Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Company

Company

Microsoft menemukan bug parah di aplikasi Android dari penyedia seluler besar

by

Peneliti keamanan Microsoft telah menemukan kerentanan tingkat keparahan yang tinggi dalam kerangka kerja yang digunakan oleh aplikasi Android dari beberapa penyedia layanan seluler internasional yang besar.

Para peneliti menemukan kerentanan ini (dilacak sebagai CVE-2021-42598, CVE-2021-42599, CVE-2021-42600, dan CVE-2021-42601) dalam kerangka kerja seluler yang dimiliki oleh Sistem mce yang memaparkan pengguna pada serangan injeksi perintah dan eskalasi hak istimewa .

Aplikasi rentan memiliki jutaan unduhan di Google Play Store dan sudah diinstal sebelumnya sebagai aplikasi sistem pada perangkat yang dibeli dari operator telekomunikasi yang terpengaruh, termasuk AT&T, TELUS, Rogers Communications, Bell Canada, dan Freedom Mobile.

“Semua aplikasi tersedia di Google Play Store yang melalui pemeriksaan keamanan otomatis Google Play Protect, tetapi pemeriksaan ini sebelumnya tidak memindai jenis masalah ini.

“Seperti halnya dengan banyak aplikasi pra-instal atau default yang dimiliki sebagian besar perangkat Android akhir-akhir ini, beberapa aplikasi yang terpengaruh tidak dapat sepenuhnya dihapus atau dinonaktifkan tanpa mendapatkan akses root ke perangkat.”

Sementara vendor yang dihubungi Microsoft telah memperbarui aplikasi mereka untuk mengatasi bug sebelum kelemahan keamanan diungkapkan hari ini untuk melindungi pelanggan mereka dari serangan, aplikasi dari perusahaan telekomunikasi lain juga menggunakan kerangka kerja kereta yang sama.

“Beberapa penyedia layanan seluler lainnya ditemukan menggunakan kerangka kerja rentan dengan aplikasi masing-masing, menunjukkan bahwa mungkin ada penyedia tambahan yang masih belum ditemukan yang mungkin terpengaruh,” tambah para peneliti.

Microsoft menambahkan bahwa beberapa perangkat Android mungkin juga terkena serangan yang mencoba menyalahgunakan kelemahan ini jika aplikasi Android (dengan nama paket com.mce.mceiotraceagent) diinstal “oleh beberapa bengkel ponsel.”

Mereka yang menemukan aplikasi ini terinstal di perangkat mereka disarankan untuk segera menghapusnya dari ponsel mereka untuk menghapus vektor serangan.

“Kerentanan, yang memengaruhi aplikasi dengan jutaan unduhan, telah diperbaiki oleh semua pihak yang terlibat,” kata para peneliti.

“Ditambah dengan hak istimewa sistem ekstensif yang dimiliki aplikasi pra-instal, kerentanan ini bisa menjadi vektor serangan bagi penyerang untuk mengakses konfigurasi sistem dan informasi sensitif.”

Sumber: Bleeping Computer

Tagged With:

Microsoft membagikan mitigasi untuk serangan Windows KrbRelayUp LPE

by

Microsoft telah berbagi panduan untuk membantu admin mempertahankan lingkungan perusahaan Windows mereka dari serangan KrbRelayUp yang memungkinkan penyerang mendapatkan hak istimewa SISTEM pada sistem Windows dengan konfigurasi default.

Penyerang dapat meluncurkan serangan ini menggunakan alat KrbRelayUp yang dikembangkan oleh peneliti keamanan Mor Davidovich sebagai pembungkus sumber terbuka untuk alat eskalasi hak istimewa Rubeus, KrbRelay, SCMUACBypass, PowerMad/SharpMad, Whisker, dan ADCSPwn.

Sejak akhir April 2022, saat alat ini pertama kali dibagikan di GitHub, pelaku ancaman dapat meningkatkan izin mereka ke SISTEM di lingkungan domain Windows dengan pengaturan default (di mana penandatanganan LDAP tidak diterapkan).

Davidovich merilis versi terbaru dari KrbRelayUp pada hari Senin yang juga berfungsi saat penandatanganan LDAP diberlakukan dan akan memberikan hak istimewa SISTEM kepada penyerang jika Perlindungan Diperpanjang untuk Otentikasi (EPA) untuk Layanan Sertifikat Direktori Aktif (AD CS) tidak diaktifkan.

Microsoft mengatakan bahwa alat eskalasi hak istimewa ini tidak bekerja melawan organisasi dengan lingkungan Azure Active Directory berbasis cloud.

Namun, KrbRelayUp dapat membantu kompromi mesin virtual Azure di lingkungan AD hibrid di mana pengontrol domain disinkronkan dengan Azure AD.

“Meskipun serangan ini tidak akan berfungsi untuk perangkat yang bergabung dengan Azure Active Directory (Azure AD), perangkat gabungan hybrid dengan pengontrol domain lokal tetap rentan,” kata Zeev Rabinovich dan Ofir Shlomo dari Microsoft 365 Defender Research Team.

Microsoft kini telah membagikan panduan kepada publik tentang pemblokiran upaya semacam itu dan mempertahankan jaringan perusahaan dari serangan yang menggunakan pembungkus KrbRelayUp.

Namun, langkah-langkah mitigasi ini juga telah tersedia sebelumnya untuk pelanggan perusahaan dengan langganan Microsoft 365 E5.

Sesuai rekomendasi Redmond, admin harus mengamankan komunikasi antara klien LDAP dan pengontrol domain Active Directory (AD) dengan memberlakukan penandatanganan server LDAP dan mengaktifkan Extended Protection for Authentication (EPA).

Seperti yang dikatakan Microsoft, organisasi disarankan untuk menerapkan mitigasi berikut untuk “mengurangi dampak ancaman ini:”

Microsoft telah memberikan panduan untuk mengaktifkan pengikatan saluran LDAP dan penandatanganan LDAP. Microsoft menyarankan agar administrator mengonfigurasi penandatanganan LDAP dan pengikatan saluran LDAP seperti yang direkomendasikan dalam nasihat tersebut dan dijelaskan secara mendetail dalam pengikatan saluran LDAP 2020 dan persyaratan penandatanganan LDAP untuk Windows (KB4520412).

Organisasi juga harus mempertimbangkan untuk menyetel atribut ms-DS-MachineAccountQuota ke 0 untuk mempersulit penyerang memanfaatkan atribut untuk serangan. Menyetel atribut ke 0 akan menghentikan pengguna non-admin menambahkan perangkat baru ke domain, memblokir metode paling efektif untuk melakukan langkah pertama serangan, dan memaksa penyerang memilih metode yang lebih kompleks untuk memperoleh sumber daya yang sesuai.

Sumber: Bleeping Computer

Bug Baru yang Belum Ditambal Dapat Membiarkan Penyerang Mencuri Uang dari Pengguna PayPal

by

Seorang peneliti keamanan mengklaim telah menemukan kerentanan yang belum ditambal dalam layanan transfer uang PayPal yang memungkinkan penyerang mengelabui korban agar tanpa sadar menyelesaikan transaksi yang diarahkan penyerang dengan satu klik.

Clickjacking, juga disebut UI redressing, mengacu pada teknik di mana pengguna tanpa disadari ditipu untuk mengklik elemen halaman web yang tampaknya tidak berbahaya seperti tombol dengan tujuan mengunduh malware, mengarahkan ulang ke situs web jahat, atau mengungkapkan informasi sensitif.

Ini biasanya dicapai dengan menampilkan halaman yang tidak terlihat atau elemen HTML di atas halaman yang terlihat, menghasilkan skenario di mana pengguna tertipu dengan berpikir bahwa mereka mengklik halaman yang sah padahal mereka sebenarnya mengklik elemen jahat yang dihamparkan di atasnya.

“Dengan demikian, penyerang ‘membajak’ klik yang dimaksudkan untuk halaman [yang sah] dan mengarahkannya ke halaman lain, kemungkinan besar dimiliki oleh aplikasi lain, domain, atau keduanya,” tulis peneliti keamanan h4x0r_dz dalam sebuah posting yang mendokumentasikan temuan tersebut.

h4x0r_dz, yang menemukan masalah ini di titik akhir “www.paypal[.]com/agreements/approve”, mengatakan masalah itu dilaporkan ke perusahaan pada Oktober 2021.

“Titik akhir ini dirancang untuk Perjanjian Penagihan dan seharusnya hanya menerima billingAgreementToken,” peneliti menjelaskan. “Tetapi selama pengujian mendalam saya, saya menemukan bahwa kami dapat melewati jenis token lain, dan ini mengarah pada pencurian uang dari akun PayPal korban.”

Ini berarti bahwa musuh dapat menyematkan titik akhir yang disebutkan di dalam iframe, menyebabkan korban yang sudah masuk ke browser web untuk mentransfer dana ke akun PayPal yang dikendalikan penyerang hanya dengan mengklik tombol.

Yang lebih memprihatinkan, serangan itu bisa memiliki konsekuensi bencana di portal online yang terintegrasi dengan PayPal untuk checkout, memungkinkan pelaku jahat untuk mengurangi jumlah sewenang-wenang dari akun PayPal pengguna.

“Ada layanan online yang memungkinkan Anda menambahkan saldo menggunakan PayPal ke akun Anda,” kata h4x0r_dz. “Saya dapat menggunakan exploit yang sama dan memaksa pengguna untuk menambahkan uang ke akun saya, atau saya dapat mengeksploitasi bug ini dan membiarkan korban membuat/membayar akun Netflix untuk saya!”

(Pembaruan: Cerita telah diperbaiki untuk menyebutkan bahwa bug tersebut masih belum ditambal dan bahwa peneliti keamanan tidak diberikan hadiah bug apa pun untuk melaporkan masalah tersebut. Kesalahan ini disesalkan. Kami juga telah menghubungi PayPal untuk detail lebih lanjut.)

Sumber: The Hacker News

Google: Predator spyware menginfeksi perangkat Android menggunakan zero-days

by

Grup Analisis Ancaman Google (TAG) mengatakan bahwa aktor ancaman yang didukung negara menggunakan lima kerentanan zero-day untuk menginstal spyware Predator yang dikembangkan oleh pengembang pengawasan komersial Cytrox.

Dalam serangan ini, bagian dari tiga kampanye yang dimulai antara Agustus dan Oktober 2021, penyerang menggunakan eksploitasi zero-day yang menargetkan Chrome dan OS Android untuk memasang implan spyware Predator pada perangkat Android yang sepenuhnya diperbarui.

Pelaku kejahatan yang didukung pemerintah yang membeli dan menggunakan eksploitasi ini untuk menginfeksi target Android dengan spyware berasal dari Mesir, Armenia, Yunani, Madagaskar, Pantai Gading, Serbia, Spanyol, dan Indonesia, menurut analisis Google.

Temuan ini sejalan dengan laporan tentang spyware tentara bayaran Cytrox yang diterbitkan oleh CitizenLab pada Desember 2021, ketika para penelitinya menemukan alat berbahaya di telepon politisi Mesir yang diasingkan, Ayman Nour.

Ponsel Nour juga terinfeksi spyware Pegasus NSO Group, dengan dua alat yang dioperasikan oleh dua klien pemerintah yang berbeda menurut penilaian CitizenLab.

Lima kerentanan keamanan 0 hari yang sebelumnya tidak diketahui yang digunakan dalam kampanye ini meliputi CVE-2021-37973, CVE-2021-37976, CVE-2021-38000, CVE-2021-38003 di Chrome dan CVE-2021-1048 di Android

Pelaku ancaman menyebarkan eksploitasi yang menargetkan zero-days ini dalam tiga kampanye terpisah:

  • Kampanye #1 – mengalihkan ke SBrowser dari Chrome (CVE-2021-38000)
  • Kampanye #2 – Escape sandbox Chrome (CVE-2021-37973, CVE-2021-37976)
  • Kampanye #3 – Rantai eksploitasi Android 0 hari penuh (CVE-2021-38003, CVE-2021-1048)

“Ketiga kampanye mengirimkan tautan satu kali yang meniru layanan pemendek URL ke pengguna Android yang ditargetkan melalui email. Kampanye terbatas — dalam setiap kasus, kami menilai jumlah target mencapai puluhan pengguna,” tambah analis Google TAG.

“Setelah diklik, tautan mengarahkan target ke domain milik penyerang yang mengirimkan eksploitasi sebelum mengarahkan browser ke situs web yang sah. Jika tautan tidak aktif, pengguna diarahkan langsung ke situs web yang sah.”

Teknik serangan ini juga digunakan terhadap jurnalis dan pengguna Google lainnya yang diberi tahu bahwa mereka adalah target serangan yang didukung pemerintah.

Dalam kampanye ini, penyerang pertama kali menginstal trojan perbankan Android Alien dengan fungsi RAT yang digunakan untuk memuat implan Android Predator, memungkinkan perekaman audio, menambahkan sertifikat CA, dan menyembunyikan aplikasi.

Laporan ini merupakan tindak lanjut dari analisis Juli 2021 dari empat kelemahan 0 hari lainnya yang ditemukan pada tahun 2021 di Chrome, Internet Explorer, dan WebKit (Safari).

Seperti yang diungkapkan peneliti Google TAG, peretas pemerintah yang didukung Rusia yang terhubung dengan Layanan Intelijen Asing Rusia (SVR) mengeksploitasi Safari zero-day untuk menargetkan perangkat iOS milik pejabat pemerintah dari negara-negara Eropa Barat.

Sumber: Bleeping Computer

PDF menyelundupkan dokumen Microsoft Word untuk menjatuhkan malware Snake Keylogger

by

Analis ancaman telah menemukan kampanye distribusi malware baru-baru ini menggunakan lampiran PDF untuk menyelundupkan dokumen Word berbahaya yang menginfeksi pengguna dengan malware.

Pilihan PDF tidak biasa, karena sebagian besar email berbahaya saat ini datang dengan lampiran DOCX atau XLS yang dicampur dengan kode makro yang memuat malware.

Dalam laporan baru oleh HP Wolf Security, para peneliti menggambarkan bagaimana PDF digunakan sebagai transportasi untuk dokumen dengan makro jahat yang mengunduh dan menginstal malware pencuri informasi di mesin korban.

PDF datang melalui email bernama “Faktur Pengiriman Uang”, dan dugaan kami adalah bahwa badan email berisi janji pembayaran yang tidak jelas kepada penerima.

Saat PDF dibuka, Adobe Reader meminta pengguna untuk membuka file DOCX yang ada di dalamnya, yang sudah tidak biasa dan mungkin membingungkan korban.

Karena pelaku ancaman menyebut dokumen yang disematkan “telah diverifikasi”, perintah Buka File di bawah menyatakan, “File ‘telah diverifikasi.” Pesan ini dapat mengelabui penerima agar percaya bahwa Adobe memverifikasi file tersebut sebagai sah dan bahwa file tersebut aman untuk dibuka.

Dialog meminta persetujuan tindakan (HP)

Sementara analis malware dapat memeriksa file yang disematkan dalam PDF menggunakan parser dan skrip, pengguna biasa yang menerima email rumit ini tidak akan bertindak sejauh itu atau bahkan tahu harus mulai dari mana.

Dengan demikian, banyak yang dapat membuka DOCX di Microsoft Word, dan jika makro diaktifkan, akan mengunduh file RTF (format teks kaya) dari sumber jarak jauh dan membukanya.

DAPATKAN permintaan untuk mengambil file RTF (HP)

Pengunduhan RTF adalah hasil dari perintah berikut, yang disematkan dalam file Word bersama dengan URL hardcode “vtaurl[.]com/IHytw”, yang merupakan tempat payload di-host.

URL yang menghosting file RTF (HP)

Dokumen RTF diberi nama “f_document_shp.doc” dan berisi objek OLE yang salah format, kemungkinan menghindari analisis. Setelah beberapa rekonstruksi yang ditargetkan, analis HP menemukan bahwa ia mencoba menyalahgunakan kerentanan Editor Persamaan Microsoft lama untuk menjalankan kode arbitrer.

Shellcode yang didekripsi menyajikan payload (HP)

Shellcode yang digunakan mengeksploitasi CVE-2017-11882, bug eksekusi kode jarak jauh di Editor Persamaan yang diperbaiki pada November 2017 tetapi masih tersedia untuk dieksploitasi di alam liar.

Dengan mengeksploitasi CVE-2017-11882, shellcode dalam RTF mengunduh dan menjalankan Snake Keylogger, pencuri info modular dengan ketekunan yang kuat, penghindaran pertahanan, akses kredensial, pengumpulan data, dan kemampuan eksfiltrasi data.

Sumber: Bleeping Computer

Microsoft menambal patch yang merusak otentikasi Windows

by

Beberapa administrator mengeluh minggu lalu bahwa setelah menginstal patch 10 Mei, mereka mengalami kegagalan otentikasi di beberapa sistem.

Tyler mengatakan pada saat itu: “Kami tahu akar masalahnya adalah nama subjek salah digunakan untuk memetakan sertifikat ke akun mesin di AD daripada DNSHostname di nama alternatif subjek di DC yang telah menginstal 5b dan kami sedang mengerjakannya .”

Sebuah entri kemudian muncul dalam daftar panjang masalah yang diketahui untuk patch di mana Microsoft memperingatkan bahwa, setelah menginstal patch 10 Mei pada pengontrol domain, mungkin ada masalah dengan beberapa layanan.

“Layanan ini,” katanya, “termasuk Network Policy Server (NPS), Routing and Remote access Service (RRAS), Radius, Extensible Authentication Protocol (EAP), dan Protected Extensible Authentication Protocol (PEAP).

“Masalah telah ditemukan terkait dengan bagaimana pengontrol domain mengelola pemetaan sertifikat ke akun mesin.”

Seperti banyak pembaruan, patch 10 Mei adalah yang penting, dan menyertakan perbaikan untuk kerentanan elevasi hak istimewa “keparahan tinggi” yang dapat terjadi saat Kerberos Distribution Center (KDC) melayani permintaan otentikasi berbasis sertifikat.

Mundur dari pembaruan tampaknya menyelesaikan masalah, tetapi, seperti yang diamati oleh seorang pengguna, “ini adalah tambalan yang cukup kritis tetapi tampaknya cukup merusak peran kunci!”

Administrator akan dimaafkan karena merasa bahwa tambalan untuk memperbaiki tambalan tampaknya menjadi agak terlalu umum selama bertahun-tahun.

Selengkapnya: The Register

Microsoft mendeteksi lonjakan besar dalam aktivitas malware XorDDoS Linux

by

Malware tersembunyi dan modular yang digunakan untuk meretas perangkat Linux dan membangun botnet DDoS telah mengalami peningkatan aktivitas yang sangat besar sebesar 254% selama enam bulan terakhir, seperti yang diungkapkan Microsoft hari ini.

Malware ini (aktif setidaknya sejak 2014) dikenal sebagai XorDDoS (atau XOR DDoS) karena penggunaan enkripsi berbasis XOR saat berkomunikasi dengan server perintah-dan-kontrol (C2) dan digunakan untuk meluncurkan penolakan layanan terdistribusi (DDoS) serangan.

Seperti yang diungkapkan perusahaan, keberhasilan botnet kemungkinan karena penggunaan ekstensif berbagai taktik penghindaran dan ketekunan yang memungkinkannya tetap tersembunyi dan sulit dihilangkan.

XorDDoS dikenal untuk menargetkan banyak arsitektur sistem Linux, dari ARM (IoT) hingga x64 (server), dan mengorbankan yang rentan dalam serangan brute force SSH.

Untuk menyebar ke lebih banyak perangkat, ia menggunakan skrip shell yang akan mencoba masuk sebagai root menggunakan berbagai kata sandi terhadap ribuan sistem yang terpapar Internet hingga akhirnya menemukan kecocokan.

Alur serangan XorDDoS (Microsoft)

Selain meluncurkan serangan DDoS, operator malware menggunakan botnet XorDDoS untuk menginstal rootkit, mempertahankan akses ke perangkat yang diretas, dan, kemungkinan, menjatuhkan muatan berbahaya tambahan.

Peningkatan besar dalam aktivitas XorDDoS yang dideteksi Microsoft sejak Desember sejalan dengan laporan oleh perusahaan keamanan siber CrowdStrike yang mengatakan bahwa malware Linux telah mengalami pertumbuhan 35% selama tahun 2021 dibandingkan tahun sebelumnya.

XorDDoS, Mirai, dan Mozi adalah keluarga yang paling umum, terhitung 22% dari semua serangan malware yang menargetkan perangkat Linux yang diamati pada tahun 2021.

Dari ketiganya, CrowdStrike mengatakan bahwa XorDDoS mengalami peningkatan signifikan dari tahun ke tahun sebesar 123%, sementara Mozi memiliki pertumbuhan aktivitas yang eksplosif, dengan sepuluh kali lebih banyak sampel terdeteksi di alam liar sepanjang tahun lalu.

Laporan Februari 2021 dari Intezer juga mengungkapkan bahwa keluarga malware Linux meningkat sekitar 40% pada tahun 2020 dibandingkan dengan 2019.

Sumber: Bleeping Computer

Google Menyoroti Keamanan dengan Branding Baru “Dilindungi oleh Android”

by

Video baru yang diunggah hari ini di saluran YouTube resmi Android adalah tentang memberi tahu Anda bahwa Anda “Dilindungi oleh Android,” dengan gambar orang-orang yang bahagia di ponsel mereka dan slide berisi teks pendek yang meyakinkan di antaranya. Tidak ada yang baru diumumkan di sini dengan video hanya melalui beberapa fitur keamanan terkenal sistem operasi. Play Protect memastikan bahwa Anda “aman dari malware dan aplikasi berbahaya”, meskipun keseluruhan omongan tentang “pembaruan tanpa henti” sedikit datar ketika dukungan perangkat lunak sangat bervariasi tidak hanya antara pembuat perangkat, tetapi juga seri perangkat.

Video Kampanye Dilindungi oleh Android

Kami berharap melihat lebih banyak merek baru “Dilindungi oleh Android” bersama dengan logo perisai hijau untuk muncul di seluruh OS dan di tempat lain mulai sekarang.

Video diakhiri dengan memercikkan layar dengan URL rias yang pada akhirnya mengarahkan pengguna ke bagian Keamanan situs web Android di mana fitur-fitur yang ditampilkan dalam video dijelaskan sedikit lebih detail.

Semua ini adalah bagian dari upaya terbaru Google untuk memberi tahu Anda seberapa fokusnya (lupakan Apple) pada privasi dan keamanan. Jika Anda menginginkan bukti substantif, menurut kami pencabutan izin otomatis dari Android 11 adalah contoh yang bagus. Dan jika Anda tidak yakin akan hal itu, Android 13 akan memudahkan Anda untuk memahami dan mengontrol pengaturan Anda dengan kombinasi menu keamanan dan privasi.

Sumber: Android Police