Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Trojan

Trojan

Operator Trojan njRAT sekarang menggunakan Pastebin sebagai alternatif dari server perintah pusat

by

Operator njRAT Remote Access Trojan (RAT) memanfaatkan terowongan Pastebin C2 untuk menghindari pengawasan oleh peneliti keamanan siber.

Pada hari Rabu, tim cybersecurity Palo Alto Networks Unit 42 mengatakan njRAT, juga dikenal sebagai Bladabindi, digunakan untuk mendownload dan mengeksekusi payload tahap sekunder dari Pastebin, menghilangkan kebutuhan untuk membangun server command-and-control (C2) tradisional.

Tim peneliti tersebut mengatakan bahwa varian njRAT akan memanggil URL singkat yang ditautkan ke Pastebin dalam upaya untuk “menghindari deteksi oleh produk keamanan dan meningkatkan kemungkinan pengoperasian tanpa diketahui”.

Dikembangkan di .NET, njRAT adalah Trojan yang banyak digunakan yang mampu membajak fungsi mesin yang disusupi dari jarak jauh, termasuk mengambil screenshot, exfiltrasi data, keylogging, dan mematikan proses seperti program antivirus.

“Terowongan Pastebin C2” yang sekarang digunakan, seperti yang dijelaskan oleh para peneliti, menciptakan jalur antara infeksi njRAT dan muatan baru. Dengan Trojan bertindak sebagai pengunduh, itu akan mengambil data yang dikodekan di Pastebin, decode, dan deploy.

Palo Alto mengatakan arsitektur perintah berbasis Pastebin masih aktif dan banyak digunakan oleh RAT untuk mengirimkan muatan sekunder.

Sumber: ZDNet

Malware Qbot beralih ke metode autostart Windows baru yang tersembunyi

by

Versi malware Qbot baru sekarang mengaktifkan mekanisme persistensi tepat sebelum perangkat Windows yang terinfeksi dimatikan dan secara otomatis menghapus jejak apa pun saat sistem dimulai ulang atau setelah sleep.

Qbot (juga dikenal sebagai Qakbot, Quakbot, dan Pinkslipbot) adalah trojan perbankan Windows dengan fitur worm yang aktif setidaknya sejak 2009 dan digunakan untuk mencuri kredensial perbankan, informasi pribadi, dan data keuangan.

Malware ini juga telah digunakan untuk mencatat penekanan tombol pengguna, untuk membuka backdoor pada komputer yang disusupi, dan untuk menyebarkan Cobalt Strike yang digunakan oleh operator ransomware untuk mengirimkan muatan ransomware ProLock dan Egregor.

Dimulai pada 24 November, ketika peneliti keamanan Binary Defense James Quinn mengatakan bahwa versi Qbot baru terlihat, malware tersebut menggunakan mekanisme persistensi yang lebih baru dan tersembunyi yang memanfaatkan sistem shutdown dan melanjutkan pesan untuk mengubah persistensi pada perangkat yang terinfeksi.

Qbot Window message listener (Sumber: Binary Defense)

Trojan akan menambahkan registry Run key pada sistem yang terinfeksi yang memungkinkannya untuk memulai secara otomatis saat system login dan akan mencoba untuk segera menghapusnya setelah pengguna menyalakan sistem untuk menghindari deteksi oleh solusi anti-malware atau peneliti keamanan.

Meskipun metode untuk mendapatkan persistensi ini baru untuk Qbot, malware lain telah menggunakan teknik serupa untuk menghindari deteksi di masa lalu, termasuk trojan perbankan Gozi dan Dridex.

Sumber: Bleeping Computer

Malware Gootkit hidup kembali bersama REvil ransomware

by

Setelah tidak muncul selama 1 tahun, Trojan pencuri informasi Gootkit telah hidup kembali bersama REvil Ransomware dalam kampanye baru yang menargetkan Jerman.

Trojan Gootkit adalah malware berbasis Javascript yang melakukan berbagai aktivitas berbahaya, termasuk akses jarak jauh, pengambilan keystroke, perekaman video, pencurian email, pencurian kata sandi, dan kemampuan untuk menyuntikkan skrip berbahaya untuk mencuri kredensial perbankan online.

Tahun lalu, pelaku ancaman Gootkit mengalami kebocoran data setelah membiarkan database MongoDB terbuka di Internet. Setelah pelanggaran ini, diyakini bahwa para aktor Gootkit telah menghentikan operasinya sampai mereka tiba-tiba hidup kembali awal bulan ini.

Minggu lalu, seorang peneliti keamanan yang dikenal sebagai The Analyst mengatakan kepada BleepingComputer bahwa malware Gootkit telah muncul lagi dalam serangan yang menargetkan Jerman.

Dalam kampanye baru ini, pelaku ancaman meretas situs WordPress dan memanfaatkan SEO poisoning untuk menampilkan posting forum palsu kepada pengunjung. Posting ini berpura-pura menjadi pertanyaan dan jawaban dengan tautan ke formulir atau unduhan palsu.

Saat pengguna mengklik link tersebut, mereka akan mendownload file ZIP yang berisi file JS yang dikaburkan yang akan menginstal malware Gootkit atau REvil ransomware.

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Sumber: Bleeping Computer

Trojan berusia 13 tahun digunakan dalam kampanye yang menargetkan beberapa negara, termasuk Indonesia.

by

Check Point Research baru-baru ini mengamati kampanye baru yang menggunakan jenis Trojan backdoor berusia 13 tahun bernama Bandook dan menargetkan beberapa sektor di seluruh dunia.

Bandook, yang hampir menghilang dari lanskap ancaman, muncul dalam kampanye 2015 dan 2017, masing-masing diberi nama “Operation Manul” dan “Dark Caracal”.

Dalam gelombang serangan terbaru, peneliti sekali lagi mengidentifikasi berbagai macam sektor dan lokasi yang menjadi target.

Hal ini semakin memperkuat hipotesis sebelumnya bahwa malware tidak dikembangkan sendiri dan digunakan oleh satu entitas, tetapi merupakan bagian dari infrastruktur ofensif yang dijual oleh pihak ketiga kepada pemerintah dan pelaku ancaman di seluruh dunia, untuk memfasilitasi operasi cyber ofensif.

Infection chain lengkap serangan dapat dipecah menjadi tiga tahap utama. Tahap pertama dimulai, seperti di banyak rantai infeksi lainnya, dengan dokumen Microsoft Word yang berbahaya dikirim di dalam file ZIP.

Setelah dokumen dibuka, makro berbahaya diunduh menggunakan fitur external template. Kode makro lalu menjatuhkan dan menjalankan serangan tahap kedua, skrip PowerShell yang dienkripsi di dalam dokumen Word asli. Terakhir, skrip PowerShell mengunduh dan menjalankan tahap terakhir infeksi: backdoor Bandook.

Sumber: checkpoint research

Berbagai sektor yang ditargetkan adalah Pemerintahan, keuangan, energi, industri makanan, perawatan kesehatan, pendidikan, TI, dan lembaga hukum di Singapura, Siprus, Chili, Italia, AS, Turki, Swiss, Indonesia, dan Jerman.

Laporan selengkapnya dapat dibaca pada tautan berikut;
Sumber: Check Point Research

Jupyter trojan: Malware yang baru ditemukan secara diam-diam mencuri nama pengguna dan kata sandi

by

Kampanye malware trojan yang baru ditemukan menargetkan bisnis dan lembaga pendidikan tinggi dalam upaya untuk mencuri nama pengguna, kata sandi, dan informasi pribadi lainnya serta membuat backdoor yang persisten ke sistem yang disusupi.

Penyalahgunaan Jupyter telah dirinci oleh perusahaan keamanan siber Morphisec yang menemukannya di jaringan lembaga pendidikan tinggi yang tidak disebutkan namanya di AS. Trojan tersebut diperkirakan telah aktif sejak Mei tahun ini.

Serangan tersebut terutama menargetkan data browser Chromium, Firefox, dan Chrome, tetapi juga memiliki kemampuan tambahan untuk membuka backdoor pada sistem yang disusupi, memungkinkan penyerang untuk menjalankan skrip dan perintah PowerShell, serta kemampuan untuk mengunduh dan menjalankan malware tambahan.

Installer Jupyter disamarkan dalam file zip, sering kali menggunakan ikon Microsoft Word dan nama file yang sepertinya harus segera dibuka, berkaitan dengan dokumen penting, detail perjalanan, atau kenaikan gaji.

Jika installer dijalankan, ia akan menginstal alat yang sah dalam upaya untuk menyembunyikan tujuan sebenarnya dari instalasi – mengunduh dan menjalankan installer jahat ke dalam folder temporary di latar belakang.

Setelah terinstal sepenuhnya pada sistem, Jupyter mencuri informasi termasuk nama pengguna, kata sandi, autocompletes, riwayat penjelajahan & cookie dan mengirimkannya ke server perintah dan kontrol.

Analisis malware menunjukkan bahwa siapa pun yang membuatnya terus-menerus mengubah kode untuk mengumpulkan lebih banyak informasi sekaligus mempersulit korban untuk mendeteksi.

Para peneliti percaya bahwa Jupyter berasal dari Rusia. Analisis malware tidak hanya mengungkapkan bahwa itu terkait dengan server perintah dan kontrol di Rusia, tetapi reverse image searching yang dilakukan mengungkapkan gambar planet Jupiter di panel admin infostealer yang asli berasal dari forum berbahasa Rusia.

Berita selengkapnya:
Sumber: ZDNet

Malware ‘Ghimob’ baru dapat memata-matai 153 aplikasi seluler Android

by

Peneliti keamanan telah menemukan trojan perbankan Android baru yang dapat memata-matai dan mencuri data dari 153 aplikasi Android.

Dinamakan Ghimob, trojan tersebut diyakini telah dikembangkan oleh kelompok yang sama di belakang malware Windows Astaroth (Guildma), menurut sebuah laporan yang diterbitkan pada hari Senin oleh perusahaan keamanan Kaspersky.

Kaspersky mengatakan trojan Android baru tersebut telah dipromosikan dengan dikemas ulang di dalam aplikasi Android berbahaya di situs dan server yang sebelumnya digunakan oleh operasi Astaroth (Guildama).

Distribusi tidak pernah dilakukan melalui Play Store resmi. Sebaliknya, grup Ghimob menggunakan email atau situs jahat untuk mengarahkan pengguna ke situs web yang mempromosikan aplikasi Android.

Aplikasi ini meniru aplikasi dan merek resmi, dengan nama seperti Google Defender, Google Docs, WhatsApp Updater, atau Flash Update.

Setelah diunduh, jika akses ke Aksesibilitas diberikan, aplikasi akan mencari di ponsel yang terinfeksi untuk daftar 153 aplikasi yang nantinya akan menampilkan halaman login palsu dalam upaya untuk mencuri kredensial pengguna.

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: ZDNet

Kampanye Malspam Memanfaatkan Ketidakpastian Pemilihan

by

Penjahat siber telah memanfaatkan ketidakpastian yang sedang berlangsung di sekitar pemilihan AS 2020 untuk meluncurkan kampanye malspam baru yang bertujuan menyebarkan trojan Qbot.
Penjahat di belakang Qbot muncul kembali sehari setelah pemilu dengan email spam yang berusaha memikat korban dengan pesan yang mengklaim memiliki informasi tentang campur tangan pemilu,

Menurut peneliti. “Pemilu AS 2020 telah menjadi subjek pengawasan dan emosi yang intens, sementara terjadi di tengah pandemi global,” para peneliti di Malwarebytes Labs melaporkan dalam posting Rabu. “Dalam kasus ini, kami mulai mengamati kampanye spam baru yang mengirimkan lampiran berbahaya yang mengeksploitasi keraguan tentang proses pemilihan.”

Email terbaru yang diamati oleh tim Lab MalwareBytes menyertakan lampiran ZIP bernama “ElectionInterference_ [8 hingga 9 digit] .zip” dan meminta penerima untuk “Baca dokumen dan beri tahu saya pendapat Anda”.
Jika mengklik pada spreadsheet Excel yang dibuat seolah-olah itu adalah file DocuSign yang aman. “Pengguna tertipu untuk mengizinkan makro untuk ‘mendekripsi’ dokumen,” kata peneliti.

Setelah makro diaktifkan, ia mengunduh muatan berbahaya yang berisi trojan Qbot dengan URL yang dikodekan dalam sel sheet bernama Sirilik “Лист3”. Setelah eksekusi, trojan menghubungi server perintah dan kontrolnya untuk meminta instruksi untuk aktivitas jahatnya. Dalam kasus ini, Qbot mencuri dan mengeksfiltrasi data korban serta mengumpulkan email yang dapat digunakan dalam kampanye malspam di masa mendatang, kata peneliti.

Para pelaku ancaman mengambil keuntungan dari ketidakpastian pemilu 2020 – hasil resmi yang masih belum diketahui – tidak mengejutkan. Peneliti keamanan sejak lama berharap hari pemilihan dan akibatnya akan diganggu oleh para pelaku ancaman siber.

Memang, skenario pemilu 2020 saat ini adalah umpan yang sempurna untuk skema rekayasa sosial yang sering digunakan oleh pelaku ancaman untuk mendistribusikan malware secara massal melalui email berbahaya.

Source : Threatpost

National Guard dipanggil untuk menggagalkan serangan dunia maya di Louisiana beberapa minggu sebelum eleksi.

by

Pejabat senior keamanan AS telah memperingatkan di sini setidaknya sejak 2019 bahwa ransomware berisiko bagi pemilu AS, yaitu serangan terhadap kantor pemerintah negara bagian tertentu di sekitar pemilu dapat mengganggu sistem yang diperlukan untuk mengelola aspek pemungutan suara.

Para ahli yang menyelidiki insiden Louisiana menemukan alat yang digunakan oleh peretas yang sebelumnya terkait dengan kelompok yang terkait dengan pemerintah Korea Utara, menurut seseorang yang mengetahui penyelidikan tersebut.

Alat itu digambarkan kepada Reuters sebagai Remote Access Trojan, atau RAT, yang digunakan untuk menyusup ke jaringan komputer. Tetapi analis keamanan siber yang telah memeriksa RAT ini – yang dikenal sebagai “KimJongRat” – mengatakan beberapa kodenya telah dipublikasikan di gudang virus komputer, di mana peretas dapat menyalinnya; membuat atribusi ke Korea Utara kurang pasti.

Satu orang yang mengetahui peristiwa tersebut mengatakan bahwa mereka menilai tujuan peretas adalah menginfeksi komputer dengan ransomware, tetapi menambahkan bahwa sulit untuk menentukannya karena serangan telah dihentikan pada fase awal.

Jika demikian, Louisiana bukan yang pertama. Selama setahun terakhir, beberapa kota AS telah menjadi korban ransomware, termasuk: insiden di Baltimore, Maryland, dan Durham, North Carolina.

Pertanyaan Besar

Jen Miller Osborn, wakil direktur intelijen ancaman untuk perusahaan keamanan siber AS Palo Alto Networks, melacak kelompok peretas tahun lalu yang menggunakan KimJongRat. Dia mengatakan akan menjadi “tidak biasa” bagi grup yang dia pelajari untuk melakukan operasi dunia maya demi keuntungan finansial

Pada 6 Oktober, divisi keamanan siber Departemen Keamanan Dalam Negeri, yang dikenal sebagai CISA, menerbitkan peringatan yang mengatakan bahwa Emotet digunakan untuk menargetkan banyak kantor pemerintah lokal di seluruh negeri.

Dalam kasus baru-baru ini di mana penjahat dunia maya mengejar kantor pemerintah lokal saat pemilihan mendekat, seperti di Washington, pejabat AS bersama dengan perusahaan teknologi seperti Microsoft Corp berlomba untuk lebih memahami jika peretas berbagi koneksi dengan badan intelijen asing dari Rusia, Iran, Cina dan Korea Utara.

“Ini adalah pertanyaan yang sangat menarik dan sesuatu yang kami gali dan coba temukan data, informasi, dan kecerdasan yang akan membantu kami memahami itu dengan lebih baik,” kata Wakil Presiden Microsoft Tom Burt dalam wawancara baru-baru ini.

Source : Reuters