Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cybersecurity

Cybersecurity

Geng KelvinSecurity telah mengumumkan “PT Pertamina Gas” dalam daftar korban.

by

Dilansir dari akun twitter Dark Tracer (@darktracer_int) pada Sabtu 22 April 2022, PT Pertamina Gas telah dimasukkan geng KelvinSecurity ke dalam daftar korban.

Namun, pada unggahan tersebut tidak ada penjelasan lebih lanjut seperti kronologi, waktu dan tempat, ataupun sampel data terkait insiden tersebut.

Demikian pula dari pihak PT Pertamina Gas juga belum memberikan tanggapan sama sekali terkait insiden ini.

Menurut peneliti dari InfoArmor, KelvinSecTeam adalah kemungkinan organisasi peretasan Rusia dengan kehadiran kuat di forum Deep dan Dark Web yang populer di kalangan peretas dan penjahat dunia maya, dengan kemungkinan anggota tim di Amerika Tengah dan Selatan — dan mereka terus berkembang.

Saat ini peneliti dari InfoArmor menilai bahwa tujuan KelvinSecTeam adalah untuk menunjukkan kredibilitas peretasan mereka dan mengganggu demi gangguan, dengan sebagian besar pos berfokus pada informasi yang memalukan tentang atau tentang urusan pemerintah, militer, politik, dan bisnis AS—meningkatkan upayanya terhadap negara-negara Amerika tengah dan selatan .

Beberapa pengungkapan publik mereka berpotensi membahayakan warga AS. Atau paling tidak, informasi yang mereka paparkan berisiko memperburuk ketegangan politik dan sosial hanya untuk duduk diam dan menyaksikan kekacauan yang terjadi.

Selengkapnya: Dark Tracer InfoArmor

Ukraina ditargetkan oleh serangan DDoS dari situs WordPress yang disusupi

by

Tim tanggap darurat komputer Ukraina (CERT-UA) telah menerbitkan peringatan pengumuman serangan DDoS (distributed denial of service) yang sedang berlangsung yang menargetkan situs pro-Ukraina dan portal web pemerintah.

Pelaku ancaman, yang saat ini masih belum diketahui, mengkompromikan situs WordPress dan menyuntikkan kode JavaScript berbahaya untuk melakukan serangan.

Skrip ini ditempatkan dalam struktur HTML dari file utama situs web dan dikodekan base64 untuk menghindari deteksi.

Kode berjalan di komputer pengunjung situs web dan mengarahkan sumber daya komputasi yang tersedia untuk menghasilkan jumlah permintaan yang tidak normal untuk menyerang objek (URL) yang ditentukan dalam kode.

Detail tentang kode JS berbahaya (CERT-UA)

Hasilnya adalah beberapa situs web target kewalahan oleh permintaan dan, akibatnya, tidak dapat diakses oleh pengunjung reguler mereka.

Ini semua terjadi tanpa pemilik atau pengunjung situs yang disusupi pernah menyadarinya, kecuali mungkin beberapa cegukan kinerja yang hampir tidak terlihat untuk yang terakhir.

Beberapa situs yang ditargetkan adalah: Selengkapnya

Pada bulan Maret, kampanye DDoS serupa dilakukan menggunakan skrip yang sama tetapi terhadap situs web pro-Ukraina yang lebih kecil, serta terhadap target Rusia.

CERT-UA bekerja sama dengan Bank Nasional Ukraina untuk menerapkan langkah-langkah defensif terhadap kampanye DDoS ini.

Agensi telah memberi tahu pemilik, pendaftar, dan penyedia layanan hosting situs web yang disusupi tentang situasi tersebut dan telah memberikan instruksi tentang cara mendeteksi dan menghapus JavaScript berbahaya dari situs mereka.

Tanda kompromi dalam log (CERT-UA)

Saat ini, setidaknya 36 situs web yang dikonfirmasi menyalurkan permintaan sampah berbahaya ke URL target, tetapi daftar ini dapat berubah atau diperbarui kapan saja.

Untuk alasan ini, CERT-UA telah menyertakan alat pendeteksi dalam laporan untuk membantu semua administrator situs web memindai situs mereka sekarang dan di masa mendatang.

Selain itu, penting untuk selalu memperbarui sistem manajemen konten (CMS) situs Anda, menggunakan versi terbaru yang tersedia dari semua plugin aktif, dan membatasi akses ke halaman manajemen situs web.

Sumber: Bleeping Computer

Malware Bumblebee baru menggantikan Conti’s BazarLoader dalam serangan siber

by

Pemuat malware yang baru ditemukan bernama Bumblebee kemungkinan merupakan pengembangan terbaru dari sindikat Conti, yang dirancang untuk menggantikan pintu belakang BazarLoader yang digunakan untuk mengirimkan muatan ransomware.

Munculnya Bumblebee dalam kampanye phishing pada bulan Maret bertepatan dengan penurunan penggunaan BazarLoader untuk mengirimkan malware enkripsi file, kata para peneliti.

BazarLoader adalah karya pengembang botnet TrickBot, yang menyediakan akses ke jaringan korban untuk serangan ransomware. Geng TrickBot sekarang bekerja untuk sindikat Conti.

Dalam sebuah laporan pada bulan Maret tentang aktor ancaman yang dilacak sebagai ‘Exotic Lily’ yang menyediakan akses awal untuk operasi ransomware Conti dan Diavol, Grup Analisis Ancaman Google mengatakan bahwa aktor tersebut mulai menjatuhkan Bumblebee, alih-alih malware BazarLoader biasa, untuk mengirimkan Cobalt Strike .

Eli Salem, pemimpin ancaman hunter dan malware reverse engineer di Cybereason mengatakan bahwa teknik penyebaran untuk Bumblebee sama seperti untuk BazarLoader dan IcedID, keduanya terlihat di masa lalu menyebarkan Conti ransomware.

Proofpoint mengkonfirmasi temuan Salem, dengan mengatakan bahwa mereka telah mengamati kampanye phishing di mana “Bumblebee [telah] digunakan oleh beberapa aktor ancaman crimeware yang sebelumnya diamati mengirimkan BazaLoader dan IcedID.”

Perusahaan juga mencatat bahwa “beberapa pelaku ancaman yang biasanya menggunakan BazaLoader dalam kampanye malware telah beralih ke Bumblebee” untuk menghapus shellcode dan kerangka kerja Cobalt Strike, Sliver, dan Meterpreter yang dirancang untuk penilaian keamanan tim merah.

Pada saat yang sama, BazaLoader telah hilang dari data Proofpoint sejak Februari.

Dalam sebuah laporan hari ini, Proofpoint mengatakan bahwa mereka mengamati beberapa kampanye email yang mendistribusikan Bumblebee dalam lampiran ISO yang berisi file pintasan dan DLL.

Satu kampanye memanfaatkan umpan dokumen DocuSign yang mengarah ke arsip ZIP dengan wadah ISO berbahaya yang dihosting di layanan penyimpanan cloud OneDrive Microsoft.

Para peneliti mengatakan bahwa email berbahaya itu juga menyertakan lampiran HTML yang muncul sebagai email ke faktur yang belum dibayar, kata Proofpoint.

URL yang disematkan dalam file HTML menggunakan layanan pengalihan yang mengandalkan Prometheus TDS (layanan distribusi lalu lintas) yang memfilter unduhan berdasarkan zona waktu dan cookie korban. Tujuan akhir juga adalah ISO berbahaya yang dihosting di OneDrive.

Pada bulan Maret, Proofpoint mengamati kampanye yang mengirimkan Bumblebee melalui formulir kontak di situs web target. Pesan tersebut mengklaim bahwa situs web menggunakan gambar curian dan menyertakan tautan yang pada akhirnya mengirimkan file ISO yang berisi malware.

Proofpoint mengaitkan kampanye ini dengan aktor ancaman lain yang dilacak perusahaan sebagai TA578 sejak Mei 2020 dan menggunakan kampanye email untuk mengirimkan malware seperti Ursnif, IcedID, KPOT Stealer, Buer Loader, dan BazaLoader, serta Cobalt Strike.

Para peneliti mendeteksi kampanye lain pada bulan April yang membajak utas email untuk mengirimkan pemuat malware Bumblebee sebagai balasan ke target dengan lampiran ISO yang diarsipkan.

Sumber: Proofpoint

Meskipun belum menemukan bukti yang tidak dapat disangkal, Proofpoint percaya bahwa pelaku ancaman yang menggunakan Bumblebee adalah pialang akses jaringan awal yang bekerja dengan pelaku ransomware.

Para peneliti setuju bahwa Bumblebee adalah “pemuat malware baru yang sangat canggih” yang mengintegrasikan teknik penghindaran yang rumit dan trik anti-analisis yang mencakup metode anti-virtualisasi yang kompleks.

Dalam analisis teknis pada hari Kamis, Eli Salem menunjukkan bahwa penulis Bumblebee menggunakan seluruh kode anti-analisis dari aplikasi ‘malware’ PoC al-khaser yang tersedia untuk umum.

Pemeriksaan kode Salem mengungkapkan bahwa malware mencari beberapa alat untuk analisis dinamis dan statis, mencoba mendeteksi “setiap jenis lingkungan virtualisasi” dengan mencari prosesnya, dan dengan memeriksa kunci registri dan jalur file.

Peneliti mencatat bahwa salah satu hal paling menarik yang dia temukan di komponen pemuat inti Bumblebee adalah adanya dua file DLL 32/64-bit yang disebut RapportGP.dll, nama yang digunakan oleh perangkat lunak keamanan Trusteer’s Rapport untuk melindungi data sensitif seperti kredensial.

Peneliti malware di perusahaan keamanan siber Proofpoint dan Cybereason menganalisis Bumblebee dan melihat kesamaan dengan malware TrickBot dalam kode, metode pengiriman, dan muatan yang dijatuhkan.

Salem membuat koneksi antara Bumblebee ke TrickBot setelah melihat bahwa kedua malware bergantung pada mekanisme instalasi yang sama untuk hook.

sumber: Eli Salem

Kesamaannya bahkan lebih jauh, karena Bumblebee menggunakan teknik penghindaran yang sama untuk RapportGP.DLL seperti TrickBot untuk modul web-inject-nya.

Selain itu, kedua malware mencoba menggunakan LoadLibrary dan mendapatkan alamat dari fungsi yang ingin mereka kaitkan, peneliti menemukan.

Salem mengatakan bahwa meskipun tidak ada cukup bukti untuk mengatakan bahwa Bumblebee dan TrickBot memiliki penulis yang sama, masuk akal untuk mengasumsikan bahwa pengembang Bumblebee memiliki kode sumber untuk modul web-inject TrickBot.

Sumber: Bleeping Computer

EmoCheck sekarang mendeteksi versi 64-bit baru dari malware Emotet

by

Japan CERT telah merilis versi baru dari utilitas EmoCheck mereka untuk mendeteksi versi 64-bit baru dari malware Emotet yang mulai menginfeksi pengguna bulan ini.

Emotet adalah salah satu malware terdistribusi paling aktif yang menyebar melalui email menggunakan email phishing dengan lampiran berbahaya, termasuk dokumen Word/Excel, pintasan Windows, file ISO, dan file zip yang dilindungi kata sandi.

Email phishing menggunakan umpan kreatif untuk mengelabui pengguna agar membuka lampiran, termasuk email berantai balasan, pemberitahuan pengiriman, dokumen pajak, laporan akuntansi, atau bahkan undangan pesta liburan.

Undangan pesta liburan palsu memasang Emotet

Setelah perangkat terinfeksi, Emotet akan mencuri email pengguna untuk digunakan dalam serangan phishing berantai balasan di masa mendatang dan mengunduh muatan malware lebih lanjut di komputer.

Karena malware lebih lanjut biasanya mengarah ke pencurian data dan serangan ransomware, sangat penting untuk mendeteksi infeksi malware Emotet dengan cepat sebelum kerusakan lebih lanjut terjadi.

Pada tahun 2020, CERT Jepang (tim tanggap darurat komputer) merilis alat gratis bernama EmoCheck untuk memindai komputer dari infeksi Emotet.

Jika salah satu terdeteksi, maka akan ditampilkan path lengkap infeksi malware tersebut sehingga bisa dihapus.

Namun, awal bulan ini, geng Emotet beralih ke loader dan pencuri versi 64-bit, membuat deteksi yang ada menjadi kurang berguna. Selanjutnya, dengan sakelar ini, alat EmoCheck tidak lagi dapat mendeteksi versi Emotet 64-bit yang baru.

EmoCheck mendeteksi infeksi malware Emotet

Untuk memeriksa apakah Anda terinfeksi Emotet, Anda dapat mengunduh utilitas EmoCheck dari repositori GitHub CERT Jepang.

Setelah diunduh, klik dua kali pada emocheck_x64.exe (versi 64-bit) atau emocheck_x86.exe (versi 32-bit), tergantung pada apa yang Anda unduh.

EmoCheck akan memindai Emotet Trojan, dan jika malware terdeteksi, tampilkan ID proses yang dijalankannya di bawah dan lokasi DLL malware.

Emotet saat ini sedang diinstal di folder acak di bawah C:\Users\[nama pengguna]\AppData\Local. Meskipun malware Emotet adalah DLL, ia tidak akan memiliki ekstensi DLL melainkan ekstensi tiga huruf acak, seperti .bbo atau .qvp.

Emotet dipasang di bawah %LocalAppData%

EmoCheck juga akan membuat log di folder yang sama dengan program yang berisi informasi yang terdeteksi, sehingga Anda dapat merujuknya sesuai kebutuhan.

Jika Anda menjalankan EmoCheck dan menemukan bahwa Anda terinfeksi, Anda harus segera membuka Task Manager dan menghentikan proses yang terdaftar, biasanya regsvr32.exe.

Anda kemudian harus memindai komputer Anda dengan perangkat lunak antivirus tepercaya untuk memastikan malware lain belum diinstal pada perangkat Anda.

Sumber: Bleeping Computer

Perusahaan perangkat lunak medis didenda €1,5 juta karena membocorkan data 490 ribu pasien

by

Otoritas perlindungan data Prancis (CNIL) mendenda vendor perangkat lunak medis Dedalus Biology dengan EUR 1,5 juta karena melanggar tiga pasal GDPR (Peraturan Perlindungan Data Umum).

Dedalus Biology memberikan layanan kepada ribuan laboratorium medis di negara ini dan denda adalah untuk mengekspos rincian sensitif dari 491.939 pasien dari 28 laboratorium.

Basis data bocor secara online dan mengungkapkan detail pasien berikut:

  • Nama lengkap
  • Nomor KTP
  • Nama dokter yang meresepkan
  • Tanggal pemeriksaan
  • Informasi medis seperti status HIV, kanker, penyakit genetik, kehamilan, perawatan, dll.
  • Informasi genetik (dalam beberapa kasus)

Informasi ini telah dibagikan secara luas di internet, sehingga klien Dedalus Biology menghadapi risiko rekayasa sosial, phishing, scammed, dan bahkan pemerasan.

Tanda-tanda pertama kebocoran database muncul sejak Maret 2020, dengan ANSSI mengeluarkan peringatan terkait ke salah satu laboratorium yang terpapar pada November 2020.

Pada Februari 2021, majalah Prancis ZATAZ menemukan penjualan kumpulan data tertentu di web gelap dan mengonfirmasi bahwa informasi itu valid.

Data bocor yang dijual di web gelap (ZATAZ)

Dedalus Biology melanggar pasal 29 undang-undang GDPR, yaitu kegagalan untuk mematuhi instruksi pengontrol. Lebih khusus lagi, selama migrasi dari perangkat lunak vendor yang berbeda, atas permintaan dua laboratorium medis, Dedalus mengekstrak lebih banyak informasi daripada yang dibutuhkan.

Pelanggaran kedua menyangkut pasal 32 GDPR, yang membuat pemroses data bertanggung jawab atas kegagalan mengamankan informasi.

Pasal ketiga GDPR yang dilanggar adalah nomor 28, yang mencakup kewajiban untuk memberikan kontrak formal atau tindakan hukum untuk pemrosesan data atas nama pengontrol (laboratorium).

Untuk pelanggaran di atas, CNIL memutuskan untuk mengenakan denda sebesar 1,5 juta Euro ($ 1,58 juta), dihitung sebagai 10% dari pendapatan tahunan perusahaan.

Meskipun Dedalus berharap untuk menerima hukuman yang lebih ringan berdasarkan kesediaannya untuk berkolaborasi dengan penyelidik CNIL, kantor perlindungan data mencatat bahwa perusahaan tidak mengambil langkah untuk membatasi penyebaran data yang bocor secara online, sehingga tidak ada dasar untuk mengenali faktor-faktor yang meringankan.

Sumber: Bleeping Computer

PSA: Onyx ransomware menghancurkan file besar alih-alih mengenkripsinya

by

Operasi ransomware Onyx baru menghancurkan file besar alih-alih mengenkripsinya, mencegah file tersebut didekripsi bahkan jika uang tebusan dibayarkan.

Pekan lalu, peneliti keamanan MalwareHunterTeam menemukan bahwa operasi ransomware baru telah diluncurkan bernama Onyx.

Seperti kebanyakan operasi ransomware saat ini, pelaku ancaman Onyx mencuri data dari jaringan sebelum mengenkripsi perangkat. Data ini kemudian digunakan dalam skema pemerasan ganda di mana mereka mengancam akan merilis data tersebut ke publik jika uang tebusan tidak dibayarkan.

Situs kebocoran data ransomware Onyx

Geng ransomware telah cukup berhasil sejauh ini, dengan enam korban terdaftar di halaman kebocoran data mereka.

Namun, fungsionalitas teknis ransomware tidak diketahui hingga hari ini, ketika MalwareHunterTeam menemukan sampel penyandi.

Apa yang ditemukan mengkhawatirkan, karena ransomware menimpa file besar dengan data sampah acak daripada mengenkripsinya.

Seperti yang Anda lihat dari kode sumber di bawah, Onyx mengenkripsi file yang berukuran lebih kecil dari 200MB. Namun, menurut MalwareHunterteam, Onyx akan menimpa file apa pun yang lebih besar dari 200MB dengan data acak.

Kode sumber ransomware Onyx

Karena ini hanya data yang dibuat secara acak dan tidak dienkripsi, tidak ada cara untuk mendekripsi file yang berukuran lebih dari 200MB.

Bahkan jika korban membayar, decryptor hanya dapat memulihkan file terenkripsi yang lebih kecil.

Berdasarkan kode sumber, sifat destruktif dari rutin enkripsi lebih disengaja daripada bug. Oleh karena itu, disarankan agar korban menghindari membayar uang tebusan.

Sumber: Bleeping Computer

Ransomware Black Basta baru beraksi dengan selusin pelanggaran

by

Geng ransomware baru yang dikenal sebagai Black Basta dengan cepat diluncurkan ke dalam operasi bulan ini, melanggar setidaknya dua belas perusahaan hanya dalam beberapa minggu.

Serangan Black Basta pertama yang diketahui terjadi pada minggu kedua bulan April, saat operasi tersebut dengan cepat mulai menyerang perusahaan di seluruh dunia.

Sementara tuntutan tebusan kemungkinan bervariasi antara korban, Salah satu korban yang menerima lebih dari $ 2 juta permintaan dari geng Black Basta untuk mendekripsi file dan tidak membocorkan data.

Seperti operasi ransomware penargetan perusahaan lainnya, Black Basta akan mencuri data dan dokumen perusahaan sebelum mengenkripsi perangkat perusahaan.

Data yang dicuri ini kemudian digunakan dalam serangan pemerasan ganda, di mana pelaku ancaman meminta uang tebusan untuk menerima decryptor dan mencegah penerbitan data korban yang dicuri.

Bagian pemerasan data dari serangan ini dilakukan di situs ‘Black Basta Blog’ atau ‘Basta News’ Tor, yang berisi daftar semua korban yang belum membayar uang tebusan. Black Basta perlahan akan membocorkan data setiap korban untuk mencoba dan menekan mereka agar membayar uang tebusan.

Situs kebocoran data Black Basta
Sumber: BleepingComputer

Situs kebocoran data Black Basta saat ini memuat halaman kebocoran data sepuluh perusahaan yang mereka langgar.

Korban terbaru mereka yang terdaftar adalah Deutsche Windtechnik, yang mengalami serangan cyber pada 11 April tetapi tidak mengungkapkan bahwa itu adalah serangan ransomware.

Kemarin, situs pembocor data juga mulai membocorkan data American Dental Association, yang diserang pada 22 April, tetapi halaman itu telah dihapus. Penghapusan halaman mereka menunjukkan bahwa perusahaan sedang bernegosiasi dengan pelaku ancaman.

Saat dijalankan, encryptor Black Basta perlu dijalankan dengan hak administratif, atau ia tidak akan mengenkripsi file. Setelah diluncurkan, encryptor akan menghapus Volume Shadow Copies menggunakan perintah berikut:

C:\Windows\system32\cmd.exe /c C:\Windows\SysNative\vssadmin.exe hapus bayangan /all /quiet
Kemudian akan membajak layanan Windows yang ada dan menggunakannya untuk meluncurkan enkripsi ransomware yang dapat dieksekusi. Dalam pengujian kami, Layanan Windows yang dibajak adalah layanan ‘Faks’, seperti yang ditunjukkan di bawah ini.

Layanan Fax Windows yang dibajak digunakan untuk meluncurkan Black Basta
Sumber: BleepingComputer

Ransomware juga akan mengubah wallpaper untuk menampilkan pesan yang menyatakan, “Jaringan Anda dienkripsi oleh grup Black Basta. Petunjuk dalam file readme.txt.”

Wallpaper ditambahkan oleh encryptor Black Basta
Sumber: BleepingComputer

Ransomware sekarang akan mem-boot ulang komputer ke Safe Mode with Networking, di mana layanan Windows yang dibajak akan dimulai dan secara otomatis mulai mengenkripsi file pada perangkat.

Pakar Ransomware Michael Gillespie, yang menganalisis proses enkripsi Black Basta, mengatakan bahwa ia menggunakan algoritma ChaCha20 untuk mengenkripsi file. Kunci enkripsi ChaCha20 kemudian dienkripsi dengan kunci RSA-4096 publik yang disertakan dalam file yang dapat dieksekusi.

Saat mengenkripsi file, ransomware akan menambahkan ekstensi .basta ke nama file terenkripsi. Jadi, misalnya, test.jpg akan dienkripsi dan diganti namanya menjadi test.jpg.basta.

File terenkripsi Black Basta
Sumber: BleepingComputer

Untuk menampilkan ikon kustom yang terkait dengan ekstensi .basta, ransomware akan membuat ekstensi kustom di Windows Registry dan mengaitkan ikon dengan file ICO bernama acak di folder %Temp%. Ikon kustom ini sangat mirip dengan yang digunakan oleh aplikasi ice.tools.

Di setiap folder pada perangkat terenkripsi, ransomware akan membuat file readme.txt yang berisi informasi tentang serangan dan tautan serta ID unik yang diperlukan untuk masuk ke sesi obrolan negosiasi mereka.

Catatan Tebusan Basta Hitam
Sumber: BleepingComputer

Situs negosiasi Tor berjudul ‘Obrolan Black Basta’ dan hanya menyertakan layar masuk dan obrolan web yang dapat digunakan untuk bernegosiasi dengan pelaku ancaman.

Pelaku ancaman menggunakan layar ini untuk mengeluarkan pesan selamat datang yang berisi permintaan tebusan, ancaman bahwa data akan bocor jika pembayaran tidak dilakukan dalam tujuh hari, dan janji laporan keamanan setelah uang tebusan dibayarkan.

Sayangnya, Gillespie mengatakan bahwa algoritma enkripsi aman dan tidak ada cara untuk memulihkan file secara gratis.

Berdasarkan seberapa cepat Black Basta mengumpulkan korban dan gaya negosiasi mereka, ini kemungkinan besar merupakan rebranding dari operasi yang berpengalaman.

Satu teori yang dibahas antara peneliti keamanan MalwareHunterTeam dan penulis ini adalah bahwa Black Basta mungkin merupakan rebranding yang akan datang dari operasi ransomware Conti.

Conti telah berada di bawah pengawasan ketat selama dua bulan terakhir setelah seorang peneliti Ukraina membocorkan harta karun berupa percakapan pribadi dan kode sumber ransomware.

Karena itu, telah berspekulasi bahwa Conti akan mengubah citra operasi mereka untuk menghindari penegakan hukum dan memulai dari awal dengan nama yang berbeda.

Sementara encryptor Black Basta sangat berbeda dari Conti, MalwareHunterTeam percaya bahwa ada banyak kesamaan dalam gaya negosiasi dan desain situs web mereka.

Selanjutnya, Black Basta merilis data untuk korban baru setelah tangkapan layar negosiasi bocor.

Sementara koneksi ini lemah, geng Black Basta perlu diawasi secara ketat karena mereka baru saja memulai operasinya.

Sumber: Bleeping Computer

GitHub: Bagaimana token OAuth yang dicuri membantu menembus lusinan organisasi

by

GitHub telah membagikan garis waktu pelanggaran keamanan bulan ini ketika seorang aktor ancaman memperoleh akses ke dan mencuri repositori pribadi milik lusinan organisasi.

Penyerang menggunakan token aplikasi OAuth curian yang dikeluarkan untuk Heroku dan Travis-CI untuk melanggar akun pelanggan GitHub.com dengan integrasi aplikasi OAuth Heroku atau Travis CI resmi.

Chief Security Officer GitHub Mike Hanley mengatakan perusahaan belum menemukan bukti bahwa sistemnya telah dibobol sejak insiden itu pertama kali ditemukan pada 12 April 2022.

GitHub masih bekerja untuk memperingatkan semua pengguna dan organisasi yang terkena dampak, dengan perusahaan sedang dalam proses mengirimkan pemberitahuan terakhir kepada pengguna GitHub.com yang terpengaruh mulai hari ini.

Analisis perilaku penyerang, sementara ia memiliki akses ke akun Github yang disusupi, menunjukkan bahwa aktivitas berikut dilakukan di GitHub.com menggunakan token aplikasi OAuth yang dicuri:

  • Penyerang mengautentikasi ke GitHub API menggunakan token OAuth curian yang dikeluarkan untuk Heroku dan Travis CI.
  • Bagi kebanyakan orang yang memiliki aplikasi Heroku atau Travis CI OAuth yang terpengaruh yang diotorisasi di akun GitHub mereka, penyerang mencantumkan semua organisasi pengguna.
  • Penyerang kemudian secara selektif memilih target berdasarkan organisasi yang terdaftar.
  • Penyerang mendaftarkan repositori pribadi untuk akun pengguna yang diminati.
  • Penyerang kemudian melanjutkan untuk mengkloning beberapa repositori pribadi tersebut.

GitHub mengungkapkan pelanggaran pada malam tanggal 15 April, tiga hari setelah menemukan serangan itu, ketika aktor jahat mengakses infrastruktur produksi npm GitHub.

Pada tahap awal serangan, pelaku ancaman menggunakan kunci API AWS yang dikompromikan yang diperoleh setelah mengunduh beberapa repositori npm pribadi menggunakan token pengguna OAuth yang dicuri.

Sementara GitHub, Travis CI, dan Heroku telah mencabut semua token OAuth untuk memblokir akses lebih lanjut setelah menemukan serangan tersebut, organisasi yang terpengaruh disarankan untuk terus memantau log audit dan log keamanan akun pengguna mereka untuk aktivitas yang berpotensi berbahaya yang terkait dengan insiden ini.

GitHub membagikan panduan berikut kepada pelanggan yang berpotensi terkena dampak untuk membantu mereka menyelidiki log untuk bukti eksfiltrasi data atau aktivitas berbahaya:

  • Tinjau semua repositori pribadi Anda untuk mengetahui rahasia atau kredensial yang tersimpan di dalamnya. Ada beberapa alat yang dapat membantu tugas ini, seperti pemindaian rahasia GitHub dan trufflehog.
  • Tinjau aplikasi OAuth yang telah Anda otorisasi untuk akun pribadi Anda atau yang diotorisasi untuk mengakses organisasi Anda dan hapus apa pun yang tidak lagi diperlukan.
  • Ikuti panduan GitHub untuk memperkuat postur keamanan organisasi GitHub Anda.
  • Tinjau aktivitas akun Anda, token akses pribadi, aplikasi OAuth, dan kunci SSH untuk aktivitas atau perubahan apa pun yang mungkin berasal dari penyerang.

    • Sumber: Bleeping Computer