Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cybersecurity

Cybersecurity

Apple akan menonaktifkan TLS tidak aman di iOS mendatang, rilis macOS

by

Apple telah menghentikan protokol Transport Layer Security (TLS) 1.0 dan 1.1 yang tidak aman dalam versi iOS dan macOS yang baru-baru ini diluncurkan dan berencana untuk menghapus dukungan di rilis mendatang.

TLS adalah protokol komunikasi aman yang dirancang untuk melindungi pengguna dari penyadapan, gangguan, dan pemalsuan pesan saat mengakses dan bertukar informasi melalui koneksi Internet menggunakan aplikasi klien/server.

Spesifikasi TLS 1.0 asli dan penerusnya TLS 1.1 telah digunakan selama hampir 20 tahun (dengan TLS 1.0 pertama kali ditetapkan pada 1999 dan TLS 1.1 pada 2006).

Internet Engineering Task Force (IETF) menyetujui TLS 1.3, versi utama berikutnya dari protokol TLS, pada Maret 2018, setelah empat tahun diskusi dan 28 draf protokol.

“Sebagai bagian dari upaya berkelanjutan untuk memodernisasi platform, dan untuk meningkatkan keamanan dan keandalan, TLS 1.0 dan 1.1 telah dihentikan oleh Internet Engineering Task Force (IETF) mulai 25 Maret 2021,” kata Apple.

“Versi ini tidak digunakan lagi di platform Apple pada iOS 15, iPadOS 15, macOS 12, watchOS 8, dan tvOS 15, dan dukungan akan dihapus di rilis mendatang.”

Perusahaan menyarankan pengembang yang aplikasinya masih menggunakan protokol TLS lama untuk mulai merencanakan transisi ke TLS 1.2 atau lebih tinggi dalam waktu dekat.

Pembaruan Apple mengikuti pengumuman bersama dari Microsoft, Google, Apple, dan Mozilla mulai Oktober 2018, mengatakan bahwa keempat organisasi tersebut akan mulai menghentikan protokol TLS yang tidak aman mulai paruh pertama tahun 2020.

Selengkapnya: Bleeping Computer

Peretas Sedang Memindai Target VMware CVE-2021-22005, Patch Sekarang!

by

Pelaku ancaman sudah mulai menargetkan server VMware vCenter yang terpapar Internet yang tidak ditambal terhadap kerentanan pengunggahan file kritis yang ditambal kemarin yang dapat menyebabkan eksekusi kode jarak jauh.

Cacat keamanan yang dilacak sebagai CVE-2021-22005 berdampak pada semua penerapan vCenter Server 6.7 dan 7.0 dengan konfigurasi default.

Cacat ini dilaporkan oleh George Noseevich dan Sergey Gerasimov dari SolidLab LLC, dan penyerang yang tidak diautentikasi dapat mengeksploitasinya dari jarak jauh dalam serangan dengan kompleksitas rendah tanpa memerlukan interaksi pengguna.

Sementara kode exploit belum tersedia untuk umum, aktivitas pemindaian yang sedang berlangsung sudah terlihat oleh perusahaan intelijen ancaman Bad Packets, dengan beberapa VMware honeypots merekam penyerang yang menyelidiki keberadaan bug kritis hanya beberapa jam setelah VMware merilis pembaruan keamanan.

Saat ini, ribuan server vCenter yang berpotensi rentan dapat dijangkau melalui Internet dan terkena serangan, menurut mesin pencari Shodan untuk perangkat yang terhubung ke Internet.

Pemindaian yang sedang berlangsung ini mengikuti peringatan yang dikeluarkan oleh VMware kemarin untuk menyoroti pentingnya menambal server terhadap bug CVE-2021-22005 sesegera mungkin.

Perusahaan menyediakan solusi yang mengharuskan admin untuk mengedit file teks pada alat virtual dan memulai ulang layanan secara manual atau menggunakan skrip untuk menghapus vektor eksploitasi.

VMware juga menerbitkan dokumen FAQ terperinci dengan pertanyaan dan jawaban tambahan mengenai cacat CVE-2021-22005.

Selengkapnya: Bleeping Computer

Epik Konfirmasi Peretasan Yang Menimpa Sistemnya

by

Epik, pendaftar domain yang dikenal sebagai hosting beberapa organisasi sayap kanan besar, telah mengkonfirmasi peretasan sistemnya, seminggu setelah penyerang yang menyebut diri mereka sebagai bagian dari kolektif peretas Anonymous mengatakan bahwa mereka telah memperoleh dan membocorkan data berukuran gigabit dari perusahaan hosting, termasuk 15 juta alamat email.

“Pada 15 September, kami mengonfirmasi bahwa informasi akun pelanggan tertentu untuk sistem terkait domain kami diakses dan diunduh oleh pihak ketiga yang tidak sah,” tweet perusahaan tersebut, yang menyebut dirinya “Bank Domain Swiss” di situs webnya.

Peneliti keamanan juga telah men-tweet salinan pemberitahuan pelanggaran data perusahaan yang dikirim ke pelanggan, yang mendesak pengguna untuk memantau aktivitas jahat yang melibatkan “informasi apa pun yang digunakan untuk layanan [Epik],” termasuk nomor kartu kredit, nama terdaftar, alamat email, nama pengguna dan kata sandi.

Menurut kelompok penyerang yang berafiliasi dengan Anonymous, yang mengeluarkan siaran pers yang diperoleh oleh jurnalis independen Steven Monacelli, peretasan tersebut merupakan pembalasan atas kebiasaan Epik yang menghosting situs web alt-right yang dipertanyakan.

Sementara itu, ada bukti bahwa non-pelanggan juga terjebak dalam pelanggaran tersebut. Troy Hunt dari HaveIBeenPwned mengatakan bahwa informasi mengenai dirinya adalah bagian dari data dump, meskipun tidak pernah bertransaksi dengan Epik. Dia melihat lebih jauh ke dalam situasi dan memutuskan bahwa Epik terlibat dalam data-scraping.

Selengkapnya: The Threat Post

Payment API Mengekspos Jutaan Data Pembayaran Pengguna

by

Pengembang aplikasi sekali lagi dituduh memiliki butterfingers dalam hal kunci API, membuat jutaan pengguna aplikasi seluler berisiko mengekspos data pribadi dan pembayaran mereka.

CloudSEK, pembuat kecerdasan buatan yang mengaktifkan perlindungan ancaman digital, melaporkan minggu lalu bahwa bahwa berbagai perusahaan yang melayani jutaan pengguna memiliki aplikasi seluler dengan kunci API yang di-hardcode dalam paket aplikasi: Kunci yang tidak boleh diekspos di aplikasi endpoint.

“Meskipun paparan kunci API yang merajalela berbahaya untuk aplikasi apa pun, ini sangat penting ketika menyangkut aplikasi yang menangani informasi pembayaran seperti detail bank, informasi kartu kredit, dan transaksi UPI, selain pengguna [personally identifiable information, atau PII]. ],” menurut laporan CloudSEK.

API – antarmuka pemrograman aplikasi – adalah urat nadi dan arteri ekosistem seluler, memungkinkan aplikasi berkomunikasi dengan berbagai sumber dan memindahkan data masuk dan keluar dari aplikasi tersebut. Ini adalah bagian “integral” dari cara kerja aplikasi, kata CloudSEK, yang berarti bahwa pengembang aplikasi harus menanganinya dengan sangat hati-hati untuk menghindari kebocoran data pelanggan: “Setiap kesalahan penanganan kunci API yang sistematis di antara pengembang aplikasi dapat menyebabkan ancaman bagi bisnis aplikasi,” para peneliti menyampaikan.

Para peneliti fokus pada 13.000 aplikasi yang saat ini diunggah ke mesin pencari keamanan aplikasi seluler CloudSEK, BeVigil, sekitar 250 di antaranya – sekitar 5 persen – menggunakan Razorpay API untuk menggerakkan transaksi keuangan.

CloudSEK menegaskan, eksposur kunci API menjadi “bukti bagaimana kunci API salah ditangani oleh pengembang aplikasi.”

Selengkapnya: The Threat Post

Geng Ransomware Cring Mengeksploitasi Bug ColdFusion Berusia 11 Tahun

by

Pelaku ancaman tak dikenal melanggar server yang menjalankan perangkat lunak ColdFusion 9 versi 11 tahun yang belum ditambal dalam hitungan menit untuk mengambil alih kendali dari jarak jauh dan menyebarkan ransomware Cring di jaringan target 79 jam setelah peretasan.

Server, yang dimiliki oleh perusahaan layanan yang tidak disebutkan namanya, digunakan untuk mengumpulkan data absen dan akuntansi untuk penggajian serta untuk menampung sejumlah mesin virtual, menurut laporan yang diterbitkan oleh Sophos dan dibagikan dengan The Hacker News. Serangan tersebut berasal dari alamat internet yang ditetapkan untuk ISP Green Floid Ukraina.

Perusahaan perangkat lunak keamanan Inggris mengatakan “pembobolan cepat” dimungkinkan dengan mengeksploitasi instalasi Adobe ColdFusion 9 berusia 11 tahun yang berjalan pada Windows Server 2008, yang keduanya telah mencapai akhir masa pakainya (end-of-life).

Setelah mendapatkan pijakan awal, penyerang menggunakan berbagai metode canggih untuk menyembunyikan file mereka, menyuntikkan kode ke dalam memori, dan menutupi jejak mereka dengan menimpa file dengan data yang kacau, belum lagi melucuti produk keamanan dengan memanfaatkan fakta bahwa fungsi proteksi gangguan dimatikan.

Khususnya, musuh mengambil keuntungan dari CVE-2010-2861, satu set kerentanan traversal direktori di konsol administrator di Adobe ColdFusion 9.0.1 dan sebelumnya yang dapat disalahgunakan oleh penyerang jarak jauh untuk membaca file apapun, seperti yang berisi hash kata sandi administrator (“password.properties”).

Pada tahap berikutnya, aktor jahat diyakini telah mengeksploitasi kerentanan lain di ColdFusion, CVE-2009-3960, untuk mengunggah file Cascading Stylesheet (CSS) berbahaya ke server, akibatnya menggunakan itu untuk memuat Cobalt Strike Beacon yang dapat dieksekusi.

Selengkapnya: The Hacker News

Hati-hati Peringatan “Security Certificate is out of date” Palsu

by Leave a Comment

Situs yang diretas mendorong TeamViewer menampilkan peringatan sertifikat kedaluwarsa palsu untuk mengunduh penginstal palsu berbahaya.

Server Windows IIS ter-compromised menambahkan halaman pemberitahuan sertifikat kedaluwarsa.

Layanan Informasi Internet (IIS) adalah perangkat lunak server web Microsoft Windows yang disertakan dengan semua versi Windows sejak Windows 2000, XP, dan Server 2003.

Pesan yang ditampilkan di halaman kesalahan kedaluwarsa sertifikat berbahaya berbunyi: “Mendeteksi potensi risiko keamanan dan tidak memperpanjang transisi ke [nama situs]. Memperbarui sertifikat keamanan memungkinkan koneksi ini berhasil. NET::ERR_CERT_OUT_OF_DATE.”

Contoh Tampilan Server IIS yang Diretas

Seperti yang diamati oleh peneliti keamanan Malwarebytes Threat Intelligence, malware masuk melalui penginstal pembaruan palsu [VirusTotal] yang ditandatangani dengan sertifikat Digicert.

Payload yang dijatuhkan pada sistem yang terinfeksi adalah TVRAT (antara lain TVSPY, TeamSpy, TeamViewerENT, atau Team Viewer RAT), sebuah malware yang dirancang untuk memberi operatornya akses jarak jauh penuh ke host yang terinfeksi.

Setelah disebarkan pada perangkat yang terinfeksi, malware akan diam-diam menginstal dan meluncurkan perangkat lunak kendali jarak jauh TeamViewer.

TeamViewer yang TVRAT Instal

Setelah diluncurkan, server TeamViewer akan menjangkau server perintah-dan-kontrol (C2) untuk memberi tahu penyerang bahwa mereka dapat mengambil kendali penuh dari komputer yang baru disusupi dari jarak jauh.

TVRAT pertama kali muncul pada tahun 2013 ketika dikirimkan melalui kampanye spam sebagai lampiran berbahaya yang menipu target untuk mengaktifkan makro Office.

Status Server IIS Rentan dan Ditargetkan
Untuk sementara metode yang digunakan oleh penyerang untuk mengkompromikan server IIS belum diketahui, penyerang dapat menggunakan berbagai cara untuk menembus server Windows IIS.

Misalnya, mengeksploitasi kode yang menargetkan kerentanan wormable kritis yang ditemukan di HTTP Protocol Stack (HTTP.sys) yang digunakan oleh server web Windows IIS telah tersedia untuk umum sejak Mei.

Microsoft menambal kelemahan keamanan (dilacak sebagai CVE-2021-31166) selama Patch Mei Selasa dan mengatakan itu hanya berdampak pada Windows 10 versi 2004/20H2 dan Windows Server versi 2004/20H2.

Belum ada aktivitas jahat yang menyalahgunakan kelemahan ini sejak patch itu dan, sebagian besar target potensial kemungkinan aman dari serangan mengingat pengguna rumahan dengan versi Windows 10 terbaru akan memperbarui dan perusahaan biasanya tidak menggunakan versi Window Server terbaru.

sumber berita: Bleeping Computer

Cara Memperbaiki Network Printing Error Windows 0x00000011b

by

Pembaruan keamanan Windows yang dirilis pada bulan Januari menyebabkan pengguna Windows mengalami error 0x00000011b saat mencetak ke printer jaringan.

Pada Januari 2021, Microsoft merilis pembaruan keamanan untuk memperbaiki ‘Windows Print Spooler Spoofing Vulnerability‘ yang dilacak sebagai CVE-2021-1678.

“Kerentanan ada dalam cara Printer Remote Procedure Call (RPC) menghubungkan otentikasi untuk interface Winspool jarak jauh,” jelas support bulletin tentang kerentanan.

Saat pembaruan keamanan dirilis, pembaruan tersebut tidak secara otomatis melindungi perangkat dari kerentanan. Namun, menambahkan kunci Registry baru yang dapat digunakan admin untuk meningkatkan tingkat otentikasi RPC yang digunakan untuk pencetakan jaringan untuk mengurangi kerentanan.

Dengan kata lain, pembaruan keamanan ini tidak memperbaiki kerentanan apa pun kecuali jika administrator Windows membuat kunci Registri berikut:

Namun, dalam pembaruan keamanan 14 September Patch Tuesday bulan ini, Microsoft secara otomatis mengaktifkan pengaturan ini secara default untuk setiap perangkat Windows meskipun pengaturan Registry itu tidak dibuat.

Setelah mitigasi ini diaktifkan secara default, pengguna Windows mulai mengalami kesalahan 0x00000011b saat mencetak ke printer jaringan.

Kesalahan pencetakan ini terutama terlihat di pengusaha bisnis kecil dan jaringan rumah yang tidak dapat memanfaatkan pengaturan Kerberos di domain Windows.

Menghapus pembaruan keamanan Windows September akan memperbaiki masalah, tetapi sekarang perangkat akan rentan terhadap dua kerentanan, PrintNightmare dan MSHTML, yang secara aktif dieksploitasi oleh threat actors.

Metode yang lebih baik adalah menonaktifkan mitigasi untuk CVE-2021-1678 sampai Microsoft mengeluarkan panduan baru, karena kerentanan tersebut tidak dieksploitasi secara aktif.

Cara memperbaiki kesalahan pencetakan 0x00000011b
Untuk memperbaiki kesalahan pencetakan 0x00000011b baru-baru ini tanpa menghapus Pembaruan Windows saat ini (KB5005565), Anda dapat menonaktifkan mitigasi CVE-2021-1678 yang diaktifkan secara default bulan ini.

Untuk melakukannya, buka Windows Registry Editor dan arahkan ke kunci HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Print, buat nilai DWORD-32 bit baru bernama RpcAuthnLevelPrivacyEnabled, dan atur ke 0, seperti yang ditunjukkan pada file Registry di bawah.

Untuk membuatnya lebih mudah untuk menambahkan perubahan ini, Anda dapat menggunakan file Registry fix-0x000011b.reg untuk menambahkannya untuk Anda.

Unduh file ini di server cetak Anda dan perangkat Windows Anda yang terhubung dengannya, klik dua kali di atasnya, dan izinkan data untuk digabungkan.

RpcAuthnLevelPrivacyEnabled mitigation disabled

Setelah Anda menonaktifkan mitigasi ini, Anda tidak akan lagi terlindungi dari kerentanan, tetapi mudah-mudahan akan memungkinkan Anda untuk mencetak lagi.

Jika ini tidak menyelesaikan masalah Anda, gunakan enable-RpcAuthnLevel.reg untuk kembali ke default Windows.

Sumber: Bleeping Computer

Polisi Membubarkan Grup Penipuan Online yang Berhasil Meraup 166 Triliun Rupiah

by

Polisi melakukan 106 penangkapan dalam membubarkan kegiatan kejahatan terorganisir yang menggunakan phishing dan business email compromise attacks.

Polisi telah membongkar grup yang terkait dengan mafia Italia yang menipu ratusan korban melalui serangan phishing dan jenis penipuan online lainnya.

Operasi gabungan dipimpin oleh Polisi Nasional Spanyol (Policia Nacional), dengan dukungan dari Polisi Nasional Italia (Polizia di Stato), Europol dan Eurojust dan telah mengakibatkan 106 penangkapan di seluruh Spanyol dan Italia.

Menurut Europol, operasi kejahatan menggunakan serangan phishing, pertukaran SIM, dan business email compromise (BEC) dan diperkirakan menghasilkan keuntungan selama satu tahun sekitar € 10 juta yang setara dengan $ 11,7 juta dollar amerika atau 166 triliun rupiah.

Digambarkan sebagai “terorganisir dengan sangat baik”, kelompok itu terdiri dari sejumlah pakar kejahatan komputer yang bertugas membuat domain phishing dan melakukan penipuan dunia maya. Individu lain yang terlibat dalam jaringan kriminal ada perantara uang dan pakar pencucian uang(money-laundering), termasuk pakar cryptocurrency.

Bekerja di Kepulauan Canary, Spanyol, para penjahat menipu para korban (kebanyakan dari Italia) untuk mengirim sejumlah besar uang ke rekening bank yang mereka kendalikan, sebelum melakukan money-laundering.

Menurut FBI, BEC adalah salah satu bentuk kejahatan dunia maya yang paling menguntungkan, meraup sampai sampai miliaran dollar per tahun.

Selain 106 penangkapan, 118 rekening bank telah dibekukan dan sejumlah perangkat telah disita, termasuk 224 kartu kredit, kartu SIM, dan terminal point-of-sale.

Polisi menyelidiki kelompok itu selama lebih dari setahun sebelum melakukan penangkapan. Sebagai bagian dari operasi, Europol mengerahkan dua analis dan satu ahli forensik ke Tenerife, Spanyol dan satu analis ke Italia. Europol juga mendanai pengerahan tiga penyelidik Italia ke Tenerife untuk mendukung pihak berwenang Spanyol selama penyelidikan.

source: ZDNet