Cisco Talos

Internet Sehat : Penyerang dunia maya saat ini menargetkan koneksi internet korban mereka untuk diam-diam menghasilkan pendapatan ilegal setelah infeksi malware.Para peneliti dari Cisco Talos mengatakan proxyware menjadi perhatian di ekosistem kejahatan dunia maya dan sebagai akibatnya, dipelintir untuk tujuan ilegal.Proxyware, juga dikenal sebagai aplikasi berbagi internet adalah layanan sah yang memungkinkan pengguna membagi sebagian koneksi internet mereka untuk perangkat lain dan mungkin juga menyertakan firewall dan program antivirus. Aplikasi lain akan memungkinkan pengguna untuk meng-host koneksi internet hotspot, memberi mereka uang tunai setiap kali pengguna terhubung ke sana.Format inilah yang disediakan oleh layanan yang sah termasuk Honeygain, PacketStream, dan Nanowire, yang digunakan untuk menghasilkan pendapatan pasif atas nama penyerang siber dan pengembang malware.Menurut para peneliti, proxyware disalahgunakan dengan cara yang sama seperti perangkat lunak penambangan cryptocurrency yang sah, yaitu dipasang secara diam-diam, baik sebagai komponen sampingan atau sebagai muatan utama dan dengan upaya yang dilakukan untuk mencoba dan menghentikan korban agar tidak menyadari keberadaannya, seperti melalui kontrol penggunaan sumber daya dan kebingungan.Dalam kasus yang didokumentasikan oleh Cisco Talos, proxyware termasuk dalam serangan multi-tahap. Rantai serangan dimulai dengan program perangkat lunak yang sah yang dibundel bersama dengan penginstal Trojan yang berisi kode berbahaya.Ketika perangkat lunak diinstal, malware juga dieksekusi. Satu kampanye telah menggunakan paket Honeygain yang sah dan ditandatangani yang ditambal untuk juga menghapus file berbahaya yang terpisah yang berisi penambang cryptocurrency XMRig dan untuk mengarahkan korban ke halaman arahan yang terhubung ke kode rujukan Honeygain.Setelah korban mendaftar untuk sebuah akun, rujukan ini menghasilkan pendapatan untuk penyerang, sementara penambang cryptocurrency juga mencuri sumber daya komputer.Namun, ini bukan satu-satunya metode yang digunakan untuk menghasilkan uang. Dalam kampanye terpisah, keluarga malware diidentifikasi yang mencoba menginstal Honeygain di PC korban dan mendaftarkan perangkat lunak di bawah akun penyerang, sehingga setiap pendapatan dikirim ke penipu.Meskipun Honeygain membatasi jumlah perangkat yang beroperasi di bawah satu akun, tidak ada yang bisa menghentikan penyerang mendaftarkan beberapa akun Honeygain untuk mengukur operasi mereka berdasarkan jumlah sistem yang terinfeksi di bawah kendali mereka.Varian lain mengeksploitasi banyak jalan, menggabungkan tidak hanya perangkat lunak proxyware, tetapi juga penambang cryptocurrency dan pencuri informasi untuk pencurian kredensial dan data berharga lainnya.Sumber : ZDNet

Penyerang Dunia Maya Diam-diam Jual Bandwidth Korban

Internet Sehat : Pelaku ancaman mencoba memanfaatkan pengungkapan baru-baru ini tentang spyware Pegasus dari Amnesty International untuk memasukkan alat akses jarak jauh yang kurang dikenal bernama Sarwent. Malware tersebut terlihat dan bertindak sebagai bagian dari solusi antivirus yang sah yang dibuat khusus untuk memindai sistem dari jejak Pegasus dan menghapusnya.Serangan berbasis Sarwent telah berjalan setidaknya sejak awal tahun 2021 dan menargetkan berbagai profil korban di beberapa negara. Iming-iming yang digunakan dalam kampanye masa lalu tidak jelas saat ini, tetapi para peneliti di Cisco Talos melihat serangan baru baru-baru ini di mana Sarwent dikirim melalui situs web Amnesty International palsu yang mengiklankan Anti-Pegasus AV.Pelaku ancaman berusaha membuat malware terlihat seperti antivirus yang sah dengan membuat antarmuka pengguna grafis yang sesuai. Dengan melakukan penyamaran ini menunjukkan bahwa pelaku mencoba menipu pengguna yang khawatir tentang spyware Pegasus yang menginfeksi perangkat mereka.Tidak jelas bagaimana aktor tersebut memikat pengunjung ke situs palsu Amnesty International, tetapi analisis domain dalam kampanye ini menunjukkan bahwa domain awal sedang diakses di seluruh dunia, meskipun tidak ada indikasi kampanye skala besar.Berdasarkan data dari panel administrasi server perintah dan kontrol (C2) Sarwent yang aktif selama penyelidikan, malware tersebut menjangkau sebagian besar pengguna di Inggris.Para peneliti menilai dengan keyakinan tinggi bahwa individu yang berbahasa Rusia bertanggung jawab atas serangan Sarwent baru-baru ini. Mereka juga menemukan backend serupa yang digunakan sejak 2014, menunjukkan bahwa malware tersebut jauh lebih tua dari yang diperkirakan sebelumnya atau bahwa aktor yang berbeda menggunakannya sebelumnya.Peneliti Cisco Talos percaya bahwa antarmuka pengguna grafis yang menyamarkan Sarwent menjadi solusi antivirus menunjukkan bahwa aktor ancaman di belakangnya memiliki akses ke kode sumber malware. Selain membuat salinan palsu untuk situs web Amnesty International, operator Sarwent juga mendaftarkan domain berikut untuk meniru identitas organisasi, yaitu amnestyinternationalantipegasus[.]com, amnestyvspegasus[.]com, dan antipegasusamnesty[.]com.Sumber : Bleeping Computer

Pemindai Palsu Pegasus Digunakan untuk Menginfeksi Windows

Internet Sehat : Badan keamanan internal Rusia atau FSB mengatakan telah membongkar jaringan geng ransomware REvil dan menggerebek rumah operatornya menyusul penangkapan di Ukraina sebelumnya.Dalam sebuah pernyataan, FSB (Federal Security Service) mengatakan berdasarkan seruan dari otoritas berwenang AS pihaknya telah menggerebek 25 alamat yang tampaknya milik 14 anggota komunitas kriminal terorganisir.Komunitas tersebut disebut. Sebuah terjemahan dari pernyataan FSB mengungkapkan bahwa 14 orang tersebut didakwa berdasarkan Pasal 187 KUHP Rusia, yang berkaitan dengan perputaran alat pembayaran secara ilegal.Sebagai hasil dari tindakan bersama FSB dan Kementerian Dalam Negeri Rusia, komunitas kriminal terorganisir tidak ada lagi, dan infrastruktur informasi yang digunakan untuk tujuan kriminal telah dinetralisi.Penggerebekan terjadi di tengah gelombang perusakan situs web di Ukraina dan setelah berbulan-bulan AS memohon menyusul geng ransomware yang menghasilkan banyak uang dengan menyerang target negara Barat dan mengenkripsi infrastruktur TI mereka. Sebelumnya, lima tersangka ransomware ditangkap di Ukraina, meskipun afiliasi geng mereka tidak diungkapkan oleh polisi setempat.REvil (alias Sodinokibi) telah menjadi salah satu geng ransomware paling terkenal dalam sejarah. Setelah menargetkan segala sesuatu mulai dari kontraktor senjata nuklir AS hingga MSP seperti Kaseya hingga penyedia VOIP Inggris, operasi pemerasan tingkat tinggi akan gagal sepuluh kali lipat seandainya berbasis di mana pun kecuali Rusia.Uang (dalam bentuk cryptocurrency) yang dicuri oleh geng ransomware dihabiskan di Rusia, dengan anggota geng memamerkan kekayaan haram mereka melalui mobil, rumah, dan barang-barang konsumsi.Trend Micro mengatakan ransomware REvil, yang dikenal sebagai Sodinokibi, pertama kali terdeteksi pada April 2019 dikirim melalui mekanisme yang sama dengan yang digunakan untuk ransomware GandCrab lama, yang hanya berasal dari tahun 2018. Ransomware pertama kali dilaporkan pada Mei 2019 setelah Cisco Talos melihatnya mengeksploitasi kerentanan dalam produk WebLogic Oracle.Sumber : The Register

Cisco Talos

Penyerang Dunia Maya Diam-diam Jual Bandwidth Korban

Penyerang Dunia Maya Diam-diam Jual Bandwidth Korban

Pemindai Palsu Pegasus Digunakan untuk Menginfeksi Windows

Pemindai Palsu Pegasus Digunakan untuk Menginfeksi Windows

FSB Rusia Tangkap 14 Tersangka Ransomware REvil

FSB Rusia Tangkap 14 Tersangka Ransomware REvil

Literasi Digital

Makin Cakap Digital

Menu

Informasi