Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for spy

spy

Pasar data curian Industrial Spy baru dipromosikan melalui celah, adware

by

Pelaku ancaman telah meluncurkan pasar baru bernama Industrial Spy yang menjual data curian dari perusahaan yang dilanggar, serta menawarkan data curian gratis kepada anggotanya.

Industrial Spy mempromosikan dirinya sebagai pasar tempat bisnis dapat membeli data pesaing mereka untuk mendapatkan akses ke rahasia dagang, diagram manufaktur, laporan akuntansi, dan basis data klien .

Pasar Industrial Spy menawarkan berbagai tingkatan penawaran data, dengan paket data curian “premium” seharga jutaan dolar dan data tingkat rendah yang dapat dibeli sebagai file individual hanya dengan $2.

Misalnya, Industrial Spy saat ini menjual data perusahaan India dalam kategori premium seharga $1,4 juta, dibayar dalam bitcoin.

Kategori data curian premium
Sumber: BleepingComputer

Namun, sebagian besar data mereka dijual sebagai file individual, di mana pelaku ancaman dapat membeli file tertentu yang mereka inginkan seharga $2 masing-masing.

Kemampuan untuk membeli file individual
Sumber: BleepingComputer

Pasar juga menawarkan paket data curian gratis, yang kemungkinan akan menarik pelaku ancaman lain untuk menggunakan situs tersebut. Beberapa perusahaan yang datanya ditawarkan dalam kategori “Umum” diketahui pernah mengalami serangan ransomware di masa lalu.

Oleh karena itu, pelaku ancaman mungkin telah mengunduh data ini dari situs kebocoran geng ransomware untuk dijual kembali di Industrial Spy.

BleepingComputer pertama kali mengetahui pasar Industrial Spy dari peneliti keamanan MalwareHunterTeam, yang menemukan malware yang dapat dieksekusi [1, 2] yang membuat file README.txt untuk mempromosikan situs.

Saat dijalankan, file malware ini akan membuat file teks di setiap folder di perangkat, yang berisi deskripsi layanan dan tautan ke situs Tor.

File README.txt dibuat untuk mempromosikan pasar
Sumber: BleepingComputer

Setelah penyelidikan lebih lanjut oleh BleepingComputer, kami menemukan bahwa executable ini didistribusikan melalui pengunduh malware lain yang biasanya menyamar sebagai crack dan adware.

Misalnya, STOP ransomware dan Trojan pencuri kata sandi, biasanya didistribusikan melalui celah, dipasang bersama dengan executable Industrial Spy.

Selanjutnya, VirusTotal menunjukkan bahwa file README.txt ditemukan di banyak kumpulan log trojan pencuri kata sandi, yang menunjukkan bahwa kedua program dijalankan pada perangkat yang sama.

Ini menunjukkan bahwa operator situs mata-mata Industri kemungkinan besar bermitra dengan distributor adware dan crack untuk mendistribusikan program yang mempromosikan pasar.

Sumber : Bleeping Computer

MoleRats APT Luncurkan Kampanye Spy pada Bankir, Politisi, Jurnalis

by

Penyerang siber yang disponsori negara menggunakan Google Drive, Dropbox, dan layanan sah lainnya untuk menjatuhkan spyware ke target Timur Tengah dan mengekstrak data.

File berbahaya yang dipalsukan agar terlihat seperti konten sah yang terkait dengan konflik Israel-Palestina digunakan untuk menargetkan warga Palestina terkemuka, serta aktivis dan jurnalis di Turki, dengan spyware.

Itu menurut pengungkapan dari Zscaler, yang mengaitkan serangan siber dengan ancaman persisten tingkat lanjut (APT) MoleRats. Tim peneliti Zscaler mampu mengikat MoleRats, sebuah kelompok berbahasa Arab dengan sejarah menargetkan kepentingan Palestina, untuk kampanye ini karena tumpang tindih dalam payload .NET dan server command-and-control (C2) dengan serangan APT MoleRats sebelumnya.

“Target dalam kampanye ini dipilih secara khusus oleh aktor ancaman dan mereka termasuk anggota penting dari sektor perbankan di Palestina, orang-orang yang terkait dengan partai politik Palestina, serta aktivis hak asasi manusia dan jurnalis di Turki,” analis Zscaler menemukan.

Para analis juga menemukan data sertifikat SSL domain yang tumpang tindih dalam serangan ini dan serangan MoleRats yang diketahui sebelumnya, serta domain umum yang digunakan untuk resolusi DNS pasif, tambah laporan itu.

Serangan itu memberikan umpan berbahaya konten berbahasa Arab yang tampaknya terkait dengan konflik Palestina dengan Israel, dengan kode makro, yang menjalankan perintah PowerShell untuk mengambil malware:

Setelah dieksekusi, malware membuat pintu belakang ke perangkat korban dan mengunduh kontennya ke folder Dropbox, menurut para peneliti, yang melaporkan menemukan setidaknya lima Dropbox yang saat ini digunakan oleh penyerang.

Zscaler melacak rantai serangan kembali melalui Dropbox dan menemukan bahwa mesin APT beroperasi di Belanda dengan subnet IP yang sama dengan C2, bersama dengan domain yang digunakan dalam kampanye APT MoleRats sebelumnya.

Serangan MoleRats terbaru menunjukkan beberapa inovasi dibandingkan kampanye sebelumnya dalam pengiriman pintu belakang, menurut laporan itu.

Laporan Zscaler muncul di tengah ledakan serangan APT baru-baru ini, yang naik lebih dari 50 persen selama setahun terakhir. Itu sebagian besar didorong oleh serangan Log4Shell, menurut Check Point Research baru-baru ini.

Selengkapnya : Threat Post

Eksekutif ExpressVPN di antara tiga yang menghadapi denda $1,6 juta karena membantu mata-mata UEA

by

ExpressVPN CIO Daniel Gericke, seperti yang pertama kali dilaporkan Selasa oleh Reuters, adalah salah satu dari tiga mantan agen intelijen AS dan anggota militer yang terlibat dalam Project Raven yang bekerja sebagai peretas tentara bayaran untuk Uni Emirat Arab, membantunya memata-matai musuh-musuhnya. ExpressVPN mengatakan kepercayaannya pada Gericke “tetap kuat.”

Ketiga terdakwa telah setuju untuk bekerja sama dengan pihak berwenang AS dan membayar denda sebagai ganti penuntutan yang ditangguhkan, menurut rilis Departemen Kehakiman. Ketiganya juga telah kehilangan izin keamanan asing dan AS dan menghadapi pembatasan pekerjaan di masa depan.

Kesepakatan itu muncul sehari setelah ExpressVPN mengumumkan telah dijual sebagai bagian dari kesepakatan senilai $936 juta kepada mantan distributor adware Kape Technologies, sebuah perusahaan yang didirikan bersama oleh mantan agen pengawasan Israel dan seorang miliarder yang sebelumnya dihukum karena perdagangan orang dalam.

Terlepas dari pembatasan pekerjaan di masa depan, ExpressVPN mencatat dalam email ke CNET bahwa Gericke bukan salah satu anggota komunitas intelijen AS yang dirujuk dalam pengajuan Departemen Kehakiman tetapi mantan anggota militer AS, dan bahwa ExpressVPN masih mendukung posisi Gericke di dalam perusahaan.

Pada Selasa malam, akun media sosial Gericke di Twitter dan LinkedIn tampaknya telah dihapus.

Selengkapnya: CNET

Larangan Huawei Australia ‘dibenarkan’ oleh laporan mata-mata di Belanda: Anggota parlemen

by

Anggota parlemen Australia dan Inggris yang menekan pemerintah Boris Johnson untuk melarang Huawei dari jaringan 5G Inggris mengatakan bahwa mereka telah sepenuhnya dibenarkan menyusul laporan bahwa vendor China dapat menguping percakapan yang terjadi di jaringan telepon Belanda.

Staf Huawei dapat menguping semua nomor ponsel di jaringan KPN, menurut catatan internal perusahaan tahun 2010 yang diperoleh oleh surat kabar Belanda de Volkskrant, termasuk perdana menteri saat itu Jan Peter Balkenende dan pembangkang China yang tinggal di Belanda.

Pemerintah Australia telah lama melarang Huawei dari jaringan broadband dan 5G karena masalah mata-mata dan keamanan.

Tetapi Perdana Menteri Boris Johnson menolak tekanan dari anggota parlemennya sendiri dan pemerintahan Trump untuk memblokir perusahaan tersebut, menyebabkan ketegangan di antara klub berbagi intelijen Five Eyes, yang terdiri dari Australia, Amerika Serikat, Inggris, Selandia Baru, dan Kanada.

Berbicara kepada The Sydney Morning Herald dan The Age, Byrne mengatakan laporan Belanda memvalidasi kekhawatiran yang dia dan badan keamanan pegang tentang Huawei serta keputusannya untuk menyampaikannya kepada Inggris.

Selengkapnya: Sydney Morning Herald

Peretas Melanggar Ribuan Kamera Keamanan, Mengekspos Tesla, Penjara, dan Rumah Sakit

by

Sekelompok peretas mengatakan mereka telah membobol data kamera keamanan yang dikumpulkan oleh perusahaan rintisan Silicon Valley, Verkada Inc., mendapatkan akses langsung ke 150.000 kamera pengintai di dalam rumah sakit, perusahaan, departemen kepolisian, penjara, dan sekolah.

Perusahaan yang rekamannya terungkap termasuk pembuat mobil Tesla Inc. dan penyedia perangkat lunak Cloudflare Inc. Selain itu, peretas dapat melihat video dari dalam klinik kesehatan wanita, rumah sakit jiwa, dan kantor Verkada itu sendiri. Beberapa kamera, termasuk di rumah sakit, menggunakan teknologi pengenalan wajah untuk mengidentifikasi dan mengkategorikan orang yang terekam dalam rekaman. Para peretas mengatakan mereka juga memiliki akses ke arsip video lengkap dari semua pelanggan Verkada.

Video lain, diambil di dalam gudang Tesla di Shanghai, menunjukkan para pekerja di jalur perakitan. Para peretas mengatakan mereka memperoleh akses ke 222 kamera di pabrik dan gudang Tesla.

Metode peretas tidaklah canggih: mereka memperoleh akses ke Verkada melalui akun “Admin Super”, memungkinkan mereka untuk mengintip ke kamera semua pelanggannya. Kottmann mengatakan mereka menemukan nama pengguna dan kata sandi untuk akun administrator yang terbuka secara publik di internet. Setelah Bloomberg menghubungi Verkada, para peretas kehilangan ke kamera video, kata Kottmann.

Kami telah menonaktifkan semua akun administrator internal untuk mencegah akses tidak sah, ”kata juru bicara Verkada dalam sebuah pernyataan. “Tim keamanan internal dan firma keamanan eksternal kami sedang menyelidiki skala dan cakupan masalah ini, dan kami telah memberi tahu penegak hukum.”

Source : Bloomberg