Internet Sehat : Google telah menerbitkan laporan ransomware baru yang mengungkapkan bahwa Israel merupakan pengirim sampel terbesar selama periode tersebut. Google menugaskan perusahaan keamanan siber VirusTotal untuk melakukan analisis yang mencakup peninjauan 80 juta sampel ransomware dari 140 negara.Menurut laporan tersebut Israel, Korea Selatan, Vietnam, China, Singapura, India, Kazakhstan, Filipina, Iran, dan Inggris adalah 10 wilayah yang paling terpengaruh berdasarkan jumlah pengiriman yang ditinjau oleh VirusTotal. Israel memiliki jumlah pengajuan yang lebih tinggi dan jumlah itu meningkat hampir 600% dari jumlah pengajuan awal. Laporan itu tidak menyatakan berapa jumlah dasar pengajuan Israel selama periode itu.Sejak awal tahun 2020, aktivitas ransomware mencapai puncaknya selama dua kuartal pertama tahun 2020, yang oleh VirusTotal dikaitkan dengan aktivitas oleh grup ransomware-as-a-service GandCrab. GandCrab memiliki puncak yang luar biasa pada Q1 2020 yang menurun drastis setelahnya. Ada puncak lain yang cukup besar pada Juli 2021 yang didorong oleh geng ransomware Babuk, operasi ransomware yang diluncurkan pada awal 2021. Serangan ransomware Babuk umumnya memiliki tiga fase berbeda, yaitu akses awal, penyebaran jaringan, dan tindakan terhadap tujuan.GandCrab adalah geng ransomware paling aktif sejak awal tahun 2020, mencakup 78,5% sampel. GandCrab diikuti oleh Babuk dan Cerber, yang masing-masing menyumbang 7,6% dan 3,1% dari sampel.Menurut laporan tersebut, 95% file ransomware yang terdeteksi adalah file yang dapat dieksekusi atau dynamic link library (DLL) berbasis Windows dan 2% berbasis Android. Laporan tersebut juga menemukan bahwa eksploitasi hanya terdiri dari sebagian kecil sampel, yaitu 5%. Dalam hal distribusi ransomware, penyerang tampaknya tidak membutuhkan eksploitasi selain untuk eskalasi hak istimewa dan untuk penyebaran malware di dalam jaringan internal.Setelah meninjau sampel, VirusTotal juga mengatakan bahwa ada dasar antara 1.000 dan 2.000 klaster ransomware yang pertama kali terlihat setiap saat selama periode yang dianalisis.Sumber : ZDNet

Google Analisis 80 Juta Contoh Ransomware

Internet Sehat : Grup peretas yang didukung Korea Utara, Lazarus, telah menambahkan klien Windows Update ke list of living-off-the-land binaries (LoLBins) dan sekarang secara aktif menggunakannya untuk mengeksekusi kode berbahaya pada sistem Windows.Metode penyebaran malware baru ditemukan oleh tim Malwarebytes Threat Intelligence saat menganalisis kampanye spearphishing bulan Januari yang meniru perusahaan keamanan dan kedirgantaraan Amerika Lockheed Martin.Setelah korban membuka lampiran berbahaya dan mengaktifkan eksekusi makro, makro yang disematkan menjatuhkan file WindowsUpdateConf.lnk di folder startup dan file DLL (wuaueng.dll) di folder Windows/System32 yang tersembunyi. Pada tahap selanjutnya, file LNK digunakan untuk meluncurkan klien WSUS / Windows Update (wuauclt.exe) untuk menjalankan perintah yang memuat DLL berbahaya penyerang.Malwarebytes mengatakan bahwa teknik tersebut adalah teknik menarik yang digunakan oleh Lazarus untuk menjalankan DLL berbahayanya menggunakan Windows Update Client untuk melewati mekanisme deteksi keamanan. Para peneliti menghubungkan serangan ini dengan Lazarus berdasarkan beberapa bukti, termasuk infrastruktur yang tumpang tindih, metadata dokumen, dan penargetan yang serupa dengan kampanye sebelumnya.Seperti yang dilaporkan BleepingComputer pada Oktober 2020, taktik ini ditemukan peneliti MDSec David Middlehurst, yang menemukan bahwa penyerang dapat menggunakan klien Pembaruan Windows untuk mengeksekusi kode berbahaya pada sistem Windows 10.MITER ATT&amp;CK mengklasifikasikan jenis strategi penghindaran pertahanan ini sebagai Signed Binary Proxy Execution, dan memungkinkan penyerang untuk melewati perangkat lunak keamanan, kontrol aplikasi, dan perlindungan validasi sertifikat digital. Dalam kasus ini, pelaku ancaman melakukannya dengan mengeksekusi kode berbahaya dari DLL berbahaya yang sebelumnya dijatuhkan, dimuat menggunakan biner bertanda tangan klien Windows Update.Grup Lazarus (juga dilacak sebagai HIDDEN COBRA oleh agen intel AS) adalah grup peretas militer Korea Utara yang aktif selama lebih dari satu dekade, setidaknya sejak 2009. Operatornya mengoordinasikan kampanye ransomware WannaCry global 2017 dan berada di balik serangan terhadap perusahaan terkenal seperti Sony Films dan beberapa bank di seluruh dunia.Tahun lalu, Google melihat Lazarus menargetkan peneliti keamanan pada bulan Januari sebagai bagian dari serangan rekayasa sosial yang kompleks dan kampanye serupa selama bulan Maret. Mereka juga diamati menggunakan pintu belakang ThreatNeedle yang sebelumnya tidak terdokumentasi dalam kampanye spionase dunia maya skala besar terhadap industri pertahanan lebih dari selusin negara.Departemen Keuangan AS memberikan sanksi kepada tiga kelompok peretas yang disponsori DPRK (Lazarus, Bluenoroff, dan Andariel) pada September 2019, dan pemerintah AS menawarkan hadiah hingga $5 juta untuk info tentang aktivitas Lazarus.Sumber : Bleeping Computer

Hacker Lazarus Gunakan Windows Update Sebarkan Malware

Internet Sehat : Geng kejahatan dunia maya Lazarus Korea Utara saat ini membobol jaringan perusahaan sektor kimia untuk memata-matai merek. Hal ini diungkpakan tim intel ancaman Symantec.Sementara pencurian mata uang kripto oleh kru Korea baru-baru ini dan sangat menguntungkan dan telah menjadi berita utama, kelompok tersebut masih terus memata-matai. Bukti baru telah ditemukan menghubungkan kampanye spionase baru-baru ini terhadap target Korea Selatan untuk mengajukan hash, nama file, dan alat yang sebelumnya digunakan oleh Lazarus, menurut Symantec.Symantec mengatakan operasi mata-mata kemungkinan merupakan kelanjutan dari Operation Dream Job yang disponsori negara yang dimulai kembali pada Agustus 2020. Skema ini melibatkan penggunaan tawaran pekerjaan palsu untuk mengelabui pencari kerja agar mengklik tautan atau membuka lampiran berbahaya yang kemudian mengizinkan para penjahat untuk memasang spyware di komputer korban.Peneliti keamanan ClearSky dan AT&amp;T mendokumentasikan kampanye Dream Job yang menargetkan organisasi pertahanan, pemerintah, dan teknik pada tahun 2020 dan 2021. Awal tahun ini, peneliti keamanan Qualys mendokumentasikan penipuan serupa yang menargetkan pelamar kerja Lockheed Martin.Tim pemburu ancaman Symantec mengatakan fokus terbaru Lazarus pada perusahaan kimia dimulai pada Januari, ketika perusahaan keamanan mendeteksi aktivitas jaringan di sejumlah organisasi yang berbasis di Korea Selatan. Dalam kasus ini, serangan biasanya dimulai dengan korban menerima file HTML berbahaya, yang entah bagaimana disalin ke file DLL bernama scskapplink.dll yang digunakan untuk menyusup ke aplikasi pada sistem.Kode berbahaya yang disuntikkan mengunduh dan menjalankan muatan pintu belakang dari server perintah dan kontrol yang menurut Symantec menggunakan kunci/nilai parameter URL prd_fld=racket. Pada titik ini, malware berulang kali terhubung ke server C2 untuk mengeksekusi shellcode dan mengunduh malware tambahan untuk dijalankan.Selain itu, para penjahat menggunakan Windows Management Instrumentation (WMI) untuk bergerak secara lateral melintasi jaringan dan menyuntikkan ke dalam aplikasi MagicLine oleh DreamSecurity di komputer lain.Sumber : The Register

DLL

Google Analisis 80 Juta Contoh Ransomware

Google Analisis 80 Juta Contoh Ransomware

Hacker Lazarus Gunakan Windows Update Sebarkan Malware

Hacker Lazarus Gunakan Windows Update Sebarkan Malware

Lazarus Korea Utara Mata-matai Perusahaan di Sektor Kimia

Lazarus Korea Utara Mata-matai Perusahaan di Sektor Kimia

Literasi Digital

Makin Cakap Digital

Menu

Informasi