Tag: threatmon

Tim Malware Research & Development dari ThreatMon berhasil mengungkap cara kerja GOGLoader, sebuah malware loader (pemuat malware) yang sangat canggih dan dijual secara komersial melalui model Malware-as-a-Service (MaaS). Malware ini menjadi populer karena kemampuannya yang luar biasa: menggabungkan kode C++ dengan payload berbasis .NET untuk membuat serangan yang diam-diam, sulit dideteksi, dan bisa bertahan lama di sistem korban.  Mengapa GOGLoader Berbahaya? Desain Hybrid yang Canggih GOGLoader menggunakan kombinasi dua bahasa pemrograman: C++ dan .NET. Komponen C++ bertugas mengeksekusi kode .NET langsung di memori tanpa menulis file ke hard disk. Artinya, tidak ada jejak file mencurigakan yang bisa dideteksi antivirus. Teknik ini membuatnya sangat sulit dianalisis oleh alat forensik atau antivirus tradisional. Dijual Secara Komersial di Dark Web GOGLoader tidak hanya digunakan oleh peretas profesional. Malware ini dijual di pasar gelap (dark web) lengkap dengan panel kontrol (Command and Control/C2) yang memiliki tampilan profesional. Dengan begitu, bahkan penjahat siber pemula pun bisa menjalankan kampanye serangan canggih hanya dengan mengikuti panduan yang sudah disediakan. Kemampuan Bertahan yang Tinggi (High Resilience) Malware ini dilengkapi fitur anti-analisis seperti: Anti-debug (menghindari proses debugging) Anti-VM (tidak aktif saat dijalankan di mesin virtual) Anti-sandbox (mengetahui jika sedang diuji oleh sistem keamanan) Teknik process hollowing kustom (menyembunyikan proses berbahaya di dalam proses sistem yang sah) Semua fitur ini membuat GOGLoader mampu melewati banyak solusi keamanan endpoint seperti antivirus atau EDR.  Detail Teknis GOGLoader 1. Infrastruktur Command & Control (C2) GOGLoader memiliki panel web multi-tab yang dirancang dengan rapi, terdiri dari menu seperti Clients, Payloads, Commands, Tasks, Builder, dan lainnya. Dari sini, operator malware dapat melakukan hal-hal seperti: Melihat daftar korban (bot) secara real-time. Menjadwalkan perintah otomatis. Mengunggah dan mengeksekusi payload baru. Memblokir alamat IP milik peneliti keamanan atau sandbox. Melihat peta penyebaran infeksi berdasarkan lokasi geografis. 2. Metode Eksekusi Payload GOGLoader bisa mengeksekusi malware melalui berbagai cara: Dari URL (mengunduh dan menjalankan file dari internet) Dari file lokal di komputer korban RUNPE – teknik injeksi kode ke proses lain agar terlihat seperti proses sah Metode-metode ini digunakan untuk menyisipkan kode berbahaya ke memori sistem, menjalankan perintah, dan mempertahankan akses ke perangkat korban. 3. Manipulasi Memori Malware ini juga mengubah izin pada area memori (misalnya dari RX menjadi RW) untuk bisa menulis dan menjalankan kode berbahaya secara diam-diam. Selain itu, GOGLoader menggunakan named pipe untuk berkomunikasi secara tersembunyi antarproses — teknik yang biasanya digunakan oleh kelompok APT (Advanced Persistent Threat) tingkat tinggi. 4. Mekanisme Persistensi dan Pengintaian GOGLoader mencari folder seperti: AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ untuk membuat dirinya aktif kembali setiap kali komputer dihidupkan. Ia juga mencari file DLL yang bisa “dihijack” (diganti atau ditimpa) di folder pengguna agar bisa menyusup ke sistem secara permanen.  Temuan Menarik dari Penelitian ThreatMon Shadow DLL Override GOGLoader memindai direktori pengguna untuk mencari file DLL dengan nama umum (misalnya kernel32.dll). Jika menemukan versi yang bisa ditimpa, malware akan memanfaatkannya untuk menjalankan kode jahat melalui mekanisme pemuatan DLL Windows. Integrasi dengan Telegram Bot Operator bisa menghubungkan GOGLoader ke bot Telegram. Setiap kali ada komputer baru terinfeksi, notifikasi langsung dikirim melalui Telegram. Kontrol Perintah Dinamis Malware ini memungkinkan operator untuk menjalankan tugas otomatis begitu korban terhubung ke C2 server. Misalnya, memperbarui malware, memperkuat persistensi, atau mengunduh payload tambahan.  Indikator Kompromi (IOCs) Peneliti ThreatMon menemukan sejumlah tanda yang bisa digunakan untuk mengenali GOGLoader, seperti: Alamat IP dan Domain yang Digunakan: IP: 45.129.185.58 Domain: api.ipify.org, api.telegram.org Hash File (SHA256): Beberapa hash file teridentifikasi sebagai versi GOGLoader dan payload .NET-nya.  Rekomendasi Pertahanan Untuk mencegah atau mendeteksi GOGLoader, organisasi disarankan untuk: Gunakan EDR/XDR yang dapat menganalisis aktivitas memori, bukan hanya file. Terapkan aturan YARA atau Sigma untuk mendeteksi tanda-tanda GOGLoader dari laporan teknis ThreatMon. Pantau eksekusi modul .NET yang tidak biasa di sistem Anda. Awasi lalu lintas keluar yang mencurigakan menuju Telegram atau layanan IP discovery seperti api.ipify.org. Terapkan application allowlisting, yaitu hanya mengizinkan aplikasi resmi untuk berjalan di lingkungan kerja. Kesimpulan GOGLoader menunjukkan bagaimana penjahat siber terus berinovasi dengan cara yang semakin licik. Dengan desain hybrid, kemampuan anti-analisis, dan fitur otomatisasi tinggi, malware ini menjadi ancaman serius bagi banyak perusahaan. Organisasi perlu memperkuat pertahanan mereka dengan pemantauan berbasis perilaku, analisis memori, dan prosedur deteksi real-time agar serangan semacam ini tidak berkembang lebih jauh. Untuk analisis teknis lengkap — termasuk disassembly, taktik penghindaran, dan tanda deteksi detail — pembaca dapat mengakses laporan lengkap GOGLoader dari ThreatMon. Infrastruktur IT yang kuat adalah kunci produktivitas perusahaan. Dengan threatmon indonesia, Anda bisa mendapatkan solusi IT lengkap yang sesuai dengan kebutuhan Anda. iLogo Indonesia sebagai mitra terpercaya siap mengintegrasikan semuanya agar bisnis Anda tetap berjalan lancar dan aman. Hubungi kami sekarang atau kunjungi threatmon.ilogoindonesia.com untuk informasi lebih lanjut!

Di dunia digital yang terus berubah cepat, setiap layanan cloud baru, perangkat yang terhubung, atau login jarak jauh menambah lapisan risiko baru bagi perusahaan. Tantangan bagi tim keamanan bukan hanya mengetahui dari mana ancaman datang, tapi juga melihat gambaran besar lebih dulu sebelum para penyerang melakukannya. Di sinilah Attack Surface Management (ASM) berperan. ASM bukan lagi fitur tambahan, melainkan fondasi utama untuk menjaga ketahanan keamanan siber di era di mana ancaman berkembang lebih cepat dari sebelumnya. Di ThreatMon, kami membantu organisasi mengambil kembali kendali dengan mengungkap kerentanan tersembunyi, memetakan paparan digital, dan membantu tim keamanan memutuskan prioritas perbaikan dengan lebih cerdas. Apa itu Attack Surface Management? Bayangkan attack surface sebagai semua hal yang bisa ditemukan dan dimanfaatkan oleh peretas — mulai dari situs web, infrastruktur cloud, API publik, subdomain yang terlupakan, hingga database yang salah konfigurasi. Attack Surface Management (ASM) adalah proses berkelanjutan untuk menemukan dan mengamankan semua celah tersebut sebelum berubah menjadi insiden keamanan. Kata kuncinya di sini adalah berkelanjutan. Pemindaian satu kali saja tidak cukup. ASM modern membutuhkan pemantauan terus-menerus, wawasan real-time, dan kemampuan memprioritaskan risiko yang paling penting. Platform ASM milik ThreatMon dirancang untuk melakukan hal itu — memberikan peta digital real-time dari seluruh aset perusahaan disertai konteks ancaman, agar tim keamanan bisa fokus pada risiko yang paling kritis. Perimeter Risiko yang Semakin Luas Transformasi digital memang mendorong pertumbuhan bisnis, tetapi juga membuat strategi keamanan tradisional menjadi ketinggalan zaman. Lebih banyak pekerja jarak jauh, lebih banyak penggunaan layanan cloud, serta integrasi dengan pihak ketiga membuat permukaan serangan (attack surface) semakin luas dan kompleks. Akibatnya, banyak tim keamanan kesulitan memantau semua aset digital mereka. Mereka sering kewalahan dengan terlalu banyak peringatan dari berbagai alat, tapi tidak tahu mana yang benar-benar penting. Tanpa inventaris aset digital yang jelas, sulit untuk melindungi apa yang tidak diketahui. ThreatMon hadir untuk mengatasi tantangan ini. Kami secara terus-menerus memindai dan mendeteksi aset serta risiko baru, termasuk shadow IT (sistem yang digunakan tanpa izin resmi) dan risiko dari pihak ketiga, sehingga organisasi memiliki gambaran penuh tentang lingkungan digital mereka. Membangun Program ASM yang Efektif Program ASM yang kuat biasanya memiliki tiga kemampuan utama: Penemuan Aset Secara Berkelanjutan Mulailah dengan memetakan seluruh ekosistem digital Anda — dari aplikasi web, server cloud, hingga layanan publik lain. ThreatMon menggunakan teknologi zero-touch discovery untuk menemukan semua aset, bahkan yang tersebar di anak perusahaan atau kantor cabang luar negeri. Manajemen Kerentanan Berdasarkan Prioritas Tidak semua risiko memiliki tingkat bahaya yang sama. ThreatMon menilai paparan berdasarkan intelijen ancaman nyata, memberi skor risiko agar tim keamanan tahu mana yang harus segera diperbaiki. Pemantauan dan Respons Berkelanjutan Dunia digital bergerak cepat — begitu juga ancaman siber. Solusi ASM kami memantau 24/7, mendeteksi perubahan, salah konfigurasi, dan membantu melacak proses perbaikan agar keamanan tetap optimal. Praktik Terbaik untuk Keberhasilan ASM Beberapa langkah penting agar ASM berjalan efektif: Mulai dengan inventaris lengkap. Ketahui semua aset yang Anda miliki: beban kerja cloud, perangkat IoT, sistem shadow IT, hingga situs microsite pemasaran. Amankan titik masuk berisiko tinggi. Pastikan endpoint, aplikasi web, dan layanan yang terhubung dari luar memiliki perlindungan tambahan seperti firewall, EDR, dan kontrol akses yang tepat. Latih karyawan Anda. Banyak pelanggaran terjadi karena kesalahan manusia. Program ASM yang sukses juga mencakup kesadaran keamanan bagi seluruh karyawan, mulai dari cara mengenali phishing hingga menjaga data sensitif. Terapkan kebijakan dan tata kelola yang jelas. Pastikan tim DevOps dan IT memiliki prosedur yang teratur untuk patching, segmentasi jaringan, dan penghapusan aset lama. Lakukan penilaian awal sebelum menggunakan ASM. Ketahui kondisi keamanan Anda saat ini dan aset lama yang mungkin sudah tak terpantau. Ini akan membantu Anda mengukur kemajuan nantinya. Mengapa Memilih ThreatMon? Banyak vendor menawarkan solusi ASM, tetapi hanya sedikit yang menggabungkan visibilitas real-time dengan intelijen ancaman yang dapat ditindaklanjuti seperti ThreatMon. Kami tidak hanya memberi tahu apa yang terekspos, tapi juga apa yang paling penting dan harus dilakukan. Dengan ThreatMon, tim keamanan bisa: Menemukan aset tersembunyi atau terlupakan Mengungkap risiko dari pihak ketiga dan shadow IT Mendeteksi salah konfigurasi saat itu juga Menghubungkan paparan dengan pelaku ancaman nyata Mengintegrasikan data ASM ke sistem SIEM, XDR, atau manajemen kerentanan yang sudah ada Mengukur Dampak ASM Jika diterapkan dengan benar, ASM bukan hanya soal mengurangi risiko, tapi juga meningkatkan efisiensi operasional dan kepatuhan regulasi. Beberapa hasil yang dapat diukur antara lain: Lebih sedikit kerentanan kritis yang belum diperbaiki Waktu perbaikan yang lebih cepat Visibilitas yang lebih baik di lingkungan cloud dan remote Kepatuhan terhadap standar keamanan yang lebih kuat Komunikasi yang lebih efektif antara tim keamanan dan bisnis Kesimpulan Perusahaan modern tidak lagi terbatas oleh empat dinding kantor. Infrastruktur kini bersifat global, berbasis cloud, dan selalu berubah. Tanpa visibilitas yang jelas, tim keamanan hanya bisa menebak-nebak. Attack Surface Management memberikan pandangan menyeluruh, konteks, dan kendali untuk tetap selangkah di depan para penyerang. Dengan bantuan ThreatMon, organisasi dapat mengendalikan jejak digital mereka, mengurangi risiko, dan memperkuat ketahanan terhadap serangan siber di masa depan. Infrastruktur IT yang kuat adalah kunci produktivitas perusahaan. Dengan threatmon indonesia, Anda bisa mendapatkan solusi IT lengkap yang sesuai dengan kebutuhan Anda. iLogo Indonesia sebagai mitra terpercaya siap mengintegrasikan semuanya agar bisnis Anda tetap berjalan lancar dan aman. Hubungi kami sekarang atau kunjungi threatmon.ilogoindonesia.com untuk informasi lebih lanjut!

CyberVolk Ransomware adalah ancaman siber yang serius dan terus berkembang. Ransomware ini dibuat oleh kelompok hacker CyberVolk yang berasal dari India dan memiliki keterkaitan dengan kelompok peretas asal Rusia. Ransomware ini ditawarkan dalam model Ransomware-as-a-Service (RaaS) dan menggunakan teknik enkripsi canggih, termasuk algoritma yang tahan terhadap serangan komputer kuantum. Analisis ini membahas secara mendalam detail teknis CyberVolk ransomware, fitur uniknya, serta kerentanan yang bisa dimanfaatkan oleh profesional keamanan siber. Informasi lebih lengkap tersedia dalam laporan CyberVolk Ransomware Technical & Malware Analysis. Asal Usul dan Koneksi Kelompok CyberVolk Kelompok CyberVolk dibentuk pada Maret 2024 dengan nama awal GLORIAMIST India, lalu berganti nama menjadi CyberVolk. Mereka kemudian menjalin kerja sama dengan kelompok hacker asal Rusia dan menjadi bagian dari koalisi Holy League, yang menargetkan NATO, Ukraina, dan negara lain yang dianggap sebagai musuh Rusia. Aktivitas mereka mencakup serangan DDoS, peretasan situs web, pencurian data, hingga serangan ransomware. Kontributor CyberVolk Ransomware Pemimpin kelompok ini dikenal dengan nama samaran Hacker-K, yang berasal dari India. Analisis Teknis Malware CyberVolk ransomware pertama kali muncul pada 1 Juli 2024 dan segera dijual di dark web sebagai layanan RaaS. Awalnya ditulis dalam bahasa pemrograman C++, ransomware ini menggunakan kombinasi algoritma enkripsi seperti ChaCha20-Poly1305, AES, RSA, serta enkripsi yang tahan terhadap serangan komputer kuantum. Kombinasi ini membuat data yang dienkripsi sangat sulit untuk dipulihkan tanpa kunci dekripsi. Karakteristik Dasar CyberVolk Ransomware Bahasa Pemrograman: C++ Ukuran file: 7.79MB Tidak menggunakan packer Analisis Dinamis Saat dijalankan, ransomware membuat file gambar BMP di direktori $HOME\AppData\Temp dan mengatur gambar itu sebagai wallpaper latar belakang. Kemudian membuat file time.dat dengan waktu 5 jam sebagai hitung mundur yang ditampilkan di antarmuka pengguna. Proses enkripsi dimulai dari direktori $HOME. File akan dienkripsi dan hasilnya disimpan dengan ekstensi .CyberVolk, sementara file asli dihapus. Setelah semua file terenkripsi, file teks bernama CyberVolk_ReadMe.txt akan ditambahkan ke setiap direktori yang diserang. Isi CyberVolk_ReadMe.txt: Salam. Semua file Anda telah dienkripsi oleh ransomware CyberVolk. Jangan coba-coba memulihkan file Anda tanpa kunci dekripsi yang hanya saya berikan setelah Anda membayar. File Anda bisa hilang selamanya. Ikuti perintah saya. Bayar $1000 BTC ke alamat di bawah ini. Telegram saya: @hacker7 Tim kami: https://t.me/cubervolk Kami selalu menyambut Anda dan pembayaran Anda. Perilaku Lain yang Diamati Menggunakan conhost.exe untuk mendukung tampilan GUI. Mengubah pengaturan Safe Mode Windows lewat kunci registry SafeBoot. Membaca file dec_key.dat di $HOME\AppData\Roaming untuk proses dekripsi. Tidak melakukan validasi apakah kunci dekripsi benar atau tidak. Jika salah, file hasil dekripsi akan kosong (0 byte). Menggunakan API seperti IsDebuggerPresent dan IsProcessorFeaturePresent untuk mendeteksi debugger dan lingkungan virtual. Menggunakan instruksi CPUID untuk mendeteksi apakah sistem berjalan di dalam mesin virtual. Fitur Menyerupai Worm CyberVolk memindai seluruh drive dari A sampai Z untuk menyebarkan dirinya secara otomatis. Membuat thread baru untuk menjalankan diri di drive yang bisa diakses (seperti USB atau jaringan). Ransomware secara berkala mencari jendela bernama “TaskManagerWindow” dan langsung menutupnya untuk mencegah pengguna menghentikan proses ransomware melalui Task Manager. Setelah Proses Dekripsi Program akan menghapus dirinya sendiri menggunakan fungsi _exit(1);. Tidak meninggalkan jejak atau mekanisme persistensi apa pun setelah proses selesai. Kerentanan CyberVolk Ransomware Meski tergolong canggih, CyberVolk memiliki beberapa kelemahan penting: Tidak memblokir PowerShell, sehingga ransomware bisa dihentikan sebelum selesai mengenkripsi file. Tidak memiliki mekanisme persistensi, jadi ransomware tidak akan berjalan kembali setelah sistem direstart. Timer hitung mundur berdasarkan file time.dat bisa dimodifikasi untuk memperpanjang waktu analisis forensik. Fitur Unik CyberVolk Ransomware Offline Mode: Tidak memerlukan koneksi ke server (C2) untuk mengenkripsi/dekripsi, membuatnya lebih sulit dideteksi. Penghapusan File Saat Gagal Dekripsi: Jika kunci salah, ransomware tidak menampilkan pesan kesalahan tetapi langsung menghapus isi file, menyebabkan kehilangan data permanen. Mendeteksi Virtualisasi dan Debugging: Mencegah analisis mendalam oleh peneliti keamanan. Menutup Task Manager: Mencegah pengguna menghentikan proses secara manual. Strategi Mitigasi Untuk melindungi diri dari CyberVolk dan ransomware serupa: Backup data secara rutin, simpan salinannya secara offline atau di cloud. Edukasi karyawan tentang bahaya email phishing dan rekayasa sosial. Perbarui sistem dan perangkat lunak dengan patch keamanan terbaru. Gunakan software antivirus dan antimalware, serta perbarui secara berkala. Gunakan intelijen ancaman (CTI) untuk mendapat peringatan dini serangan ransomware. Gunakan filter spam lanjutan untuk mencegah email berbahaya masuk. Terapkan prinsip least privilege – hanya izinkan akses sesuai kebutuhan pengguna. Langganan feed intelijen siber agar mendapat informasi terkini soal ancaman. Terapkan application whitelisting – hanya izinkan aplikasi yang disetujui berjalan di sistem. IOC List (Daftar indikator kompromi – tidak ditampilkan secara rinci dalam ringkasan ini) Kesimpulan CyberVolk Ransomware menunjukkan betapa rumit dan berbahayanya ancaman ransomware saat ini. Namun dengan memahami cara kerja dan kelemahannya, tim keamanan siber bisa menyusun strategi untuk mengurangi dampaknya. Seiring berkembangnya ancaman siber, alat seperti ThreatMon menjadi sangat penting dalam mendeteksi dan menganalisis serangan sejak dini. Ingin memperkuat pertahanan keamanan Anda? Coba layanan uji coba gratis dari ThreatMon, yang menyediakan solusi intelijen ancaman dan deteksi yang komprehensif sesuai kebutuhan organisasi Anda. Infrastruktur IT yang kuat adalah kunci produktivitas perusahaan. Dengan threatmon indonesia, Anda bisa mendapatkan solusi IT lengkap yang sesuai dengan kebutuhan Anda. iLogo Indonesia sebagai mitra terpercaya siap mengintegrasikan semuanya agar bisnis Anda tetap berjalan lancar dan aman. Hubungi kami sekarang atau kunjungi threatmon.ilogoindonesia.com untuk informasi lebih lanjut!