Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cybersecurity

Cybersecurity

Miliaran catatan telah diretas. Jadikan keamanan siber sebagai prioritas atau risiko bencana, analis memperingatkan

by

Lebih banyak catatan data telah disusupi pada tahun 2020 daripada gabungan 15 tahun terakhir, dalam apa yang digambarkan sebagai “krisis pelanggaran data” yang meningkat dalam studi terbaru dari perusahaan analisis Canalys.

Selama 12 bulan terakhir, 31 miliar catatan data telah dikompromikan, kata Canalys. Data ini naik 171% dari tahun sebelumnya, dan merupakan lebih dari setengah dari 55 miliar catatan data yang telah disusupi secara total sejak 2005.

Kasus ransomware telah meningkat, dengan jumlah insiden yang dilaporkan naik 60% dibandingkan tahun 2019.

Menurut Canalys, ledakan serangan yang belum pernah terjadi sebelumnya ini sebagian dapat dikaitkan dengan pandemi COVID-19, yang memaksa organisasi di seluruh dunia untuk mendigitalkan dengan cepat, tanpa cukup memikirkan persyaratan keamanan baru yang datang dengan melakukan bisnis online.

Sumber: Canalys

Digitalisasi bisnis yang serba cepat, pada dasarnya, telah membuka banyak vektor serangan baru untuk dieksploitasi oleh pelaku ancaman. Dengan karyawan yang sekarang mengakses informasi perusahaan dari banyak lokasi berbeda, dan lebih banyak data disimpan dan diproses di luar lingkungan TI tradisional berbasis kantor, diperlukan langkah-langkah keamanan baru. Namun bisnis tampaknya tidak menanggapi ini dengan cukup serius.

Dengan kata lain, laju transformasi digital tidak diimbangi dengan pengamanan jaringan yang memadai terhadap ancaman siber.

Sumber: Canalys

Canalys, sebagai akibatnya, meminta para eksekutif bisnis untuk mengubah pola pikir mereka dari “jika” pelanggaran akan mempengaruhi perusahaan mereka menjadi “kapan”. “Prioritaskan keamanan siber dan berinvestasi dalam memperluas perlindungan, deteksi, dan tindakan respons atau menghadapi bencana,” menyimpulkan laporan itu. “Ini adalah kenyataan pahit bagi organisasi pada tahun 2021. Bagi banyak orang, ini sudah terlambat.”

Sumber: ZDNet

Server Git PHP diretas untuk menambahkan backdoor ke kode sumber PHP

by

Dalam serangan rantai pasokan perangkat lunak terbaru, repositori resmi PHP Git diretas dan basis kode dirusak. Kemarin, dua komit berbahaya didorong ke repositori php-src Git yang dikelola oleh tim PHP di server git.php.net mereka. Aktor ancaman telah menandatangani komitmen ini seolah-olah ini dibuat oleh pengembang dan pengelola PHP terkenal, Rasmus Lerdorf dan Nikita Popov.

Backdoor RCE ditanam di server PHP Git
Dalam upaya untuk mengkompromikan basis kode PHP, dua komit berbahaya didorong ke repositori resmi PHP Git kemarin.

Insiden ini mengkhawatirkan mengingat PHP tetap menjadi bahasa pemrograman sisi server yang menguasai 79% situs web di Internet.

Penyerang mengupload perubahan misterius”perbaiki kesalahan ketik” dengan dalih koreksi tipografi kecil.

Namun, perhatikan baris 370 yang ditambahkan di mana fungsi zend_eval_string dipanggil, kode sebenarnya menanamkan backdoor untuk mendapatkan Remote Code Execution (RCE) yang mudah di situs web yang menjalankan versi PHP yang dibajak ini.

“Baris ini mengeksekusi kode PHP dari dalam header HTTP agen pengguna, jika string dimulai dengan ‘zerodium’,” kata pengembang PHP, Jake Birchall.

Selain itu, komit berbahaya dibuat atas nama pembuat PHP, Rasmus Lerdorf.

Tapi, itu tidak mengherankan karena dengan sistem kendali versi kode sumber seperti Git, adalah mungkin untuk menandatangani komit yang berasal dari orang lain secara lokal dan kemudian mengunggah komit yang dipalsukan ke server Git jarak jauh, di mana itu memberikan kesan sebagai jika memang telah ditandatangani oleh orang yang disebutkan di atasnya.

Meskipun penyelidikan lengkap atas insiden tersebut sedang berlangsung, menurut pengelola PHP, aktivitas berbahaya ini berasal dari server git.php.net yang disusupi, bukan akun Git individu.

Tim PHP juga merilis pernyataan rsmi seperti yang dilihat pada situs ini

Source : BleepingComputer

Serangan Ransomware di CompuCom Menghabiskan Biaya Pemulihan Lebih dari $ 20 Juta

by

CompuCom, penyedia layanan terkelola TI yang terkena serangan ransomware bulan lalu, mengungkapkan biaya yang menutupi insiden tersebut lebih dari $ 20 juta.

Sebagian dari jumlah tersebut diharapkan akan ditanggung oleh asuransi sibernya, dan semuanya akan digunakan untuk memulihkan layanan yang terpengaruh. Aktor ancaman di balik insiden ini adalah grup ransomware DarkSide, yang berhasil menyebarkan suar Cobalt Strike.

Suar yang ditanam di seluruh jaringan CompuCom memungkinkan grup ransomware mencuri data yang tidak dienkripsi dan mengenkripsi semua sistem yang terhubung. Sementara CompuCom dikatakan telah bertindak segera dan memutus beberapa sistem yang terpengaruh dari jaringan, kerusakan yang signifikan telah terjadi.

Mereka harus berhenti melayani beberapa kliennya untuk menangani insiden tersebut dan akhirnya menyelidiki masalah tersebut. Hal ini, seperti yang diungkapkan oleh perusahaan induk CompuCom, merugikan perusahaan lebih dari $ 20 juta, termasuk penghentian bisnis untuk sementara waktu.

Induk CompuCom, ODP Corporation, mengungkapkan bahwa mereka memiliki asuransi siber untuk infrastrukturnya, yang sekarang dapat membantu setengah dari biaya yang terjadi. CompuCom telah memberi tahu pengguna yang terpengaruh tentang insiden malware ketika serangan itu terjadi, tetapi tidak menyebutkan potensi serangan ransomware.

Sumber: Techdator

Nine meminta bantuan dari pemerintah setelah tertimpa serangan siber besar-besaran

by

Raksasa media Nine Entertainment Co telah meminta bantuan Direktorat Sinyal Australia setelah serangan siber besar menghantam sistem siarannya pada Minggu pagi.

Saat Nine bekerja untuk menyelesaikan masalah ini, Parlemen Australia juga menyelidiki potensi serangan siber di Canberra pada Minggu malam, yang memengaruhi ponsel cerdas dan tablet yang dikeluarkan pemerintah.

Asisten Menteri Pertahanan Andrew Hastie mengatakan pada Minggu malam bahwa dia “tidak terkejut” tentang serangan itu, yang menyebabkan masalah dengan operasi siaran langsung Nine dan sistem produksi cetak. Dia mengatakan itu adalah peringatan bagi semua bisnis bahwa mereka perlu mewaspadai potensi ancaman.

Seorang juru bicara Departemen Layanan Parlemen mengatakan pemerintah sedang bekerja untuk menyelidiki penyebab gangguan di Canberra, dengan Pusat Keamanan Siber Australia memberikan nasihat.

Direktur people and culter Nine, Vanessa Morley mengatakan perusahaan mungkin tidak dapat memulihkan sistem sepenuhnya untuk beberapa waktu dan menginstruksikan staf untuk bekerja dari rumah tanpa batas waktu. Asal dan motif serangan tidak jelas, tetapi tidak ada permintaan tebusan yang diajukan.

Sumber yang mengetahui diskusi di Nine mengatakan perusahaan telah melakukan pembicaraan dengan sejumlah besar pakar keamanan eksternal pada hari Minggu yang mengatakan mereka belum pernah melihat serangan semacam ini sebelumnya di Australia. Sumber tersebut mengatakan para ahli percaya itu adalah semacam ransomware yang kemungkinan dibuat oleh aktor yang disponsori negara.

Selengkapnya: Sydney Morning Herald

Hacker Iran Menggunakan Perangkat Lunak Utilitas Jarak Jauh untuk Memata-matai Sasarannya

by

Peretas yang diduga memiliki hubungan dengan Iran secara aktif menargetkan akademisi, lembaga pemerintah, dan entitas pariwisata di Timur Tengah dan kawasan tetangga sebagai bagian dari kampanye spionase yang ditujukan untuk pencurian data.

Dijuluki “Earth Vetala” oleh Trend Micro, temuan terbaru memperluas penelitian sebelumnya yang diterbitkan oleh Anomali bulan lalu, yang menemukan bukti aktivitas jahat yang ditujukan pada badan pemerintah UEA dan Kuwait dengan mengeksploitasi alat manajemen jarak jauh ScreenConnect.

Perusahaan keamanan siber mengaitkan serangan yang sedang berlangsung dengan keyakinan sedang dengan aktor ancaman yang secara luas dilacak sebagai MuddyWater, sebuah kelompok peretas Iran yang dikenal karena serangannya terutama terhadap negara-negara Timur Tengah.

Earth Vetala dikatakan telah memanfaatkan email spear-phishing yang berisi tautan tertanam ke layanan berbagi file populer yang disebut Onehub untuk mendistribusikan malware yang berkisar dari utilitas pembuangan kata sandi hingga pintu belakang khusus, sebelum memulai komunikasi dengan server perintah-dan-kontrol (C2) untuk menjalankan skrip PowerShell yang dikaburkan.

selengkapnya : thehackernews.com

Ternyata Kampanye Peretasan Canggih Ini Sebenarnya Karya ‘Operator Pemerintah Barat’

by

Sebuah kampanye peretasan canggih yang sebelumnya disaksikan menargetkan kelemahan keamanan di perangkat Android, Windows dan iOS sebenarnya adalah pekerjaan “operasi pemerintah Barat” yang melakukan “counterterrorism operation,,” menurut laporan baru dari MIT Technology Review.

Kampanye tersebut, yang telah mendapatkan lebih banyak perhatian dari outlet media selama beberapa minggu terakhir, pertama kali ditulis pada bulan Januari oleh tim riset ancaman Google Project Zero. Pada saat itu, semua yang diketahui publik adalah bahwa seseorang telah melakukan beberapa bisnis yang sangat rumit: kelompok “sangat canggih”, kemungkinan dikelola oleh “tim ahli”, bertanggung jawab untuk menargetkan banyak kerentanan zero-day (total keseluruhan kemudian berubah menjadi 11) di berbagai sistem operasi terkemuka, tulis para peneliti.

Kampanye peretasan ini, yang berlangsung selama sekitar sembilan bulan, menggunakan apa yang disebut metode “watering hole” — di mana pelaku ancaman menyuntikkan kode berbahaya ke situs web untuk secara efektif “menjebak jebakan” (pengunjung situs kemudian akan terinfeksi perangkat lunak perusak, yang memungkinkan peretas menargetkan dan meningkatkan penyusupan target tertentu).

Dari semua deskriptor ini, tanda-tanda secara alami menunjuk pada keterlibatan semacam peretas negara-bangsa tingkat tinggi — meskipun hanya sedikit yang akan menduga bahwa pelakunya adalah, sebenarnya, teman kita! Namun demikian, tampaknya itulah masalahnya. Tidak jelas apa yang sebenarnya menjadi tanggung jawab pemerintah atas serangan tersebut, siapa targetnya, atau apa yang disebut operasi “kontraterorisme” terkait dengan semua ini. MIT belum membocorkan bagaimana mereka mendapatkan informasi ini.

Satu hal yang pasti: Penemuan Google dan pengungkapan publik berikutnya atas eksploitasi (serta keputusan perusahaan untuk menambal kerentanan) tampaknya telah menggagalkan operasi pemerintah apa pun yang terjadi. MIT menulis bahwa, dengan go public, perusahaan teknologi secara efektif menutup misi dunia maya “kontraterorisme langsung”, juga menambahkan bahwa “tidak jelas apakah Google memberikan pemberitahuan sebelumnya kepada pejabat pemerintah bahwa mereka akan mempublikasikan dan menghentikan” serangan tersebut. Hal ini rupanya “menyebabkan perpecahan internal di Google dan menimbulkan pertanyaan di dalam komunitas intelijen Amerika Serikat dan sekutunya”.

Ada banyak pertanyaan di sini, tentu saja. Pertama, pemerintah apa yang melakukan ini? Apa ancaman “teror” yang mereka selidiki? Situs web mana yang digunakan untuk mengejar teroris tersebut? Mengingat sifat politik sensitif dari jenis operasi ini, kecil kemungkinan kami akan mendapatkan jawaban untuk pertanyaan tersebut — setidaknya tidak langsung. Tetapi karena informasi yang tersedia sangat sedikit, juga cukup sulit untuk memahami apakah Project Zero dibenarkan dalam menjalankan operasi tersebut atau tidak, atau bahkan apa yang terjadi di sini.

sumber : gizmodo.com

Operator A.S. Memperbaiki Kerentanan Perutean SMS yang Memungkinkan Peretas Membajak Teks

by

Operator besar di A.S. seperti Verizon, T-Mobile, dan AT&T telah membuat perubahan tentang bagaimana pesan SMS dirutekan untuk menghentikan kerentanan keamanan yang memungkinkan peretas untuk mengubah rute teks, menurut Motherboard.

Operator memperkenalkan perubahan tersebut setelah investigasi Motherboard minggu lalu mengungkapkan betapa mudahnya bagi peretas untuk mengubah rute pesan teks dan menggunakan informasi yang dicuri untuk membobol akun media sosial. Situs tersebut membayar peretas $ 16 untuk mengubah rute teks menggunakan alat perusahaan bernama Sakari, yang membantu bisnis dengan pemasaran massal.

Sakari menawarkan alat perutean teks dari sebuah perusahaan bernama Bandwidth, yang dipasok oleh perusahaan lain bernama NetNumber, mengakibatkan jaringan perusahaan yang membingungkan berkontribusi pada kerentanan yang membuat teks SMS terbuka untuk peretas (Motherboard memiliki informasi lebih lanjut tentang proses dalam aslinya artikel). Peretas yang disewa oleh Motherboard dapat mengakses alat Sakari tanpa otentikasi atau persetujuan dari target perutean ulang, berhasil mendapatkan teks dari telepon uji Motherboard.

Sakari dimaksudkan untuk memungkinkan bisnis mengimpor nomor telepon mereka sendiri untuk mengirim teks massal, yang berarti bisnis dapat menambahkan nomor telepon untuk mengirim dan menerima teks melalui platform Sakari. Peretas dapat menyalahgunakan alat ini dengan mengimpor nomor telepon korban untuk mendapatkan akses ke pesan teks orang tersebut.

Aerialink, sebuah perusahaan komunikasi yang membantu merutekan pesan teks, mengatakan hari ini mengatakan bahwa operator nirkabel tidak lagi mendukung teks SMS atau MMS yang memungkinkan pada nomor nirkabel, sesuatu yang “mempengaruhi semua penyedia SMS di ekosistem seluler.” Ini akan mencegah peretasan yang ditunjukkan oleh Motherboard minggu lalu agar tidak berfungsi.

Tidak jelas apakah metode perutean ulang teks ini banyak digunakan oleh peretas, tetapi lebih mudah dilakukan daripada metode peretasan ponsel cerdas lainnya seperti pertukaran SIM. Seorang peneliti Security Research Labs mengatakan bahwa dia belum pernah melihatnya sebelumnya, sementara peneliti lain mengatakan itu “benar-benar” digunakan.

sumber : www.macrumors.com

Tagged With:

FBI mengungkap kelemahan dalam ransomware Mamba, DiskCryptor

by

Peringatan dari Biro Investigasi Federal A.S. tentang ransomware Mamba mengungkapkan titik lemah dalam proses enkripsi yang dapat membantu organisasi yang ditargetkan pulih dari serangan tanpa membayar uang tebusan.

FBI memperingatkan bahwa serangan ransomware Mamba telah diarahkan pada entitas di sektor publik dan swasta, termasuk pemerintah daerah, agen transportasi, layanan hukum, layanan teknologi, industri, komersial, manufaktur, dan bisnis konstruksi.

Mamba ransomware (alias HDDCryptor) mengandalkan solusi perangkat lunak sumber terbuka bernama DiskCryptor untuk mengenkripsi komputer korban di latar belakang dengan kunci yang ditentukan oleh penyerang.

FBI menjelaskan bahwa menginstal DiskCryptor memerlukan restart sistem untuk menambahkan driver yang diperlukan, yang terjadi dengan Mamba sekitar dua menit setelah menerapkan program.

Agensi tersebut selanjutnya mencatat bahwa kunci enkripsi dan variabel waktu penonaktifan disimpan dalam konfigurasi DiskCryptor, sebuah file plaintext bernama myConf.txt.

Sistem restart kedua terjadi setelah proses enkripsi selesai, sekitar dua jam kemudian, dan catatan tebusan muncul.

Karena tidak ada perlindungan di sekitar kunci enkripsi, karena disimpan dalam bentuk plaintext, FBI mengatakan bahwa jeda dua jam ini adalah peluang bagi organisasi yang terkena ransomware Mamba untuk memulihkannya.

Selengkapnya: Bleeping Computer