Hardwareholic – Kaspersky ICS CERT telah mendeteksi gelombang serangan yang ditargetkan pada perusahaan kompleks industri militer dan lembaga publik di beberapa negara Eropa Timur dan di Afghanistan. Para pelaku kejahatan siber mampu mengambil kendali atas seluruh infrastruktur TI korban – untuk tujuan spionase industri.

Pada Januari 2022, peneliti Kaspersky menyaksikan beberapa serangan lanjutan terhadap perusahaan militer dan organisasi publik. Tujuan utama serangan tersebut adalah untuk mengakses informasi pribadi perusahaan dan untuk mendapatkan kendali atas sistem TI. Malware yang digunakan oleh penyerang mirip dengan yang disebarkan oleh TA428 APT, grup APT berbahasa Mandarin.

Penyerang menyusup ke jaringan perusahaan dengan mengirimkan email phishing yang dibuat secara hati-hati, beberapa di antaranya berisi informasi khusus organisasi mereka yang belum tersedia untuk umum pada saat email dikirim. Ini menunjukkan bahwa penyerang sengaja mempersiapkan serangan dan memilih target mereka terlebih dahulu. Email phishing menyertakan dokumen Microsoft Word dengan kode berbahaya untuk mengeksploitasi kerentanan yang memungkinkan penyerang mengeksekusi kode arbitrer tanpa aktivitas tambahan apa pun. Kerentanan ada di versi lama dari Microsoft Equation Editor, sebuah komponen dari Microsoft Office.

Fragmen isi dokumen berbahaya

Selain itu, penyerang menggunakan enam pintu belakang (backdoor) yang berbeda secara bersamaan – untuk mengatur saluran komunikasi tambahan dengan sistem yang terinfeksi jika salah satu program berbahaya terdeteksi dan dihapus oleh solusi keamanan. Backdoor ini menyediakan fungsionalitas sangat luas untuk mengontrol sistem yang terinfeksi dan mengumpulkan data rahasia.

Tahap akhir serangan melibatkan pembajakan pengontrol domain dan mendapatkan kendali penuh atas semua workstation dan server organisasi – dan dalam salah satu kasus, mereka bahkan mengambil alih pusat kendali solusi keamanan siber. Setelah mendapatkan hak administrator domain dan akses ke Active Directory, penyerang menjalankan serangan “golden ticket (tiket emas)” untuk meniru akun pengguna organisasi secara sewenang-wenang dan mencari dokumen ataupun file lain berisikan data sensitif organisasi yang diserang. Kemudian data tersebut disusupkan ke server penyerang yang diselenggarakan di berbagai negara.

“Serangan Golden Ticket memanfaatkan protokol otentikasi default yang telah digunakan sejak ketersediaan Windows 2000. Dengan memalsukan Tiket Pemberian Tiket (Ticket Granting Tickets) Kerberos di dalam jaringan perusahaan, penyerang dapat secara mandiri mengakses layanan apa pun yang dimiliki jaringan untuk waktu yang tidak terbatas. Akibatnya, hanya mengubah kata sandi atau memblokir akun yang disusupi tidak akan cukup. Saran kami adalah memeriksa dengan cermat semua aktivitas yang mencurigakan dan mengandalkan solusi keamanan yang dapat dipercaya,” komentar Vyacheslav Kopeytsev, pakar keamanan di ICS CERT Kaspersky.

Pelajari lebih lanjut tentang serangan bertarget ini di Kaspersky ICS CERT.

Untuk menjaga komputer ICS Anda terlindungi dari berbagai ancaman, pakar Kaspersky merekomendasikan bisnis:

• Secara teratur memperbarui sistem operasi dan perangkat lunak aplikasi yang merupakan bagian dari jaringan perusahaan. Terapkan perbaikan dan tambalan keamanan ke peralatan jaringan TI dan OT segera setelah tersedia
• Melakukan audit keamanan berkala terhadap sistem TI dan Teknologi Operasional untuk mengidentifikasi dan menghilangkan kemungkinan kerentanan
• Gunakan solusi pemantauan, analisis, dan deteksi lalu lintas jaringan ICS untuk perlindungan yang lebih baik dari serangan yang berpotensi mengancam proses teknologi dan aset utama perusahaan
• Mengadakan pelatihan keamanan khusus untuk tim keamanan TI dan teknisi Teknologi Operasional, untuk meningkatkan respons terhadap teknik berbahaya baru dan lanjutan
• Menyediakan tim keamanan yang bertanggung jawab untuk melindungi sistem kontrol industri dengan intelijen ancaman terkini. Layanan Pelaporan Intelijen Ancaman ICS kami memberikan wawasan tentang ancaman dan vektor serangan saat ini, serta elemen yang paling rentan dalam  sistem kontrol industri dan cara menguranginya
• Gunakan solusi keamanan untuk titik akhir teknologi operasional dan jaringan seperti Kaspersky Industrial CyberSecurity, untuk memastikan perlindungan menyeluruh untuk semua sistem kritis industry
• Melindungi infrastruktur TI juga tidak kalah pentingnya. Keamanan Titik Akhir Terintegrasi melindungi titik akhir perusahaan dan memungkinkan deteksi ancaman otomatis dan kemampuan respons dengan baik.

Hardwareholic – Selama triwulan ke-dua tahun ini, serangan Distributed Denial of Service (DDoS) mencapai level baru karena pangsa serangan cerdas dan durasi rata-rata mengalami peningkatan tajam. Dibandingkan tahun sebelumnya, rata-rata durasi serangan DDoS naik 100 kali lipat, mencapai 3.000 menit. Pangsa serangan cerdas hampir memecahkan rekor selama empat tahun, terhitung hampir 50% dari total. Para ahli juga memperkirakan peningkatan aktivitas DDoS secara keseluruhan, terutama dengan runtuhnya cryptocurrency (mata uang kripto) baru-baru ini. Temuan ini dan lainnya adalah bagian dari laporan DDoS triwulanan yang dikeluarkan oleh Kaspersky.

Serangan Distributed Denial of Service (DDoS) dirancang untuk menghambat fungsi normal situs web atau merusaknya secara keseluruhan. Selama serangan (yang biasanya menargetkan lembaga pemerintah, perusahaan ritel atau keuangan, media atau organisasi lain) korban akan kehilangan pelanggan karena situs web yang tidak tersedia dan turut berpengaruh pada reputasi mereka.

Dari kuantitas ke kualitas

Dibandingkan dengan angka dari kuartal kedua tahun 2021 (Q2 2021), solusi Kaspersky melindungi penggunanya dari serangan DDoS sekitar 2,5 kali lebih banyak. Di saat yang sama, berbeda dengan awal tahun (Q1 2022) dengan lonjakan serangan yang dramatis karena aktivitas hacktivist, jumlah absolut menurun pada kuartal dua tahun ini (Q2 2022). Namun, ini bukan berarti bahwa pasar DDoS telah mendingin, sebaliknya serangan telah berubah di kualitas, menjadi lebih lama dan lebih kompleks.

Perbandingan jumlah serangan DDoS: Q2 2022 dan Q2 2021 serta Q1 2022. Data untuk Q2 2021 diambil sebagai 100%