiří Vinopal, yang menemukan kelemahan di ransomware AtomSilo awal bulan ini.

Korban AtomSilo dan LockFile dapat mengunduh alat dekripsi dari server Avast dan mendekripsi seluruh partisi disk menggunakan petunjuk yang ditampilkan dalam UI dekripsi.

BleepingComputer menguji alat ini dan memulihkan file yang dienkripsi dengan sampel Atom Silo menggunakan dekripsi gratis Avast.

Avast Atom Silo Decryptor (sumber:BleepingComputer)

Operasi ransomware LockFile pertama kali terlihat pada Juli 2021 setelah geng tersebut terlihat mengambil alih domain Windows dan mengenkripsi perangkat setelah mengeksploitasi server yang belum ditambal terhadap kerentanan ProxyShell dan PetitPotam.

Saat mengenkripsi file, LockFile ransomware akan menambahkan ekstensi .lockfile ke nama file terenkripsi dan menjatuhkan catatan tebusan yang diberi nama menggunakan format ‘[victim_name]-LOCKFILE-README.hta’.

Yang menarik adalah bahwa skema warna LockFile dan tata letak catatan tebusan sangat mirip dengan ransomware LockBit. Namun, tampaknya tidak ada hubungan antara kedua kelompok.

Atom Silo adalah geng ransomware baru yang operatornya baru-baru ini menargetkan Server Confluence dan server Pusat Data yang rentan terhadap bug yang sekarang ditambal dan dieksploitasi secara aktif.

Ransomware yang digunakan oleh Atom Silo hampir identik dengan LockFile, menurut peneliti SophosLabs.

Namun, operator Atom Silo menggunakan teknik baru yang membuatnya sangat sulit untuk menyelidiki serangan mereka, termasuk pemuatan samping pustaka tautan dinamis berbahaya yang mengganggu solusi perlindungan titik akhir.

sumber: BLEEPING COMPUTER

Ancaman Siber Teratas Pada Sektor Kesehatan, Kerentanan yang Harus Diwaspadai

by

Buletin bulanan Health Sector Cybersecurity Coordination Center (HC3) HHS memperingatkan sektor perawatan kesehatan akan ancaman dan kerentanan sier teratas pada perawatan kesehatan saat ini yang harus diwaspadai.

Kerentanan BrakTooth, grup Conti Ransomware, dan malware Medusa/TangleBot terus menjadi ancaman signifikan bagi organisasi layanan kesehatan, kata grup tersebut.

Kelompok kerentanan BrakTooth berdampak pada perangkat berkemampuan Bluetooth dan pertama kali ditemukan oleh ASSET Research Group pada bulan Agustus. Kerentanan memungkinkan pelaku jahat untuk memulai serangan Denial-of-Service (DoS) pada laptop, smartphone, dan perangkat Bluetooth lainnya.

Temuan awal menunjukkan bahwa kerentanan BrakTooth dapat memengaruhi lebih dari 1.400 daftar produk. Kerentanan menimbulkan ancaman signifikan bagi sektor perawatan kesehatan karena sifat serangan DoS, yang dapat merusak firmware perangkat dan menonaktifkan koneksi Bluetooth.

Malware Medusa/TangleBot terus menjadi ancaman bagi organisasi perawatan kesehatan juga. Peretas menyebarkan malware melalui SMS dan diketahui menargetkan pengguna Android dengan mengirimkan pesan terkait COVID-19 dengan tautan berbahaya. Saat diklik, tautan menyebarkan malware dan mulai mengumpulkan data. Malware dapat mengakses internet, GPS, dan log panggilan korbannya.

HC3 juga mendesak industri kesehatan untuk memperkuat layanan jaringan pribadi virtual (VPN), karena VPN sering digunakan sebagai titik masuk ke jaringan yang dilindungi. Sektor kesehatan bergantung pada teknologi VPN untuk telemedicine dan akses pasien ke catatan kesehatan. NSA dan CISA merilis lembar informasi bersama untuk membantu organisasi mengelola risiko VPN.

Sumber: Health IT Security

11 Pengaturan Keamanan di Windows 11 yang Harus Diketahui

by

Microsoft telah meluncurkan sistem operasinya yang paling aman. Inilah cara memanfaatkannya sebaik mungkin.

1. Tetap Perbarui Windows 11
Keamanan yang baik dimulai dengan memperbarui perangkat lunak Anda, dan jika Anda memilih Pembaruan Windows dari Pengaturan, Anda dapat memeriksa apakah semua tambalan dan perbaikan bug terbaru telah diterapkan ke sistem operasi. Klik Opsi lanjutan dan Jam aktif untuk memastikan Windows tidak akan memulai ulang dan menerapkan pembaruan di tengah hari kerja Anda.

2. Periksa Opsi Masuk Anda
Pilih nama Anda di kiri atas panel Pengaturan lalu opsi Masuk untuk melihat berbagai cara Anda dapat masuk ke komputer. Jika pengenalan wajah (menggunakan webcam Anda) atau pengenalan sidik jari (menggunakan sensor sidik jari) tersedia, ini lebih aman daripada kata sandi, dan sebagian besar komputer modern harus mendukungnya.

3. Sign Out Saat Anda Pergi
Dari layar opsi Masuk yang sama, manfaatkan opsi If you’ve been away, when should Windows require you to sign in again? untuk memastikan log in selalu diperlukan. Anda juga dapat menggunakan opsi kunci Dinamis untuk memberi tahu Windows untuk mengunci perangkat Anda saat Anda menjauh darinya (seperti yang ditunjukkan oleh lokasi ponsel cerdas yang terhubung)

4. Aktifkan Built-in Security Tools
Jika Anda memilih Privasi & keamanan dan kemudian Keamanan Windows dari Pengaturan, Anda dapat memastikan perangkat lunak keamanan yang disertakan dengan Windows diaktifkan. Ini adalah kebutuhan mutlak jika Anda tidak menginstal alternatif pihak ketiga. Masalah keamanan apa pun yang memerlukan perhatian Anda akan ditandai dengan tanda seru berwarna kuning—klik salah satu untuk detail selengkapnya.

5. Jalankan Pemindaian Malware
Dari layar Keamanan Windows yang sama, Anda dapat mengklik Buka Keamanan Windows untuk membuka pusat keamanan Windows 11 bawaan. Sebagian besar fitur di sini harus berjalan secara otomatis di latar belakang, termasuk memindai malware berbahaya, tetapi Anda dapat menjalankan pemindaian secara manual dengan mengeklik Perlindungan virus & ancaman dan memilih Pemindaian cepat.

6. Lihat Keamanan Perangkat
Masalah perangkat keras apa pun dengan komputer Windows 11 Anda—termasuk masalah dengan TPM dan proses boot aman—akan dicantumkan di halaman Keamanan perangkat setelah Anda membuka alat Keamanan Windows.

7. Tetap Aman Saat Anda Online
Jika Anda memilih Kontrol aplikasi & browser dari utilitas Keamanan Windows, Anda akan melihat ada dua pengaturan yang dapat Anda aktifkan: Perlindungan berbasis reputasi (yang berarti Windows 11 selalu mencari aplikasi yang mencurigakan atau berkinerja buruk) dan Perlindungan Eksploitasi ( yang membantu mengurangi dampak dari berbagai serangan peretasan jarak jauh).

8. Periksa Alat Keamanan yang Anda Miliki
Buka Pengaturan dari dalam Keamanan Windows untuk melihat perangkat lunak yang melindungi komputer Windows 11 Anda di bawah Penyedia keamanan—ini mungkin perangkat lunak keamanan yang disertakan dengan Windows atau alternatif pihak ketiga. Anda juga dapat mengatur pengaturan pemberitahuan keamanan dari sini untuk memastikan Anda selalu mendapat informasi.

9. Kelola Izin Aplikasi
Seperti pada ponsel cerdas Anda, Anda dapat memutuskan aplikasi izin mana yang diizinkan untuk digunakan di Windows 11. Buka halaman Privasi & keamanan dari layar Pengaturan utama, lalu gulir ke bawah untuk melihat izin. Klik izin apa pun, seperti Lokasi, Kamera, atau Mikrofon, untuk mengelola program mana yang saat ini memiliki akses ke sana.

10. Pastikan Perangkat Anda Dapat Ditemukan Jika Hilang
Dari Privasi & keamanan di bawah Pengaturan, pilih Temukan perangkat saya agar lokasinya direkam secara berkala. Ini memungkinkan Anda untuk masuk ke akun Microsoft Anda di perangkat lain dan mencari tahu di mana komputer Windows 11 Anda pergi—sangat berguna jika Anda meninggalkannya di kereta atau tidak ingat apakah itu di kantor atau di suatu tempat di rumah.

11. Enkripsi Data di Perangkat Anda
Mengenkripsi data pada hard drive Anda mempersulit orang lain untuk membaca informasi (jika mereka dapat mengekstrak drive dari komputer Anda, misalnya). Tidak semua komputer memberi Anda opsi, tetapi jika komputer Anda melakukannya, Anda dapat mengaktifkannya dengan memilih Privasi & keamanan lalu Enkripsi perangkat dari layar Pengaturan Windows 11.

source: WIRED

Discord Menjadi Jembatan Besar Penyebaran Malware

by

Fitur Utama dan Content Delivery Network Discord digunakan untuk mengirim file berbahaya—termasuk RAT—ke seluruh jaringannya yang terdiri dari 150 juta pengguna, yang membahayakan perusahaan.

Threat actors menyalahgunakan fitur inti dari platform komunikasi digital Discord yang populer untuk terus-menerus mengirimkan berbagai jenis malware—khususnya trojan akses jarak jauh (RAT) yang dapat mengambil alih sistem—menempatkan 150 juta penggunanya dalam risiko, menurut RiskIQ dan CheckPoint.

Keduanya menemukan malware multi-fungsi yang dikirim dalam pesan di seluruh platform, yang memungkinkan pengguna untuk mengatur server Discord ke dalam saluran berbasis topik di mana mereka dapat berbagi file teks, gambar atau suara atau executable lainnya. File-file itu kemudian disimpan di server Jaringan Pengiriman Konten (CDN) Discord.

Para peneliti memperingatkan, “banyak file yang dikirim melalui platform Discord berbahaya, menunjukkan sejumlah besar penyalahgunaan CDN yang di-hosting sendiri oleh aktor dengan membuat saluran dengan tujuan tunggal mengirimkan file berbahaya ini,” menurut sebuah laporan yang diterbitkan Kamis oleh Tim RiskIQ.

Awalnya Discord menarik para gamer, tetapi platform tersebut sekarang digunakan oleh organisasi untuk komunikasi di tempat kerja. Penyimpanan file berbahaya di CDN Discord dan proliferasi malware di platform berarti bahwa “banyak organisasi dapat mengizinkan lalu lintas buruk ini ke jaringan mereka,” tulis peneliti RiskIQ.

RAT dan Malware Lain-lain
Fitur malware terbaru yang ditemukan di platform termasuk kemampuan untuk mengambil tangkapan layar, mengunduh dan mengeksekusi file tambahan, dan melakukan keylogging, peneliti CheckPoint Idan Shechter dan Omer Ventura diungkapkan dalam laporan terpisah yang juga diterbitkan Kamis.

CheckPoint juga menemukan bahwa Discord Bot API—implementasi Python sederhana yang memudahkan modifikasi dan mempersingkat proses pengembangan bot di platform—“dapat dengan mudah mengubah bot menjadi RAT sederhana” yang dapat digunakan oleh pelaku ancaman “untuk mendapatkan akses penuh dan jarak jauh. kontrol pada sistem pengguna.”

Bot Discord menjadi bagian yang semakin integral dari cara pengguna berinteraksi dengan Discord, memungkinkan mereka untuk mengintegrasikan kode untuk fitur yang disempurnakan guna memfasilitasi manajemen komunitas, kata para peneliti.

“Bot perselisihan tampaknya kuat, ramah, dan sangat menghemat waktu,” tulis Shechter dan Ventura. “Namun, dengan kekuatan besar juga ada tanggung jawab besar, dan kerangka kerja bot Discord dapat dengan mudah digunakan untuk niat jahat.”

Peneliti CheckPoint menemukan beberapa repositori berbahaya di antara GitHub yang relevan untuk platform Discord. Repositori ini termasuk malware berdasarkan Discord API dan bot jahat dengan fungsi berbeda, kata mereka.

Sementara itu, peneliti RiskIQ memeriksa URL CDN Discord yang berisi .exe, DLL dan berbagai dokumen dan file terkompresi, menemukan setelah meninjau hash di VirusTotal bahwa lebih dari 100 mengirimkan konten berbahaya. Delapan puluh file berasal dari 17 keluarga malware yang berbeda, dengan trojan yang terdiri dari malware paling umum yang diamati di platform, kata para peneliti.

Secara khusus, peneliti RiskIQ mempelajari lebih dalam bagaimana Discord CDN menggunakan domain Discord melalui tautan yang menggunakan [hxxps://cdn.discordapp[.]com/attachments/{ChannelID}/{AttachmentID}/{filename}] sebagai format untuk menemukan malware, kata mereka.

Para peneliti mendeteksi tautan dan menanyakan ID saluran Discord yang digunakan dalam tautan ini, yang memungkinkan mereka mengidentifikasi domain yang berisi halaman web yang tertaut ke tautan CDN Discord dengan ID saluran tertentu, kata mereka.

“Misalnya, platform RiskIQ dapat menanyakan ID saluran yang terkait dengan zoom[-]download[.]ml,” jelas peneliti. “Domain ini mencoba menipu pengguna agar mengunduh plug-in Zoom untuk Microsoft Outlook dan sebagai gantinya mengirimkan pencuri kata sandi Dcstl yang dihosting di CDN Discord.”

Dalam contoh lain, RiskIQ menemukan bahwa ID saluran untuk URL yang berisi file pencuri kata sandi Raccoon mengembalikan domain untuk Taplink, sebuah situs yang menyediakan halaman arahan mikro kepada pengguna untuk mengarahkan individu ke halaman Instagram dan media sosial lainnya, jelas mereka.

“Seorang pengguna kemungkinan menambahkan tautan Discord CDN ke halaman Taplink mereka,” jelas para peneliti. “Meminta ID ini memungkinkan pengguna RiskIQ untuk memahami file Discord mana dan infrastruktur terkait yang bersangkutan dan di mana mereka berada di seluruh web.”

Teknik ini memungkinkan peneliti untuk menentukan tanggal dan waktu saluran Discord dibuat, menghubungkan yang dibuat dalam beberapa hari sebelum pengamatan pertama dari file di VirusTotal ke saluran dengan tujuan tunggal mendistribusikan malware, kata mereka. Pada akhirnya, mereka menemukan dan membuat katalog 27 jenis malware unik yang dihosting di CDN Discord.

source: THREATPOST

Dokumen Facebook Bocor: Inilah yang Perlu Anda Ketahui

by

Mantan karyawan Facebook Francis Haugen telah membocorkan ribuan halaman dokumen internal tentang perusahaan, serta mengajukan keluhan pelapor ke Securities and Exchange Commission, yang telah memberikan pandangan yang sangat tidak baik dan, dalam beberapa kasus, mengganggu perbedaan antara cara eksekutif menggambarkan perusahaan secara publik versus apa yang diketahui Facebook tentang produknya dari penelitian internal.

Sebagian besar—mulai dari studi yang menunjukkan dampak psikologis Instagram pada beberapa gadis muda hingga keberadaan program bernama XCheck yang memilih beberapa pengguna yang bebas dari aturan—telah dibahas.

Tapi akhir pekan ini, sebuah konsorsium dari 17 outlet berita berbeda yang diberi akses ke dokumen merilis gelombang artikel memberatkan lainnya yang bahkan lebih dalam tentang masalah di perusahaan.

Artikel-artikel tersebut melukiskan gambaran perusahaan yang berada dalam konflik internal, dengan stafnya sendiri sering kali secara terbuka menentang manajemen seperti CEO Mark Zuckerberg.

Banyak yang tampaknya menunjukkan bahwa para peneliti Facebook sendiri terkejut dengan temuan mereka tentang cara kerja situs sebenarnya, serta frustrasi sampai pada titik pengunduran diri oleh kelambanan manajemen atau campur tangan terhadap upaya mereka untuk menemukan solusi.

CNN juga melaporkan bahwa dokumen internal menunjukkan bahwa Facebook telah sangat menyadari tingkat perdagangan manusia dan perdagangan “pelayan rumah tangga” di seluruh situs setidaknya sejak 2018.

Sementara perusahaan bergegas untuk mengatasi masalah tersebut setelah Apple mengancam akan menghapus Facebook dan Instagram dari App Store iOS pada tahun 2019, jaringan tersebut melaporkan bahwa masih mudah untuk menemukan akun yang mengiklankan manusia untuk dijual.

Laporan dari The Verge mengatakan bahwa satu tema yang menonjol dari dokumen yang bocor adalah “variasi signifikan dalam sumber daya moderasi konten yang diberikan ke berbagai negara berdasarkan kriteria yang tidak bersifat publik atau tunduk pada tinjauan eksternal”:

Brasil, India, dan Amerika Serikat ditempatkan di “tingkat nol”, prioritas tertinggi. Facebook menyiapkan “ruang perang” untuk memantau jaringan secara terus menerus. Mereka membuat dasbor untuk menganalisis aktivitas jaringan dan memperingatkan pejabat pemilu lokal tentang masalah apa pun.

Jerman, Indonesia, Iran, Israel, dan Italia berada di peringkat satu. Mereka akan diberikan sumber daya yang sama, dikurangi beberapa sumber daya untuk penegakan aturan Facebook dan untuk peringatan di luar periode langsung di sekitar pemilihan.

Di tingkat dua, 22 negara ditambahkan. Mereka harus pergi tanpa ruang perang, yang juga disebut Facebook sebagai “pusat operasi yang ditingkatkan.”

Sisanya ditempatkan ke tingkat tiga. Facebook akan meninjau materi terkait pemilu jika dieskalasikan kepada mereka oleh moderator konten. Jika tidak, mereka tidak akan campur tangan.

Selengkapnya: Gizmodo | The Verge

Perusahaan Berebut Untuk Menerapkan Zero Trust Security

by

Rekor tingkat ransomware, serangan rantai pasokan, dan berbagai jenis pelanggaran memotivasi organisasi untuk memprioritaskan keamanan “tanpa kepercayaan” pada tahun 2021.

Zero trust adalah inisiatif strategis yang membantu mencegah pelanggaran data yang berhasil dengan menghilangkan konsep kepercayaan dari arsitektur jaringan organisasi. Zero trust bukan tentang membuat sistem dipercaya; ini adalah tentang menghilangkan kepercayaan sepenuhnya.

Laju upaya pelanggaran dan serangan siber yang tak henti-hentinya terus meningkat, membuat adopsi berbasis zero trust semakin mendesak bagi perusahaan, menurut survei baru-baru ini terhadap para profesional keamanan siber.

Delapan puluh persen organisasi mengatakan mereka berencana untuk menerapkan zero trust security dalam waktu kurang dari 12 bulan; 83% setuju bahwa zero trust secara strategis diperlukan untuk bisnis mereka yang berkelanjutan.

Selain itu, Departemen Pertahanan sekarang diberi mandat untuk beralih ke pendekatan zero trust, menandai pertama kalinya persyaratan strategi dunia maya global telah ditetapkan untuk lembaga pemerintah utama.

Survei Dinamika Pasar Zero Trust pertama Ericom menilai persepsi pasar tentang kerangka zero trust security, mengeksplorasi rencana organisasi untuk adopsi dan implementasi, dan mengidentifikasi masalah utama yang menghambat pergerakan mereka ke zero trust.

Sekitar 1.300 profesional keamanan dan risiko berpartisipasi dalam survei Ericom Juli 2021.

Kerangka kerja keamanan tanpa kepercayaan sekarang menjadi topik reguler di tingkat dewan dan Eksekutif tingkat C. Eksekutif menuntut lebih banyak visibilitas dan kontrol di seluruh jaringan mereka hingga endpoint. Dengan mempertimbangkan dinamika pasar tersebut, wawasan utama dari Survei Dinamika Pasar Zero Trust Ericom meliputi:

  • Delapan puluh dua persen profesional S&R (Security & Risk) mengatakan zero trust adalah strategi penting untuk organisasi mereka, dan 56% berencana untuk beralih ke zero trust dalam enam bulan atau kurang.
  • Eksekutif tingkat C mengatakan anggaran mereka mencerminkan peningkatan penekanan pada infrastruktur cloud multi-cloud dan hybrid karena organisasi mereka berusaha untuk menjadi sepenuhnya virtual
  • Lima puluh dua persen profesional S&R mengadopsi zero trust security untuk mencapai pendekatan yang lebih proaktif untuk mengamankan operasi bisnis inti mereka.

Selengkapnya: Venturebeat

Malware Cryptomining Terbaru Menargetkan Huawei Cloud

by Leave a Comment

Versi baru malware penambangan kripto Linux yang sebelumnya digunakan untuk menargetkan wadah Docker pada tahun 2020 sekarang berfokus pada penyedia layanan cloud baru seperti Huawei Cloud.

Analisis kampanye baru berasal dari para peneliti di TrendMicro, yang menjelaskan bagaimana malware telah berevolusi dengan fitur-fitur baru sambil mempertahankan fungsi sebelumnya.

Lebih khusus, sampel yang lebih baru telah mengomentari fungsi pembuatan aturan firewall (tetapi masih ada) dan terus menjatuhkan pemindai jaringan untuk memetakan host lain dengan port yang relevan dengan API.

Namun, versi malware baru hanya menargetkan lingkungan cloud dan sekarang mencari dan menghapus skrip cryptojacking lain yang mungkin telah menginfeksi sistem sebelumnya.

Saat menginfeksi sistem Linux, coinminer jahat akan melakukan langkah-langkah berikut, yang mencakup penghapusan pengguna yang dibuat oleh distributor malware penambangan kripto yang bersaing.
Setelah menghapus pengguna yang dibuat oleh pelaku ancaman lain, pelaku menambahkan pengguna mereka sendiri, langkah umum bagi banyak cryptojackers penargetan cloud. Namun, tidak seperti banyak cryptominer lainnya, malware menambahkan akun pengguna mereka ke daftar sudoers, memberi mereka akses root ke perangkat.

Untuk memastikan bahwa persistensi dipertahankan pada perangkat, penyerang menggunakan kunci ssh-RSA mereka sendiri untuk melakukan modifikasi sistem dan mengubah izin file ke status terkunci.

Ini berarti bahwa bahkan jika aktor lain memperoleh akses ke perangkat di masa mendatang, mereka tidak akan dapat mengambil kendali penuh atas mesin yang rentan.

Para aktor menginstal layanan proxy Tor untuk melindungi komunikasi dari deteksi dan pengawasan pemindaian jaringan, melewati semua koneksi melaluinya untuk anonimisasi.

Binari yang dijatuhkan (“linux64_shell”, ”ff.sh”, “fczyo”, “xlinux”) menampilkan beberapa tingkat kebingungan, dan TrendMicro telah melihat tanda-tanda pengepakan UPX telah digunakan untuk pembungkusan.

Para aktor telah melalui gangguan lebih lanjut untuk menyetel binari untuk siluman terhadap analisis otomatis dan perangkat deteksi.

Setelah mendapatkan pijakan di perangkat, skrip peretas akan mengeksploitasi sistem jarak jauh dan menginfeksinya dengan skrip berbahaya dan cryptominer.

Kerentanan yang diketahui yang dipindai selama serangan ini meliputi:

Kata sandi lemah SSH
Kerentanan dalam produk Oracle WebLogic Server dari Oracle Fusion Middleware (CVE-2020-14882)
Redis akses tidak sah atau kata sandi yang lemah
Akses tidak sah PostgreSQL atau kata sandi yang lemah
Kata sandi lemah SQLServer
Akses tidak sah MongoDB atau kata sandi yang lemah
Protokol transfer file (FTP) kata sandi lemah
CSP dibombardir
Huawei Cloud adalah layanan yang relatif baru, tetapi raksasa teknologi China itu mengklaim telah melayani lebih dari tiga juta pelanggan. TrendMicro telah memberi tahu Huawei tentang kampanye tersebut, tetapi mereka belum menerima pengakuan.

Baik Anda menerapkan instans, perlu diingat bahwa menjalankan penilaian kerentanan dan pemindaian malware mungkin tidak cukup untuk bertahan dari serangan ini. Anda perlu mengevaluasi model keamanan CSP Anda dan menyesuaikan pendekatan Anda untuk melengkapinya dengan perlindungan lebih lanjut.

Penambang kripto penargetan cloud ini telah meningkat sejak awal tahun, dan selama nilai kripto melonjak, para aktor akan memiliki insentif untuk membuatnya lebih kuat dan lebih sulit dideteksi.

sumber: bleepingcomputer

Microsoft: Peretas Iran Menargetkan Perusahaan Teknologi Pertahanan AS

by Leave a Comment

Pelaku yang berhubungan dengan Iran menargetkan penyewa Office 365 dari perusahaan teknologi pertahanan AS dan Israel dalam serangan extensive password spraying attacks.

Dalam extensive password spraying attacks, pelaku ancaman mencoba untuk memaksa akun dengan menggunakan kata sandi yang sama di beberapa akun secara bersamaan, yang memungkinkan mereka menyembunyikan upaya yang gagal menggunakan alamat IP yang berbeda.

Hal ini memungkinkan mereka untuk mengalahkan pertahanan otomatis seperti penguncian kata sandi dan pemblokiran IP berbahaya yang dirancang untuk memblokir beberapa upaya login yang gagal.

Cluster aktivitas itu untuk sementara dijuluki DEV-0343 oleh para peneliti di Microsoft Threat Intelligence Center (MSTIC) dan Microsoft Digital Security Unit (DSU), yang telah melacaknya sejak akhir Juli.

Menurut Microsoft, aktivitas jahat yang sedang berlangsung ini sejalan dengan kepentingan nasional Iran berdasarkan teknik dan target yang selaras dengan aktor ancaman terkait Iran lainnya.

DEV-0343 juga dikaitkan dengan Iran berdasarkan analisis pola kehidupan dan persilangan ekstensif dalam penargetan sektoral dan geografis dengan kelompok peretas Iran lainnya.

“Penargetan dalam aktivitas DEV-0343 ini telah diamati di seluruh perusahaan pertahanan yang mendukung Amerika Serikat, Uni Eropa, dan mitra pemerintah Israel yang memproduksi radar tingkat militer, teknologi drone, sistem satelit, dan sistem komunikasi tanggap darurat,” kata Microsoft.

“Aktivitas lebih lanjut telah menargetkan pelanggan dalam sistem informasi geografis (GIS), analitik spasial, pelabuhan masuk regional di Teluk Persia, dan beberapa perusahaan transportasi laut dan kargo dengan fokus bisnis di Timur Tengah.”

Tujuan akhir operator DEV-0343 kemungkinan adalah untuk mendapatkan akses ke citra satelit komersial dan rencana pengiriman dan log kepemilikan, yang akan digunakan untuk menambah program satelit dalam pengembangan Iran.

Microsoft telah langsung memberi tahu pelanggan yang telah ditargetkan atau disusupi, memberi mereka informasi yang mereka butuhkan untuk mengamankan akun mereka.

Kurang dari 20 target dilanggar
Sejak serangan dimulai, kurang dari 20 target telah dikompromikan, dengan Microsoft mencatat bahwa akun Office 365 dengan otentikasi multifaktor (MFA) yang diaktifkan tahan terhadap serangan semprotan kata sandi DEV-0343.

DEV-0343 menargetkan titik akhir Autodiscover dan ActiveSync Exchange dengan alat penyemprot enumerasi/sandi untuk memvalidasi akun aktif dan memperbaiki serangan mereka.

“Mereka biasanya menargetkan lusinan hingga ratusan akun dalam suatu organisasi, tergantung pada ukurannya, dan menghitung setiap akun dari lusinan hingga ribuan kali,” kata Microsoft.

“Rata-rata, antara 150 dan 1.000+ alamat IP proxy Tor unik digunakan dalam serangan terhadap setiap organisasi.”

Cara bertahan dari serangan
Perusahaan yang terpapar aktivitas ini didorong untuk mencari perilaku dan taktik DEV-0343 dalam log dan aktivitas jaringan, termasuk:

Lalu lintas masuk yang luas dari alamat IP Tor untuk kampanye extensive password spraying attacks
-Emulasi browser FireFox (paling umum) atau Chrome dalam kampanye penyemprotan kata sandi
-Pencacahan Exchange ActiveSync (paling umum) atau titik akhir Autodiscover
-Penggunaan alat enumerasi/penyemprotan kata sandi yang mirip dengan alat ‘o365spray’
-Penggunaan Autodiscover untuk memvalidasi akun dan kata sandi
-Aktivitas penyemprotan kata sandi yang diamati biasanya memuncak antara 04:00:00 dan 11:00:00 UTC
Microsoft merekomendasikan untuk mengambil langkah-langkah berikut sebagai pertahanan terhadap serangan DEV-0343:

Aktifkan autentikasi multifaktor untuk mengurangi kredensial yang disusupi.
-Untuk pengguna Office 365, lihat dukungan autentikasi multifaktor.
-Untuk akun email Konsumen dan Pribadi, lihat cara menggunakan verifikasi dua langkah.
-Microsoft sangat menganjurkan semua pelanggan untuk mengunduh dan menggunakan solusi tanpa kata sandi.
-Tinjau dan terapkan kebijakan akses Exchange Online yang direkomendasikan:
-Blokir klien ActiveSync agar tidak melewati kebijakan Akses Bersyarat.
-Blokir semua lalu lintas masuk dari layanan anonim jika memungkinkan.
-Peneliti MSTIC dan DSU juga membagikan kueri perburuan lanjutan Microsoft 365 Defender dan Azure Sentinel di akhir entri blog untuk membantu tim SecOps mendeteksi aktivitas terkait DEV-0343.

sumber: bleepingcomputer