Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Security

Security

Mata-Mata Siber Iran Meninggalkan Video Pelatihan Terekspos Secara Online

by

Salah satu kelompok peretasan top Iran telah membiarkan server mereka terekspos online di mana para peneliti keamanan dari IBM X-Force mengatakan mereka menemukan segudang rekaman layar yang menunjukkan ketika para peretas beraksi dan diduga video adalah tutorial yang digunakan kelompok Iran untuk melatih anggota baru.

Video-video tersebut menunjukkan para peretas Iran melakukan berbagai tugas dan memasukkan langkah-langkah tentang cara membajak akun korban menggunakan daftar kredensial yang dikompromikan.

Akun email adalah target utama, tetapi akun media sosial juga diakses jika kredensial akun yang dikompromikan tersedia untuk target tersebut.

Peretas mengakses setiap bagian dari pengaturan akun dan mencari informasi pribadi yang mungkin tidak dimasukkan kedalam akun online lain sebagai bagian dari upaya mereka untuk membangun profil selengkap mungkin tentang setiap target.

IBM tidak merinci bagaimana para peretas memperoleh kredensial untuk setiap korban. Tidak jelas apakah operator telah menginfeksi target dengan malware yang dapat mencuri kata sandi dari browser mereka, atau apakah operator telah membeli kredensial dari pasar dark web.

Di video lain, operator juga melakukan langkah-langkah untuk mengekstrak data dari setiap akun. Ini termasuk mengekspor semua kontak akun, foto, dan dokumen dari situs penyimpanan cloud terkait, seperti Google Drive.

Salah satu Video tersebut juga menunjukkan upaya peretasan yang gagal untuk mengakses akun target, seperti akun pejabat Departemen Luar Negeri AS.

Video di mana serangan kompromi akun yang gagal biasanya untuk akun yang menggunakan otentikasi dua faktor (2FA), kata para peneliti dalam laporan yang dibagikan dengan ZDNet minggu ini.

Peneliti X-Force mengatakan server tempat mereka menemukan semua video ini adalah bagian dari infrastruktur serangan kelompok Iran yang mereka lacak sebagai ITG18, tetapi lebih dikenal sebagai Charming Kitten, Phosphorous, dan APT35.

Baca berita selengkapnya pada tautan di bawah ini;
Source: ZDNet

KrebsOnSecurity: Siapa Di Balik Peretasan Epic Twitter Hari Rabu Kemarin?

by

Pada hari Rabu (15/07), terjadi peretasan masal pada akun Twitter bercentang biru (high level profile).

Dimulai dari akun Twitter untuk pertukaran cryptocurrency Binance men-tweet pesan yang mengatakan mereka telah bermitra dengan “CryptoForHealth” untuk memberikan kembali 5.000 bitcoin kepada komunitas, dengan tautan di mana orang dapat menyumbang atau mengirim uang. Lalu beberapa menit setelah itu beberapa tokoh penting seperti Joe Biden, CEO Amazon Jeff Bezos, Presiden Barack Obama, CEO Tesla Elon Musk, mantan Walikota New York Michael Bloomberg dan Warren Buffett juga mengirim tweet yang sama.

Walaupun mungkin terdengar konyol bahwa siapa pun dapat tertipu dan mengirim bitcoin sebagai tanggapan terhadap tweet tersebut, analisis dompet BTC yang dipromosikan oleh banyak profil Twitter yang diretas menunjukkan bahwa pada 15 Juli akun tersebut memproses 383 transaksi dan menerima hampir 13 bitcoin pada Juli 15 – atau sekitar USD $ 117.000.

Dilansir dari KrebsOnSecurity, ada indikasi kuat bahwa serangan ini dilakukan oleh individu yang secara tradisional mengkhususkan diri dalam pembajakan akun media sosial melalui “pertukaran SIM,” bentuk kejahatan yang semakin merajalela yang melibatkan menyuap, meretas atau memaksa karyawan di telepon seluler dan perusahaan media sosial untuk menyediakan akses ke akun target.

Orang-orang dalam komunitas pertukaran SIM terobsesi dengan pembajakan yang disebut akun media sosial “OG”. Singkatan dari “gangster asli,” akun OG biasanya adalah mereka yang memiliki nama akun pendek (seperti @B atau @joe).


Twitter mengeluarkan statement bahwa insiden itu disebabkan oleh serangan social-engineering yang berakibat pada pengaksesan sistem internal oleh pihak yang tidak mempunyai hak.

Insiden ini dikemas dengan rinci oleh “Lucky225”, ia mengalami sendiri peristiwa pengambil alihan akun yang diduga disebabkan oleh serangan “SIM Swapping”,  pada artikel Medium nya, ia bercerita pada Kamis pukul 2 PM EST , ia mendapatkan konfirmasi password reset melalui Google Voice pada akun  twitter @6, padahal sebelumnya ia telah mematikan SMS notifikasi pada akun tersebut.

Namun karena attacker dapat mengganti alamat email pada akun @6 dan mematikan fitur 2 FA, maka email reset password tersebut terkirim ke Google Voice dan Alamat email yang telah diganti oleh attacker.

Pada akun Twitter yang lain, @shinji memposting screenshot yang dicurigai adalah panel akun internal Twitter dengan caption “Follow @6, yang telah di ambil alih sebelumnya”

KrebsOnSecurity mendapatkan informasi bahwa akun Twitter @shinji dikatikan dengan pelaku kriminal “SIM Swapper” yang telah eksis selama beberapa tahun terakhir.

shinji juga diketahui adalah seorang mahasiswa berumur 21 tahun yang tinggal di Liverpool, U.K bernama Joseph James Connor , hal ini diketahui setelah informan mengirimkan investigator wanita untuk merayu shinji berkomunikasi via Video Call.

Dari hasil Video Call tersebut menunjukan adanya kesamaan kolam renang pada saat sesi video call dengan postingan sosisal media shinji yang lain.

 

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source : KrebsOnSecurity

Malware Android BlackRock Dapat Mencuri Kata Sandi Dan Data Kartu Dari 337 Aplikasi

by

Dilansir dari ZDNet, sebuah jenis baru malware Android telah ditemukan yang dilengkapi dengan berbagai kemampuan pencurian data yang memungkinkannya menargetkan 337 aplikasi Android.

Dinamai BlackRock, ancaman baru ini muncul pada Mei tahun ini dan ditemukan oleh perusahaan keamanan seluler ThreatFabric.

Para peneliti mengatakan bahwa malware ini didasarkan pada kode sumber yang bocor dari strain malware lain (Xerxes, yang juga bersumber dari malware strain lain) tetapi ditingkatkan dengan fitur tambahan, terutama pada sisi yang berkaitan dengan pencurian kata sandi pengguna dan informasi kartu kredit.

BlackRock masih berfungsi seperti kebanyakan trojan perbankan Android, kecuali, ia menargetkan lebih banyak aplikasi daripada sebagian besar pendahulunya.

Trojan ini akan mencuri kredensial login (nama pengguna dan kata sandi), jika tersedia, tetapi juga meminta korban untuk memasukkan detail kartu pembayaran jika aplikasi mendukung transaksi keuangan.

Menurut ThreatFabric, pengumpulan data dilakukan melalui teknik yang disebut “overlay,” yaitu teknik yang terdiri dari pendeteksian saat pengguna mencoba berinteraksi dengan aplikasi yang sah dan memperlihatkan jendela palsu di atasnya yang dapat mengumpulkan detail login korban dan data kartu sebelum mengizinkan pengguna untuk memasuki aplikasi yang sah.

Daftar lengkap aplikasi yang ditargetkan dirinci dalam laporan BlackRock.

Setelah diinstal pada perangkat, aplikasi jahat yang tercemar dengan trojan BlackRock meminta pengguna untuk memberikannya akses ke fitur Aksesibilitas telepon.

Fitur Aksesibilitas Android adalah salah satu fitur sistem operasi yang paling kuat, karena dapat digunakan untuk mengotomatiskan tugas dan bahkan melakukan taps (klik) atas nama pengguna.

BlackRock menggunakan fitur Aksesibilitas untuk memberikan dirinya akses ke izin Android lainnya dan kemudian menggunakan DPC Android (pengontrol kebijakan perangkat, alias work profile) untuk memberikan sendiri akses admin ke perangkat.

Kemudian menggunakan akses ini untuk menampilkan overlay berbahaya, tetapi ThreatFabric mengatakan trojan juga dapat melakukan operasi mengganggu lainnya, seperti:

  • Menyadap pesan SMS
  • Melakukan SMS Floods
  • Melakukan Spam Kontak dengan SMS yang telah ditentukan
  • Memulai aplikasi tertentu
  • Menyimpan log key taps(fungsionalitas keylogger)
  • Menampilkan push notification yang telah dicustom
  • Menyabotase aplikasi antivirus seluler, dan banyak lagi

Saat ini, BlackRock didistribusikan dengan menyamar sebagai paket pembaruan Google palsu yang ditawarkan di situs pihak ketiga, dan trojan tersebut belum terlihat di Play Store resmi.

Sangat disarankan kepada seluruh pengguna Android untuk tidak mengunduh aplikasi Android di luar Google PlayStore dan tetap waspada sebelum mengunduh sesuatu, baik itu dari toko resmi Google atau tidak.

Baca berita selengkapnya pada tautan di bawah ini;
Source: ZDNet

Kebocoran Besar Mengungkap Iran Menargetkan Militer AS Dengan Meretas Akun Google Mereka

by

Kebocoran data yang diduga dari kru peretas Iran telah mengungkapkan bagaimana mereka mengintai kehidupan online para pejabat Amerika dengan mengambil kendali atas akun Google mereka, menurut para peneliti IBM. Peretas yang sama dilaporkan telah dikaitkan dengan serangan terhadap staf kampanye Presiden Trump, menurut laporan IBM yang dibagikan kepada Forbes.

Kebocoran 40 gigabyte ditemukan pada bulan Mei oleh IBM X-Force IRIS. Kesalahan konfigurasi sederhana pada server telah membuat data terbuka lebar bagi siapa saja yang dapat menemukan alamat web yang relevan.

Informasi yang paling terbuka datang dalam bentuk video pelatihan, salah satunya menunjukkan bagaimana para peretas, yang dijuluki ITG18 (juga disebut Charming Kitten), telah melanggar akun Google dari seorang pejabat Angkatan Laut AS.

Ada juga bukti kegagalan upaya phishing yang menargetkan akun pribadi seorang dermawan Iran-Amerika dan pejabat Departemen Luar Negeri AS, termasuk yang terkait dengan Kedutaan Virtual AS untuk Iran.

Dan kebocoran itu membongkar sejumlah persona online palsu yang digunakan para peretas untuk menargetkan orang-orang yang tertarik, dengan satu korban lainnya menjadi anggota Angkatan Laut Yunani Hellenic.

Allison Wikoff, analis senior ancaman cyber di IBM, mengatakan bahwa para pejabat militer telah diberitahu mengenai peretasan ini. Ketika Wikoff mengungkap kebocoran pada bulan Mei dengan sesama peneliti IBM Richard Emerson, ia heran bahwa video pelatihan dari kru peretas Iran telah bocor dan pada kecepatan di mana para peretas dapat menyedot data dari akun Google. Dia juga menemukan bukti bahwa ada akun Yahoo yang juga ditargetkan.

Tim keamanan Google mengungkapkan pada bulan Juni bahwa Charming Kitten telah mencoba masuk ke akun Gmail staf kampanye Trump. Microsoft sebelumnya memperingatkan juga bahwa peretas yang sama telah menargetkan staf presiden.

Baru-baru ini, ada kecurigaan bahwa ledakan di pabrik nuklir Natanz Iran awal bulan ini disebabkan oleh serangan cyber A.S. Sebuah laporan Yahoo News minggu ini menunjukkan CIA telah diberi lebih banyak kekuatan oleh Presiden Trump untuk menargetkan musuh seperti Iran dengan serangan destruktif.

Baca berita selengkapnya pada tautan di bawah ini;
Source: Forbes

Varian Baru Malware Joker di Android

by

Analis dari Check Point Research menemukan sejumlah aplikasi yang menggunakan apa yang peneliti deskripsikan sebagai varian baru dari malware Joker dan yang bersembunyi di Google Play Store dalam “aplikasi yang tampaknya sah.”

“Kami menemukan bahwa versi Joker yang diperbarui ini dapat mengunduh malware tambahan ke perangkat, yang membuat pengguna berlangganan ke layanan premium tanpa sepengetahuan atau persetujuan mereka,” tulis tim Check Point dalam ringkasan temuan mereka. Laporan itu memberikan nama paket untuk 11 aplikasi (salah satunya terdaftar dua kali), sehingga Anda dapat menggunakan ini untuk melihat apakah salah satu dari mereka mungkin ada di ponsel Anda tetapi dengan identitas yang berbeda:

com.imagecompress.android
com.contact.withme.texts
com.hmvoice.friendsms
com.relax.relaxation.androidsms
com.cheery.message.sendsms
com.cheery.message.sendsms
com.peason.lovinglovemessage
com.file.recovefiles
com.LPlocker.lockapps
com.remindme.alram
com.training.memorygame

Untuk membuat orang berlangganan ke layanan premium tanpa mereka sadari, malware Joker tampaknya menggunakan layanan Notification Listener aplikasi asli, serta file dex dinamis yang dimuat oleh server perintah dan kontrol untuk melakukan pendaftaran pengguna yang sebenarnya. Check Point mengatakan itu adalah teknik umum bagi pengembang malware PC Windows untuk mengaburkan “sidik jari” kode mereka dengan menyembunyikan file dex sambil tetap memastikannya dapat memuat.

Google telah menghapus aplikasi di atas dari Play Store, tetapi Aviran Hazum dari Check Point mengatakan kepada salah satu outlet berita bahwa malware Joker kemungkinan akan kembali lagi dalam beberapa bentuk. “Malware Joker sulit dideteksi, meskipun ada investasi Google dalam menambahkan perlindungan Play Store. Meskipun Google menghapus aplikasi jahat dari Play Store, kami sepenuhnya dapat beranggapan bahwa Joker bisa beradaptasi lagi.”

Baca berita selengkapnya pada tautan di bawah ini;
Source: BGR | Check Point Research

Seorang Peretas menjual rincian 142 juta tamu hotel MGM di Dark Web

by

Pelanggaran data MGM Resorts 2019 jauh lebih besar dari yang dilaporkan sebelumnya, dan sekarang diyakini telah memengaruhi lebih dari 142 juta tamu hotel, dan bukan hanya 10,6 juta yang ZDNet awalnya laporkan pada Februari 2020.

Temuan baru ini terungkap selama akhir pekan setelah seorang peretas memasang untuk menjual data hotel dalam iklan yang diterbitkan di pasar cybercrime dark web. Menurut iklan tersebut, peretas menjual rincian 142.479.937 tamu hotel MGM dengan harga lebih dari $2.900.

Peretas mengklaim telah memperoleh data hotel setelah mereka meretas DataViper, layanan pemantauan kebocoran data yang dioperasikan oleh Night Lion Security.

Vinny Troia, pendiri Night Lion Security, mengatakan kepada ZDNet dalam panggilan telepon bahwa perusahaannya tidak pernah memiliki salinan database MGM lengkap dan bahwa para peretas hanya berusaha merusak reputasi perusahaannya.

Peretasan MGM terjadi pada musim panas 2019 ketika seorang peretas mendapatkan akses ke salah satu server cloud hotel dan mencuri informasi tentang tamu-tamu hotel sebelumnya.

Informasi keuangan, nomor ID atau Jaminan Sosial, dan rincian reservasi (menginap di hotel) tidak termasuk, MGM mengatakan pada bulan Februari, yang dapat dikonfirmasi oleh ZDNet setelah meninjau dua kumpulan data MGM yang berbeda – 10,6 juta catatan pengguna bocor pada bulan Februari dan 20 juta batch baru yang dibagikan oleh para peretas pada hari Minggu.

Tanggal kelahiran dan nomor telepon juga termasuk, yang merupakan cara ZDNet dapat mengkonfirmasi pelanggaran pada awalnya, dengan menghubungi tamu hotel sebelumnya.

Irina Nesterovsky, Kepala Riset di perusahaan intel ancaman KELA, mengatakan kepada ZDNet pada Februari bahwa data MGM telah beredar dan dijual di kalangan peretasan pribadi sejak setidaknya Juli 2019.

Baca berita selengkapnya pada tautan di bawah ini;
Source: ZDNet

Apple, Biden, Musk Dan Akun Twitter Profil Tinggi Lainnya Diretas Dalam Penipuan Crypto

by

Sejumlah akun Twitter bercentang biru secara bersamaan diretas pada hari Rabu oleh penyerang yang menggunakan akun – beberapa dengan jutaan pengikut – untuk menyebarkan penipuan cryptocurrency.

Apple, Elon Musk dan Joe Biden adalah di antara akun yang dikompromikan dalam peretasan yang ditargetkan secara luas. Akun-akun itu dan banyak lainnya memposting pesan yang mempromosikan alamat dompet bitcoin dengan klaim bahwa jumlah pembayaran yang dilakukan untuk alamat tersebut akan digandakan dan dikirim kembali – teknik penipuan cryptocurrency yang sudah banyak diketahui.

Beberapa jam setelah posting scam awal, Kim Kardashian West, Jeff Bezos, Bill Gates, Barack Obama, Wiz Khalifa, Warren Buffett, YouTuber MrBeast, Wendy’s, Uber, CashApp dan Mike Bloomberg juga memposting scam cryptocurrency.

Melalui akun support nya, Twitter mengonfirmasi bahwa peretas memanfaatkan alat admin Twitter internal untuk mendapatkan akses ke akun profil tinggi. Dan melalui tweet nya mereka mengatakan bahwa “serangan rekayasa sosial terkoordinasi” pada karyawan memberi peretas “akses ke sistem dan alat internal.”

Sementara ruang lingkup peretasan Twitter hari Rabu kemarin belum pernah terjadi sebelumnya di jejaring sosial, jenis penipuan yang dipromosikan akun dalam peretasan kemarin sangatlah umum. Penipu mengambil alih akun Twitter profil tinggi menggunakan kata sandi yang bocor dan memposting pesan yang mendorong pengguna untuk memposting dana cryptocurrency mereka ke alamat tertentu dengan kedok bahwa mereka akan menggandakan “investasi” mereka. Pada kenyataannya, ini pencurian sederhana, tetapi ini adalah penipuan yang berhasil.

Alamat blockchain utama yang digunakan di situs scam telah mengumpulkan lebih dari 12,5 bitcoin – sekitar $ 116.000 dalam USD – dan akan meningkat setiap menit.

Baca berita selengkapnya pada tautan di bawah ini;
Source: Tech Crunch

Malware Baru Ditemukan di Perangkat Lunak Perpajakan Cina

by

GoldenHelper, sebagaimana peneliti dari perusahaan keamanan Trustwave menjuluki malware ini, bersembunyi di dalam perangkat lunak Faktur Pajak Golden, yang semua perusahaan yang terdaftar di China diberi mandat untuk menggunakan perangkat lunak ini untuk membayar pajak. Malware ini dapat memintas Kontrol Akun Pengguna, mekanisme Windows yang mengharuskan pengguna untuk memberikan persetujuan mereka sebelum perangkat lunak dapat menginstal program atau membuat perubahan sistem lainnya. Setelah selesai, GoldenSpy dapat menginstal modul dengan hak istimewa tingkat Sistem. Trustwave menerbitkan temuannya pada hari Selasa di sini.

GoldenHelper menggunakan trik lain untuk menyembunyikan perilaku jahatnya dan menghindari deteksi dari sistem dan perangkat lunak perlindungan endpoint.

Penemuan ini terjadi tiga minggu setelah Trustwave mengekspos GoldenSpy, sepotong spyware canggih yang ditemukan oleh peneliti perusahaan dan terpasang di jaringan perusahaan teknologi multinasional besar yang baru saja membuka kantor di Cina. Seperti GoldenHelper, GoldenSpy menggunakan modus operasi instalasi yang sama — melalui Proyek Pajak Golden.

Perangkat lunak pajak yang menyimpan GoldenHelper diproduksi oleh perusahaan yang dikenal sebagai Baiwang. Baiwang dan Aisino adalah satu-satunya dua penyedia resmi sistem faktur. Penemuan terbaru menunjukkan bahwa GoldenSpy bukan kampanye satu kali, melainkan kampanye yang menggunakan setidaknya satu bagian malware lainnya dalam periode waktu yang lebih lama daripada yang diketahui sebelumnya.

File yang menjadi indikator utama malware ini bernama taxver.exe , dengan beberapa file indikator lain bernama :

1. msxxxs999.dat
2. Wmiasssrv.dll
3. Wmiasssrv.dll
4. Skpc.dll
5. JSKP_BWB_1.0.4.0.exe
6. skpc.dll

Tidak jelas mengapa GoldenHelper ditutup dengan tiba-tiba. Satu tebakan adalah bahwa operatornya meninggalkan proyek setelah tingkat deteksi melonjak, dari sekitar tiga pada Januari 2019 menjadi sebanyak 29 pada Maret. Di bawah ini adalah timeline yang melacak sejarah malware:

Sumber: Trustwave

 

Berita selengkapnya baca di tautan berikut ini;
Source: Ars Technica | Trustwave