Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cloud

Cloud

GoTo mengatakan peretas melanggar lingkungan pengembangnya, penyimpanan cloud

by

Perusahaan kolaborasi dan akses jarak jauh GoTo mengungkapkan hari ini bahwa mereka mengalami pelanggaran keamanan di mana pelaku ancaman memperoleh akses ke lingkungan pengembangan dan layanan penyimpanan cloud pihak ketiga mereka.

GoTo (sebelumnya LogMeIn) mulai mengirim email kepada pelanggan pada Rabu sore, memperingatkan bahwa mereka telah mulai menyelidiki serangan siber dengan bantuan Mandiant dan telah memberi tahu penegak hukum.

“Setelah mengetahui insiden tersebut, kami segera meluncurkan penyelidikan, melibatkan Mandiant, firma keamanan terkemuka, dan memberi tahu penegak hukum,” demikian bunyi email dari CEO GoTo Paddy Srinivasan.

Insiden ini juga memengaruhi anak perusahaan GoTo, LastPass, yang mengungkapkan hari ini bahwa pelaku ancaman mengakses informasi pelanggan melalui pelanggaran penyimpanan cloud yang sama.

GoTo mengatakan insiden tersebut tidak memengaruhi produk dan layanan mereka, dan mereka tetap berfungsi penuh.

Namun, mereka mengatakan telah mengerahkan “langkah-langkah keamanan yang ditingkatkan dan kemampuan pemantauan” setelah serangan itu.

BleepingComputer telah meminta informasi lebih lanjut kepada GoTo, seperti kapan serangan terjadi atau jika kode sumber dicuri, tetapi belum mendapat kabar.

sumber : bleeping computer

130 Github Repositori Dicuri dari Dropbox oleh Hacker

by

Dropbox mengungkapkan pelanggaran keamanan setelah pelaku ancaman mencuri 130 repositori kode setelah mendapatkan akses ke salah satu akun GitHub-nya menggunakan kredensial karyawan yang dicuri dalam serangan phishing.

Perusahaan menemukan penyerangan akun pada 14 Oktober ketika GitHub memberi tahunya tentang aktivitas mencurigakan yang dimulai sehari sebelum peringatan dikirim.

“Kode dan data di sekitarnya juga mencakup beberapa ribu nama dan alamat email milik karyawan Dropbox, pelanggan saat ini dan sebelumnya, prospek penjualan, dan vendor (untuk konteksnya, Dropbox memiliki lebih dari 700 juta pengguna terdaftar).”

serangan phishing yang menargetkan beberapa karyawan Dropbox menggunakan email yang meniru platform integrasi dan pengiriman berkelanjutan CircleCI dan mengarahkan mereka ke halaman arahan phishing di mana mereka diminta untuk memasukkan nama pengguna dan kata sandi GitHub mereka.

karyawan juga diminta untuk “menggunakan kunci otentikasi perangkat keras mereka untuk memberikan One Time Password (OTP).”


Email phishing yang meniru CircleCI (BleepingComputer)

130 kode repositori telah dicuri saat pemberantasan

penyerang memperoleh akses ke salah satu organisasi GitHub Dropbox dan mencuri 130 repositori kodenya.

“Yang penting, mereka tidak menyertakan kode untuk aplikasi atau infrastruktur inti kami. Akses ke repositori itu bahkan lebih terbatas dan dikontrol dengan ketat.”

Dropbox menambahkan bahwa penyerang tidak pernah memiliki akses ke akun pelanggan, kata sandi, atau informasi pembayaran, dan aplikasi serta infrastruktur intinya tidak terpengaruh akibat pelanggaran ini.

Menanggapi insiden tersebut, Dropbox berupaya mengamankan seluruh lingkungannya menggunakan WebAuthn dan token perangkat keras atau faktor biometrik.

Pada bulan September, pengguna GitHub lainnya juga menjadi sasaran dalam serangan serupa yang meniru platform CircleCI dan meminta mereka untuk masuk ke akun GitHub mereka untuk menerima persyaratan pengguna dan pembaruan kebijakan privasi untuk tetap menggunakan layanan.

“Sementara GitHub sendiri tidak terpengaruh, kampanye tersebut telah berdampak pada banyak organisasi korban,” kata GitHub dalam sebuah nasihat saat itu.

GitHub mengatakan mendeteksi eksfiltrasi konten dari repositori pribadi segera setelah kompromi, dengan pelaku ancaman menggunakan VPN atau layanan proxy untuk membuat pelacakan lebih sulit.

sumber : bleeping computer

Peretas SVR Rusia menggunakan Google Drive, Dropbox untuk menghindari deteksi

by

Peretas yang didukung negara bagian dari Federasi Layanan Intelijen Asing (SVR) Rusia telah mulai menggunakan layanan penyimpanan cloud Google Drive yang sah untuk menghindari deteksi.

Dengan menggunakan layanan penyimpanan online yang dipercaya oleh jutaan orang di seluruh dunia untuk mengekstrak data dan menyebarkan malware dan alat berbahaya mereka, pelaku ancaman Rusia menyalahgunakan kepercayaan itu untuk membuat serangan mereka menjadi sangat rumit atau bahkan mustahil untuk dideteksi dan diblokir.

Kelompok ancaman yang dilacak sebagai APT29 (alias Cozy Bear atau Nobelium) telah mengadopsi taktik baru ini dalam kampanye baru-baru ini yang menargetkan misi diplomatik Barat dan kedutaan asing di seluruh dunia antara awal Mei dan Juni 2022.

Namun, seperti yang diungkapkan Mandiant dalam laporan April yang melacak salah satu kampanye phishing grup, ini bukan pertama kalinya peretas APT29 menyalahgunakan layanan web yang sah untuk tujuan perintah-dan-kontrol dan penyimpanan.

Sama seperti dalam kampanye yang diamati oleh Unit 42, Mandiant juga melihat serangan phishing kelompok spionase siber terhadap karyawan dari berbagai organisasi diplomatik di seluruh dunia, sebuah fokus yang konsisten dengan kepentingan strategis geopolitik Rusia saat ini dan penargetan APT29 sebelumnya.

Ikhtisar kampanye phishing APT29 (Unit 42)

APT29 (juga dilacak Cozy Bear, The Dukes, dan Cloaked Ursa) adalah divisi peretasan Layanan Intelijen Asing Rusia (SVR) yang melakukan serangan rantai pasokan SolarWinds, yang menyebabkan kompromi beberapa agen federal AS pada tahun 2020.

Pada akhir Juli, Departemen Kehakiman A.S. adalah pemerintah A.S. terakhir yang mengungkapkan bahwa 27 kantor Kejaksaan A.S. dibobol selama peretasan global SolarWinds.

Pada April 2021, pemerintah AS secara resmi menyalahkan divisi SVR karena mengoordinasikan “kampanye spionase dunia maya” SolarWinds yang mengarah pada kompromi beberapa lembaga pemerintah AS.

Sejak itu, APT29 telah menembus jaringan organisasi lain setelah serangan rantai pasokan SolarWinds, menggunakan malware tersembunyi yang tetap tidak terdeteksi selama bertahun-tahun, termasuk varian backdoor GoldMax Linux dan malware baru yang dilacak sebagai TrailBlazer.

Kelompok ini juga menargetkan I.T. rantai pasokan, seperti yang diungkapkan Microsoft pada bulan Oktober, mengorbankan setidaknya 14 perusahaan setelah menyerang sekitar 140 penyedia layanan terkelola (MSP) dan penyedia layanan cloud sejak Mei 2021.

Unit 42 juga baru-baru ini mengamati alat simulasi serangan permusuhan Brute Ratel yang digunakan dalam serangan yang diduga terkait dengan mata-mata SVR Rusia.

Seperti yang diamati oleh analis ancaman Unit 42 pada saat itu, sampel Brute Rate “dikemas dengan cara yang konsisten dengan teknik APT29 yang diketahui dan kampanye terbaru mereka, yang memanfaatkan penyimpanan cloud terkenal dan aplikasi kolaborasi online.”

Sumber: Bleeping Computer

Grup peretas ‘8220’ mengembangkan botnet cloud ke lebih dari 30.000 host

by

Geng cryptomining yang dikenal sebagai 8220 Gang telah mengeksploitasi kerentanan Linux dan aplikasi cloud untuk mengembangkan botnet mereka ke lebih dari 30.000 host yang terinfeksi.

Grup ini adalah aktor berketerampilan rendah, bermotivasi finansial yang menginfeksi host AWS, Azure, GCP, Alitun, dan QCloud setelah menargetkan sistem yang tersedia untuk umum yang menjalankan versi Docker, Redis, Confluence, dan Apache yang rentan.

Serangan sebelumnya dari geng ini mengandalkan eksploitasi yang tersedia untuk umum untuk mengkompromikan server Confluence.

Setelah mendapatkan akses, penyerang menggunakan paksaan SSH untuk menyebar lebih jauh dan membajak sumber daya komputasi yang tersedia untuk menjalankan cryptominers yang menunjuk ke kumpulan yang tidak dapat dilacak.

Geng 8220 telah aktif setidaknya sejak 2017 dan tidak dianggap sangat canggih, tetapi ledakan tiba-tiba dalam jumlah infeksi menggarisbawahi betapa berbahaya dan berdampaknya aktor tingkat bawah ini ketika mereka mengabdikan diri untuk tujuan mereka.

Dalam kampanye terbaru, yang diamati dan dianalisis oleh SentinelLabs, Geng 8220 telah menambahkan hal-hal baru ke skrip yang digunakan untuk memperluas botnet mereka, sepotong kode yang cukup tersembunyi meskipun tidak memiliki mekanisme penghindaran deteksi khusus.

Mulai akhir bulan lalu, grup tersebut mulai menggunakan file khusus untuk pengelolaan langkah paksa SSH, yang berisi 450 kredensial hardcode yang sesuai dengan berbagai perangkat dan aplikasi Linux.

Pembaruan lainnya adalah penggunaan daftar blokir dalam skrip untuk mengecualikan host tertentu dari infeksi, sebagian besar mengenai honeypot yang dibuat oleh peneliti keamanan.

Akhirnya, 8220 Gang sekarang menggunakan versi baru dari cryptominer kustomnya, PwnRig, yang didasarkan pada XMRig penambang Monero open-source.

Dalam versi terbaru PwnRig, penambang menggunakan subdomain FBI palsu dengan alamat IP yang mengarah ke domain pemerintah federal Brasil untuk membuat permintaan kumpulan palsu dan mengaburkan tujuan sebenarnya dari uang yang dihasilkan.

Penurunan harga cryptocurrency memaksa aktor cryptojacking untuk meningkatkan operasi mereka sehingga mereka dapat mempertahankan keuntungan yang sama. Monero, khususnya, telah kehilangan lebih dari 20% nilainya selama enam bulan terakhir.

Sumber: Bleeping Computer

Pemadaman Cloudflare pada 21 Juni 2022

by

Hari ini, 21 Juni 2022, Cloudflare mengalami gangguan yang memengaruhi lalu lintas di 19 pusat data kami. Sayangnya, 19 lokasi ini menangani sebagian besar lalu lintas global kami. Pemadaman ini disebabkan oleh perubahan konfigurasi jaringan yang merupakan bagian dari proyek jangka panjang untuk meningkatkan ketahanan di lokasi tersibuk kami. Pemadaman dimulai pada 06:27 UTC. Pada 06:58 UTC, pusat data pertama dihidupkan kembali dan pada 07:42 UTC semua pusat data online dan berfungsi dengan benar.

Tergantung pada lokasi Anda di dunia, Anda mungkin tidak dapat mengakses situs web dan layanan yang mengandalkan Cloudflare. Di lokasi lain, Cloudflare terus beroperasi secara normal.

Kami sangat menyayangkan pemadaman ini. Ini adalah kesalahan kami dan bukan hasil dari serangan atau aktivitas jahat.

Latar Belakang

Selama 18 bulan terakhir, Cloudflare telah bekerja untuk mengubah semua lokasi tersibuk kami menjadi arsitektur yang lebih fleksibel dan tangguh. Saat ini, kami telah mengonversi 19 pusat data kami ke arsitektur ini, yang secara internal disebut Multi-Colo PoP (MCP): Amsterdam, Atlanta, Ashburn, Chicago, Frankfurt, London, Los Angeles, Madrid, Manchester, Miami, Milan, Mumbai, Newark, Osaka, São Paulo, San Jose, Singapura, Sydney, Tokyo.

Bagian penting dari arsitektur baru ini adalah lapisan rute tambahan yang menciptakan jaringan koneksi (mesh). Mesh ini memungkinkan kita untuk dengan mudah menghidup-matikan bagian dari jaringan internal di pusat data untuk pemeliharaan atau untuk menangani masalah.

Arsitektur baru ini telah memberi kami peningkatan keandalan yang signifikan, serta memungkinkan kami untuk menjalankan pemeliharaan di lokasi ini tanpa mengganggu lalu lintas pelanggan. Karena lokasi ini juga membawa sebagian besar lalu lintas Cloudflare, masalah apa pun di sini dapat memiliki dampak yang sangat luas, dan sayangnya, itulah yang terjadi hari ini.

Selengkapnya: Cloudflare

Peretas iCloud mendapat 9 tahun penjara karena mencuri foto telanjang

by

Seorang pria California yang meretas ribuan akun Apple iCloud dijatuhi hukuman 8 tahun penjara setelah mengaku bersalah atas konspirasi dan penipuan komputer pada Oktober 2021.

Sejak awal September 2014, Hao Kuo Chi, 41 tahun dari La Puente, California, mulai memasarkan dirinya sebagai “icloudripper4you,” seseorang yang mampu membobol akun iCloud dan mencuri apa pun yang ada di penyimpanan iCloud yang ditautkan (dalam apa yang dia sebut sebagai “merobek”).

“Pria ini memimpin kampanye teror dari komputernya, menyebabkan ketakutan dan penderitaan bagi ratusan korban,” kata agen FBI David Walker.

Untuk mengkompromikan akun yang ditargetkan, Chi menggunakan email yang memungkinkannya untuk menyamar sebagai perwakilan dukungan pelanggan Apple dan menipu target agar menyerahkan ID dan kata sandi Apple mereka, menurut dokumen pengadilan.

Setelah mengkompromikan akun iCloud, dia akan mencari dan mencuri foto dan video telanjang dari penyimpanan online korban (disebut sebagai “wins”), membaginya dengan konspirator yang kemudian menerbitkannya secara online.

Chi juga membagikan beberapa foto dan video kompromi di situs porno balas dendam yang sekarang sudah tidak berfungsi (Anon-IB) tanpa persetujuan korbannya dan bermaksud “untuk mengintimidasi, melecehkan, atau mempermalukan.”

Sampai tertangkap, Chi memperoleh akses tidak sah ke ratusan akun iCloud target dari seluruh Amerika Serikat, termasuk Arizona, California, Florida, Kentucky, Louisiana, Maine, Massachusetts, Ohio, Pennsylvania, Carolina Selatan, dan Texas.

“Akun email Chi berisi kredensial iCloud dari sekitar 4.700 korban. Akun ini juga mengungkapkan bahwa dia telah mengirim konten yang dicuri dari korban ke konspirator lebih dari 300 kali,” ungkap Departemen Kehakiman hari ini.

Dia menyimpan 3,5 terabyte konten curian dari lebih dari 500 korban di cloud dan penyimpanan fisik, dengan sekitar 1 terabyte penyimpanan cloud didedikasikan untuk foto dan video telanjang yang dicuri.

“Chi mengorbankan ratusan wanita di seluruh negeri, membuat mereka takut akan keselamatan dan reputasi mereka,” kata Jaksa AS Roger Handberg.

Sumber: Bleeping Computer

India Maju dengan VPN yang Ketat dan Melanggar Aturan Pengungkapan

by Leave a Comment

India maju dengan aturan keamanan siber baru yang akan mengharuskan penyedia layanan cloud dan operator VPN untuk mempertahankan nama pelanggan mereka dan alamat IP mereka dan menyarankan perusahaan yang tidak patuh untuk menarik diri dari pasar internet terbesar kedua di dunia.

Tim Tanggap Darurat Komputer India mengklarifikasi (PDF) pada hari Rabu bahwa penyedia server pribadi virtual (VPS), penyedia layanan cloud, penyedia layanan VPN, penyedia layanan aset virtual, penyedia pertukaran aset virtual, penyedia dompet kustodian, dan organisasi pemerintah akan mengikuti arahan, yang disebut Cyber ​​Security Directions, yang mengharuskan mereka untuk menyimpan nama pelanggan, alamat email, alamat IP, mengetahui catatan pelanggan Anda, transaksi keuangan untuk jangka waktu lima tahun.

Aturan baru yang diresmikan akhir bulan lalu dan mulai berlaku akhir Juni, tidak akan berlaku untuk VPN perusahaan.

New Delhi juga tidak melonggarkan aturan baru yang mengamanatkan perusahaan untuk melaporkan insiden penyimpangan keamanan seperti pelanggaran data dalam waktu enam jam setelah mengetahui kasus tersebut.

Rajeev Chandrasekhar, menteri TI junior India, mengatakan kepada wartawan pada hari Rabu bahwa India “sangat murah hati” dalam memberi perusahaan waktu enam jam untuk melaporkan insiden keamanan, menunjuk ke negara-negara seperti Indonesia dan Singapura yang menurutnya memiliki persyaratan yang lebih ketat.

“Jika Anda melihat prioritas di seluruh dunia — dan memahami bahwa keamanan siber adalah masalah yang sangat kompleks, di mana kesadaran situasional dari berbagai insiden memungkinkan kita untuk memahami kekuatan yang lebih besar di baliknya — melaporkan secara akurat, tepat waktu, dan wajib adalah bagian yang sangat penting. kemampuan CERT dan pemerintah untuk memastikan internet selalu aman,” ujarnya.

Beberapa penyedia VPN telah menyatakan kekhawatirannya tentang aturan keamanan siber baru India. NordVPN, salah satu operator VPN paling populer, sebelumnya mengatakan bahwa ia dapat menghapus layanannya dari India jika “tidak ada opsi lain yang tersisa.”

Penyedia layanan lain, termasuk ExpressVPN dan ProtonVPN, juga menyampaikan keprihatinan mereka. “Peraturan VPN India yang baru merupakan serangan terhadap privasi dan mengancam akan menempatkan warga di bawah pengawasan mikroskop. Kami tetap berkomitmen pada kebijakan larangan masuk kami,” kata ProtonVPN.

Chandrasekhar mengatakan bahwa penyedia VPN yang ingin menyembunyikan siapa yang menggunakan layanan mereka “harus keluar.” Dia juga mengatakan bahwa tidak akan ada konsultasi publik tentang aturan ini.

Awal bulan ini, kelompok advokasi hak digital yang berbasis di New Delhi, Internet Freedom Foundation, mengatakan arahan baru itu tidak jelas dan merusak privasi pengguna dan keamanan informasi, “bertentangan dengan mandat CERT.”

Di sisi lain, banyak yang membenarkan alasan di balik beberapa perubahan.

Toko grosir online India milik Tata, BigBasket, misalnya, mengalami dugaan pelanggaran data yang menumpahkan nama, alamat, dan nomor telepon sekitar 20 juta pengguna pada akhir 2020. Banyak pengguna mengonfirmasi bahwa data yang beredar memang tampak asli karena dalam banyak kasus mereka dapat menemukan detail mereka sendiri di data dump. BigBasket tetap bungkam tentang masalah ini.

Sumber: TechCrunch

StackRox, Platform Keamanan Kubernetes yang Diperoleh Red Hat Tahun Lalu

by

Januari lalu, Red Hat mengumumkan bahwa mereka mengakuisisi startup keamanan Kubernetes StackRox, sebuah perusahaan yang telah mengumpulkan lebih dari $65 juta sejak didirikan pada tahun 2014. Dengan StackRox, perusahaan memperoleh solusi keamanan yang canggih untuk aplikasi cloud-native, yang kemudian diganti namanya dengan nama “Red Hat Advanced Cluster Security (ACS) untuk Kubernetes.” Sekarang, perusahaan membuka sumber ACS untuk Kubernetes dengan nama yang lebih baik: StackRox.

“Dibangun untuk mendorong adopsi prinsip-prinsip DevSecOps, proyek ini membantu mengatasi tantangan keamanan cloud-native umum, termasuk visibilitas, manajemen kerentanan, manajemen konfigurasi, segmentasi jaringan, kepatuhan, deteksi ancaman dan respons insiden, serta profil risiko,” Red Hat menjelaskan dalam pengumuman hari ini.

Dengan StackRox, pengembang akan dapat membangun solusi untuk mengotomatisasi DevSecOps, meningkatkan keamanan Kubernetes, dan mengoperasionalkan keamanan aplikasi siklus hidup penuh di Kubernetes. Ini berarti developer akan dapat menggunakan StackRox untuk menyediakan pemindaian gambar berkelanjutan dan jaminan ke dalam pipeline CI/CD mereka, misalnya, dan memastikan bahwa beban kerja berisiko tinggi tidak berakhir di layanan produksi tanpa kebijakan tambahan.

Sementara ACS Red Hat akan terus fokus pada keamanan untuk platform container OpenShift miliknya sendiri, proyek open-source StackRox sebagian besar akan netral terhadap vendor, meskipun Red Hat secara mengejutkan berencana untuk terus menjadi peserta aktif dalam komunitas.

Sumber: TechCrunch