Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cybersecurity

Cybersecurity

Eksploitasi adalah Hidangan Dingin yang Disajikan Terbaik: Winter Vivern Menggunakan Kerentanan Zimbra yang Diketahui untuk Menargetkan Portal Webmail dari Pemerintah Blok NATO di Eropa

by

Para peneliti telah mengamati TA473, aktor ancaman persisten tingkat lanjut (APT) baru yang dilacak oleh Proofpoint, mengeksploitasi kerentanan Zimbra CVE-2022-27926 untuk menyalahgunakan portal webmail yang dihosting Zimbra secara terbuka.

Tujuan kegiatan ini dinilai untuk mendapatkan akses ke email militer, pemerintah, dan organisasi diplomatik di seluruh Eropa yang terlibat dalam Perang Ukraina Rusia.

Grup menggunakan alat pemindaian seperti Acunetix untuk mengidentifikasi portal webmail yang belum ditambal milik organisasi ini untuk mengidentifikasi metode yang layak untuk menargetkan korban.

Setelah pengintaian pemindaian awal, pelaku ancaman mengirimkan email phishing yang mengaku sebagai sumber daya pemerintah jinak yang relevan, yang ditautkan di badan email dengan URL jahat yang menyalahgunakan kerentanan yang diketahui untuk mengeksekusi muatan JavaScript di dalam portal webmail korban.

Selanjutnya, pelaku ancaman tampaknya menghabiskan banyak waktu untuk mempelajari setiap contoh portal webmail milik target mereka serta menulis muatan JavaScript yang dipesan lebih dahulu untuk melakukan Pemalsuan Permintaan Lintas Situs.

Muatan khusus yang padat karya ini memungkinkan aktor untuk mencuri nama pengguna, kata sandi, dan menyimpan sesi aktif dan token CSRF dari cookie yang memfasilitasi login ke portal webmail yang menghadap publik milik organisasi yang selaras dengan NATO.

Peneliti Proofpoint baru-baru ini mempromosikan TA473 menjadi aktor ancaman yang dilacak secara publik. Dikenal dalam penelitian sumber terbuka sebagai Winter Vivern, Proofpoint telah melacak klaster aktivitas ini setidaknya sejak 2021.

Selengkapnya: proofpoint

Keheningan tidak membawa Anda ke mana pun dalam pelanggaran data

by

Dalam cybersecurity, ungkapan “apa yang tidak mereka ketahui tidak akan merugikan mereka” tidak hanya salah, tetapi juga berbahaya. Meskipun demikian, ini adalah moto yang tetap ada di buku pedoman PR banyak organisasi, seperti yang ditunjukkan oleh pelanggaran data LastPass dan Fortra baru-baru ini.
LastPass telah menolak untuk menjawab salah satu pertanyaan TechCrunch+ sejak dikonfirmasi pada bulan Desember bahwa peretas telah mengeksfiltrasi brankas kata sandi terenkripsi pelanggan sebulan sebelumnya. Fortra tidak hanya menolak untuk menjawab pertanyaan kami tetapi juga menyembunyikan detail pelanggaran keamanan baru-baru ini — yang berpotensi memengaruhi lebih dari 130 pelanggan korporatnya — di balik paywall di situs webnya.
TechCrunch+ telah mengetahui bahwa LastPass telah kehilangan pelanggan karena pendekatan penanganan diam-diam terhadap pelanggarannya. Dan Fortra kemungkinan akan menghadapi nasib serupa setelah TechCrunch+ mendengar dari banyak pelanggan bahwa mereka baru mengetahui bahwa data mereka telah dicuri setelah menerima permintaan uang tebusan; Fortra telah meyakinkan mereka bahwa datanya aman.
Perusahaan yang lebih kecil juga menggunakan pendekatan perawatan diam-diam untuk data breach: Kamp pengkodean teknologi anak-anak iD Tech gagal mengakui pelanggaran Januari yang melihat peretas mengakses data pribadi hampir 1 juta pengguna, termasuk nama, tanggal lahir, kata sandi disimpan dalam teks biasa, dan sekitar 415.000 alamat email unik. Orang tua yang khawatir memberi tahu kami pada saat itu bahwa mereka baru menyadari pelanggaran tersebut setelah menerima pemberitahuan dari layanan pemberitahuan pelanggaran data pihak ketiga.
Serangan siber sekarang menjadi fakta dalam berbisnis: Hampir setengah dari organisasi AS mengalami serangan siber pada tahun 2022, dan penyerang semakin menargetkan bisnis yang lebih kecil karena fakta bahwa mereka dipandang sebagai target yang lebih mudah daripada perusahaan besar. Ini berarti bahwa startup Anda kemungkinan besar akan dikompromikan di beberapa titik.

selengkapnya : techcrunch.com

Kebocoran cyberwarfare menunjukkan tentara Rusia mengadopsi pola pikir polisi rahasia

by

Sebuah konsorsium media telah menerbitkan penyelidikan mengejutkan tentang kemampuan dunia maya Rusia, berdasarkan kebocoran dokumen yang jarang terjadi. File tersebut berasal dari NTC Vulkan, sebuah perusahaan keamanan siber di Moskow yang merangkap sebagai kontraktor untuk badan militer dan intelijen Rusia.

Mereka mengungkapkan bagaimana, selama bertahun-tahun, sekelompok insinyur IT top Rusia telah dipekerjakan untuk bekerja dengan intelijen militer Rusia dan fasilitas penelitian FSB, agen mata-mata domestik Vladimir Putin. Ini mungkin tampak campuran yang tidak biasa, dan tidak terbayangkan sebelum berakhirnya perang dingin.

Namun dokumen yang telah saya ulas menggambarkan dunia baru kolaborasi antara militer Rusia dan polisi rahasianya. Dan mereka menunjukkan betapa lebih agresifnya siloviki atau pasukan keamanan Putin sejak runtuhnya Uni Soviet.

Secara historis, tidak pernah ada banyak cinta antara tentara Rusia dan polisi rahasia – dan untuk alasan yang baik. Tentara tidak pernah melupakan pembersihan pembunuhan Joseph Stalin, dan setelah kematian diktator revolusioner, KGB (pendahulu FSB) mempertahankan kekuasaan untuk mengawasi militer. Tidak ada yang suka seseorang bernapas di leher mereka.

Tentara Rusia dan polisi rahasianya tidak hanya saling membenci; mereka memandang dunia melalui lensa yang berbeda. Era Putin membawa aturan baru dan mentalitas baru, seperti yang dijelaskan oleh file Vulkan.

Ambil proyek Amezit. Vulkan menerima kontrak untuk pengembangan Amezit dari Institut Ilmiah Rostov, salah satu dari sedikit fasilitas penelitian Rusia yang dimiliki langsung oleh FSB. Amezit dikembangkan sebagai alat yang akan memberi operator sarana untuk mengendalikan semua jenis lalu lintas dunia maya di suatu wilayah – dari jaringan seluler hingga media sosial – dan, jika perlu, untuk mengisolasi wilayah itu dari dunia luar dan menciptakan pemadaman informasi.

Selengkapnya: The Guardian

Hasil pencarian Bing dibajak melalui aplikasi Microsoft yang salah konfigurasi

by

Aplikasi Microsoft yang salah konfigurasi memungkinkan siapa pun untuk masuk dan mengubah hasil pencarian Bing.com secara real-time, serta menyuntikkan serangan XSS untuk berpotensi merusak akun pengguna Office 365.

Masalah keamanan ditemukan oleh Wiz Research, yang menamakan serangan itu “BingBang.”

Analis Wiz melaporkan masalah tersebut ke Microsoft pada 31 Januari 2023, dan raksasa teknologi tersebut mengonfirmasi bahwa masalah tersebut telah diperbaiki pada 28 Maret 2023.

Peneliti Wiz menemukan bahwa saat membuat aplikasi di Layanan Aplikasi Azure dan Fungsi Azure, aplikasi dapat dikonfigurasi secara keliru untuk mengizinkan pengguna dari penyewa Microsoft mana pun, termasuk pengguna publik, untuk masuk ke aplikasi.

Pengaturan konfigurasi ini disebut ‘Support account types’ dan memungkinkan pengembang menentukan apakah multi-penyewa penyewa tertentu, akun pribadi, atau campuran multi akun dan pribadi harus diizinkan untuk mengakses aplikasi.

Opsi konfigurasi ini ditawarkan untuk kasus yang sah di mana pengembang harus membuat aplikasi mereka tersedia melintasi batas organisasi.

Namun, jika pengembang secara keliru memberikan izin yang lebih longgar, hal itu dapat menyebabkan akses yang tidak diinginkan ke aplikasi dan fitur-fiturnya.

“Arsitektur Tanggung Jawab Bersama ini tidak selalu jelas bagi pengembang, dan akibatnya, kesalahan validasi dan konfigurasi cukup lazim,” komentar Wiz dalam laporannya.

Begitulah besarnya masalah kesalahan konfigurasi sehingga sekitar 25% dari aplikasi multi-penyewa yang dipindai oleh Wiz salah konfigurasi, memungkinkan akses tanpa syarat tanpa validasi pengguna yang tepat.

Dalam beberapa kasus, aplikasi yang salah dikonfigurasi adalah milik Microsoft, menyoroti betapa mudahnya bagi admin untuk membuat kesalahan dalam konfigurasi Azure AD.

Selengkapnya: Bleeping Computer

CISA Memerintahkan Lembaga untuk Menambal Bug yang Dieksploitasi untuk Menghilangkan Spyware

by

Cybersecurity and Infrastructure Security Agency (CISA) memerintahkan agen federal untuk menambal kerentanan keamanan yang dieksploitasi sebagai zero-days dalam serangan baru-baru ini untuk memasang spyware komersial di perangkat seluler.

Cacat tersebut disalahgunakan sebagai bagian dari beberapa rantai eksploitasi dalam dua kampanye terpisah yang menargetkan pengguna Android dan iOS, seperti yang baru-baru ini diungkapkan oleh Grup Analisis Ancaman (TAG) Google.

Terlihat bahwa pelaku ancaman menggunakan rantai eksploitasi terpisah untuk mengkompromikan perangkat iOS dan Android pada serangan pertama November 2022.

Sebulan kemudian, rantai kompleks beberapa zero-day dan n-day dieksploitasi untuk menargetkan ponsel Android Samsung yang menjalankan versi Browser Internet Samsung terbaru.

Muatan akhir adalah paket spyware untuk Android yang mampu mendekripsi dan mengekstraksi data dari berbagai aplikasi obrolan dan browser.

Kedua kampanye tersebut sangat ditargetkan, dan penyerang “mengambil keuntungan dari jeda waktu yang besar antara rilis perbaikan dan saat itu diterapkan sepenuhnya pada perangkat pengguna akhir,” menurut Clément Lecigne dari Google TAG.

Penemuan Google TAG didorong oleh temuan yang dibagikan oleh Lab Keamanan Amnesty International, yang juga menerbitkan rincian mengenai domain dan infrastruktur yang digunakan dalam serangan tersebut.

CISA hari ini menambahkan lima dari sepuluh kerentanan yang digunakan dalam dua kampanye spyware ke dalam katalog Known Exploited Vulnerabilities (KEV) antara lain CVE-2021-30900, CVE-2022-38181, CVE-2023-0266, CVE-2022-3038, dan CVE-2022-22706.

Badan keamanan siber memberikan waktu tiga minggu hingga 20 April kepada badan-badan Federal Civilian Executive Branch Agencies (FCEB) untuk menambal perangkat seluler yang rentan terhadap serangan potensial yang akan menargetkan lima kelemahan tersebut.

Selengkapnya: BleepingComputer

Pemimpin Saat Ini dan Mantan Pemimpin: Militer AS Membutuhkan Cabang ke-7 Hanya untuk Siber

by

Sebuah asosiasi nasional pemimpin keamanan digital militer saat ini dan mantan pemimpin menyerukan Kongres untuk membentuk layanan cyber terpisah, dengan alasan bahwa kurangnya satu menciptakan risiko yang tidak perlu untuk keamanan nasional AS.

Dalam memorandum 26 Maret, Asosiasi Profesional Siber Militer mendesak anggota parlemen untuk membentuk Pasukan Siber A.S. dalam RUU kebijakan pertahanan tahunan tahun ini.

Memo tersebut menyatakan, sebuah layanan yang dapat memberikan tingkat fokus yang diperlukan untuk mencapai hasil optimal dalam domain yang diberikan.

Pembentukan Cyber Force akan mengikuti kedatangan Space Force pada tahun 2019, merupakan cabang baru militer AS yang pertama dalam 72 tahun, sehingga totalnya menjadi enam.

Ancaman digital yang ditimbulkan oleh musuh asing hanya berkembang dan berlipat ganda sejak Komando Cyber, unit perang digital militer, pertama kali didirikan pada tahun 2010.

Sementara itu, kekhawatiran tentang saluran bakat ke dalam komando telah menjadi masalah abadi di Capitol Hill.

Setiap persetujuan legislatif dari Cyber Force harus disertai dengan studi menyeluruh untuk menentukan seperti apa dinas militer, bagaimana penerapannya, dan garis waktu yang berlaku.

Mantan direktur eksekutif Cyberspace Solarium Commission mengatakan bahwa memo tersebut diperlukan karena pihaknya telah mencapai titik beroperasi secara tidak efisien, dengan berbagai layanan menyediakan pelatihan, pemeliharaan, dan peralatan untuk siber negara.

Selengkapnya: The Record

Jutaan Nomor SIM, Catatan Pribadi Dicuri dalam Serangan Siber Latitude

by

Hacker telah mencuri informasi pribadi jutaan orang di Australia dan Selandia Baru, menurut Latitude Financial pada Senin, saat mengumumkan tingkat kerusakan yang disebabkan oleh serangan siber pertama yang terdeteksi awal bulan ini.

Latitude Financial menyediakan layanan untuk pengecer besar Australia. Pada 16 Maret pihaknya mengamati aktivitas yang tidak biasa pada sistemnya yang tampaknya merupakan serangan siber canggih dan berbahaya, melibatkan pencurian dokumen identifikasi.

Pencurian tersebut melibatkan nomor surat izin mengemudi dari sekitar 7,9 juta orang di Australia dan Selandia Baru, 53.000 nomor paspor, dan 6,1 juta catatan lainnya setidaknya sejak tahun 2005 yang mencakup informasi pribadi.

Dari nomor SIM yang dicuri, 40% telah diberikan kepada perusahaan dalam satu dekade terakhir, sementara 94% catatan pribadi yang dicuri berasal dari sebelum 2013.

Menurut Latitude, serangan siber diyakini berasal dari vendor besar dan melibatkan penggunaan kredensial masuk karyawan untuk mencuri informasi pribadi yang dipegang oleh dua penyedia layanan lainnya.

Tidak ada aktivitas mencurigakan yang diamati dalam sistem Latitude pasca pengumuman serangan awal bulan ini.

Serangan tersebut merupakan yang terbaru yang berhasil menargetkan entitas Australia setelah Optus dihantam dengan pelanggaran data pada September dan Medibank menjadi korban bulan lalu.

Ketika Perdana Menteri Anthony Albanese dan pemerintahannya terpilih untuk memimpin negara itu tahun lalu, menurutnya keamanan siber negara tertinggal lima tahun.

Kabar terakhir dari Latitude Financial sekitar 330.000 orang yang terkena dampak pelanggaran telah dihubungi.

Selengkapnya: UPI

Menanggapi Scam Phishing LogMeIn

by

LogMeIn Hamachi adalah zero-configuration virtual private network (VPN) atau jaringan pribadi virtual tanpa konfigurasi. Hamachi merupakan aplikasi bagi-pakai yang didistribusikan secara bebas yang mampu membangun hubungan secara langsung antar-komputer yang terkoneksi ke dalam jaringan internet tanpa ada konfigurasi yang rumit, dengan kata lain, membentuk hubungan antar-komputer yang saling berjauhan melalui jaringan internet, seakan-akan komputer tersebut terhubung ke dalam jaringan lokal atau LAN.

Phishing LogMeIn sejalan dengan “penipuan pengembalian uang” yang dibuat oleh YouTuber di mana mereka menghabiskan waktu berjam-jam untuk menelepon para penipu untuk membuang-buang waktu.

Arch Cloud Labs berspekulasi dengan keyakinan sedang bahwa kemungkinan besar ini adalah penipuan meja Bantuan TI.

Informasi yang diperoleh dari memeriksa domain dalam kombinasi dengan situs WordPress yang salah konfigurasi, dan kurangnya aktivitas pasca-eksploitasi pada laptop yang terbentuk menunjukkan bahwa tujuannya adalah untuk menakut-nakuti pengguna agar membayar “layanan” tersebut.

Tidak jelas saat ini bagaimana scammer akan meminta uang (kartu kredit/cryptocurrency/money order/kartu hadiah amazon/dll).

Jenis penipuan ini bukanlah hal baru, tetapi masih relevan karena berhasil. Bicaralah dengan orang yang Anda cintai tentang penipuan ini, dan apa yang harus dilakukan jika mereka menghadapi situasi ini.

Sama seperti organisasi perusahaan yang memiliki rencana tanggap insiden untuk infrastrukturnya, Anda harus memilikinya untuk keluarga Anda.

Selengkapnya: Arch Cloud Labs