Symantec

Internet Sehat : Sebuah kelompok hacker asal Rusia meluncurkan serangan ransomware terhadap sejumlah perusahaan Amerika Serikat. Mereka menargetkan karyawan yang bekerja dari rumah karena adanya wabah Covid-19.Evil Corp nama kelompok hacker tersebut telah mencoba mengakses setidaknya 31 jaringan organisasi untuk melumpuhkan sistem dan menuntut tebusan jutaan dolar. Dua pemimpin kelompok yang diduga tersebut didakwa oleh Departemen Kehakiman AS pada Desember 2019. Ada kekhawatiran bahwa sistem pemungutan suara AS juga bisa ditargetkan.Tahun lalu, otoritas AS mengajukan tuduhan terhadap dua orang pemimpin Evil Corp, yaitu Maksim Yakubets dan Igor Turashev. Otoritas AS menuduh mereka menggunakan malware untuk mencuri jutaan dolar dari kelompok-kelompok termasuk sekolah dan organisasi keagamaan di lebih dari 40 negara.Pejabat AS mengumumkan hadiah 5 juta dollar AS untuk informasi yang mengarah ke penangkapan mereka. Jumlah itu merupakan jumlah terbesar yang pernah ditawarkan untuk penjahat cyber. Keduanya sampai saat ini masih buron.Ancaman tersebut datang karena mayoritas orang Amerika (62%) telah bekerja dari rumah karena pandemi coronavirus. Pemilihan presiden AS juga hanya beberapa bulan lagi, dan pejabat federal dan lokal telah bekerja untuk menempatkan langkah-langkah di tempat untuk melindungi data pemilih serta mengelola praktik pemberian suara yang aman di tengah pandemi. Symantec Corporation, sebuah perusahaan yang memonitor jaringan perusahaan dan pemerintah merilis pemberitahuan peringatan ancaman yang diidentifikasi pada Kamis minggu lalu.Serangan itu menggunakan jenis ransomware yang relatif baru yang disebut WastedLocker, yang telah dikaitkan dengan Evil Corp. Virus ransomware WastedLocker menuntut uang tebusan 500.000 dollar hingga 1 juta dollar untuk membuka kunci file komputer yang disita.Symantec mengatakan sebagian besar target adalah perusahaan besar dan delapan target adalah perusahaan Fortune 500. Semua milik AS tetapi satu, yang merupakan anak perusahaan yang berbasis di AS. Sebagian besar perusahaan yang ditargetkan adalah di sektor manufaktur, teknologi informasi, dan media.Symantec mengatakan para peretas telah merusak jaringan perusahaan-perusahaan tersebut dan meletakkan landasan untuk serangan ransomware di masa depan yang akan memungkinkan mereka memblokir akses ke data dan menuntut jutaan dolar.Sumber: BBCSumber Foto: Thinkstock

Kelompok Hacker Evil Corp, Targetkan Pekerja AS di Rumah

Internet Sehat : Para peneliti telah melihat kampanye peretasan spionase baru yang menargetkan penyedia layanan telekomunikasi dan teknologi informasi di Timur Tengah dan Asia.Kampanye telah dilakukan selama enam bulan terakhir dan ada hubungan tentatif dengan aktor yang didukung Iran, MERCURY (alias MuddyWater, SeedWorm, atau TEMP.Zagros).Laporan tersebut berasal dari Threat Hunter Team di Symantec yang telah mengumpulkan bukti dan sampel perangkat dari serangan baru-baru ini di Israel, Yordania, Kuwait, Arab Saudi, Uni Emirat Arab, Pakistan, Thailand, dan Laos.Penyerang tampaknya paling tertarik pada Server Exchange yang rentan, yang mereka gunakan untuk penyebaran shell web.Setelah pelanggaran awal, mereka mencuri kredensial akun dan bergerak secara lateral di jaringan perusahaan. Dalam beberapa kasus, mereka menggunakan pijakan mereka untuk menargetkan organisasi lain yang terhubung.Meskipun vektor infeksi tidak diketahui, Symantec dapat menemukan kasus file ZIP bernama Special discount program.zip yang berisi penginstal untuk aplikasi perangkat lunak desktop jarak jauh. Dengan demikian, pelaku ancaman mungkin mendistribusikan email spear-phishing ke target tertentu.Tanda pertama kompromi oleh aktor ancaman biasanya adalah pembuatan layanan Windows untuk meluncurkan Windows Script File (WSF) yang melakukan pengintaian di jaringan.Selanjutnya, PowerShell digunakan untuk mengunduh lebih banyak WSF dan Certutil digunakan untuk mengunduh alat penerowongan dan menjalankan kueri WMI. Meskipun atribusinya tidak pasti, Symantec mencatat dua alamat IP yang tumpang tindih dengan infrastruktur yang digunakan dalam serangan MuddyWater yang lebih lama. Selain itu, perangkat ini memiliki beberapa kesamaan dengan serangan Maret 2021 yang dilaporkan oleh peneliti Trend Micro.Sumber : Bleeping Computer

Operator Telekomunikasi Jadi Target Kampanye Peretasan Spionase

Internet Sehat : Sebanyak dua pertiga dari aplikasi vaksinasi digital yang umum digunakan saat ini sebagai kartu aman dan paspor perjalanan menunjukkan perilaku yang dapat membahayakan privasi pengguna. Risikonya sangat besar karena aplikasi ini diperlukan untuk populasi besar di seluruh dunia yang memungkinkan peretas memiliki basis target yang luas.Aplikasi paspor digital menyimpan bukti status vaksinasi COVID-19 seseorang, nama lengkap, nomor ID, tanggal lahir, dan informasi pengenal pribadi (PII) lainnya yang dikodekan dalam kode QR atau ditampilkan langsung di aplikasi. Pengguna kemudian dapat menunjukkan kode QR ini atau bukti vaksinasi saat diperlukan untuk memasuki area yang dianggap berisiko tinggi untuk penularan virus, diperlukan untuk bepergian, dan banyak lainnya.Penerbit aplikasi ini biasanya adalah departemen kesehatan dan TI pemerintah, sementara pengembang sering kali dikontrak sebagai ahli dalam pengembangan perangkat lunak seluler.Tim Symantec memeriksa 40 aplikasi paspor vaksin digital dan sepuluh aplikasi validasi (pemindai) dan menemukan bahwa 27 aplikasi mengalami beberapa risiko privasi dan keamanan.Jenis masalah pertama yang disorot dalam laporan Symantec adalah bahwa banyak dari alat ini menghasilkan kode QR yang tidak dienkripsi, tetapi hanya dikodekan. Encoding adalah istilah yang digunakan untuk menunjukkan konversi data, dalam hal ini data kesehatan, ke format digital yang mudah dipindai dan diproses.Di sisi lain, enkripsi mengubah data menjadi bentuk yang tidak dapat dibaca menggunakan algoritma kriptografi. Dalam hal ini, hanya entitas yang berwenang yang memegang kunci untuk menguraikan data dan membacanya.Dengan mengandalkan penyandian dan bukan enkripsi, siapa pun yang menggunakan aplikasi pemindai QR di pos pemeriksaan dapat memecahkan kode data yang dipindai dan mengumpulkan detail pribadi yang sensitif.Masalah umum lainnya yang ditemukan oleh tim Symantec menyangkut transmisi on-demand data kesehatan dari layanan penyimpanan cloud, tidak memerlukan koneksi HTTPS dalam 38% kasus, dan dengan demikian membuat pengguna rentan terhadap serangan man-in-the-middle .Masalah ketiga menyangkut izin akses penyimpanan eksternal di Android, yang merupakan persetujuan berisiko karena memberikan aplikasi akses tanpa syarat ke file lokal perangkat. Hal ini menjadi masalah di 17 dari 40 aplikasi atau 43% dari total aplikasi yang diuji. Risiko keamanan lainnya termasuk kredensial layanan cloud hard-coded dan tidak adanya validasi SSL CA, sekali lagi menempatkan data sensitif pengguna dalam risiko.Sumber : Bleeping Computer

Lusinan Aplikasi Paspor Covid-19 Bahayakan Privasi Pengguna

Internet Sehat : Geng kejahatan dunia maya Lazarus Korea Utara saat ini membobol jaringan perusahaan sektor kimia untuk memata-matai merek. Hal ini diungkpakan tim intel ancaman Symantec.Sementara pencurian mata uang kripto oleh kru Korea baru-baru ini dan sangat menguntungkan dan telah menjadi berita utama, kelompok tersebut masih terus memata-matai. Bukti baru telah ditemukan menghubungkan kampanye spionase baru-baru ini terhadap target Korea Selatan untuk mengajukan hash, nama file, dan alat yang sebelumnya digunakan oleh Lazarus, menurut Symantec.Symantec mengatakan operasi mata-mata kemungkinan merupakan kelanjutan dari Operation Dream Job yang disponsori negara yang dimulai kembali pada Agustus 2020. Skema ini melibatkan penggunaan tawaran pekerjaan palsu untuk mengelabui pencari kerja agar mengklik tautan atau membuka lampiran berbahaya yang kemudian mengizinkan para penjahat untuk memasang spyware di komputer korban.Peneliti keamanan ClearSky dan AT&amp;T mendokumentasikan kampanye Dream Job yang menargetkan organisasi pertahanan, pemerintah, dan teknik pada tahun 2020 dan 2021. Awal tahun ini, peneliti keamanan Qualys mendokumentasikan penipuan serupa yang menargetkan pelamar kerja Lockheed Martin.Tim pemburu ancaman Symantec mengatakan fokus terbaru Lazarus pada perusahaan kimia dimulai pada Januari, ketika perusahaan keamanan mendeteksi aktivitas jaringan di sejumlah organisasi yang berbasis di Korea Selatan. Dalam kasus ini, serangan biasanya dimulai dengan korban menerima file HTML berbahaya, yang entah bagaimana disalin ke file DLL bernama scskapplink.dll yang digunakan untuk menyusup ke aplikasi pada sistem.Kode berbahaya yang disuntikkan mengunduh dan menjalankan muatan pintu belakang dari server perintah dan kontrol yang menurut Symantec menggunakan kunci/nilai parameter URL prd_fld=racket. Pada titik ini, malware berulang kali terhubung ke server C2 untuk mengeksekusi shellcode dan mengunduh malware tambahan untuk dijalankan.Selain itu, para penjahat menggunakan Windows Management Instrumentation (WMI) untuk bergerak secara lateral melintasi jaringan dan menyuntikkan ke dalam aplikasi MagicLine oleh DreamSecurity di komputer lain.Sumber : The Register

Lazarus Korea Utara Mata-matai Perusahaan di Sektor Kimia

Internet Sehat : Sebuah kelompok pengancam yang terkait Rusia dan hampir secara eksklusif menargetkan Ukraina sejak pertama kali muncul pada tahun 2014 menyebarkan beberapa varian muatan malware pada sistem di negara tersebut.Geng Shuckworm juga dikenal sebagai Armageddon dan Gamaredon menggunakan setidaknya empat varian berbeda dari pintu belakang Pterodo yang dirancang untuk melakukan tugas serupa, tetapi berkomunikasi dengan server perintah dan kontrol (C2) yang berbeda. hal ini diungkapkan oleh Tim Pemburu Ancaman Symantec.Para peneliti mengatakan bahwa alasan yang paling mungkin untuk menggunakan beberapa varian adalah bahwa hal itu dapat memberikan cara yang belum sempurna untuk mempertahankan kegigihan pada komputer yang terinfeksi. Jika satu payload atau server [C2] terdeteksi dan diblokir, penyerang dapat menyerang salah satu dari yang lain dan meluncurkan lebih banyak varian baru untuk mengimbanginya.Serangan Shuckworm adalah bagian dari kampanye berkelanjutan oleh kelompok ancaman yang disponsori negara Rusia yang meningkatkan upaya mereka menjelang invasi ke Ukraina pada akhir Februari dan terus melanjutkan serangan mereka sejak itu. Perang siber aktif yang paralel dengan serangan militer Rusia telah mengkhawatirkan badan-badan Barat karena hal itu dapat meluas ke perusahaan-perusahaan di AS dan di tempat lain, baik secara kebetulan melalui pihak ketiga atau secara langsung karena sanksi keras yang dijatuhkan pada Rusia.Dalam kasus Shuckworm, geng tersebut telah aktif selama bertahun-tahun. Dinas Keamanan Ukraina (SSU) tahun lalu mengatakan kelompok itu bertanggung jawab atas lebih dari 5.000 serangan terhadap lembaga publik atau infrastruktur penting dan menghubungkan Shuckworm dengan FSB, layanan keamanan Rusia dan penerus KGB. SSU mengatakan kelompok itu menargetkan lebih dari 1.500 sistem komputer pemerintah selama tujuh tahun.Mereka mencatat bahwa Shuckworm tampaknya sebagian besar berfokus pada spionase dan pengumpulan intelijen, tetapi mengatakan serangan itu bisa menjadi pendahulu dari insiden yang lebih serius jika kelompok tersebut menyerahkan akses yang didapatnya dari organisasi Ukraina ke aktor ancaman lain yang disponsori Rusia.Empat varian yang diamati dari malware Pterodo kustom yang juga dikenal sebagai Pteranodon semuanya menggunakan dropper Visual Basic Script (VBS) dengan fungsi serupa. Mereka menjatuhkan file VBScripts, menggunakan Tugas Terjadwal (shtasks.exe) untuk memastikan ketekunan dan mengunduh kode dari server C2.Sumber : The Register

Symantec

Kelompok Hacker Evil Corp, Targetkan Pekerja AS di Rumah

Kelompok Hacker Evil Corp, Targetkan Pekerja AS di Rumah

Operator Telekomunikasi Jadi Target Kampanye Peretasan Spionase

Operator Telekomunikasi Jadi Target Kampanye Peretasan Spionase

Lusinan Aplikasi Paspor Covid-19 Bahayakan Privasi Pengguna

Lusinan Aplikasi Paspor Covid-19 Bahayakan Privasi Pengguna

Lazarus Korea Utara Mata-matai Perusahaan di Sektor Kimia

Lazarus Korea Utara Mata-matai Perusahaan di Sektor Kimia

Shuckworm Terkait dengan Rusia Tingkatkan Serangan terhadap Ukraina

Shuckworm Terkait dengan Rusia Tingkatkan Serangan terhadap Ukraina

Literasi Digital

Makin Cakap Digital

Menu

Informasi