Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cybersecurity / Cyber Attack

Cyber Attack

Lebih dari 4.000 perangkat Sophos Firewall rentan terhadap serangan RCE

by

Lebih dari 4.000 perangkat Sophos Firewall yang terpapar akses Internet rentan terhadap serangan yang menargetkan kerentanan eksekusi kode jarak jauh (RCE) kritis.

Sophos mengungkapkan cacat injeksi kode ini (CVE-2022-3236) yang ditemukan di Portal Pengguna dan Webadmin Sophos Firewall pada bulan September dan juga merilis hotfix untuk beberapa versi Sophos Firewall (perbaikan resmi dikeluarkan tiga bulan kemudian, pada Desember 2022).

Instans Sophos Firewall yang menjalankan versi produk lama harus ditingkatkan secara manual ke versi yang didukung untuk menerima hotfix CVE-2022-3236 secara otomatis.

Admin yang tidak dapat menambal perangkat lunak yang rentan juga dapat menghapus permukaan serangan dengan menonaktifkan akses WAN ke Portal Pengguna dan Webadmin.

Thousands of devices are still vulnerable
Saat memindai Internet untuk perangkat Sophos Firewall, peneliti kerentanan VulnCheck Jacob Baines menemukan bahwa dari lebih dari 88.000 kejadian, sekitar 6% atau lebih dari 4.000 menjalankan versi yang belum menerima perbaikan terbaru dan rentan terhadap serangan CVE-2022-3236.

Meskipun sudah dieksploitasi sebagai zero-day, eksploitasi proof-of-concept CVE-2022-3236 belum dipublikasikan secara online.

Namun, Baines mampu mereproduksi eksploit dari informasi teknis yang dibagikan oleh Zero Day Initiative (ZDI) dari Trend Micro, sehingga kemungkinan pelaku ancaman juga akan segera dapat melakukannya.

Tantangan CAPTCHA Firewall Sophos (Jacob Baines)

​Bug Firewall Sophos sebelumnya ditargetkan dalam serangan
Pada bulan Maret 2022, Sophos menambal bug Sophos Firewall kritis serupa (CVE-2022-1040) di modul Portal Pengguna dan Webadmin yang mengaktifkan pintasan autentikasi dan serangan eksekusi kode arbitrer.

Itu juga dieksploitasi dalam serangan sebagai hari nol sejak awal Maret (kira-kira tiga minggu sebelum Sophos merilis tambalan) terhadap organisasi Asia Selatan oleh kelompok ancaman China yang dilacak sebagai DriftingCloud.

sumber : bleepingcomputer

Malware IcedID Menyerang Lagi: Domain Direktori Aktif Tersusupi dalam Waktu Kurang dari 24 Jam

by

Serangan malware IcedID baru baru ini memungkinkan pelaku ancaman untuk mengkompromikan domain Active Directory dari target yang tidak disebutkan namanya kurang dari 24jam setelah mendapatkan akses awal.

IcedID, juga dikenal dengan nama BokBOt memulai hidupnya sebagai trojan perbankan pada a=tahu 2017 sebelum berkemban menjadi dropper untuk malware lainnya, bergabung dengen Emotet, TrickBot, Qakbot, Bumblebee, dan Raspberry Robin.

Serangan yang melibatkan pengiriman IcedID telah memanfaatkan berbagai metode, terutama setelah keputusan Microsoft untuk memblokir makro dari Office yang diunduh

Malware kemudian membangun kegigihan pada host melalui tugas terjadwal dan berkomunikasi dengan server jarak jauh untuk mengunduh muatan tambahan, termasuk Cobalt Strike Beacon untuk kegiatan pengintaian lanjutan.

Itu juga melakukan gerakan lateral di seluruh jaringan dan mengeksekusi Cobalt Strike Beacon yang sama di semua workstation tersebut, dan kemudian mulai menginstal agen Atera, alat administrasi jarak jauh yang sah, sebagai mekanisme akses jarak jauh yang berlebihan.

Cobalt Strike Beacon selanjutnya digunakan sebagai saluran untuk mengunduh alat C# yang dijuluki Rubeus untuk pencurian kredensial, yang pada akhirnya memungkinkan pelaku ancaman untuk berpindah secara lateral ke Server Windows dengan hak admin domain.

Izin yang ditingkatkan kemudian dipersenjatai untuk melakukan serangan DCSync, memungkinkan musuh untuk mensimulasikan perilaku pengontrol domain (DC) dan mengambil kredensial dari pengontrol domain lainnya.

Temuan ini muncul saat para peneliti dari Team Cymru menjelaskan lebih lanjut tentang protokol BackConnect (BC) yang digunakan oleh IcedID untuk memberikan fungsionalitas tambahan pasca kompromi, termasuk modul VNC yang menyediakan saluran akses jarak jauh.

Perkembangan tersebut juga mengikuti laporan dari Proofpoint pada November 2022 bahwa kebangkitan aktivitas Emotet telah dikaitkan dengan distribusi versi baru IcedID.

sumber : thehackernews

Messenger ditagih Lebih Baik Daripada Signal Penuh Dengan Kerentanan

by

Peneliti akademik telah menemukan kerentanan serius di inti Threema, pengirim pesan instan yang menurut pengembangnya yang berbasis di Swiss memberikan tingkat keamanan dan privasi yang tidak dapat ditawarkan oleh layanan obrolan lain. Terlepas dari klaim yang luar biasa kuat dan dua audit keamanan independen yang telah diterima Threema, para peneliti mengatakan bahwa kelemahan tersebut benar-benar merusak jaminan kerahasiaan dan otentikasi yang merupakan landasan dari setiap program yang dijual sebagai penyedia enkripsi ujung-ke-ujung, biasanya disingkat E2EE.

Threema memiliki lebih dari 10 juta pengguna, termasuk pemerintah Swiss, tentara Swiss, Kanselir Jerman Olaf Scholz, dan politisi lain di negara tersebut. Pengembang Threema mengiklankannya sebagai alternatif yang lebih aman untuk messenger WhatsApp Meta. Ini adalah salah satu aplikasi Android teratas untuk kategori berbayar di Swiss, Jerman, Austria, Kanada, dan Australia. Aplikasi ini menggunakan protokol enkripsi yang dirancang khusus yang bertentangan dengan norma kriptografi yang ditetapkan.

Tujuh kelemahan yang mematikan
Para peneliti dari universitas riset ETH yang berbasis di Zurich melaporkan pada hari Senin bahwa mereka menemukan tujuh kerentanan di Threema yang secara serius mempertanyakan tingkat keamanan sebenarnya yang ditawarkan aplikasi tersebut selama bertahun-tahun. Dua dari kerentanan tidak memerlukan akses khusus ke server atau aplikasi Threema untuk menyamar sebagai pengguna secara kriptografis. Tiga kerentanan membutuhkan penyerang untuk mendapatkan akses ke server Threema. Dua sisanya dapat dieksploitasi saat penyerang mendapatkan akses ke ponsel yang tidak terkunci, seperti di perbatasan.

Tujuh kerentanan yang ditemukan para peneliti meliputi:
1. Aktor eksternal tanpa akses khusus

  • Jika kunci sesaat terungkap sekali pun, penyerang dapat secara permanen menyamar sebagai klien ke server dan kemudian mendapatkan semua metadata di semua pesan E2EE.
  • Cacat dalam cara protokol klien-ke-server (C2S) Threema berinteraksi dengan protokol end-to-end (E2E) yang menyebabkan pengguna membuat nilai Threema khusus yang dikenal sebagai kotak jaminan dan mengirimkannya ke penyerang.

selengkapnya : arstechnica

Polandia Memperingatkan Serangan Oleh Kelompok Hacker Ghostwriter yang Terkait dengan Rusia

by

Pemerintah Polandia memperingatkan lonjakan serangan dunia maya dari peretas yang terkait dengan Rusia, termasuk kelompok peretasan yang disponsori negara yang dikenal sebagai GhostWriter.

Polandia yakin peretas Rusia menargetkan negara mereka karena dukungan berkelanjutan yang mereka berikan kepada Ukraina dalam konflik militer yang sedang berlangsung dengan Rusia.

Cyberattack Terbaru
Kasus pertama yang disorot oleh pos pemerintah Polandia adalah serangan DDoS (distributed denial of service) terhadap situs web parlemen (‘sejm.gov.pl’), yang dikaitkan dengan NoName057(16) aktivis peretas pro-Rusia.’

Serangan itu terjadi sehari setelah parlemen mengadopsi resolusi yang mengakui Rusia sebagai negara sponsor terorisme, membuat situs web tidak dapat diakses oleh publik.

Menurut orang Polandia, para peretas Rusia membuat situs web yang menyamar sebagai domain pemerintah gov.pl, mempromosikan kompensasi keuangan palsu untuk penduduk Polandia yang diduga didukung oleh dana Eropa.

Mengklik tombol tersemat untuk mempelajari lebih lanjut tentang program membawa korban ke situs phishing di mana mereka diminta membayar sedikit biaya untuk verifikasi.

Kampanye ’22 Desember yang menyamar sebagai administrasi pajak Polandia (gov.pl)

GhostWriter telah aktif setidaknya sejak 2017, sebelumnya diamati meniru jurnalis dari Lituania, Latvia, dan Polandia, untuk menyebarkan informasi palsu dan narasi anti-NATO kepada khalayak lokal.

Menanggapi meningkatnya ancaman dunia maya, Perdana Menteri Polandia telah meningkatkan tingkat ancaman keamanan dunia maya menjadi ‘CHARLIE-CRP’, memperkenalkan berbagai langkah seperti mempertahankan daftar 24 jam di kantor yang ditunjuk dan organisasi administrasi publik.

sumber : BleepingComputBleepingComputer

Ransomware Royal Mengklaim Menyerang Universitas Teknologi Queensland

by

Geng ransomware Royal telah mengaku bertanggung jawab atas serangan dunia maya baru-baru ini di Universitas Teknologi Queensland dan mulai membocorkan data yang diduga dicuri selama pelanggaran keamanan.

Queensland University of Technology (QUT) adalah salah satu universitas terbesar di Australia dengan jumlah mahasiswa (52.672). Berfokus pada studi ilmiah, teknologi, teknik, dan matematika ini telah menerima dana pemerintah yang signifikan untuk mendukung penelitiannya beberapa tahun terakhir.

Serangan ransomware diumumkan QUT pada 1 Januari 2023, memperingatkan mahasiswa dan staf akademik akan gangguan layanan yang tak terhindarkan akibat insiden keamanan.

QUT mengambil tindakan utama dengan mematikan semua sistem TI untuk mencegah penyebaran serangan, dan universitas bekerja sama dengan pakar eksternal terkait insiden keamanan tersebut.

Semua siswa dan personel telah diberitahu tentang situasi ini dan halaman status layanan telah dibuat untuk melaporkan kemajuan pemulihan dan ketersediaan layanan.

Geng Royal Merilis Data Yang Diduga Dicuri
Sementara universitas mengatakan tidak ada bukti data yang dicuri, operasi ransomware Royal mulai menerbitkan data yang mereka klaim telah dicuri dari QUT.

Dalam entri baru di situs kebocoran data mereka, grup ransomware membocorkan file SDM, email dan surat, kartu dan ID, dokumen keuangan dan administrasi yang mereka nyatakan mewakili 10% dari data yang dicuri selama serangan.

Operasi ransomware Royal dimulai pada September 2022 sebagai spin-off dari grup ransomware Conti yang terkenal, yang ditutup pada Mei 2022.

Geng tersebut dengan cepat mendapat perhatian para peneliti dan pemerintah setelah meluncurkan beberapa serangan terhadap organisasi kesehatan.

Selengkapnya: BleepingComputer

Ukraina Menutup Call Center Penipuan Yang Mengklaim 18.000 Korban

by

Sekelompok penipu yang beroperasi dari pusat panggilan Ukraina menipu ribuan korban sambil berpura-pura menjadi karyawan keamanan TI di bank mereka.

Mereka menghubungi para korban, mengklaim bahwa rekening bank mereka telah diakses oleh penyerang, dan meminta informasi keuangan yang mengklaim bahwa itu diperlukan untuk mencegah penipuan tetapi malah mengosongkan rekening bank mereka.

Skema ini diungkap oleh Cyber Police Department, Main Investigative Department of the National Police, Kejaksaan Agung, dan aparat penegak hukum di Kazakhstan.

Setelah mendapatkan informasi tersebut, pelaku mentransfer uang korban ke rekening yang dikuasainya, mengeluarkan pinjaman cepat, dan mengirimkan sejumlah pinjaman ke rekening mereka.

Penipu menggunakan rekening bank luar negeri dan dompet mata uang kripto untuk mengumpulkan uang yang dihasilkan dari skema mereka dan, menurut perkiraan penyelidik, menipu sekitar 18.000 warga Republik Kazakhstan dengan jumlah uang yang belum diketahui.

Database info pribadi yang ditemukan selama penggerebekan polisi
Aparat penegak hukum juga telah menggeledah call center dan rumah tinggal para tersangka, menyita 45 buah perangkat komputer, ponsel, kartu SIM, dan catatan draft.

Setelah diperiksa, polisi dunia maya Ukraina juga menemukan database yang berisi informasi pribadi warga negara Republik Kazakhstan yang digunakan penipu untuk menggelapkan uang dari rekening mereka.

Pada bulan Agustus, Polisi Nasional Ukraina (NPU) membongkar jaringan pusat panggilan yang digunakan oleh penjahat dunia maya untuk menargetkan korban penipuan mata uang kripto dengan kedok membantu mereka memulihkan dana yang dicuri.

Setahun yang lalu, penegak hukum Ukraina menangkap 51 tersangka yang diyakini telah menjual data pribadi milik lebih dari 300 juta orang di seluruh dunia, termasuk Ukraina, AS, dan Eropa, di forum peretasan.

sumber : bleeping computer

BTC.com Kehilangan $3 Juta Uang Kripto Dalam Serangan Siber

by

BTC.com, salah satu kumpulan penambangan cryptocurrency terbesar di dunia, mengumumkan bahwa mereka adalah korban serangan dunia maya yang mengakibatkan pencurian aset crypto senilai sekitar $3 juta milik pelanggan dan perusahaan.

Menurut pelacak kumpulan penambangannya, BTC.com adalah kumpulan penambangan cryptocurrency terbesar ketujuh, dengan 2,66% dari total hashrate jaringan.

Beberapa Aset Dicuri Sudah Ditemukan Kembali
Setelah mendeteksi serangan pada 3 Desember 2022, dimana sejumlah $700.000 milik klien dan $2,3 juta aset digital perusahaan dicuri, BTC.com segera melaporkan kejadian tersebut ke otoritas penegak hukum China di Shenzen. Sejak itu perusahaan telah memulihkan beberapa cryptocurrency yang dicuri.

Tidak Ada Info Tentang Data Yang Dicuri
BTC.com telah mengambil tindakan untuk memblokir serangan serupa di masa mendatang dan operasinya tidak terpengaruh.

Perusahaan saat ini menjalankan bisnis seperti biasa, dan selain dari layanan aset digitalnya, layanan dana kliennya tidak terpengaruh.
Hingga saat ini, belum ada informasi lebih lanjut mengenai bagaimana penyerang dapat mencuri cryptocurrency atau jika ada data atau informasi pribadi yang dicuri selama insiden tersebut.

Selengkapnya: BLEEPING COMPUTER

Facebook Membayar $725 Juta untuk Menyelesaikan Gugatan atas Kebocoran Data Cambridge Analytica

by

Meta Platforms, perusahaan induk dari Facebook, Instagram, dan WhatsApp, telah setuju untuk membayar $725 juta untuk menyelesaikan gugatan class action yang diajukan pada tahun 2018.

Penyelesaian yang diusulkan, pertama kali dilaporkan oleh Reuters minggu lalu, adalah hukuman terbaru yang dibayarkan oleh perusahaan setelah sejumlah kesalahan privasi selama bertahun-tahun. Itu masih membutuhkan persetujuan dari hakim federal di Pengadilan Distrik AS divisi San Francisco.

Skandal pengambilan data, yang terungkap pada Maret 2018, melibatkan aplikasi kuis kepribadian bernama “thisisyourdigitallife” yang memungkinkan profil publik pengguna, suka halaman, tanggal lahir, jenis kelamin, lokasi, dan bahkan pesan (dalam beberapa kasus) menjadi dikumpulkan untuk membangun profil psikografis.

Dibuat oleh seorang dosen Universitas Cambridge bernama Aleksandr Kogan pada tahun 2013, aplikasi tersebut mengklaim dapat mengungkapkan ciri-ciri kepribadian pengguna berdasarkan apa yang mereka sukai di Facebook dengan mengorek informasi profil mereka dengan imbalan pembayaran kecil.

Sementara sekitar 300.000 pengguna dikatakan telah mengikuti tes psikologis, aplikasi tersebut mengumpulkan data pribadi dari mereka yang menginstal aplikasi serta teman Facebook mereka tanpa meminta izin eksplisit, yang mengarah ke kumpulan data yang mencakup 87 juta profil.

Meta – yang tidak mengakui kesalahan apa pun sehubungan dengan praktik berbagi data yang bermasalah – telah mengambil langkah-langkah untuk membatasi akses pihak ketiga ke informasi pengguna.

Raksasa teknologi selanjutnya meluncurkan alat yang disebut Aktivitas di Luar Facebook bagi pengguna untuk “melihat ringkasan aplikasi dan situs web yang mengirimkan informasi kepada kami tentang aktivitas Anda, dan menghapus informasi ini dari akun Anda jika Anda mau.”

sumber : TheHackerNews