Microsoft Exchange

Internet Sehat : Para pejabat Inggris yakin bahwa lebih dari 3.000 server email Inggris tetap berisiko dari cacat keamanan email Microsoft Exchange global. National Cyber Security Centre Inggris mengatakan diperkirakan 7.000 server telah terpengaruh oleh cacat tersebut di Inggris dan hanya setengahnya yang telah diamankan.National Cyber Security Centre mengatkan bahwa perangkat lunak berbahaya telah terdeteksi pada 2.300 mesin, tetapi mereka telah membantu bisnis menghapusnya. Badan tersebut mengatakan bahwa penting bagi semua bisnis yang terpengaruh mengambil tindakan untuk mengamankan server email mereka.Pengumuman tersebut mengungkapkan skala masalah di antara perusahaan Inggris untuk pertama kalinya sejak kelemahan keamanan global muncul minggu lalu.Kelompok ransomware telah mulai menggunakan cacat tersebut untuk menginstal program jahat mereka, NCSC memperingatkan meskipun sejauh ini tidak ada bukti serangan ransomware yang meluas pada perusahaan Inggris.Setelah dipasang, ransomware mengunci data pengguna di balik enkripsi yang kuat, membuat sistem komputer tidak dapat digunakan. Grup tersebut kemudian meminta pembayaran untuk membukanya dan jika permintaan tebusan tidak dipenuhi, mereka akan mencuri atau menghapus data.Cacat keamanan memengaruhi sistem email Exchange yang banyak digunakan Microsoft, yang memberdayakan email perusahaan besar, bisnis kecil, dan badan publik di seluruh dunia. NCSC sangat prihatin terhadap usaha kecil dan menengah yang mungkin belum pernah mendengar tentang masalah tersebut.Awalnya, kekurangan itu dimanfaatkan oleh kelompok peretas untuk mendapatkan akses jarak jauh ke server email, yang darinya ia dapat mencuri data sensitif. Tetapi setelah Microsoft memperingatkan dunia bahwa mereka telah mengidentifikasi masalahnya, dan mendesak semua penggunanya untuk mengunduh pembaruan keamanan terbaruKelompok peretas lainnya dengan cepat menjadi akrab dengan kekurangan tersebut. Hasilnya adalah penyebaran gratis untuk-semua karena beberapa kelompok peretasan semuanya mencoba menemukan server email yang tidak ditambal untuk diserang.Sumber : BBC

Microsoft Hack: 3.000 Server e-Mail di Inggris Masih Tak Aman

Internet Sehat : Produsen komputer asal Taiwan, Acer menjadi korban serangan ransomware dari grup REvil. Menurut Bleeping Computer, REvil menuntut tebusan sebesar 50 juta dollar AS dari Acer. Acer dilaporkan memiliki waktu hingga 28 Maret untuk mengirim dana sebelum data yang diduga dicuri bocor. Bleeping Computer melaporkan bahwa REvil menawarkan Acer diskon 20% untuk pembayaran yang ingin mereka peras dari perusahaan jika uang tebusan tersebut ditransfer pada Rabu, 17 Maret.Hanya terdapat sedikit detail tentang apa yang sepenuhnya terjadi. Grup REvil mungkin telah melakukan serangan melalui kerentanan Hafnium di Microsoft Exchange. Data dari platform cyberintelligence Andariel Advanced bisa menghubungkan kemungkinan pelanggaran ke masalah peretasan Microsoft Exchange. Meskipun Microsoft telah bekerja untuk merilis tambalan sederhana untuk masalah tersebut, hal tersebut tidak berarti telah dihapus seluruhnya. Raksasa perangkat lunak itu menjelaskan bahwa tambalan hanya akan berfungsi melawan serangan yang telah terjadi dan mungkin bukan obat mujarab untuk menyelesaikan peretasan di masa depan.Acer enggan menyebut masalah ini sebagai serangan ransomware. Sebaliknya, perusahaan tersebut menyatakan bahwa mereka telah melaporkan situasi abnormal baru-baru ini yang diamati kepada penegak hukum dan otoritas perlindungan data yang relevan di banyak negara.Grup REvil pernah menjadi berita utama pada tahun 2020 ketika meluncurkan serangan ransomware senilai 6 juta dollar AS pada layanan transfer uang Travelex. Tidak jelas sejauh mana potensi kerusakan yang telah dilakukan grup dengan aksi terbarunya atau istilah pasti dari jenis data apa yang mungkin telah dilanggar.Sumber : Bleeping Computer via PC Mag

Acer Jadi Korban Serangan Ransomware, Minta Tebusan 50 Juta Dollar AS

Internet Sehat : FBI telah menghapus web shell yang dipasang oleh penjahat di ratusan server Microsoft Exchange di seluruh Amerika Serikat. FBI diberi persetujuan oleh pengadilan untuk melakukan penghapusan yang terjadi tanpa peringatan terlebih dahulu kepada pemilik server, menyusul penemuan dan eksploitasi kerentanan kritis dalam perangkat lunak perusahaan.Tak lama setelah Microsoft mengeluarkan peringatan awal bulan lalu atas lubang keamanan di Exchange dan menyediakan perbaikan untuk kerentanan, penjahat berkerumun untuk mengeksploitasi kesalahan pemrograman dan membajak instalasi yang belum ditambal. FBI menemukan ratusan penyebaran yang dikompromikan dengan pintu belakang yang dipasang oleh satu geng cyber yang mengarah ke agen yang meminta pengadilan untuk mengizinkan mereka masuk dan menghapus kode berbahaya tersebut. Pengadilan menyetujui tindakan tersebut dan dokumen tersebut dibuka minggu ini.Departemen Kehakiman AS menyatakan bahwa meskipun banyak pemilik sistem yang terinfeksi berhasil menghapus web shell dari ribuan komputer, yang lain tampaknya tidak dapat melakukannya dan ratusan web shell semacam itu tetap ada. Operasi hari ini menghapus satu web shell awal dari grup peretasan yang tersisa yang dapat digunakan untuk mempertahankan dan meningkatkan akses tidak sah yang persisten ke jaringan AS.FBI menghapus web shell dengan mengeluarkan perintah melalui web shell ke server yang dirancang untuk menyebabkan server hanya menghapus web shell (diidentifikasi dengan jalur file uniknya). Namun, secara kritis, FBI tidak menyentuh server itu sendiri sehingga mereka tetap tidak ditambal dan terbuka untuk infiltrasi. FBI mengatakan mereka akan mencoba mengirim email ke operator semua server tempat web shell ditemukan, menasihati mereka cara menambal peralatan mereka.Sumber : The Register

FBI Hapus Web Shell dari Ratusan Server Microsoft Exchange yang Disusupi

Internet Sehat : Para peneliti di spesialis keamanan ESET mengklaim telah menemukan kelompok Advanced Persistent Threat (APT) baru yang dijuluki FamousSparrow setelah menemukan backdoor khusus, SparrowDoor di hotel dan sistem pemerintahan di seluruh dunia.Peneliti ESET mengatakan bahwa FamousSparrow saat ini adalah satu-satunya pengguna pintu belakang khusus yang ditemukan dalam penyelidikan dan disebut SparrowDoor. Grup ini juga menggunakan dua versi kustom Mimikatz. Kehadiran salah satu alat berbahaya kustom ini dapat digunakan untuk menghubungkan insiden ke FamousSparrow.Kelompok tersebut dapat dilacak kembali ke 2019 meskipun serangan yang dilacak dalam laporan menggunakan kerentanan ProxyLogon di Microsoft Exchange mulai Maret tahun ini. Korban tersebar di seluruh Eropa, Timur Tengah, Amerika, Asia, dan Afrika tanpa satu pun ditemukan di AS.Keanehan lain yang menarik berasal dari fokusnya. Para peneliti ESET menduga serangan kelompok itu untuk tujuan spionase karena target mereka adalah organisasi pemerintah, firma teknik, dan kantor hukum, tetapi mayoritas korbannya adalah hotel.Tidak bisa dipastikan bahwa FamousSparrow mewakili grup APT yang sepenuhnya baru. Sementara alat SparrowDoor tampaknya eksklusif dan menyarankan pemain baru, para peneliti menemukan hubungan potensial antara FamousSparrow dan grup APT yang ada, termasuk penggunaan pemuat Motnug yang diketahui telah digunakan oleh grup yang dijuluki SparklingGoblin dan mesin yang dikompromikan SparrowDoor terlihat untuk terhubung ke server perintah dan kontrol yang terhubung ke grup DRDControl.FamousSparrow juga bukan satu-satunya kelompok yang memanfaatkan kerentanan ProxyLogon, dengan para peneliti telah menghubungkan penggunaannya ke lebih dari sepuluh grup APT yang sebagian besar, seperti FamousSparrow, memulai serangan mereka sehari setelah Microsoft merilis patch, mengambil keuntungan dari jendela antara rilis tambalan dan pemasangannya yang meluas.Mengenai mengapa kelompok ini terutama menargetkan hotel, dijelaskan bahwa hotel menarik untuk kelompok spionase dunia maya karena memungkinkan mereka untuk melacak perjalanan target mereka dan dengan menyusup ke jaringan hotel, mereka berpotensi memata-matai lalu lintas jaringan orang yang menginap di hotel.Sumber : The Register

Peneliti Temukan Kelompok APT Baru FamousSparrow

Internet Sehat : Operasi ransomware Kuba mengeksploitasi kerentanan Microsoft Exchange untuk mendapatkan akses awal ke jaringan perusahaan dan mengenkripsi perangkat. Perusahaan keamanan siber Mandiant melacak geng ransomware tersebut sebagai UNC2596 dan ransomware itu sendiri sebagai COLDDRAW. Namun, ransomware ini lebih dikenal sebagai Kuba.Kuba adalah operasi ransomware yang diluncurkan pada akhir 2019 dan meskipun mulai lambat, kecepatannya mulai meningkat pada 2020 dan 2021. Peningkatan aktivitas ini menyebabkan FBI mengeluarkan peringatan ransomware Kuba pada Desember 2021 yang memperingatkan bahwa geng ransomware ini melanggar 49 organisasi infrastruktur penting di AS.Dalam sebuah laporan baru oleh Mandiant, para peneliti menunjukkan bahwa operasi Kuba terutama menargetkan Amerika Serikat diikuti oleh Kanada. Geng ransomware Kuba terlihat memanfaatkan kerentanan Microsoft Exchange untuk menyebarkan cangkang web, RAT, dan pintu belakang untuk membangun pijakan mereka di jaringan target sejak Agustus 2021. Mandiant juga telah mengidentifikasi eksploitasi kerentanan Microsoft Exchange, termasuk ProxyShell dan ProxyLogon, sebagai titik akses lain yang dimanfaatkan oleh UNC2596 kemungkinan pada awal Agustus 2021.Pintu belakang yang ditanam termasuk Cobalt Strike atau alat akses jarak jauh NetSupport Manager, tetapi grup juga menggunakan alat Bughatch, Wedgecut, dan eck.exe, serta Burntcigar mereka sendiri. Wedgecut hadir dalam bentuk executable bernama check.exe yang merupakan alat pengintai yang menghitung Active Directory melalui PowerShell.Bughatch adalah pengunduh yang mengambil skrip dan file PowerShell dari server C&amp;C. Untuk menghindari deteksi, Bughatch dimuat di memori dari URL jarak jauh. Burntcigar adalah utilitas yang dapat menghentikan proses di tingkat kernel dengan mengeksploitasi kelemahan pada driver Avast yang disertakan dengan alat untuk serangan.Terakhir, ada penetes khusus memori yang mengambil muatan di atas dan memuatnya, yang disebut Termite. Namun, alat ini telah diamati dalam kampanye berbagai kelompok ancaman sehingga tidak digunakan secara eksklusif oleh aktor ancaman Kuba.Pelaku ancaman meningkatkan hak istimewa menggunakan kredensial akun curian yang bersumber melalui alat Mimikatz dan Wicker yang tersedia. Kemudian mereka melakukan pengintaian jaringan dengan Wedgecut, dan selanjutnya, mereka bergerak secara lateral dengan RDP, SMB, PsExec, dan Cobalt Strike.Operasi Kuba kemungkinan akan mengalihkan perhatiannya ke kerentanan lain setelah tidak ada lagi target berharga yang menjalankan server Microsoft Exchange yang belum ditambal. Hal ini berarti bahwa menerapkan pembaruan keamanan yang tersedia segera setelah vendor perangkat lunak merilisnya adalah kunci dalam mempertahankan sikap keamanan yang kuat bahkan terhadap pelaku ancaman yang paling canggih sekalipun.Sumber : Bleeping Computer

Microsoft Exchange

Microsoft Hack: 3.000 Server e-Mail di Inggris Masih Tak Aman

Microsoft Hack: 3.000 Server e-Mail di Inggris Masih Tak Aman

Acer Jadi Korban Serangan Ransomware, Minta Tebusan 50 Juta Dollar AS

Acer Jadi Korban Serangan Ransomware, Minta Tebusan 50 Juta Dollar AS

FBI Hapus Web Shell dari Ratusan Server Microsoft Exchange yang Disusupi

FBI Hapus Web Shell dari Ratusan Server Microsoft Exchange yang Disusupi

Peneliti Temukan Kelompok APT Baru FamousSparrow

Peneliti Temukan Kelompok APT Baru FamousSparrow

Microsoft Exchange Server Diretas untuk Menyebarkan Ransomware Kuba

Microsoft Exchange Server Diretas untuk Menyebarkan Ransomware Kuba

Literasi Digital

Makin Cakap Digital

Menu

Informasi