Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cybersecurity

Cybersecurity

Apple Perbaiki Bug doorLock yang Dapat Menonaktifkan iPhone dan iPad

by

Apple telah merilis pembaruan keamanan untuk mengatasi penolakan layanan yang terus-menerus (DoS) yang dijuluki doorLock yang sama sekali akan menonaktifkan iPhone dan iPad yang menjalankan HomeKit di iOS 14.7 dan yang lebih baru.

HomeKit adalah protokol dan kerangka kerja Apple yang memungkinkan pengguna iOS dan iPadOS untuk menemukan dan mengontrol peralatan rumah pintar di jaringan mereka.

Seperti yang dijelaskan perusahaan dalam penasihat keamanan yang dikeluarkan hari ini, kerentanan doorLock yang dilacak sebagai CVE-2022-22588 akan menabrak perangkat iOS dan iPadOS yang terkena dampak ketika memproses nama aksesori HomeKit yang dibuat dengan jahat.

Apple telah mengatasi masalah kelelahan sumber daya yang parah ini di iOS 15.2.1 dan iPadOS 15.2.1 dengan menambahkan validasi input yang lebih baik yang tidak lagi memungkinkan penyerang untuk menonaktifkan perangkat yang rentan.

Perangkat yang menerima pembaruan keamanan hari ini termasuk iPhone 6s dan yang lebih baru, iPad Pro (semua model), iPad Air 2 dan yang lebih baru, iPad generasi ke-5 dan yang lebih baru, iPad mini 4 dan yang lebih baru, dan iPod touch (generasi ke-7).

“Empat bulan lalu saya menemukan dan melaporkan penolakan serius terhadap bug layanan di iOS yang masih tetap dalam rilis terbaru. Ini berlanjut melalui reboot dan dapat memicu setelah pemulihan dalam kondisi tertentu, “Trevor Spiniolas, programmer dan “peneliti keamanan awal” yang melihat dan melaporkan bug.

“Semua persyaratan adalah pengaturan default. Ketika seseorang mengatur perangkat iOS mereka, semuanya sudah agar bug berfungsi. Jika mereka menerima undangan rumah berbahaya dari sana, perangkat mereka berhenti bekerja. ”

Perbaikan tertunda sejak Agustus

Menurut Spiniolas, Apple telah mengetahui tentang doorlock sejak Agustus 2021, tetapi mendorong pembaruan keamanan beberapa kali meskipun berulang kali berjanji untuk memperbaikinya.

“Saya percaya bug ini ditangani secara tidak tepat karena menimbulkan risiko serius bagi pengguna dan berbulan-bulan telah berlalu tanpa perbaikan yang komprehensif,” kata Spinolas.

“Masyarakat harus menyadari kerentanan ini dan bagaimana mencegahnya dieksploitasi, daripada disimpan dalam kegelapan.”

Peneliti mengatakan penyerang harus mengubah nama perangkat HomeKit menjadi string besar hingga 500.000 karakter dan menipu target untuk menerima undangan Home.

Setelah target bergabung dengan jaringan HomeKit penyerang, perangkat mereka menjadi tidak responsif dan akhirnya crash.

Satu-satunya cara untuk pulih dari serangan semacam itu adalah dengan mengatur ulang perangkat yang dinonaktifkan, mengingat bahwa itu akan sekali lagi macet setelah memulai ulang dan masuk kembali ke akun iCloud yang ditautkan ke perangkat HomeKit.

Patch zero-day juga tertunda

Pada bulan September, pengembang perangkat lunak Denis Tokarev juga menjatuhkan kode eksploitasi proof-of-concept untuk tiga kekurangan zero-day iOS di GitHub setelah Apple menunda patching dan gagal mengkreditnya ketika menambal yang keempat pada bulan Juli.

Satu bulan kemudian, dengan merilis iOS 15.0.2, Apple memperbaiki salah satu kerentanan ‘gamed’ zero-day yang dilaporkan oleh Tokarev.

Namun, Apple tidak mengakui atau memujinya atas penemuan itu dan juga memintanya untuk tetap diam dan tidak mengungkapkan kepada orang lain bahwa perusahaan gagal memberinya kredit untuk bug tersebut.

Peneliti keamanan lainnya dan pemburu hadiah bug juga telah melalui pengalaman serupa yang mengatakan bahwa mereka telah disimpan dalam kegelapan selama berbulan-bulan dengan Apple menolak untuk membalas pesan mereka.

Sumber: Bleepingcomputer

Peretas OceanLotus Beralih ke File Arsip Web untuk Menyebarkan Backdoors

by

Kelompok OceanLotus dari hacker yang disponsori negara sekarang menggunakan format file arsip web (. MHT dan . MHTML) untuk menyebarkan backdoors ke sistem yang dikompromikan.

Tujuannya adalah untuk menghindari deteksi oleh alat solusi antivirus yang lebih mungkin untuk menangkap format dokumen yang umum disalahgunakan dan menghentikan korban dari membukanya di Microsoft Office.

Juga dilacak sebagai APT32 dan SeaLotus, para peretas telah menunjukkan kecenderungan di masa lalu untuk mencoba metode yang kurang umum untuk menyebarkan malware.

Sebuah laporan dari Netskope Threat Labs yang dibagikan dengan Bleeping Computer sebelumnya mencatat bahwa kampanye OceanLotus menggunakan file arsip web masih aktif, meskipun ruang lingkup penargetan sempit dan meskipun server command and control (C2) terganggu.

Dari RAR ke word macros

Rantai serangan dimulai dengan kompresi RAR dari file arsip web besar 35-65MB yang berisi dokumen Word berbahaya.

Untuk melewati perlindungan Microsoft Office, para aktor telah mengatur properti ZoneID dalam metadata file ke “2”, membuatnya tampak seolah-olah diunduh dari sumber yang dapat dipercaya.

Saat membuka file arsip web dengan Microsoft Word, dokumen yang terinfeksi meminta korban untuk “Mengaktifkan Konten”, yang membuka jalan untuk mengeksekusi kode makro VBA berbahaya.

Skrip melakukan tugas-tugas berikut pada mesin yang terinfeksi:

  • Menjatuhkan payload ke “C:ProgramDataMicrosoftUser Account Picturesguest.bmp”;
  • Menyalin payload ke “C:ProgramDataMicrosoft Outlook Syncguest.bmp”;
  • Membuat dan menampilkan dokumen umpan bernama “Dokumen.doc”;
  • Mengganti nama muatan dari “tamu.bmp” menjadi “latar belakang.dll”;
  • Menjalankan DLL dengan memanggil fungsi ekspor “SaveProfile” atau “OpenProfile”

Setelah payload dieksekusi, kode VBA menghapus file Word asli dan membuka dokumen umpan yang melayani korban kesalahan palsu.

Backdoor menggunakan layanan hosting Glitch

Payload yang dijatuhkan dalam sistem adalah DLL 64-bit yang mengeksekusi setiap 10 menit berkat tugas terjadwal yang meniru cek pembaruan WinRAR.

Backdoor disuntikkan ke dalam proses rundll32.exe berjalan tanpa batas waktu dalam memori sistem untuk menghindari deteksi, netskope mencatat dalam laporan teknisnya.

Malware mengumpulkan informasi adaptor jaringan, nama komputer, nama pengguna, menyebutkan direktori dan file sistem, memeriksa daftar proses yang berjalan.

Setelah data dasar dikumpulkan, backdoor mengkompilasi semuanya menjadi satu paket dan mengenkripsi konten sebelum dikirim ke server C2.

Server ini di-host di Glitch, hosting cloud dan layanan kolaborasi pengembangan web yang sering disalahgunakan untuk tujuan jahat.

Dengan menggunakan layanan cloud hosting yang sah untuk komunikasi C2, para aktor semakin mengurangi kemungkinan terdeteksi bahkan ketika alat pemantauan lalu lintas jaringan dikerahkan.

Meskipun Glitch menurunkan URL C2 yang diidentifikasi dan dilaporkan oleh para peneliti Netskope, tidak mungkin ini akan menghentikan APT32 dari membuat yang baru menggunakan akun yang berbeda.

Untuk daftar lengkap indikator kompromi dari kampanye ini, Anda dapat memeriksa repositori GitHub ini.

Sumber: Bleepingcomputer

EA: 50 Akun Ternama FIFA 22 Diambil Alih oleh Aktor Phishing

by

Electronic Arts (EA) telah menerbitkan tanggapan resmi terhadap banyak laporan tentang akun pemain yang diretas, mengkonfirmasikan masalah dan menghubungkannya dengan aktor phishing.

Seperti yang dijelaskan pemberitahuan itu, peretas menggunakan rekayasa sosial terhadap tim pengalaman pelanggan EA untuk melewati otentikasi dua faktor dan mengambil lebih dari 50 akun pemain.

FIFA 22 adalah permainan simulasi sepak bola (sepak bola) yang sangat populer yang menampilkan mode multi-pemain di mana orang dapat bersaing secara real-time, memperdagangkan item dalam game, dll.

Perusahaan game telah berjanji untuk mengembalikan akses pemilik yang sah ke akun yang dikompromikan dan juga telah mengumumkan langkah-langkah berikut untuk mencegah hal ini terjadi lagi di masa depan:

  • Semua Penasihat EA dan individu yang membantu layanan Akun EA menerima pelatihan ulang individual dan pelatihan tim tambahan, dengan penekanan khusus pada praktik keamanan akun dan teknik phishing yang digunakan dalam contoh khusus ini.
  • Implementasi langkah-langkah tambahan untuk proses verifikasi kepemilikan akun, seperti persetujuan manajerial wajib untuk semua permintaan perubahan email.
  • Perangkat lunak pengalaman pelanggan akan diperbarui untuk mengidentifikasi aktivitas yang mencurigakan dengan lebih baik, menandai akun berisiko, dan selanjutnya membatasi potensi kesalahan manusia dalam proses pembaruan akun.

Perubahan di atas pasti akan membuat layanan pelanggan lebih rumit dan lambat, tetapi mereka akan meningkatkan keamanan akun, sesuatu yang telah dikeluhkan oleh komunitas FIFA selama bertahun-tahun.

“Kami ingin meminta maaf atas ketidaknyamanan dan frustrasi yang disebabkan ini, dan bahwa kami tidak dapat berbagi rincian tambahan dalam komunikasi asli kami minggu lalu saat kami melakukan penyelidikan menyeluruh.”

Akun profil ternama diretas

Akun yang ditargetkan oleh aktor phishing termasuk pemain sepak bola nyata seperti Valentin Rosier, streamer profesional, dan pedagang mata uang dalam game.

Akun-akun profil tinggi ini telah menginvestasikan sejumlah besar uang dalam permainan dan menggunakannya sebagai sumber pendapatan dengan memonetisasi kehadiran mereka di ruang virtual itu.

Beberapa pemegang akun yang diretas menunjukkan kemungkinan staf EA memberikan data pribadi mereka kepada peretas, yang akan melanggar GDPR, menimbulkan denda hingga 4% dari omset tahunan EA.

Namun, pada saat ini, tidak ada penyelidikan perlindungan data yang diumumkan, dan penyelidikan EA atas insiden tersebut masih berlangsung, sehingga ruang lingkup dampak belum ditentukan dengan pasti.

Perlu juga dicatat bahwa Bleeping Computer telah melihat laporan akun FIFA 22 tingkat rendah yang telah diretas baru-baru ini, sehingga jumlah akun yang diambil alih oleh aktor phishing mungkin jauh lebih besar dari 50.

Sumber: Bleepingcomputer

Atlet Belanda Diperingatkan untuk Tidak Membawa Ponsel dan Laptop ke China

by

Atlet Belanda yang bersaing di Olimpiade Musim Dingin Beijing bulan depan harus meninggalkan ponsel dan laptop mereka di rumah dalam langkah yang belum pernah terjadi sebelumnya untuk menghindari spionase China, surat kabar Belanda De Volkskrant melaporkan pada hari Selasa.

Saran mendesak kepada atlet dan staf pendukung untuk tidak membawa perangkat pribadi ke China adalah bagian dari serangkaian langkah-langkah yang diusulkan oleh Komite Olimpiade Belanda (NOCNSF) untuk menangani kemungkinan campur tangan oleh agen negara China, kata surat kabar itu mengutip sumber yang dekat dengan masalah ini.

Juru bicara NOCNSF Geert Slot mengatakan cybersecurity adalah bagian dari penilaian risiko yang dibuat untuk perjalanan ke China, tetapi menolak untuk mengomentari tindakan spesifik apa pun.

“Pentingnya cybersecurity tentu saja telah berkembang selama bertahun-tahun,” kata Slot. “Tapi China telah benar-benar menutup internetnya, yang menjadikannya kasus tertentu.”

Anggota tim Belanda akan dilengkapi dengan perangkat yang tidak terpakai di China, untuk melindungi data pribadi mereka dari pengawasan China, kata sumber itu kepada De Volkskrant.

Setidaknya 30 atlet Belanda akan bersaing di Olimpiade Beijing bulan depan, terutama dalam acara skating kecepatan dan trek pendek.

Sumber: Reuters

Bug WordPress Meledak pada 2021, Paling Bisa Dieksploitasi

by

Tahun lalu analis menemukan jumlah kerentanan plugin WordPress yang dapat dieksploitasi membludak.

Para peneliti dari RiskBased Security melaporkan mereka menemukan jumlah kerentanan Plugin WordPress naik tiga digit pada tahun 2021.

“10.359 kerentanan dilaporkan mempengaruhi plugin WordPress pihak ketiga pada akhir 2021,” tim RiskBased Security menjelaskan. “Dari jumlah tersebut, 2.240 kerentanan diungkapkan tahun lalu, yang merupakan peningkatan 142% dibandingkan dengan 2020.”

Lebih buruk lagi, dari kerentanan plugin WordPress tambahan, lebih dari tiga perempat (77 persen) telah mengetahui, eksploitasi publik.

Laporan tersebut menemukan bahwa 7.592 kerentanan WordPress dapat dieksploitasi dari jarak jauh; 7.993 memiliki eksploitasi publik; dan 4.797 kerentanan WordPress memiliki eksploitasi publik, tetapi tidak ada ID CVE.

Dengan kata lain, organisasi yang mengandalkan CVE tidak akan memiliki visibilitas ke 60 persen dari eksploitasi plugin WordPress yang dikenal publik, kata tim tersebut.

Fokus pada Eksploitabilitas Atas Skor CVSS

Respons yang tepat terhadap permukaan serangan WordPress yang muncul, menurut tim RiskBased, adalah pergeseran mendasar dari memprioritaskan sumber daya berdasarkan seberapa penting risiko bagi organisasi untuk berfokus pada bug yang paling mudah dieksploitasi.

“Rata-rata, skor CVSSv2 untuk semua kerentanan plugin WordPress adalah 5,5, yang oleh banyak kerangka VM saat ini dianggap sebagai risiko ‘moderat’, paling banter,” saran tim RiskBased Security. “Tetapi jika Anda membandingkan titik data ini dengan berita utama, Anda mungkin mengamati sedikit keterputusan antara praktik dan dampak Manajemen Kerentanan (VM) konvensional.”

Tim menunjuk pembaruan 10 Januari dari Cybersecurity and Infrastructure Security Agency (CISA) ke Binding Operational Directive yang menguraikan kerentanan dan ancaman aktif terhadap jaringan federal. Pembaruan ini juga memprioritaskan kerentanan yang mudah dieksploitasi daripada mereka yang memiliki skor CVSS yang lebih tinggi.

“Tim keamanan perlu memiliki pengetahuan tentang aset mereka, intelijen kerentanan komprehensif untuk semua masalah yang diketahui, dan metadata terperinci, yang memungkinkan mereka untuk memeriksa faktor-faktor seperti eksploitabilitas, untuk kemudian mengontekstualisasikan risiko yang ditimbulkannya terhadap lingkungan mereka.”

Sumber: Threatpost

NIST Memperbarui Pedoman Teknik Keamanan Siber

by

Dengan latar belakang peningkatan nasional risiko keamanan siber di semua industri, Institut Standar dan Teknologi Nasional memperbarui panduannya untuk para insinyur sistem.

Disebut sebagai “Sistem Aman yang Dapat Dipercaya Teknik,” dokumen tersebut berasal dari perintah eksekutif Presiden Joe Biden pada tahun 2021 yang bertujuan untuk meningkatkan pertahanan pemerintah federal setelah beberapa serangan skala besar terhadap infrastruktur penting.

Publikasi NIST adalah sumber daya untuk insinyur komputer dan profesional lainnya di sisi pemrograman upaya keamanan siber.

Mencakup lebih dari 200 halaman, publikasi ini mengambil pendekatan holistik untuk rekayasa sistem. Peneliti NIST memberikan gambaran tentang tujuan dan konsep sistem keamanan modern, terutama mengenai perlindungan aset digital sistem.

Salah satu pembaruan utama yang dibuat oleh penulis NIST dalam versi terbaru dari publikasi ini adalah penekanan baru pada jaminan keamanan. Dalam rekayasa sistem perangkat lunak, jaminan diwakili oleh bukti bahwa prosedur keamanan sistem yang diberikan cukup kuat untuk mengurangi kehilangan aset dan mencegah serangan dunia maya.

Ron Ross, seorang rekan NIST dan salah satu penulis dokumen tersebut, mengatakan kepada Nextgov bahwa jaminan sistem bertindak sebagai pembenaran bahwa sistem keamanan dapat beroperasi secara efektif.

Draf terbaru “Sistem Aman yang Dapat Dipercaya Teknik” juga melihat ke dalam elemen mendasar tentang bagaimana membangun desain aman yang dapat dipercaya, yang bergantung pada penghapusan proaktif atau mitigasi kerentanan. Ini juga mengkompilasi berbagai prinsip desain pengendalian kerugian dalam satu bagian dan menguraikan bagaimana masing-masing berfungsi.

“Membangun sistem yang aman dan dapat dipercaya tidak dapat terjadi dalam ruang hampa dengan pipa cerobong terisolasi untuk dunia maya, perangkat lunak, dan teknologi informasi,” catatan pedoman tersebut. “Sebaliknya, ini membutuhkan pendekatan holistik untuk perlindungan, pemikiran berbasis luas di semua aset di mana kerugian dapat terjadi, dan pemahaman tentang kesulitan, termasuk bagaimana musuh menyerang dan mengkompromikan sistem.”

NIST telah menerbitkan pedoman serupa dalam beberapa tahun terakhir. Pada tahun 2018, satu buku panduan berfokus pada bagaimana lembaga federal dapat mengamankan sistem teknologi informasi lama dari serangan siber. Dan pada Agustus 2021, para pejabat menerbitkan dokumen yang lebih luas tentang sistem ketahanan siber untuk organisasi sektor publik dan swasta.

Sumber : Nextgov

TellYouThePass ransomware kembali sebagai ancaman Golang lintas platform

by

TellYouThePass ransomware telah muncul kembali sebagai malware yang dikompilasi Golang, membuatnya lebih mudah untuk menargetkan lebih banyak sistem operasi, khususnya macOS dan Linux.

Kembalinya jenis malware ini terlihat bulan lalu, ketika pelaku ancaman menggunakannya bersama dengan eksploitasi Log4Shell untuk menargetkan mesin yang rentan.

Crowdstrike menjelaskan lebih banyak tentang pengembalian ini, dengan fokus pada perubahan tingkat kode yang membuatnya lebih mudah untuk dikompilasi untuk platform lain selain Windows.

Mengapa Golang?

Golang adalah bahasa pemrograman yang pertama kali diadopsi oleh pembuat malware pada tahun 2019 karena keserbagunaan lintas platformnya.

Golang memungkinkan pustaka dependensi lapisan ke dalam satu file biner, yang mengarah ke jejak yang lebih kecil dari komunikasi server perintah dan kontrol (C2), sehingga mengurangi tingkat deteksi.

Sampel TellYouThePass baru
Analis Crowdstrike melaporkan kesamaan kode sebesar 85% antara sampel Linux dan Windows dari TellYouThePass, menunjukkan penyesuaian minimal yang diperlukan untuk membuat ransomware berjalan di sistem operasi yang berbeda.

Functions on the Windows and Linux samples
Source: Crowdstrike

Satu perubahan penting dalam sampel ransomware terbaru adalah pengacakan nama semua fungsi selain dari yang ‘utama’, yang mencoba menggagalkan analisis.

Sebelum memulai rutinitas enkripsi, TellYouThePass mematikan tugas dan layanan yang dapat mempertaruhkan proses atau mengakibatkan enkripsi yang tidak lengkap, seperti klien email, aplikasi database, server web, dan editor dokumen.

Selain itu, beberapa direktori dikecualikan dari enkripsi untuk mencegah membuat sistem tidak dapat di-boot dan dengan demikian menyia-nyiakan kesempatan untuk mendapatkan bayaran.

Direktori dikecualikan dari enkripsi
Sumber: Crowdstrike

Catatan tebusan dijatuhkan dalam infeksi TellYouThePass baru-baru ini meminta 0,05 Bitcoin, saat ini dikonversi menjadi sekitar $2,150, sebagai ganti alat dekripsi.

Sumber : Bleeping Computer

Magniber ransomware menggunakan file APPX yang ditandatangani untuk menginfeksi sistem

by

Ransomware Magniber menggunakan file paket aplikasi Windows (.APPX) yang ditandatangani dengan sertifikat yang valid untuk menghapus malware yang berpura-pura sebagai pembaruan browser web Chrome dan Edge.

Metode distribusi ini menandai pergeseran dari pendekatan sebelumnya yang terlihat dengan aktor ancaman ini, yang biasanya bergantung pada eksploitasi kerentanan Internet Explorer.

Infeksi dimulai dengan mengunjungi situs web yang menjatuhkan muatan, para peneliti di perusahaan keamanan siber AhnLab mencatat dalam sebuah laporan yang diterbitkan hari ini.

Dua dari URL yang mendistribusikan payload adalah “hxxp://b5305c364336bqd.bytesoh.cam”, dan “hxxp://hadhill.quest/376s53290a9n2j”, tetapi ini mungkin bukan satu-satunya.

Pengunjung situs ini menerima peringatan untuk memperbarui browser Edge/Chrome mereka secara manual, dan ditawari file APPX untuk menyelesaikan tindakan.

Peringatan untuk mengunduh pembaruan Edge palsu
Sumber: ASEC

Dalam kasus ransomware Magniber, file APPX yang disamarkan ditandatangani secara digital dengan sertifikat yang valid, sehingga Windows melihatnya sebagai file tepercaya yang tidak memicu peringatan.

DLL code part responsible for downloading and decoding the payload
Source: ASEC

File-file ini menjalankan fungsi yang mengambil muatan ransomware Magniber, mendekodekannya, dan kemudian menjalankannya. Setelah mengenkripsi data pada sistem, ancaman membuat catatan tebusan berikut:

Magniber ransom note dropped onto encrypted systems
Source: ASEC

Meskipun catatan dalam bahasa Inggris, perlu dicatat bahwa ransomware Magniber menargetkan pengguna Asia secara eksklusif akhir-akhir ini. Saat ini tidak ada kemungkinan untuk mendekripsi file yang dikunci oleh malware ini secara gratis.

Tidak seperti kebanyakan operasi ransomware, Magniber tidak mengadopsi taktik pemerasan ganda, sehingga tidak mencuri file sebelum mengenkripsi sistem.

Mencadangkan data secara teratur adalah solusi yang baik untuk memulihkan dari serangan dengan ransomware tingkat rendah seperti Magniber.

Sumber : Bleeping Computer