Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cybersecurity

Cybersecurity

Jembatan token Wormhole kehilangan $321 juta dalam peretasan terbesar sejauh ini pada tahun 2022

by

Jembatan token Wormhole mengalami eksploitasi keamanan pada hari Rabu, mengakibatkan hilangnya 120.000 token Wrapped Ether (wETH) ($321 juta) dari platform.

Wormhole adalah jembatan token yang memungkinkan pengguna untuk mengirim dan menerima kripto antara Ethereum, Solana, Binance Smart Chain (BSC), Polygon, Longsor, Oasis dan Terra tanpa menggunakan pertukaran terpusat.

Ini adalah peretasan crypto terbesar tahun 2022 sejauh ini dan peretasan keuangan terdesentralisasi terbesar kedua hingga saat ini. Tim Wormhole telah menawarkan hadiah bug senilai $10 juta untuk pengembalian dana tersebut.

Peretasan terjadi di sisi jembatan Solana, dan ada kekhawatiran bahwa jembatan Wormhole ke Terra juga rentan.

Peretasan terjadi pada pukul 18:24 UTC pada hari Rabu. Penyerang mencetak 120.000 wETH di Solana, kemudian menukarkan 93.750 weTH dengan ETH senilai $254 juta ke jaringan Ethereum pada pukul 18:28 UTC. Peretas telah menggunakan sejumlah dana untuk membeli SportX (SX), Meta Capital (MCAP), Akhirnya Dapat Digunakan Crypto Karma (FUCK) dan Bored Ape Yacht Club Token (APE).

Sisanya ditukar dengan Solana (SOL) dan USD Coin (USDC) di Solana. Dompet Solana peretas saat ini memegang 432.662 SOL ($44 juta).

Tim Wormhole menghubungi peretas melalui alamat Ethereum mereka, menawarkan untuk membiarkan peretas menyimpan dana senilai $10 juta yang dicuri jika sisa dana dikembalikan.

Pada saat penulisan, token WETH yang dikirim melintasi jembatan belum dapat ditukarkan, sementara tim Wormhole mencoba untuk memperbaiki eksploitasi.

Frekuensi peretasan kontrak pintar pada jembatan token berfungsi untuk memvalidasi peringatan 7 Januari Vitalik Buterin bahwa ada “batas keamanan mendasar jembatan.” Peringatan salah satu pendiri Ethereum berada dalam konteks serangan 51% terhadap Ethereum, tetapi sarannya tepat waktu ketika ia menunjukkan kerentanan umum yang tampak pada jembatan yang mengirim token melintasi blockchain layer-1.

Sumber : Coin Telegraph

Bug antivirus ESET memungkinkan penyerang mendapatkan hak istimewa Sistem Windows

by

Perusahaan keamanan internet Slovakia ESET merilis perbaikan keamanan untuk mengatasi kerentanan eskalasi hak istimewa lokal tingkat keparahan tinggi yang mempengaruhi beberapa produk pada sistem yang menjalankan Windows 10 dan yang lebih baru atau Windows Server 2016 ke atas.

Cacat (CVE-2021-37852) dilaporkan oleh Michael DePlante dari Zero Day Initiative Trend Micro, dan memungkinkan penyerang untuk meningkatkan hak istimewa untuk hak akun NT AUTHORITY SYSTEM (tingkat hak istimewa tertinggi pada sistem Windows) menggunakan Windows Antimalware Scan Interface (AMSI).

AMSI pertama kali diperkenalkan dengan Windows 10 Technical Preview pada tahun 2015, dan memungkinkan aplikasi dan layanan untuk meminta pemindaian buffer memori dari produk antivirus utama yang diinstal pada sistem.

Menurut ESET, ini hanya dapat dicapai setelah penyerang mendapatkan hak SeImpersonatePrivilege, biasanya ditugaskan kepada pengguna di grup Administrator lokal dan akun Layanan lokal perangkat untuk meniru klien setelah otentikasi yang harus “membatasi dampak kerentanan ini.”

Namun, penasihat ZDI mengatakan penyerang hanya diminta untuk “mendapatkan kemampuan untuk mengeksekusi kode istimewa rendah pada sistem target,” yang sesuai dengan peringkat keparahan CVSS ESET juga menunjukkan bahwa bug dapat dieksploitasi oleh aktor ancaman dengan hak istimewa rendah.

Sementara ESET mengatakan baru mengetahui tentang bug ini pada 18 November, garis waktu pengungkapan yang tersedia dalam penasihat ZDI mengungkapkan bahwa kerentanan dilaporkan empat bulan sebelumnya, pada 18 Juni 2021.

Produk ESET yang terpengaruh

Daftar produk yang terkena dampak kerentanan ini cukup panjang, dan itu termasuk:

  • ESET NOD32 Antivirus, ESET Internet Security, ESET Smart Security, dan ESET Smart Security Premium dari versi 10.0.337.1 hingga 15.0.18.0
  • ESET Endpoint Antivirus untuk Windows dan ESET Endpoint Security untuk Windows dari versi 6.6.2046.0 hingga 9.0.2032.4
  • ESET Server Security untuk Microsoft Windows Server 8.0.12003.0 dan 8.0.12003.1, ESET File Security untuk Microsoft Windows Server dari versi 7.0.12014.0 ke 7.3.12006.0
  • ESET Server Security untuk Microsoft Azure dari versi 7.0.12016.1002 hingga 7.2.12004.1000
  • ESET Security untuk Microsoft SharePoint Server dari versi 7.0.15008.0 hingga 8.0.15004.0
  • ESET Mail Security untuk IBM Domino dari versi 7.0.14008.0 hingga 8.0.14004.0
  • ESET Mail Security untuk Microsoft Exchange Server dari versi 7.0.10019 hingga 8.0.10016.0
      • Pembuat antivirus merilis beberapa pembaruan keamanan antara 8 Desember dan 31 Januari untuk mengatasi kerentanan ini, ketika menambal produk rentan terakhir yang terkena serangan.
      Untungnya, ESET tidak menemukan bukti eksploitasi yang dirancang untuk menargetkan produk yang terkena dampak bug keamanan ini di alam liar.
      “Permukaan serangan juga dapat dihilangkan dengan menonaktifkan enable advanced scanning melalui opsi AMSI dalam pengaturan Lanjutan produk ESET,” tambah ESET.
      “Namun, ESET sangat menyarankan untuk melakukan upgrade ke versi produk tetap dan hanya menerapkan solusi ini ketika upgrade tidak mungkin karena alasan penting.”

      Sumber: Bleepingcomputer

Keracunan SEO mendorong Zoom yang dicampur malware, TeamViewer, installer Visual Studio

by

Kampanye keracunan SEO baru sedang berlangsung, menjatuhkan malware Batloader dan Atera Agent ke sistem profesional yang ditargetkan yang mencari unduhan alat produktivitas, seperti Zoom, TeamViewer, dan Visual Studio.

Kampanye ini bergantung pada kompromi situs web yang sah untuk menanam file berbahaya atau URL yang mengarahkan pengguna ke situs yang meng-host malware yang disamarkan sebagai aplikasi populer.

Setelah mengunduh dan mengeksekusi penginstal perangkat lunak, para korban tanpa sadar menginfeksi diri mereka sendiri dengan malware dan perangkat lunak akses jarak jauh.

Hasil pencarian keracunan

Sebagai bagian dari kampanye ini, aktor ancaman melakukan teknik optimisasi mesin pencari (SEO) ke situs yang dikompromikan secara sah ke dalam hasil pencarian untuk aplikasi populer.

Kata kunci yang ditargetkan adalah untuk aplikasi populer seperti Zoom, Microsoft Visual Studio 2015, TeamViewer, dan lainnya.

Ketika pengguna mengklik tautan mesin pencari, mereka akan dibawa ke situs yang dikompromikan yang mencakup Sistem Arah Lalu Lintas (TDS). Sistem Arah Lalu Lintas adalah skrip yang memeriksa berbagai atribut pengunjung dan menggunakan informasi itu untuk memutuskan apakah mereka harus ditampilkan halaman web yang sah atau diarahkan ke situs berbahaya lain di bawah kendali penyerang.

Dalam kampanye serupa di masa lalu, TDS hanya akan mengarahkan pengunjung jika mereka berasal dari hasil mesin pencari. Jika tidak, TDS akan menunjukkan kepada pengunjung posting blog yang normal dan sah.

Teknik ini membantu mencegah analisis oleh peneliti keamanan karena hanya akan menunjukkan perilaku jahat kepada mereka yang tiba dari mesin pencari.

Jika pengunjung diarahkan, situs berbahaya akan menunjukkan kepada mereka diskusi forum palsu di mana pengguna bertanya bagaimana mendapatkan aplikasi tertentu, dan pengguna palsu lainnya menyediakan tautan unduhan, seperti yang ditunjukkan di bawah ini.

Mengklik tautan unduhan akan menyebabkan situs membuat penginstal malware kemasan menggunakan nama aplikasi yang dicari. Karena paket malware termasuk perangkat lunak yang sah, banyak pengguna tidak akan menyadari bahwa mereka juga telah terinfeksi malware.

Beberapa domain berbahaya yang ditemukan oleh peneliti Mandiant yang digunakan dalam kampanye ini adalah:

  • cmdadminu[.] Com
  • zoomvideo-s[.] Com
  • cloudfiletehnology[.] Com
  • commandaadmin[.] Com
  • awan222[.] Com
  • websekir[.] Com
  • tim-viewer[.] site
  • zoomvideo[.] site
  • sweepcakesoffers[.] Com
  • pornofilmspremium[.] Com
  • kdsjdsadas[.] online
  • bartmaaz[.] Com
  • firsone1[.] online

Selengkapnya: Bleepingcomputer

Raksasa KP Snacks terkena ransomware Conti, pengiriman terganggu

by

KP Snacks, produsen utama makanan ringan Inggris yang populer telah terpukul oleh kelompok ransomware Conti yang mempengaruhi distribusi ke supermarket terkemuka.

Kenyon Produce (KP) Snacks termasuk merek populer seperti PopChips, Skips, Hula Hoops, Penn State pretzels, McCoy’s, Wheat Crunchies, dll.

KP Snacks memiliki lebih dari 2.000 karyawan dan memperkirakan pendapatan tahunan perusahaan lebih dari $ 600 juta, menjadikannya target yang menarik bagi aktor ancaman.

Conti berencana untuk membocorkan dokumen sensitif

Serangan cyber terhadap raksasa makanan ringan Inggris, KP Snacks kini telah meningkat menjadi gangguan rantai pasokan di seluruh Inggris.

Karena serangan itu, pengiriman dari perusahaan ke superstore terkemuka dilaporkan tertunda atau dibatalkan sama sekali. Menurut pemberitahuan yang dikirim ke supermarket oleh KP Snacks, masalah kekurangan pasokan dapat berlangsung hingga akhir Maret.

Sebuah sumber memberi tahu BleepingComputer bahwa jaringan internal perusahaan telah dilanggar dengan aktor ancaman yang mendapatkan akses ke dan mengenkripsi file sensitif, termasuk catatan karyawan dan dokumen keuangan.

Halaman kebocoran pribadi yang dilihat oleh BleepingComputer menunjukkan kelompok ransomware Conti mengaku bertanggung jawab atas serangan itu:

Pada halaman kebocoran pribadi, Conti berbagi sampel laporan kartu kredit, akta kelahiran, spreadsheet dengan alamat karyawan dan nomor telepon, perjanjian rahasia, dan dokumen sensitif lainnya.

Penyedia intel Darknet DarkFeed juga telah memposting kemarin tentang conti ransomware op memberikan perusahaan lima hari sebelum membocorkan lebih banyak data kepemilikan di blog publik mereka.

Tidak jelas apakah KP Snacks saat ini sedang bernegosiasi dengan Conti atau apakah akan membayar uang tebusan.

“Pada hari Jumat, 28 Januari kami menyadari bahwa kami sayangnya menjadi korban insiden ransomware,” kata juru bicara KP Snacks kepada BleepingComputer.

“Segera setelah kami menyadari insiden itu, kami memberlakukan rencana respons cybersecurity kami dan melibatkan perusahaan teknologi informasi forensik terkemuka dan penasihat hukum untuk membantu kami dalam penyelidikan kami.”

Tim TI internal perusahaan bekerja dengan pakar keamanan pihak ketiga untuk menilai situasi.

“Kami terus menjaga rekan kerja, pelanggan, dan pemasok kami menginformasikan perkembangan apa pun dan meminta maaf atas gangguan yang mungkin disebabkannya,” kata perusahaan itu dalam pernyataan mereka kepada kami.

Sumber: Bleepingcomputer

Microsoft Sentinel menambahkan pemantauan ancaman untuk repo GitHub

by

Microsoft Sentinel kini hadir dengan dukungan untuk pemantauan ancaman GitHub berkelanjutan, yang membantu melacak peristiwa yang berpotensi berbahaya setelah menyerap log repositori perusahaan GitHub.

Microsoft Sentinel (sebelumnya dikenal sebagai Azure Sentinel) adalah platform SIEM (Informasi Keamanan dan Manajemen Acara) cloud-native Redmond.

Ini menggunakan kecerdasan buatan (AI) untuk menganalisis volume data yang sangat besar, mencari aktivitas aktor ancaman potensial di seluruh lingkungan perusahaan.

Pemantauan ancaman Microsoft Sentinel GitHub hanya berfungsi dengan lisensi perusahaan GitHub, dan dilengkapi dengan aturan analitik untuk memicu peringatan tentang peristiwa yang mencurigakan dan satu buku kerja untuk memvisualisasikan data.

Peringatan Microsoft Sentinel GitHub (Microsoft)

Peringatan yang akan muncul di dasbor Microsoft Sentinel yang dipicu oleh aturan analitik baru meliputi:

  • Repositori telah dibuat: setiap kali repositori dibuat di lingkungan GitHub yang terhubung ke ruang kerja Microsoft Sentinel.
  • Repositori dihancurkan: setiap kali repositori dihancurkan di lingkungan GitHub.
  • Metode pembayaran telah dihapus: setiap kali ada tindakan dengan metode pembayaran yang dikonfigurasi untuk repositori GitHub.
  • Aplikasi OAuth: setiap kali rahasia klien dihapus.

Dengan menggunakan buku kerja, tim keamanan juga dapat melacak anggota yang ditambahkan dan dihapus dari repo GitHub, repositori yang baru ditambahkan, dan berapa kali setiap repo di-fork atau dikloning.

Pada bulan Desember, Microsoft menambahkan solusi Deteksi Kerentanan Apache Log4j di pratinjau publik untuk membantu pelanggan mendeteksi dan menyelidiki sinyal yang terkait dengan eksploitasi kerentanan Log4Shell.

Microsoft Sentinel sekarang juga mendukung aturan analitik pemetaan ke teknik MITER ATT&CK yang membantu mempersempit hasil pencarian.

Pada bulan Agustus, Microsoft memperbarui platform SIEM-nya dengan deteksi baru untuk kemungkinan serangan ransomware menggunakan model pembelajaran mesin Fusion.

Sumber : Bleeping Computer

Microsoft Defender sekarang mendeteksi kerentanan Android dan iOS

by

Microsoft mengatakan dukungan manajemen ancaman dan kerentanan untuk Android dan iOS telah mencapai ketersediaan umum di Microsoft Defender for Endpoint, platform keamanan titik akhir perusahaan perusahaan.

“Dengan cakupan lintas platform baru ini, kemampuan manajemen ancaman dan kerentanan sekarang mendukung semua platform perangkat utama di seluruh organisasi mencakup workstation, server, dan perangkat seluler,” Microsoft menjelaskan.

Manajemen kerentanan Android dan iOS memungkinkan admin mengurangi area serangan permukaan titik akhir seluler dan, sebagai akibat langsung, meningkatkan ketahanan organisasi mereka terhadap serangan yang masuk.

Kemampuan baru ini memungkinkan organisasi untuk menemukan, memprioritaskan, dan memulihkan kerentanan perangkat lunak dan sistem operasi dengan lebih mudah di perangkat Android.

Pembela untuk inventaris perangkat Endpoint (Microsoft)

Defender for Endpoint sekarang melindungi semua platform utama
Ini adalah bagian dari upaya untuk memperluas kemampuan platform keamanan di semua platform utama untuk membantu tim keamanan mempertahankan pengguna titik akhir mereka melalui solusi keamanan terpadu.

Misalnya, pada Juni 2020, Defender for Endpoint menambahkan dukungan untuk lebih banyak platform non-Windows (umumnya tersedia untuk pelanggan Linux dan dalam pratinjau publik untuk Android). Satu tahun kemudian, Redmond juga menyertakan dukungan untuk macOS sebagai bagian dari pratinjau terbatas.

Satu bulan kemudian, pada Juli 2020, solusi keamanan titik akhir diperbarui dengan fitur Skor Aman Microsoft untuk Perangkat untuk mengevaluasi status konfigurasi keamanan kolektif perangkat di jaringan perusahaan. Ini dapat meningkatkan keamanan titik akhir organisasi melalui tindakan yang direkomendasikan.

Mulai Oktober 2020, platform keamanan titik akhir perusahaan Microsoft juga memberikan laporan kepada admin yang membantu mereka melacak perangkat Windows dan macOS yang rentan, termasuk tingkat keparahan kerentanan, ketersediaan eksploitasi, usia kerentanan, dan perangkat yang rentan menurut sistem operasi.

Sumber : Bleeping Computer

Varian Oski baru yang kuat ‘Mars Stealer’ meraih 2FA dan crypto

by

Malware baru dan kuat bernama ‘Mars Stealer’ telah muncul di alam liar, dan tampaknya merupakan desain ulang malware Oski yang menghentikan pengembangan secara tiba-tiba pada musim panas 2020.

Mars Stealer adalah malware yang mencuri data dari semua browser web populer, plugin otentikasi dua faktor, dan beberapa ekstensi dan dompet cryptocurrency.

Selain itu, malware dapat mengekstrak file dari sistem yang terinfeksi dan bergantung pada pemuat dan penghapusnya sendiri, yang meminimalkan jejak infeksi.

Setelah peneliti keamanan @3xp0rt memperoleh sampel, peneliti menemukan bahwa Mars Stealer adalah versi malware Oski yang didesain ulang dengan fungsionalitas yang ditingkatkan.

Mars Stealer menggunakan grabber khusus yang mengambil konfigurasinya dari C2 dan kemudian mulai menargetkan aplikasi berikut:

Aplikasi Internet: Google Chrome, Internet Explorer, Microsoft Edge (Versi Chromium), Kometa, Amigo, Torch, Orbitium, Comodo Dragon, Nichrome, Maxxthon5, Maxxthon6, Browser Sputnik, Browser Privasi Epik, Vivaldi, CocCoc, Browser Uran, QIP Surf, Cent Browser, Elements Browser, TorBro Browser, CryptoTab Browser, Brave, Opera Stable, Opera GX, Opera Neon, Firefox, SlimBrowser, PaleMoon, Waterfox, CyberFox, BlackHawk, IceCat, K-Meleon, Thunderbird.

Aplikasi 2FA: Authenticator, Authy, EOS Authenticator, GAuth Authenticator, Trezor Password Manager.

Ekstensi Crypto: TronLink, MetaMask, Dompet Rantai Binance, Yoroi, Dompet Bagus, Dompet Matematika, Dompet Coinbase, Guarda, Dompet EQUAL, Jaox Liberty, BitAppWllet, iWallet, Wombat, MEW CX, Dompet Guild, Dompet Saturnus, Dompet Ronin, Neoline, Dompet Semanggi, Dompet Liquality, Terra Station, Keplr, Sollet, Dompet Auro, Dompet Polymesh, ICONex, Dompet Nabox, KHC, Kuil, Dompet TezBox Cyano, Byone, OneKey, Dompet Daun, DAppPlay, BitClip, Gantungan Kunci Steem, Ekstensi Nash, Hycon Klien Lite, ZilPay, Dompet Coin98.

Dompet Crypto: Bitcoin Core dan semua turunannya (Dogecoin, Zcash, DashCore, LiteCoin, dll), Ethereum, Electrum, Electrum LTC, Exodus, Electron Cash, MultiDoge, JAXX, Atomic, Binance, Coinomi.

Dompet yang ditargetkan oleh Mars Stealer
Sumber: 3xp0rt.com

Selain itu, Mars Stealer akan menangkap dan mengirimkan informasi dasar berikut ke C2:

  • IP dan negara
  • Nama komputer
  • Nama pengguna
  • Nama komputer domain

    • Selengkapnya : Bleeping Computer

    Grabber Pencuri Mars Kustom
    Sumber: 3xp0rt.com

    Mars Stealer adalah malware ramping dengan ukuran hanya 95 KB, yang mencoba menghindari keamanan dengan menggunakan rutinitas yang menyembunyikan panggilan API dan teknik enkripsi string menggunakan kombinasi RC4 dan Base64.

    Informasi yang dikumpulkannya dibungkus dalam memori, sementara semua koneksi dengan C2 dilakukan dengan protokol SSL (Secure Sockets Layer), jadi mereka dienkripsi.

    Selain itu, kode Mars Stealer berisi interval fungsi Tidur untuk melakukan pemeriksaan waktu yang akan menghasilkan ketidakcocokan jika debugger digunakan.

    Fungsi tidur anti-debugging
    Sumber: 3xp0rt.com

    Terakhir, malware dapat menghapus dirinya sendiri setelah data pengguna dieksfiltrasi atau ketika operator memutuskan untuk menghapusnya.

    Mars Stealer juga memeriksa apakah pengguna berbasis di negara-negara yang secara historis merupakan bagian dari Persemakmuran Negara-Negara Merdeka, yang umum untuk banyak malware berbasis di Rusia.

    Jika ID bahasa perangkat cocok dengan Rusia, Belarusia, Kazakstan, Azerbaijan, Uzbekistan, dan Kazakstan, program akan keluar tanpa melakukan perilaku jahat apa pun.

    Pemeriksaan bahasa untuk pengecualian target
    Sumber: 3xp0rt.com

    Saat ini, Mars Stealer dijual seharga $140 hingga $160 (versi tambahan) di forum peretasan, sehingga kemungkinan besar akan jatuh ke tangan banyak pelaku ancaman dan digunakan dalam serangan di masa depan.

    Selengkapnya : Bleeping Computer

FBI memperingatkan posting pekerjaan palsu yang digunakan untuk mencuri uang, info pribadi

by

Scammers mencoba mencuri uang dan informasi pribadi pencari kerja melalui kampanye phishing menggunakan iklan palsu yang diposting di platform rekrutmen.

Peringatan itu diterbitkan hari ini sebagai pengumuman layanan publik (PSA) di Pusat Pengaduan Kejahatan Internet Biro (IC3).

“Penipu ini memberikan kredibilitas pada skema mereka dengan menggunakan informasi yang sah untuk meniru bisnis, mengancam kerusakan reputasi bisnis dan kerugian finansial bagi pencari kerja.”

Penjahat memanfaatkan kurangnya standar verifikasi keamanan yang kuat di situs web rekrutmen untuk memposting lowongan pekerjaan palsu yang tidak dapat dibedakan dari yang diterbitkan oleh perusahaan yang mereka tiru.

“Daftar pekerjaan palsu termasuk tautan dan informasi kontak yang mengarahkan pelamar ke situs web palsu, alamat email, dan nomor telepon yang dikendalikan oleh scammers di mana informasi pribadi pelamar dapat dicuri dan kemudian dijual atau digunakan dalam penipuan tambahan,” jelas FBI.

FBI menyarankan pencari kerja untuk memverifikasi iklan pekerjaan yang ditemukan di situs jejaring dengan menghubungi departemen SDM perusahaan atau di situs resminya.

Mereka juga disarankan untuk hanya memberikan PII dan info keuangan secara langsung atau panggilan video, hanya setelah memverifikasi identitas mereka.

“Pandemi COVID-19 telah secara drastis mengubah proses wawancara dan perekrutan sehingga sangat penting bagi bisnis dan pelamar kerja untuk memverifikasi keabsahan posting dan peluang kerja,” tambah FBI.

“FBI mendesak publik Amerika untuk berhati-hati saat melamar dan menerima posisi melalui proses jarak jauh yang membatasi atau tidak ada pertemuan langsung, kontak, dan orientasi.”

Selengkapnya : Bleeping Computer