Cobalt Strike

Internet Sehat : Kampanye spionase dunia maya menargetkan perusahaan telekomunikasi di seluruh dunia dengan serangan yang menggunakan unduhan berbahaya dalam upaya mencuri data sensitif, termasuk informasi tentang teknologi 5G dari korban yang disusupi.Hal ini diungkapkan oleh peneliti keamanan siber di McAfee. Kampanye tersebut menargetkan penyedia telekomunikasi di Asia Tenggara, Eropa, dan Amerika Serikat. Kampanye tersebut dinamai Operation Diànxùn yang merupakan pekerjaan kelompok peretas yang bekerja di luar China.Kelompok tersebut juga dikenal sebagai Mustang Panda dan RedDelta, memiliki sejarah peretasan dan kampanye spionase yang menargetkan organisasi di seluruh dunia dan sekarang tampaknya difokuskan untuk mengkompromikan perusahaan penyedia telekomunikasi.Sedikitnya 23 penyelenggara telekomunikasi dicurigai menjadi sasaran sebagai bagian dari kampanye yang telah aktif setidaknya sejak Agustus 2020. Namun, belum terungkap berapa banyak target yang berhasil dibobol peretas.Meskipun cara awal infeksi belum diidentifikasi, tetapi dapat diketahui bahwa korban diarahkan ke domain phishing berbahaya di bawah kendali penyerang yang digunakan untuk mengirimkan malware ke korban.Menurut peneliti, halaman web berbahaya tersebut menyamar sebagai situs karier Huawei, yang telah dirancang agar terlihat tidak dapat dibedakan dari aslinya. Para peneliti menekankan bahwa Huawei sendiri tidak terlibat dalam kampanye spionase dunia maya.Ketika pengguna mengunjungi situs palsu tersebut, situs mengirimkan aplikasi Flash berbahaya yang digunakan untuk menyebarkan Cobalt Strike backdoor ke mesin yang mengunjungi yang pada akhirnya memberikan penyerang dengan visibilitas di mesin dan kemampuan untuk mengumpulkan dan mencuri informasi sensitif.Serangan tersebut tampaknya dirancang untuk menargetkan mereka yang memiliki pengetahuan tentang 5G dan untuk mencuri informasi sensitif atau rahasia terkait dengan teknologi tersebut.Para peneliti telah mengaitkan Operation Diànxùn dengan operasi peretasan sebelumnya oleh kelompok China karena serangan dan malware yang disebarkan menggunakan taktik, teknik, dan prosedur (TTP) yang serupa dengan kampanye sebelumnya yang secara terbuka dikaitkan dengan kelompok tersebut.Analisis serangan menunjukkan bahwa kampanye tersebut masih secara aktif berupaya untuk mengkompromikan target di sektor telekomunikasi.Salah satu cara untuk membantu melindungi dari serangan adalah dengan melatih staf agar dapat mengenali jika domain tersebut diarahkan ke situs web palsu atau jahat. Selain itu memiliki strategi yang kuat untuk menerapkan pembaruan dan tambalan keamanan secara tepat waktu juga dapat membantu melindungi jaringan dari serangan siber, karena jaringan dengan pembaruan terkini yang diterapkan lebih kuat dalam hal mencegah peretas mengeksploitasi kerentanan.Sumber : ZDNet

Hacker Targetkan Perusahaan Telekomunikasi untuk Mencuri Rahasia Teknologi 5G

Internet Sehat : Badan Keamanan Siber Singapura (CSA) merilis data yang mengungkapkan bahwa kejahatan dunia maya menyumbang 43 persen dari semua kejahatan di negara kota tersebut selama tahun 2020.Menurut CSA, meskipun jumlah insiden phishing tetap stabil dan perusakan situs web sedikit menurun, aktivitas siber berbahaya tetap menjadi perhatian di tengah lanskap siber global yang berkembang pesat dan peningkatan digitalisasi yang disebabkan oleh pandemi COVID-19.CSA mengatakan penyerang memanfaatkan kecemasan terkait pandemi, menargetkan e-commerce, keamanan data, penelitian terkait vaksin, dan operasi, termasuk operasi pelacakan kontak.Serangan Ransomware naik 154 persen dari 35 kasus pada 2019 menjadi 89 pada 2020. Mereka juga mengadopsi taktik kebocoran dan mempermalukan, dan model Ransomware-as-a-Service (RaaS). Jumlah server command-and-control berbahaya yang beroperasi juga naik 94 persen antara 2019 dan 2020, dengan malware Emotet dan Cobalt Strike bertanggung jawab atas sepertiganya.Dengungan botnet meningkat dari rata-rata 2.300 per hari pada 2019 menjadi 6.600 per hari pada 2020, dengan malware Mirai dan Gamarue menginfeksi rentang alamat IP dan menargetkan peningkatan penggunaan perangkat IoT.Phishing tetap pada level, dengan penipuan bertema COVID menyumbang 10 persen dari URL spoofing yang dialami oleh ritel online dan portal pembayaran. Deface situs web turun 43 persen, konsisten dengan tren global. Sebagian besar kasus memengaruhi UKM, tidak ada yang memengaruhi entitas pemerintah.Kasus kecurangan online menjadi aktivitas kejahatan dunia maya teratas, naik 62 persen, dikaitkan dengan pertumbuhan e-commerce di tengah pembatasan COVID-19.Laporan itu mengatakan tren yang harus diwaspadai termasuk ciri-ciri serangan ransomware yang berkembang, penargetan tenaga kerja jarak jauh dengan memanfaatkan jaringan yang dikonfigurasi dengan buruk, dan peningkatan pelanggaran rantai pasokan karena serangan seperti pada SolarWinds telah terbukti berhasil.Sumber : The Register

CSA Singapura: 43% Kejahatan di Singapura Terjadi Secara Online

Internet Sehat : Biro Investigasi Federal (FBI) telah membagikan info tentang aktor ancaman yang dikenal sebagai OnePercent Group yang telah secara aktif menargetkan organisasi Amerika Serikat dalam serangan ransomware setidaknya sejak November 2020.Badan penegak hukum federal AS membagikan indikator kompromi, taktik, teknik, dan prosedur (TTP), dan langkah-langkah mitigasi dalam peringatan kilat yang diterbitkan pada hari Senin minggu ini.FBI mengatakan bahwa mereka telah mengetahui adanya kelompok penjahat dunia maya yang mengidentifikasi diri sebagai OnePercent Group dan yang telah menggunakan Cobalt Strike untuk melancarkan serangan ransomware terhadap perusahaan AS sejak November 2020.Aktor OnePercent Group mengenkripsi data dan mengekstraknya dari sistem korban. Pelaku menghubungi korban melalui telepon dan email, mengancam akan merilis data yang dicuri melalui jaringan The Onion Router (TOR) dan clearnet, kecuali jika uang tebusan dibayarkan dalam mata uang virtual.Pelaku ancaman menggunakan lampiran email phishing berbahaya yang menjatuhkan muatan trojan perbankan IcedID pada sistem target. Setelah menginfeksi mereka dengan trojan, penyerang mengunduh dan menginstal Cobalt Strike pada titik akhir yang dikompromikan untuk gerakan lateral di seluruh jaringan korban.Setelah mempertahankan akses ke jaringan korban mereka hingga satu bulan dan mengekstrak file sebelum menyebarkan muatan ransomware, OnePercent akan mengenkripsi file menggunakan ekstensi delapan karakter acak (misalnya, dZCqciA) dan akan menambahkan catatan tebusan bernama unik yang menghubungkan ke mereka di jaringan TOR. Korban dapat menggunakan situs web Tor untuk mendapatkan info lebih lanjut tentang tebusan yang diminta, bernegosiasi dengan penyerang, dan mendapatkan dukungan teknis. Korban akan diminta untuk membayar uang tebusan dalam bitcoin (dalam banyak kasus) dengan kunci dekripsi yang diberikan hingga 48 jam setelah pembayaran dilakukan.Menurut FBI, afiliasi ransomware juga akan menjangkau korban mereka menggunakan nomor telepon palsu, mengancam akan membocorkan data yang dicuri kecuali jika mereka terhubung dengan negosiator perusahaan. Setelah ransomware berhasil disebarkan, korban akan mulai menerima panggilan telepon melalui nomor telepon palsu dengan permintaan tebusan dan diberikan alamat email ProtonMail untuk komunikasi lebih lanjut.Para aktor jahat ini akan terus-menerus menuntut untuk berbicara dengan negosiator yang ditunjuk perusahaan korban atau mengancam untuk mempublikasikan data yang dicuri. Aplikasi dan layanan yang digunakan oleh operator OnePercent Group termasuk AWS S3 cloud, IcedID, Cobalt Strike, Powershell, Rclone, Mimikatz, SharpKatz, BetterSafetyKatz, dan SharpSploit.Sumber : Bleeping Computer

FBI: Ransomware OnePercent Group Targetkan Organisasi AS sejak November 2020

Internet Sehat : Blackberry’s Research and Intelligence Team telah menemukan tiga skema phishing yang menargetkan warga negara India an mengatakan geng malware yang disponsori negara China adalah pelakunya.Blackberry mengidentifikasi pihak yang bertanggung jawab sebagai APT41, sebuah kelompok ancaman siber yang disponsori negara China yang telah melakukan aktivitas spionase secara paralel dengan operasi bermotivasi finansial setidaknya sejak 2012. Kelompok ini menargetkan banyak industri, termasuk perjalanan, telekomunikasi, perawatan kesehatan, berita, dan pendidikan.Blackberry mengatakan bahwa mereka telah menautkan titik-titik antara phishing di India dan APT41 dengan memantau aktivitas yang didokumentasikan sebelumnya terkait dengan malware komersial yang disebut Cobalt Strike. Tindakan yang terlihat oleh Blackberry menggunakan profil command-and-control (C2) yang dapat ditempa menunjukkan kesamaan dengan serangan lainnya.Para peneliti menemukan alasan yang cukup untuk mengaitkan kampanye sebelumnya dan kampanye baru dengan mengidentifikasi blok profil HTTP GET yang hampir identik dan memetakan kesamaan dalam data konfigurasi Beacon. Beberapa cluster dengan metadata konfigurasi unik menunjukkan asosiasi dengan APT41.Melalui taktik investigasi mereka, Blackberry menemukan tiga umpan phishing yang menargetkan warga negara India, yang menyamar sebagai komunikasi pemerintah tentang pajak atau COVID-19.Umpan phishing, taktik APT41 favorit yang biasanya digunakan bersama dengan pencuri informasi, keylogger, dan backdoor memuat dan mengeksekusi Cobalt Strike Beacons ke jaringan target. Seketika berada di mesin pengguna, ancaman itu berbaur, menggunakan profil yang disesuaikan untuk melindungi lalu lintas jaringannya.Tiga umpan phishing datang dalam bentuk PDF untuk mengalihkan perhatian pengguna saat aktivitas gelap berlangsung di latar belakang. Satu skema menggunakan skrip PowerShell yang disematkan, satu arsip self-extracting, dan satu lagi file zip.Temuan ini menunjukkan bahwa grup APT41 masih secara teratur melakukan kampanye baru, dan kemungkinan besar mereka akan terus melakukannya di masa depan.Sumber : The Register

Geng Penjahat yang Disponsori Negara Targetkan India dengan Phishing Pajak dan Covid-19

Internet Sehat : Operasi ransomware Kuba mengeksploitasi kerentanan Microsoft Exchange untuk mendapatkan akses awal ke jaringan perusahaan dan mengenkripsi perangkat. Perusahaan keamanan siber Mandiant melacak geng ransomware tersebut sebagai UNC2596 dan ransomware itu sendiri sebagai COLDDRAW. Namun, ransomware ini lebih dikenal sebagai Kuba.Kuba adalah operasi ransomware yang diluncurkan pada akhir 2019 dan meskipun mulai lambat, kecepatannya mulai meningkat pada 2020 dan 2021. Peningkatan aktivitas ini menyebabkan FBI mengeluarkan peringatan ransomware Kuba pada Desember 2021 yang memperingatkan bahwa geng ransomware ini melanggar 49 organisasi infrastruktur penting di AS.Dalam sebuah laporan baru oleh Mandiant, para peneliti menunjukkan bahwa operasi Kuba terutama menargetkan Amerika Serikat diikuti oleh Kanada. Geng ransomware Kuba terlihat memanfaatkan kerentanan Microsoft Exchange untuk menyebarkan cangkang web, RAT, dan pintu belakang untuk membangun pijakan mereka di jaringan target sejak Agustus 2021. Mandiant juga telah mengidentifikasi eksploitasi kerentanan Microsoft Exchange, termasuk ProxyShell dan ProxyLogon, sebagai titik akses lain yang dimanfaatkan oleh UNC2596 kemungkinan pada awal Agustus 2021.Pintu belakang yang ditanam termasuk Cobalt Strike atau alat akses jarak jauh NetSupport Manager, tetapi grup juga menggunakan alat Bughatch, Wedgecut, dan eck.exe, serta Burntcigar mereka sendiri. Wedgecut hadir dalam bentuk executable bernama check.exe yang merupakan alat pengintai yang menghitung Active Directory melalui PowerShell.Bughatch adalah pengunduh yang mengambil skrip dan file PowerShell dari server C&amp;C. Untuk menghindari deteksi, Bughatch dimuat di memori dari URL jarak jauh. Burntcigar adalah utilitas yang dapat menghentikan proses di tingkat kernel dengan mengeksploitasi kelemahan pada driver Avast yang disertakan dengan alat untuk serangan.Terakhir, ada penetes khusus memori yang mengambil muatan di atas dan memuatnya, yang disebut Termite. Namun, alat ini telah diamati dalam kampanye berbagai kelompok ancaman sehingga tidak digunakan secara eksklusif oleh aktor ancaman Kuba.Pelaku ancaman meningkatkan hak istimewa menggunakan kredensial akun curian yang bersumber melalui alat Mimikatz dan Wicker yang tersedia. Kemudian mereka melakukan pengintaian jaringan dengan Wedgecut, dan selanjutnya, mereka bergerak secara lateral dengan RDP, SMB, PsExec, dan Cobalt Strike.Operasi Kuba kemungkinan akan mengalihkan perhatiannya ke kerentanan lain setelah tidak ada lagi target berharga yang menjalankan server Microsoft Exchange yang belum ditambal. Hal ini berarti bahwa menerapkan pembaruan keamanan yang tersedia segera setelah vendor perangkat lunak merilisnya adalah kunci dalam mempertahankan sikap keamanan yang kuat bahkan terhadap pelaku ancaman yang paling canggih sekalipun.Sumber : Bleeping Computer

Microsoft Exchange Server Diretas untuk Menyebarkan Ransomware Kuba

Internet Sehat : Badan Keamanan Siber dan Infrastruktur (U.S. Cybersecurity and Infrastructure Security Agency, CISA) A.S. telah memperbarui peringatan tentang ransomware Conti dengan indikator kompromi (IoC) yang terdiri dari hampir 100 nama domain yang digunakan dalam operasi berbahaya.Awalnya diterbitkan pada 22 September 2021, saran tersebut mencakup detail yang diamati oleh CISA dan Biro Investigasi Federal (FBI) dalam serangan ransomware Conti yang menargetkan organisasi di AS. Penasihat keamanan siber yang diperbarui berisi data dari U.S. Secret Service.Rincian internal dari operasi ransomware Conti mulai bocor pada akhir Februari setelah geng tersebut mengumumkan secara terbuka bahwa mereka berpihak pada Rusia atas invasi ke Ukraina. Kebocoran berasal dari seorang peneliti Ukraina, yang awalnya menerbitkan pesan pribadi yang dipertukarkan oleh anggota geng dan kemudian merilis kode sumber untuk ransomware, panel administratif, dan alat lainnya. Cache data juga termasuk domain yang digunakan untuk kompromi dengan BazarBackdoor, malware yang digunakan untuk akses awal ke jaringan target bernilai tinggi.CISA mengatakan bahwa pelaku ancaman Conti telah menyerang lebih dari 1.000 organisasi di seluruh dunia, vektor serangan yang paling umum adalah malware TrickBot dan suar Cobalt Strike. Agensi tersebut merilis kumpulan 98 nama domain yang memiliki karakteristik pendaftaran dan penamaan yang serupa dengan yang digunakan dalam serangan ransomware Conti dari kelompok yang mendistribusikan malware.Agensi mencatat bahwa sementara domain telah digunakan dalam operasi jahat, beberapa dari mereka mungkin ditinggalkan atau mungkin memiliki karakteristik yang sama secara kebetulan. Daftar domain yang terkait dengan serangan ransomware Conti tampaknya berbeda dari ratusan yang dibocorkan oleh peneliti Ukraina dari infeksi BazarBackdoor.Terlepas dari perhatian yang tidak diinginkan yang diterima Conti baru-baru ini karena bocoran obrolan dan alat internalnya, geng ransomware Conti tidak menghentikan aktivitasnya. Sejak awal Maret, Conti mendaftarkan di situsnya lebih dari dua lusin korban di AS, Kanada, Jerman, Swiss, Inggris, Italia, Serbia, dan Arab Saudi.Sumber : Bleeping Computer

Cobalt Strike

Hacker Targetkan Perusahaan Telekomunikasi untuk Mencuri Rahasia Teknologi 5G

Hacker Targetkan Perusahaan Telekomunikasi untuk Mencuri Rahasia Teknologi 5G

CSA Singapura: 43% Kejahatan di Singapura Terjadi Secara Online

CSA Singapura: 43% Kejahatan di Singapura Terjadi Secara Online

FBI: Ransomware OnePercent Group Targetkan Organisasi AS sejak November 2020

FBI: Ransomware OnePercent Group Targetkan Organisasi AS sejak November 2020

Geng Penjahat yang Disponsori Negara Targetkan India dengan Phishing Pajak dan Covid-19

Geng Penjahat yang Disponsori Negara Targetkan India dengan Phishing Pajak dan Covid-19

Microsoft Exchange Server Diretas untuk Menyebarkan Ransomware Kuba

Microsoft Exchange Server Diretas untuk Menyebarkan Ransomware Kuba

CISA Perbarui Peringatan Conti Ransomware dengan Hampir 100 Domain

CISA Perbarui Peringatan Conti Ransomware dengan Hampir 100 Domain

Literasi Digital

Makin Cakap Digital

Menu

Informasi