CISA

Internet Sehat : Peringatan bersama dari FBI dan Cybersecurity and Infrastructure Security Agency (CISA) mengungkapkan bahwa kampanye spear-phishing baru mencoba menginfeksi PC dengan Trickbot, salah satu bentuk malware yang paling umum dan kuat saat ini.Trickbot memulai hidupnya sebagai trojan perbankan, tetapi telah menjadi salah satu alat paling kuat yang tersedia bagi penjahat dunia maya, yang dapat menyewakan akses ke mesin yang terinfeksi untuk mengirimkan malware mereka sendiri yang juga termasuk ransomware.Sekarang pembuat Trickbot ini menggunakan taktik baru untuk mencoba mengirimkannya kepada para korban, yaitu e-mail phishing yang mengklaim berisi bukti pelanggaran lalu lintas. Harapannya, masyarakat takut membuka email untuk mengetahui lebih lanjut.E-mail berbahaya berisi tautan yang mengarahkan pengguna ke situs web yang di-hosting di server yang disusupi oleh penyerang yang memberi tahu korban untuk mengklik foto untuk melihat bukti. Mereka yang mengklik foto, akan mengunduh file JavaScript yang ketika dibuka, terhubung ke server perintah dan kontrol yang akan mengunduh Trickbot ke sistem mereka.Trickbot akan membuat backdoor di mesin Windows, memungkinkan penyerang mencuri informasi sensitif termasuk kredensial masuk, sementara beberapa versi Trickbot mampu menyebar sendiri ke seluruh jaringan.Sifat modular Trickbot berarti bisa sangat disesuaikan dengan serangan tambahan termasuk menyebarkan malware berikutnya seperti Ryuk atau Conti ransomware atau hingga saat ini berfungsi sebagai pengunduh untuk malware Emotet. Trickbot juga dapat mengeksploitasi mesin yang terinfeksi untuk cryptomining.Sebuah koalisi perusahaan keamanan siber berusaha untuk mengganggu Trickbot pada Oktober tahun lalu, tetapi malware tersebut tidak terlalu lama diam karena penjahat siber dengan cepat dapat melanjutkan operasi mereka.Trickbot tetap menjadi alat yang ampuh untuk penjahat dunia maya dan bahaya yang jelas bagi perusahaan dan organisasi dari semua ukuran, tetapi ada langkah-langkah yang direkomendasikan oleh CISA dan FBI yang dapat diambil untuk membantu melindungi jaringan dari malware.Organisasi harus menerapkan program keamanan siber yang tepat dengan proses manajemen tambalan keamanan formal sehingga serangan siber tidak dapat mengeksploitasi kerentanan yang diketahui untuk mendapatkan pijakan di jaringan. Juga disarankan agar otentikasi multi-faktor diterapkan di seluruh perusahaan sehingga malware yang mencuri kredensial masuk untuk bergerak melintasi jaringan tidak dapat melakukannya dengan mudah.Sumber : ZDNetSumber Foto : Coursenet

FBI : e-Mail Phishing Sebarkan Malware Canggih

Internet Sehat : CISA dan Biro Investigasi Federal (FBI) telah berbagi panduan untuk penyedia layanan terkelola (managed service providers, MSP) dan pelanggan mereka yang terkena dampak serangan ransomware rantai pasokan REvil yang menghantam sistem platform MSP berbasis cloud Kaseya.Kedua agen federal menyarankan MSP yang terkena serangan Friday REvil untuk memeriksa lebih lanjut sistem mereka untuk tanda-tanda kompromi menggunakan alat deteksi yang disediakan oleh Kaseya selama akhir pekan dan mengaktifkan otentikasi multi-faktor (MFA) pada akun sebanyak mungkin.Selain itu, MSP juga harus menerapkan daftar yang diizinkan untuk membatasi akses ke aset internal mereka dan melindungi antarmuka admin alat pemantauan jarak jauh mereka menggunakan firewall atau VPN.CISA dan FBI menyarankan pelanggan MSP yang terkena dampak untuk memastikan cadangan selalu diperbarui dan disimpan di lokasi yang mudah diambil yang terpisah dari jaringan organisasi. Berikutnya kembali ke proses manajemen patch manual yang mengikuti panduan perbaikan vendor, termasuk pemasangan patch baru segera setelah tersedia. Selain itu, menerapkan MFA dan prinsip hak istimewa paling rendah pada akun admin sumber daya jaringan utama.Kedua agen federal terlibat dalam proses penanganan insiden di seluruh dunia untuk pelanggan Kaseya yang terkena dampak dan mendesak semua MSP yang terkena dampak dan pelanggan mereka untuk mengikuti panduan yang dibagikan di atas.Dewan Keamanan Nasional Gedung Putih juga mendesak para korban serangan rantai pasokan skala besar ini untuk melaporkan insiden tersebut ke Pusat Pengaduan Kejahatan Internet. Korban juga disarankan untuk mengikuti panduan yang dikeluarkan oleh Kaseya, termasuk mematikan server VSA mereka, serta menerapkan teknik mitigasi CISA dan FBI.Serangan ransomware REvil besar-besaran menghantam beberapa penyedia layanan terkelola yang menggunakan platform MSP berbasis cloud Kaseya untuk manajemen patch dan pemantauan klien untuk pelanggan mereka. Secara keseluruhan, lebih dari 1.000 pelanggan dari 20 MSP memiliki sistem yang dienkripsi dalam serangan yang direncanakan dengan hati-hati untuk diluncurkan pada Jumat tengah hari karena bertepatan dengan akhir pekan 4 Juli AS, ketika biasanya bagi staf untuk memiliki hari kerja yang lebih pendek.Untuk menembus server VSA lokal Kaseya, afiliasi REvil di balik serangan tersebut menggunakan kerentanan zero-day (CVE-2021-30116) — Kaseya VSA adalah perangkat lunak RMM (Remote Monitoring and Management).Kelompok ransomware REvil mengklaim telah mengenkripsi lebih dari 1.000.000 sistem dan pertama-tama menuntut 70 juta dollar AS untuk decryptor universal untuk mendekripsi semua korban serangan Kaseya. Namun, hari ini, operatornya dengan cepat menurunkan harga menjadi 50 juta dollar AS. Tebusan tersebut adalah permintaan tebusan tertinggi hingga saat ini, rekor sebelumnya juga milik REvil, meminta 50 juta dollar AS setelah menyerang pembuat elektronik dan komputer Taiwan Acer.Sumber : Bleeping Computer

CISA dan FBI Berbagi Panduan untuk Korban Serangan Ransomware Kaseya

Internet Sehat : CISA telah mengumumkan peluncuran Joint Cyber ​​Defense Collaborative (JCDC), sebuah kemitraan lintas sektor publik dan swasta yang berfokus pada pertahanan infrastruktur penting AS dari ransomware dan ancaman dunia maya lainnya.Tujuan inisiatif baru ini adalah untuk memungkinkan CISA mengembangkan rencana pertahanan siber bekerja sama dengan lembaga federal, mitra SLTT (negara bagian, lokal, suku, dan teritorial), dan organisasi sektor swasta untuk ketahanan nasional terhadap aktivitas siber berbahaya yang menargetkan infrastruktur penting.Direktur CISA Jen Easterly mengatakan bahwa mitra industri yang telah sepakat untuk bekerja berdampingan dengan CISA dan rekan tim antarlembaga memiliki komitmen yang sama untuk mempertahankan fungsi kritis nasional negara dari intrusi dunia maya, dan imajinasi untuk memicu solusi baru.Dengan mitra yang luar biasa cakap ini, fokus awal CISA adalah pada upaya memerangi ransomware dan mengembangkan kerangka kerja perencanaan untuk mengoordinasikan insiden yang memengaruhi penyedia layanan cloud.Mitra industri pertama yang bergabung dengan JCDC termasuk Microsoft, Google Cloud, Amazon Web Services, AT&amp;T, Crowdstrike, FireEye Mandiant, Lumen, Palo Alto Networks, dan Verizon, dengan rencana untuk memperluas dengan lebih banyak sektor swasta dan mitra SLTT dari lintas sektor.Mitra pemerintah yang sudah berpartisipasi termasuk Departemen Pertahanan, Badan Keamanan Nasional, Departemen Kehakiman, Biro Investigasi Federal, Komando Siber AS, dan Kantor Direktur Intelijen Nasional, dengan Badan Manajemen Risiko Sektor (SRMA) untuk bergabung dengan upaya di lain waktu.Peluncuran kemitraan antara platform sektor publik dan swasta AS ini terjadi setelah rentetan serangan siber yang hampir terus-menerus menargetkan lembaga pemerintah AS dan infrastruktur penting, dimulai dengan serangan rantai pasokan SolarWinds pada Desember 2020.Sejak awal tahun 2021, baik kelompok peretasan yang disponsori negara dan bermotivasi finansial telah mengoordinasikan serangan luas pada server Microsoft Exchange di seluruh dunia dan menghantam jaringan pelanggan Colonial Pipeline, JBS Foods, dan Kaseya dalam insiden ransomware.Presiden Joe Biden mengeluarkan nota keamanan nasional pada akhir Juli sebagai tanggapan atas aliran serangan ini, Nota keamanan tersebut merupakan memorandum yang dirancang untuk membantu meningkatkan keamanan infrastruktur penting AS dengan menetapkan sasaran kinerja dasar untuk pemilik dan operator infrastruktur.Sumber : Bleeping Computer

Hadang Ransomware, CISA Kerja Sama dengan Amazon, Google dan Microsoft

Internet Sehat : Kementerian Pertahanan Belgia telah mengalami serangan dunia maya setelah penjahat mengeksploitasi salah satu kerentanan di Log4j. Serangan tersebut terjadi di pertengahan bulan Desember, seperti yang dilaporkan oleh stasiun berita TV berbahasa Flemish VRT yang mengatakan beberapa kegiatan kementerian lumpuh selama beberapa hari.Juru bicara Kementerian Pertahanan Belgia Olivier Severin mengatakan dalam sebuah pernyataan bahwa Kementerian Pertahanan menemukan serangan terhadap jaringan komputernya dengan akses interne. Tindakan karantina dengan cepat diambil untuk mengisolasi bagian-bagian yang terkena dampak. Prioritasnya adalah menjaga jaringan pertahanan tetap beroperasi.Dia menambahkan bahwa serangan tersebut mengikuti eksploitasi kerentanan Log4j di mana spesialis TI di seluruh dunia mengalami pelanggaran.Log4j adalah utilitas logging FOSS yang didistribusikan oleh Apache Foundation dan dibundel dengan Apache Server yang membuatnya sangat banyak digunakan. Versi terbarunya, 2.17, adalah pembaruan ketiga dalam 10 hari setelah penemuan asli dari kerentanan eksekusi kode jarak jauh yang dieksploitasi secara aktif dua minggu yang lalu. Sejak itu lebih banyak kerentanan telah muncul, membutuhkan pembaruan cepat dari pengelola Log4j.Sementara industri infosec telah memperingatkan dengan keras tentang potensi masalah, serangan terhadap kementerian pertahanan adalah pengingat yang jelas bahwa kelemahan ini perlu diperbaiki secepatnya.Kemarin Pusat Keamanan Siber Belgia, sebuah organisasi pemerintah, mengeluarkan siaran pers yang mengatakan bahwa perusahaan yang menggunakan perangkat lunak Apache Log4j dan belum mengambil tindakan dapat menghadapi masalah besar dalam beberapa hari dan minggu mendatang.Badan Keamanan Siber dan Infrastruktur (CISA) pemerintah AS minggu lalu mengeluarkan arahan darurat yang mengharuskan agen federal untuk mengambil tindakan korektif pada kerentanan Apache Log4j sebelum 1700 EST pada 23 Desember 2021.Sumber : The Register

Kementerian Pertahanan Belgia Akui Penyerang Akses Jaringan Komputer

Internet Sehat : Badan penegak hukum dan keamanan siber AS dan Inggris berbagi informasi tentang malware baru yang disebarkan oleh kelompok hacker MuddyWatter yang didukung Iran dalam serangan yang menargetkan infrastruktur penting di seluruh dunia.Hal ini terungkap hari ini dalam nasihat bersama yang dikeluarkan oleh CISA, Biro Investigasi Federal (FBI), US Cyber Command’s Cyber National Mission Force (CNMF), UK’s National Cyber Security Centre (NCSC-UK), dan Badan Keamanan Nasional AS (NSA).MuddyWater menargetkan berbagai organisasi pemerintah dan sektor swasta lintas sektor termasuk telekomunikasi, pertahanan, pemerintah daerah, dan minyak dan gas alam di Asia, Afrika, Eropa, dan Amerika Utara. Kelompok ancaman ini menggunakan beberapa jenis malware, termasuk PowGoop, Canopy/Starwhale, Mori, POWERSTATS, serta yang sebelumnya tidak dikenal untuk menyebarkan malware tahap kedua pada sistem yang disusupi.Di antara malware yang dirinci, agensi AS dan Inggris menyoroti pintu belakang Python baru (dijuluki Small Sieve) yang digunakan oleh operator MuddyWater untuk ketekunan dan pintu belakang PowerShell yang digunakan untuk mengenkripsi saluran komunikasi perintah dan kontrol (C2).Small Sieve menyediakan fungsionalitas dasar yang diperlukan untuk mempertahankan dan memperluas pijakan di infrastruktur korban dan menghindari deteksi dengan menggunakan string khusus dan skema kebingungan lalu lintas bersama dengan antarmuka pemrograman aplikasi (API) Telegram Bot.Grup spionase siber MuddyWatter (alias Earth Vetala, MERCURY, Static Kitten, Seedworm, dan TEMP.Zagros) telah aktif setidaknya sejak 2017. Grup ini dikenal karena memfokuskan serangannya pada entitas Timur Tengah dan terus meningkatkan perangkat malwarenya. Meskipun relatif baru, kelompok ancaman yang disponsori Iran ini sangat aktif, dan menargetkan telekomunikasi, pemerintah (layanan TI), dan organisasi industri minyak.Grup ini juga memperluas serangan ke entitas pemerintah dan pertahanan di Asia Tengah dan Barat Daya, serta organisasi swasta dan publik dari Amerika Utara, Eropa, dan Asia. Pada Januari 2022, MuddyWatter secara resmi dikaitkan dengan Kementerian Intelijen dan Keamanan Iran (MOIS), badan intelijen pemerintah terkemuka negara itu, oleh Komando Siber AS (USCYBERCOM).Peringatan ini mengikuti peringatan serupa yang dikeluarkan sebelumnya yang menghubungkan malware baru yang dijuluki Cyclops Blink ke grup peretasan Sandworm yang didukung Rusia. Operator Sandworm telah menggunakan Cyclops Blink setidaknya sejak Juni 2019 untuk membangun botnet baru menggantikan VPNFilter dengan menjerat WatchGuard Firebox yang rentan dan perangkat jaringan Small Office/Home Office (SOHO) lainnya.Sumber : Bleeping Computer

AS dan Inggris Ungkap Malware Baru yang Digunakan Hacker MuddyWater

Internet Sehat : Badan Keamanan Siber dan Infrastruktur (U.S. Cybersecurity and Infrastructure Security Agency, CISA) A.S. telah memperbarui peringatan tentang ransomware Conti dengan indikator kompromi (IoC) yang terdiri dari hampir 100 nama domain yang digunakan dalam operasi berbahaya.Awalnya diterbitkan pada 22 September 2021, saran tersebut mencakup detail yang diamati oleh CISA dan Biro Investigasi Federal (FBI) dalam serangan ransomware Conti yang menargetkan organisasi di AS. Penasihat keamanan siber yang diperbarui berisi data dari U.S. Secret Service.Rincian internal dari operasi ransomware Conti mulai bocor pada akhir Februari setelah geng tersebut mengumumkan secara terbuka bahwa mereka berpihak pada Rusia atas invasi ke Ukraina. Kebocoran berasal dari seorang peneliti Ukraina, yang awalnya menerbitkan pesan pribadi yang dipertukarkan oleh anggota geng dan kemudian merilis kode sumber untuk ransomware, panel administratif, dan alat lainnya. Cache data juga termasuk domain yang digunakan untuk kompromi dengan BazarBackdoor, malware yang digunakan untuk akses awal ke jaringan target bernilai tinggi.CISA mengatakan bahwa pelaku ancaman Conti telah menyerang lebih dari 1.000 organisasi di seluruh dunia, vektor serangan yang paling umum adalah malware TrickBot dan suar Cobalt Strike. Agensi tersebut merilis kumpulan 98 nama domain yang memiliki karakteristik pendaftaran dan penamaan yang serupa dengan yang digunakan dalam serangan ransomware Conti dari kelompok yang mendistribusikan malware.Agensi mencatat bahwa sementara domain telah digunakan dalam operasi jahat, beberapa dari mereka mungkin ditinggalkan atau mungkin memiliki karakteristik yang sama secara kebetulan. Daftar domain yang terkait dengan serangan ransomware Conti tampaknya berbeda dari ratusan yang dibocorkan oleh peneliti Ukraina dari infeksi BazarBackdoor.Terlepas dari perhatian yang tidak diinginkan yang diterima Conti baru-baru ini karena bocoran obrolan dan alat internalnya, geng ransomware Conti tidak menghentikan aktivitasnya. Sejak awal Maret, Conti mendaftarkan di situsnya lebih dari dua lusin korban di AS, Kanada, Jerman, Swiss, Inggris, Italia, Serbia, dan Arab Saudi.Sumber : Bleeping Computer

CISA

FBI : e-Mail Phishing Sebarkan Malware Canggih

FBI : e-Mail Phishing Sebarkan Malware Canggih

CISA dan FBI Berbagi Panduan untuk Korban Serangan Ransomware Kaseya

CISA dan FBI Berbagi Panduan untuk Korban Serangan Ransomware Kaseya

Hadang Ransomware, CISA Kerja Sama dengan Amazon, Google dan Microsoft

Hadang Ransomware, CISA Kerja Sama dengan Amazon, Google dan Microsoft

Kementerian Pertahanan Belgia Akui Penyerang Akses Jaringan Komputer

Kementerian Pertahanan Belgia Akui Penyerang Akses Jaringan Komputer

AS dan Inggris Ungkap Malware Baru yang Digunakan Hacker MuddyWater

AS dan Inggris Ungkap Malware Baru yang Digunakan Hacker MuddyWater

CISA Perbarui Peringatan Conti Ransomware dengan Hampir 100 Domain

CISA Perbarui Peringatan Conti Ransomware dengan Hampir 100 Domain

Literasi Digital

Makin Cakap Digital

Menu

Informasi