Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cybersecurity

Cybersecurity

Bug privasi Windows 11 Snipping Tool memperlihatkan konten gambar yang dipangkas

by

Sebuah cacat privasi serius bernama ‘acropalypse’ telah ditemukan mempengaruhi Snipping tool Windows dan Alat Markup Google Pixel.

Cacat ini memungkinkan pemulihan sebagian konten yang telah diedit dari gambar, yang dapat menimbulkan masalah privasi yang signifikan jika gambar tersebut memuat informasi sensitif seperti nomor kartu kredit atau wajah yang dihapus.

Para peneliti telah meluncurkan utilitas pemulihan tangkapan layar online untuk memulihkan gambar yang telah diedit dengan Google Pixel. Selain itu, Software engineer Chris Blume telah mengonfirmasi bahwa kelemahan privasi ‘acropalypse’ juga memengaruhi Alat Snipping Windows 11.

Ketika memotong atau mengedit file dalam Alat Snipping Windows 11, data yang tidak terpakai tidak dipotong dan dapat dipulihkan sebagian. Hal ini telah dikonfirmasi oleh pakar kerentanan.

Meskipun gambar yang dipotong sekarang berisi data yang jauh lebih sedikit daripada aslinya, ukuran file untuk file gambar asli (office-screenshot-original.png) dan file gambar yang dipotong (office-screenshot.png) sama, seperti yang terlihat di bawah.

Original and cropped images have the same file size
Source: BleepingComputer

Spesifikasi format file PNG mempersyaratkan agar file gambar PNG selalu diakhiri dengan potongan data ‘IEND’. Data apa pun yang ditambahkan setelah itu akan diabaikan oleh editor gambar dan penampil.

Sebagai contoh, di bawah ini adalah tangkapan layar asli yang saya ambil dari situs Microsoft. Seperti yang terlihat, file tersebut diakhiri dengan ‘IEND’ dan tidak mengandung data apapun setelah itu.

Potongan IEND di akhir gambar PNG asli
Sumber: BleepingComputer

Namun, menggunakan Snipping tool Windows 11 untuk menimpa gambar asli dengan versi yang dipotong, program tidak memotong data yang tidak digunakan dengan benar, dan tetap ada setelah potongan data IEND.

Data tidak terpotong setelah potongan data IEND
Sumber: BleepingComputer

Dalam penampil gambar, membuka file hanya akan menampilkan gambar yang dipotong, karena apapun setelah IEND pertama akan diabaikan. Namun, data yang tidak dipotong dapat digunakan untuk memulihkan bagian dari gambar asli yang berpotensi mengungkapkan informasi sensitif.

Saat ini, aplikasi pemulihan tangkapan layar acropalypse online tidak berfungsi dengan file Windows. Namun, Buchanan membagikan skrip Python yang dapat digunakan untuk memulihkan file Windows.

Perlu dicatat bahwa tidak semua file PNG terpengaruh oleh kelemahan ini, misalnya PNG yang dioptimalkan. Buchanan menjelaskan bahwa PNG asli disimpan dengan satu blok zlib, sedangkan tangkapan layar sebenarnya disimpan dengan beberapa blok zlib yang diperlukan untuk dieksploitasi.

Jika Anda membuka file PNG yang tidak terpotong di editor gambar seperti Photoshop dan menyimpannya ke file lain, data yang tidak digunakan akan dihapus sehingga tidak dapat dipulihkan lagi.

Alat Snipping di Windows 11 juga melakukan perilaku yang sama dengan file JPG, membiarkan data tidak terpotong jika ditimpa. Buchanan menegaskan bahwa saat ini eksploitasi tidak berfungsi pada file JPG, tetapi masih memungkinkan untuk dilakukan.

Sumber: Bleeping Computer

Setelah diretas, data dari raksasa teknologi Australia Atlassian dibuang secara online

by

Kru peretasan yang kurang dikenal bernama SiegedSec memposting data tentang ribuan karyawan Atlassian dan denah lantai untuk dua kantor vendor perangkat lunak Australia.

File karyawan yang diposting online Rabu berisi lebih dari 13.200 entri dan tinjauan sepintas terhadap file tersebut tampaknya menunjukkan beberapa data karyawan saat ini, termasuk nama, alamat email, departemen kerja, dan informasi lainnya. Denah lantai adalah untuk satu lantai kantor perusahaan di San Francisco dan satu lagi untuk kantornya di Sydney, Australia.

“BENAR SEKALI, SiegedSec di sini untuk mengumumkan bahwa kami telah meretas perusahaan perangkat lunak Atlassian,” kata sebuah pesan yang diposting dengan file tersebut. “Perusahaan senilai $44 miliar ini telah dimiliki oleh para peretas berbulu uwu.”

Perwakilan Atlassian awalnya memberi tahu CyberScoop melalui email pada hari Kamis bahwa pada 15 Februari perusahaan mengetahui bahwa data dari Utusan, aplikasi pihak ketiga yang digunakan Atlassian untuk mengoordinasikan sumber daya di kantor, diterbitkan secara online, tetapi bahwa “produk Atlassian dan data pelanggan ” adalah “tidak berisiko”. Perusahaan tersebut kemudian memberi tahu TechCrunch bahwa tinjauan internalnya mengungkapkan bahwa data tersebut diakses dari aplikasi Utusan “menggunakan kredensial karyawan Atlassian yang secara keliru diposting di repositori publik oleh karyawan tersebut.”

Seorang juru bicara Utusan memberi tahu CyberScoop bahwa sistem perusahaan tidak terganggu atau dilanggar. Orang tersebut mengatakan bahwa kedua perusahaan telah berkolaborasi untuk mengidentifikasi sumber kompromi data. “Kami menemukan bukti di log permintaan yang mengonfirmasi bahwa peretas memperoleh kredensial pengguna yang valid dari akun karyawan Atlassian dan menggunakan akses tersebut untuk mengunduh data yang terpengaruh dari aplikasi Envoy. Kami dapat mengonfirmasi bahwa sistem Utusan tidak disusupi atau dilanggar dan tidak ada data pelanggan lain yang diakses.”

Selengkapnya: Cyberscoop

Peretas Mengeksploitasi Cacat Eskalasi Hak Istimewa Microsoft Outlook di Alam Liar

by

Menanggapi penemuan kerentanan kritis di Microsoft Outlook, CVE-2023-23397, yang secara aktif dieksploitasi oleh pelaku ancaman, Cisco Talos mendesak semua pengguna Outlook untuk memperbarui klien email mereka sesegera mungkin setelah kerentanan ditemukan .

Sementara Microsoft kemudian menentukan bahwa aktivitas tersebut dihasilkan dari aktor yang berbasis di Rusia, dan mereka digunakan dalam serangan yang ditargetkan terhadap sejumlah organisasi.

Sebagai akibat dari eksploitasi kerentanan keamanan ini, serangan dilakukan antara pertengahan April dan Desember 2022. Selama ini, pelaku ancaman menargetkan dan menerobos jaringan sekitar 15 organisasi penting terkait dengan:-

  • Pemerintah
  • Militer
  • Energi
  • Transportasi

Detail Cacat
Kerentanan CVE-2023-23397 memengaruhi semua produk Microsoft Outlook yang berjalan di sistem operasi Windows. Ini adalah kerentanan di NTLM dan dapat dieksploitasi untuk pencurian kredensial untuk mendapatkan akses kaya ke organisasi melalui eskalasi kerentanan hak istimewa.

  • CVE ID: CVE-2023-23397
  • Dirilis: 14 Mar 2023, Terakhir diperbarui: 15 Mar 2023
  • Dampak: Peningkatan Hak Istimewa
  • Rangkuman: Peningkatan Kerentanan Privilege Microsoft Outlook
  • Keparahan: Kritis
  • Skor CVSS: 9.8

Pelaku ancaman dapat membuat email, undangan kalender, atau tugas yang berisi properti MAPI yang diperluas “PidLidReminderFileParameter.”

“PidLidReminderFileParameter” memungkinkan klien untuk menentukan nama file suara yang akan diputar saat pengingat untuk suatu objek terlambat.

Properti PidLidReminderFileParameter ini digunakan oleh penyerang untuk menentukan jalur ke share SMB yang dikendalikan oleh penyerang melalui Konvensi Penamaan Universal (UNC).

Penyerang mungkin dapat menggunakan hash Net-NTLMv2 yang dikirim oleh sistem yang rentan untuk melakukan serangan Relay NTLM terhadap sistem lain.

Mitigasi
Akibatnya, peneliti Microsoft telah menegaskan beberapa mitigasi utama yang harus diikuti organisasi sebagai tindakan pencegahan untuk menjaga diri mereka aman dari serangan cyber semacam ini:-

  • Menginstal tambalan, Microsoft menyediakan sesegera mungkin akan ideal untuk mengatasi kerentanan ini.
  • Untuk mencegah penggunaan NTLM sebagai metode otentikasi, pengguna harus menggunakan Grup Keamanan Pengguna yang Dilindungi.
  • Sangat penting bahwa Anda memblokir port keluar TCP/445 dari jaringan Anda untuk mencegah pesan NTLM meninggalkan jaringan.
  • Skrip yang dirilis oleh Microsoft memberi administrator kemampuan untuk mengaudit server Exchange mereka untuk item pesan yang memiliki PidLidReminderFileParameters yang disetel ke jalur Konvensi Penamaan Universal (UNC).
  • Admin harus membersihkan properti dan menghapus item berbahaya atau bahkan menghapus item secara permanen jika diperlukan dengan bantuan skrip ini.

Microsoft Outlook di Windows dipengaruhi oleh kerentanan eskalasi hak istimewa ini dengan tingkat keparahan 9,8, yang memengaruhi semua versi aplikasi.

Dengan mengirimkan email jahat ke target, penyerang dapat menggunakan kerentanan ini untuk mencuri kredensial NTLM mereka dalam hitungan detik.

Setiap kali Outlook terbuka, pengingat akan ditampilkan di sistem, dan tidak diperlukan interaksi dengan pengguna karena eksploitasi terjadi secara otomatis.

Singkatnya, sangat disarankan oleh analis keamanan bahwa admin harus segera menerapkan dan memeriksa semua mitigasi yang disarankan untuk mencegah serangan apa pun secara efektif.

selengkapnya : cybersecuritynews.com

Twitter diam saat peretas menipu pengguna dengan akun terverifikasi profil tinggi yang dicuri

by

Melihat Jase Robertson dan David Dayen, Anda tidak akan mengira keduanya memiliki banyak kesamaan. Robertson dikenal karena waktunya di acara TV realitas A&E Dinasti Bebek. Dia saat ini menjadi pembawa acara di outlet digital konservatif TheBlaze. David Dayen adalah jurnalis progresif lama dan editor eksekutif untuk majalah The American Prospect.

Namun, selama beberapa minggu terakhir, tweet dari akun Twitter Robertson dan Dayen telah membagikan pesan yang sama persis.

“Halo keluarga twitter!” memulai tweet yang diposting ke kedua akun. “Saya memiliki 10 MacBook yang akan saya tanda tangani sendiri, yang dapat Anda beli seharga $600 dan pengiriman gratis! Dasar siapa cepat dia dapat, dan semua hasilnya akan disumbangkan untuk amal! DMS SAYA DIBUKA JIKA TERTARIK”

Termasuk dalam tweet setiap akun adalah foto yang sama persis dari MacBook Pro yang duduk di lantai kayu. Apa yang terjadi di sini? Sudahkah Dayen dan Robertson mengesampingkan perbedaan politik mereka dan memulai bisnis penjualan kembali Apple?

Tidak. Mereka telah diretas, bersama dengan banyak akun terverifikasi lawas lainnya di platform media sosial. Dan, Twitter diam tentang masalah ini.

Meskipun beberapa dari akun ini telah diretas selama berminggu-minggu, Twitter belum menangguhkan akun tersebut, memungkinkan peretas untuk menipu pengguna ribuan dolar, jika tidak lebih.

Dayen memberi tahu Mashable bahwa dia awalnya diretas musim panas lalu setelah mengklik tautan jahat yang memberikan akses ke akunnya kepada aktor jahat. Dia mengatakan akunnya dengan cepat ditangguhkan oleh Twitter, jauh sebelum Elon Musk mengakuisisi perusahaan tersebut. Ketika dia mendapatkan kembali akses sekitar sebulan kemudian, Dayen dengan cepat mengaktifkan autentikasi dua faktor di akunnya. Memberlakukan langkah keamanan ini seharusnya membuat peretasan lain menjadi sangat sulit dilakukan.

Namun, di sini akun Twitter @ddayen, hanya 6 bulan kemudian, diretas dan menipu pengguna platform.

Selengkapnya: Mashable

Peretas dapat mengambil alih beberapa ponsel Samsung atau Pixel hanya dengan nomor telepon Anda

by

mereka mengaktifkan eksekusi kode jarak jauh hanya dengan nomor telepon korban. Hanya satu dari eksploitasi paling serius yang memiliki nomor Common Vulnerabilities and Exposures (CVE) yang ditetapkan secara publik, dengan Google menahan sejumlah CVE yang terkait dengan kerentanan ini dalam pengecualian yang jarang terjadi pada protokol pengungkapan bug normal.

Perangkat berikut terpengaruh, menurut Project Zero Google.

  • Samsung; S22, M33, M13, M12, A71, A53, A33, A21s, A13, A12 and A04 series;
  • Vivo; S16, S15, S6, X70, X60 and X30 series;
  • Seri perangkat Pixel 6 dan Pixel 7 dari Google; Dan
  • kendaraan apa pun yang menggunakan chipset Exynos Auto T5123.

Bug ini telah diperbaiki dalam pembaruan keamanan bulan Maret, yang sudah dimiliki oleh seri Pixel 7. Namun, seri Pixel 6 belum memilikinya, dan Google mengatakan bahwa pengguna yang menggunakan perangkat yang belum ditambal harus menonaktifkan Panggilan VoLTE dan Wi-Fi.

Adapun eksploitasi utama yang kami miliki informasinya, CVE-2023-24033, deskripsinya hanya mengatakan bahwa chipset modem baseband yang terpengaruh

Empat belas kerentanan lainnya (CVE-2023-26072, CVE-2023-26073, CVE-2023-26074, CVE-2023-26075, CVE-2023-26076, dan sembilan lainnya menunggu CVE) tidak begitu kritis tetapi masih membawa risiko kepada pengguna akhir. Agar eksploitasi berhasil, mereka membutuhkan “operator jaringan seluler jahat atau penyerang dengan akses lokal ke perangkat.”

Untuk pengguna yang menunggu pembaruan dan menggunakan perangkat yang terpengaruh, pastikan untuk menonaktifkan Panggilan VoLTE dan Wi-Fi untuk saat ini. Jika Anda memiliki pembaruan keamanan bulan Maret yang tersedia tetapi belum diperbarui, mungkin sudah waktunya untuk melakukannya.

selengkapnya : xda-developers.com

Geng Ransomware BianLian Mengalihkan Fokus ke Pemerasan Data Murni

by

Laporan yang disunting bahwa operator BianLian tetap mempertahankan akses awal dan teknik gerakan lateral yang sama dan terus menerapkan backdoor berbasis Go kustom yang memberi mereka akses jarak jauh pada perangkat yang disusupi, meskipun versinya sedikit lebih baik.

Pelaku ancaman memposting korban mereka dalam bentuk topeng secepat 48 jam setelah pelanggaran di situs pemerasan mereka, memberi mereka kira-kira sepuluh hari untuk membayar uang tebusan.

Pada 13 Maret 2023, BianLian telah mendaftarkan total 118 organisasi korban di portal pemerasan mereka, dengan sebagian besar (71%) adalah perusahaan yang berbasis di A.S.

Pada 13 Maret 2023, BianLian telah mendaftarkan total 118 organisasi korban di portal pemerasan mereka, dengan sebagian besar (71%) adalah perusahaan yang berbasis di A.S.

Korban BianLian sejak Juli 2022

Perbedaan utama yang terlihat dalam serangan baru-baru ini adalah bahwa BianLian berupaya memonetisasi pelanggarannya tanpa mengenkripsi file korban. Sebaliknya, sekarang hanya mengandalkan ancaman untuk membocorkan data yang dicuri.

“Grup berjanji bahwa setelah mereka dibayar, mereka tidak akan membocorkan data yang dicuri atau mengungkap fakta bahwa organisasi korban telah mengalami pelanggaran. BianLian menawarkan jaminan ini berdasarkan fakta bahwa “bisnis” mereka bergantung pada reputasi mereka,” sebut Disunting dalam laporan.

Tidak diketahui apakah BianLian mengabaikan taktik enkripsi karena Avast merusak enkripsi mereka atau karena peristiwa ini membantu mereka menyadari bahwa mereka tidak memerlukan bagian rantai serangan itu untuk memeras korban agar membayar uang tebusan.

Perlu disebutkan bahwa ketika Avast merilis decryptor gratisnya, BianLian meremehkan pentingnya, mengatakan itu hanya akan bekerja pada versi awal “musim panas 2022” dari ransomware dan akan merusak file yang dienkripsi oleh semua build berikutnya.

selengkapnya : bleepingcomputer

Spionase yang didukung China semakin sulit dikenali, kata para peneliti

by

Kelompok peretas yang diduga terkait dengan China terus membangun taktik baru yang menargetkan alat keamanan yang menghadap ke internet sebagai cara untuk secara diam-diam membobol beberapa organisasi yang paling kaya data, para peneliti di Mandiant milik Google memperingatkan.

Dari berita: Dalam sebuah laporan Kamis, para peneliti mengatakan mereka telah menemukan bug baru yang menargetkan perusahaan keamanan perangkat lunak Fortinet, yang membuat firewall, program antivirus, dan alat serupa. The Wall Street Journal pertama kali melaporkan bug baru tersebut.

  • Laporan baru ini adalah yang kelima yang dirilis Mandiant dalam dua tahun di mana tersangka peretas yang berafiliasi dengan China telah menargetkan alat keamanan yang terhubung ke internet. Pembuat produk lain yang terpengaruh termasuk SonicWall, VMware dan Citrix.
  • Charles Carmakal, chief technology officer di Mandiant, mengatakan kepada WSJ kemungkinan bahwa “masalahnya jauh lebih besar daripada yang kita ketahui sekarang.”

Apa yang mereka katakan: “Mengingat betapa sulitnya mereka ditemukan, sebagian besar organisasi tidak dapat mengidentifikasi mereka sendiri,” kata Carmakal dalam sebuah pernyataan kepada Axios. “Tidak jarang kampanye China berakhir sebagai gangguan selama bertahun-tahun.”

Gambaran besarnya: Pemerintahan Biden telah berfokus pada laser untuk menindak ancaman spionase dan peretasan yang terkait dengan China.

  • Pekan lalu, komunitas intelijen mengatakan dalam laporan ancaman di seluruh dunia tahun 2023 bahwa China adalah ancaman spionase siber “terluas, paling aktif, dan gigih” ke AS.
  • Awal pekan ini, Komite Investasi Asing di Amerika Serikat dilaporkan memberi tahu TikTok bahwa, karena pengawasan dan masalah keamanan nasional lainnya, itu akan dilarang di AS jika perusahaan induknya di China, ByteDance, menolak untuk menjual sahamnya.

Selengkapnya: Axios

Hentikan peniruan merek dengan Cloudflare DMARC Management

by

Di akhir tahun 2021 Cloudflare meluncurkan Pusat Keamanan, sebuah solusi terpadu yang menyatukan rangkaian produk keamanan dan kecerdasan Internet unik kami.

Ini memungkinkan tim keamanan untuk dengan cepat mengidentifikasi potensi risiko keamanan dan ancaman terhadap organisasi mereka, memetakan permukaan serangan mereka, dan memitigasi risiko ini hanya dengan beberapa klik. Sementara Pusat Keamanan awalnya berfokus pada keamanan aplikasi, kami sekarang menambahkan wawasan nol kepercayaan penting untuk lebih meningkatkan kemampuannya.

Ketika merek Anda dicintai dan dipercaya, pelanggan dan prospek menantikan email yang Anda kirimkan kepada mereka. Sekarang bayangkan mereka menerima email dari Anda: ada merek Anda, subjeknya menarik, ada tautan untuk mendaftar sesuatu yang unik — bagaimana mereka bisa menolak kesempatan itu?

Tetapi bagaimana jika email itu tidak berasal dari Anda? Bagaimana jika mengeklik tautan itu adalah penipuan yang membawa mereka ke jalur penipuan atau pencurian identitas? Dan bagaimana jika mereka mengira Anda yang melakukannya? Yang benar adalah, bahkan orang-orang yang berpikiran keamanan kadang-kadang tertipu oleh email spoof yang dibuat dengan baik.

Itu menimbulkan risiko bagi bisnis dan reputasi Anda. Risiko yang tidak ingin Anda ambil – tidak ada yang melakukannya. Peniruan identitas merek adalah masalah yang signifikan bagi organisasi secara global, dan itulah sebabnya kami membuat Manajemen DMARC – tersedia dalam versi Beta saat ini.

Dengan Pengelolaan DMARC, Anda memiliki wawasan penuh tentang siapa yang mengirim email atas nama Anda. Anda dapat menyetujui satu klik setiap sumber yang merupakan pengirim sah untuk domain Anda, lalu menyetel kebijakan DMARC untuk menolak email apa pun yang dikirim dari klien yang tidak disetujui.

Selengkapnya: Cloudflare