Sign In

Artikel (Berita Keamanan Cyber)

1		Ransomware LockBit Kembangkan Versi Linuxnya LockBit adalah salah satu keluarga ransomware paling produktif. Ransomware ini menjadi lebih berbahaya dengan varian yang berfokus pada Linux dan VMware ESXi. Versi ini diberi nama LockBit Linux-ESXi Locker versi 1.0, yang telah ditemukan diiklankan di forum underground. Versi baru ini menggunakan kombinasi algoritma AES dan ECC untuk enkripsi. LockBit 1.0 memiliki fungsi logging dan dapat mencatat informasi prosesor, VM, total file, file terenkripsi dan VM, dan waktu yang dihabiskan untuk mengenkripsi. Selain itu, ransomware ini memiliki perintah untuk mengenkripsi gambar VM di server ESXi. Namun, catatan tebusan mirip dengan LockBit. Versi baru LockBit mensyaratkan bahwa ia dapat menyebar lebih jauh dan mengenkripsi berbagai perangkat dan file. Hal ini akan meningkatkan tekanan pada korban untuk membayar uang tebusan. Selain itu, server ESXi menampung beberapa VM dan enkripsi yang berhasil menunjukkan dampak besar pada organisasi korban.
2		Kerentanan RCE pada PHP Everywhere Mengancam Ribuan Situs WordPress Para peneliti menemukan tiga kerentanan remote code execution (RCE) dengan kategori kritis di plugin 'PHP Everywhere' untuk WordPress, yang digunakan oleh lebih dari 30.000 situs web di seluruh dunia. Tiga kerentanan ditemukan oleh analis keamanan di Wordfence dan dapat dieksploitasi oleh pengguna yang memengaruhi semua versi WordPress dari 2.0.3 dan di bawahnya. Ketiga kerentanan tersebut terdaftar sebagai CVE-2022-24663, CVE-2022-24664, dan CVE-2022-24665 dengan nilai kerentanannya berdasarkan CVSS yaitu 9,9. Dua kelemahan terakhir tidak mudah dieksploitasi karena memerlukan izin tingkat kontributor, kerentanan pertama jauh lebih terbuka untuk eksploitasi yang lebih luas karena dapat dieksploitasi hanya dengan menjadi subscriber di situs.
3		DB#JAMMER: MSSQL Server to FreeWorld Ransomware Threat actor menargetkan server Microsoft SQL (MSSQL) melalui operasi yang dikenal sebagai DB#JAMMER untuk menyebarkan ransomware FreeWorld. Attacker memanfaatkan fungsi xp_cmdshell yang ada pada MSSQL untuk menjalankan perintah shell pada host, dengan bruteforce attack sebagai inisasi. Selain itu, attacker mencoba mempertahankan akses RDP melalui Ngrok, yang memungkinkan mereka untuk melewati firewall.
		Telekopye: Phishing Telegram Bot Sebuah operasi baru yang didorong oleh motif keuangan memanfaatkan bot Telegram untuk membantu threat actor melakukan aksi phishing. Toolkit ini berfungsi sebagai alat otomatis untuk membuat halaman phishing dari template yang sudah dibuat sebelumnya dan mengirimkan URL ke korban potensial yang dijuluki "Mammoths" oleh para penjahat Telekopye memiliki fitur lengkap: • memungkinkan penggunanya untuk mengirim email phishing • menghasilkan halaman web • mengirim pesan SMS • membuat kode QR, • membuat gambar serta tangkapan layar dari cek dan tanda terima yang meyakinkan. Threat actor teridentifikasi bernama Neanderthals, terindikasi sebagai threat actor yang memanfaatkan Telekopye berasal dari Rusia. Selain itu, domain phishing yang digunakan untuk meng-host halaman didaftarkan sedemikian rupa sehingga URL akhir dimulai dengan brand yang dapat mengecoh target. Seperti: cdek.id7423[.]ru, olx.id7423[.]ru, sbazar.id7423[.]ru Threat actor juga menerapkan metode pembayaran terpusat dan dikelola oleh Administrator dan terdapat hirarki user didalamnya.

CSIRT