Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cybersecurity

Cybersecurity

Linux Marketplace rentan terhadap serangan RCE dan rantai pasokan

by

Peneliti menemukan kerentanan keamanan stored cross-site-scripting (XSS) yang tidak ditambal yang memengaruhi Linux marketplace dan dapat memungkinkan serangan rantai pasokan yang dapat menyebar luas.

Bug tersebut ditemukan mempengaruhi pasar berbasis Pling oleh para peneliti di Positive Security, termasuk AppImage Hub, Gnome-Look, KDE Discover App Store, Pling.com dan XFCE-Look.

Aplikasi PlingStore dipengaruhi oleh kerentanan eksekusi kode jarak jauh (RCE) yang belum ditambal, yang menurut para peneliti dapat dipicu dari situs web mana pun saat aplikasi sedang berjalan – memungkinkan serangan drive-by.

PlingStore adalah penginstal dan aplikasi manajemen konten yang bertindak sebagai etalase digital terkonsolidasi untuk berbagai situs yang menawarkan perangkat lunak dan plugin Linux.

Tim Pling tidak dapat dihubungi, menurut Fabian Bräunlein dengan Positive Security, menulis dalam sebuah posting blog pada hari Selasa – “itulah sebabnya kami memutuskan untuk mempublikasikan kerentanan yang belum ditambal ini untuk memperingatkan pengguna,” katanya.

Bug Stored XSS pertama kali ditemukan mempengaruhi KDE Discover. Stored XSS, juga dikenal sebagai XSS persisten, terjadi ketika skrip berbahaya disuntikkan langsung ke aplikasi web yang rentan. Tidak seperti reflected XSS, serangan stored XSS hanya mengharuskan korban mengunjungi halaman web yang disusupi.

Pada dasarnya, salah satu aset yang dapat diunduh mungkin telah disusupi, jadi pengguna harus diperingatkan bahwa setiap daftar di salah satu pasar yang terpengaruh dapat membajak akun pengguna di platform melalui XSS, kata Bräunlein.

Selengkapnya: Threat Post

Microsoft Memperingatkan Bahwa Peretas Menggunakan Call Center untuk Menipu Pengguna agar Mengunduh Ransomware

by

Microsoft memperingatkan bahwa kelompok kejahatan siber bernama BazarCall menggunakan pusat panggilan untuk mengelabui pengguna agar menginstal malware yang kuat, ZDNet melaporkan pada hari Rabu.

Malware yang dimaksud, yang dikenal sebagai BazarLoader, telah digunakan untuk mendistribusikan ransomware, yang mengenkripsi komputer atau sistem file jaringan yang ditargetkan dan biasanya mengirimkan permintaan tebusan yang harus dibayar dalam mata uang kripto untuk menyelamatkannya.

Menurut analis intelijen ancaman Palo Alto Networks Brad Duncan, BazarLoader “menyediakan akses pintu belakang ke host Windows yang terinfeksi” dan infeksi biasanya “mengikuti pola aktivitas yang berbeda.” Sejak Februari 2021, tulis Duncan, peneliti keamanan telah memperhatikan pola aktivitas call center yang tidak biasa dalam infeksi BazarLoader.

Duncan menulis bahwa langkah pertama dalam rantai itu adalah email phishing yang menginformasikan target bahwa langganan percobaan untuk beberapa layanan telah berakhir dan akan segera ditagih, mencantumkan nomor telepon untuk dukungan pelanggan.

Saat dihubungi, operator pusat panggilan mengarahkan target untuk mengunduh spreadsheet Excel yang terinfeksi, mengaktifkan makro di dalamnya, dan kemudian memberi tahu mereka bahwa mereka telah berhasil berhenti berlangganan dari layanan. Tanpa sepengetahuan target, BazarLoader sekarang mengendalikan mesin mereka dan dapat mengunduh malware apa pun yang diinginkan orang yang berada di balik peretasan tersebut.

Selengkapnya: Gizmodo

Agensi Siber mengatakan peretasan SolarWinds dapat dicegah dengan langkah-langkah keamanan sederhana

by

Peretasan SolarWinds, salah satu insiden keamanan siber terbesar dalam sejarah AS, mungkin dapat dicegah atau diminimalkan jika langkah-langkah keamanan dasar telah diterapkan, kata seorang pejabat tinggi pemerintah awal bulan ini.

Dalam surat 3 Juni kepada Senator Ron Wyden (D-Ore.) yang diberikan kepada The Hill pada hari Senin, penjabat Direktur Cybersecurity and Infrastructure Security Agency (CISA) Brandon Wales setuju dengan pertanyaan Wyden mengenai apakah firewall yang ditempatkan di sistem agen korban dapat membantu memblokir virus malware yang digunakan dalam serangan SolarWinds.

“CISA setuju bahwa firewall yang memblokir semua koneksi keluar ke internet akan menetralkan malware,” tulis Wales.

Dia menekankan, bagaimanapun, bahwa sementara agensi “melakukan pengamatan jaringan korban dengan konfigurasi ini yang berhasil memblokir upaya koneksi dan tidak memiliki eksploitasi lanjutan, efektivitas tindakan pencegahan ini tidak berlaku untuk semua jenis intrusi dan mungkin tidak layak mengingat persyaratan operasional untuk beberapa lembaga”.

Wales mengatakan bahwa CISA tidak memiliki angka tentang berapa banyak agen federal yang mengelompokkan dan memisahkan jaringan mereka, pedoman keamanan utama yang telah lama direkomendasikan agen tersebut sebagai cara untuk mencegah peretas bergerak melalui jaringan sensitif.

Dia juga menekankan bahwa CISA membuat “perbaikan mendesak” untuk meningkatkan pemahamannya tentang ancaman dunia maya ke jaringan federal, termasuk menggunakan sebagian dari $650 juta yang termasuk dalam Undang-Undang Rencana Penyelamatan Amerika untuk memindahkan perlindungan keamanan di dalam jaringan agensi alih-alih hanya menjaga perimeter.

Selengkapnya: The Hill

NSA membagikan panduan tentang mengamankan komunikasi suara dan video

by

National Security Agency (NSA) telah membagikan mitigasi dan praktik terbaik yang harus diikuti oleh administrator sistem saat mengamankan sistem pemrosesan panggilan Unified Communications (UC) dan Voice and Video over IP (VVoIP).

UC dan VVoIP adalah sistem pemrosesan panggilan yang digunakan di lingkungan perusahaan untuk berbagai tujuan, mulai dari konferensi video hingga pesan instan dan kolaborasi proyek.

Karena sistem komunikasi ini terintegrasi erat dengan peralatan TI lainnya di dalam jaringan perusahaan, mereka juga secara tidak sengaja meningkatkan permukaan serangan dengan memperkenalkan kerentanan baru dan potensi akses rahasia ke komunikasi organisasi.

Perangkat UC/VVoIP yang tidak diamankan dengan benar terpapar pada risiko keamanan yang sama dan ditargetkan oleh pelaku ancaman melalui spyware, virus, kerentanan perangkat lunak, dan cara berbahaya lainnya jika tidak diamankan dan dikonfigurasi secara memadai.

Admin disarankan untuk mengambil langkah-langkah utama ini untuk meminimalkan risiko jaringan perusahaan organisasi mereka dilanggar dengan mengeksploitasi sistem UC/VVoIP:

  • Segmentasikan jaringan perusahaan menggunakan Virtual Local Area Networks (VLAN) untuk memisahkan lalu lintas suara dan video dari lalu lintas data
  • Gunakan daftar kontrol akses dan aturan perutean untuk membatasi akses ke perangkat di seluruh VLAN
  • Menerapkan perlindungan layer 2 dan Address Resolution Protocol (ARP) dan pertahanan dari spoofing IP
  • Lindungi gateway PSTN dan perimeter Internet dengan mengautentikasi semua koneksi UC/VVoIP
  • Selalu perbarui perangkat lunak untuk mengurangi kerentanan perangkat lunak UC/VVoIP
  • Mengautentikasi dan mengenkripsi sinyal dan lalu lintas media untuk mencegah peniruan identitas dan penyadapan oleh aktor jahat
  • Deploy pengontrol batas sesi (SBC) untuk memantau lalu lintas UC/VVoIP dan mengaudit catatan data panggilan (CDR) menggunakan solusi deteksi penipuan untuk mencegah penipuan
  • Pertahankan cadangan konfigurasi dan instalasi perangkat lunak untuk memastikan ketersediaan
  • Kelola serangan denial of service menggunakan pembatasan kecepatan dan batasi jumlah panggilan masuk untuk mencegah kelebihan server UC/VVoIP
  • Gunakan kartu identitas, biometrik, atau sarana elektronik lainnya untuk mengontrol akses fisik ke area aman dengan jaringan dan infrastruktur UC/VVoIP
  • Verifikasi fitur dan konfigurasi untuk perangkat baru (dan berpotensi jahat) di testbed sebelum menambahkannya ke jaringan

Selengkapnya: Bleeping Computer

Pergeseran Federal ke IPv6 Membawa Pilihan dan Risiko Keamanan Siber Baru

by

Dorongan untuk memindahkan seluruh pemerintah federal ke arsitektur khusus IPv6 akan menjadi pendorong kemampuan keamanan siber seperti zero trust tetapi juga dapat membuka jaringan agensi terhadap ancaman baru, kata pejabat yang memimpin upaya transisi.

Badan-badan federal berada di bawah mandat baru untuk mentransisikan sebagian besar sistem yang terhubung ke internet dari IPv4 ke IPv6 pada akhir tahun fiskal 2025. Pejabat federal yang memimpin upaya ini telah menekankan pentingnya melakukan transisi, tidak hanya untuk memastikan sistem dapat berkomunikasi dengan IPv6 perangkat, tetapi juga untuk meningkatkan upaya modernisasi dan keamanan siber jaringan pemerintah.

Pergeseran ke IPv6 menambahkan lebih banyak alamat secara signifikan ke kumpulan global, serta format penomoran yang berbeda. Sementara IPv4 menunjukkan alamat sebagai empat set satu hingga tiga digit, IPv6 menggunakan delapan set empat digit. Untuk organisasi—termasuk agen federal—format baru memerlukan sistem pengodean ulang yang menjalankan infrastruktur jaringan untuk memahami dan menyerap alamat IPv6.

“Kami beroperasi pada protokol jaringan yang berusia 40 tahun,” kata Carol Bales, analis kebijakan senior di Kantor Manajemen dan Anggaran yang telah mengerjakan transisi IPv6 di pemerintahan selama 16 tahun. “Kami banyak berbicara tentang memodernisasi infrastruktur kami, dan saya pikir transisi ke IPv6 adalah bagian penting dari ini. Ini adalah komponen penting dari inovasi.”

“Dengan menyediakan jalur jaringan ujung ke ujung dan dukungan mikrosegmentasi yang lebih baik, transisi ke IPv6 saja akan menjadi komponen kunci dari ZTA—arsitektur zero trust—yang merupakan salah satu pilar utama dalam tatanan eksekutif,” kata Wakil Kepala Pejabat Informasi Federal Maria Roat.

Branko Bokan, seorang spesialis keamanan siber dengan Badan Keamanan Siber dan Keamanan Infrastruktur, setuju tetapi mencatat transisi itu juga akan membawa masalah keamanan baru.

IPv6 “tidak hanya memperkenalkan dan menambah keamanan jaringan kami dan meningkatkan keamanan jaringan,” katanya, “IPv6 juga membuka dunia baru dengan lanskap ancaman dan layanan ancaman baru yang tidak harus kami tangani”.

Selengkapnya: Nextgov

Polisi Ukraina Menangkap Enam Orang Yang Terlibat dengan CLOP Ransomware

by

Pihak berwenang di Ukraina minggu ini mendakwa enam orang yang diduga menjadi bagian dari kelompok ransomware CLOP, sebuah geng penjahat dunia maya dikatakan telah memeras lebih dari setengah miliar dolar dari para korban. Beberapa korban CLOP tahun ini saja termasuk Stanford University Medical School, University of California, dan University of Maryland.

Menurut pernyataan dan video yang dirilis, Polisi Cyber Ukraina mendakwa enam terdakwa dengan berbagai kejahatan komputer yang terkait dengan geng CLOP, dan melakukan 21 pencarian di seluruh wilayah Kyiv.

Debut pertama pada awal 2019, CLOP adalah salah satu dari beberapa kelompok ransomware yang meretas ke dalam organisasi, meluncurkan ransomware yang mengenkripsi file dan server, dan kemudian meminta pembayaran pemerasan sebagai imbalan atas kunci digital yang diperlukan untuk membuka kunci akses.

CLOP telah sangat sibuk selama enam bulan terakhir mengeksploitasi empat kerentanan zero-day yang berbeda di File Transfer Appliance (FTA), produk berbagi file yang dibuat oleh Accellion yang berbasis di California.

Geng CLOP memanfaatkan kelemahan tersebut untuk menyebarkan ransomware ke sejumlah besar pelanggan FTA Accellion, termasuk jaringan grosir AS Krogers, firma hukum Jones Day, firma keamanan Qualys, dan raksasa telekomunikasi Singapura Singtel.

Tidak jelas seberapa besar operasi penegakan hukum oleh otoritas Ukraina ini akan mempengaruhi keseluruhan operasi kelompok CLOP. Perusahaan intelijen cybersecurity Intel 471 mengatakan penggerebekan penegakan hukum di Ukraina terbatas pada sisi cash-out dan pencucian uang dari bisnis CLOP saja.

Selengkpanya: Krebs On Security

Ribuan Server VMware vCenter Masih Terbuka untuk Diserang Melalui Internet

by

Ribuan instance Server VMware vCenter dengan dua kerentanan yang baru-baru ini diungkapkan di dalamnya tetap dapat diakses publik di Internet tiga minggu setelah perusahaan mendesak organisasi untuk segera menambal kekurangan tersebut, dengan alasan tingkat keparahannya.

Kerentanan, CVE-2021-21985 dan CVE-2021-21986, pada dasarnya memberi penyerang cara untuk mengambil kendali penuh atas sistem yang menjalankan vCenter Server, sebuah utilitas untuk mengelola lingkungan server virtual VMware vSphere secara terpusat. Kerentanan ada di vCenter Server versi 6.5, 6.7, dan 7.0.

VMware merilis tambalan yang mengatasi kerentanan pada 25 Mei. Pada saat itu, perusahaan mendesak organisasi dengan versi perangkat lunak yang terpengaruh untuk menerapkan tambalan dengan cepat karena tingkat risiko yang tinggi dari kelemahan yang disajikan pada keamanan perusahaan.

Namun tiga minggu setelah pengumuman itu – dan peringatan berikutnya tentang aktivitas eksploitasi dari Badan Keamanan Cybersecurity dan Infrastruktur (CISA) Departemen Keamanan Dalam Negeri – banyak instance Server vCenter yang rentan tetap tidak ditambal dan terbuka untuk diserang, menurut Trustwave.

Perusahaan baru-baru ini melakukan pencarian di Shodan untuk melihat berapa banyak instance utilitas yang dapat ditemukan yang masih dapat diakses melalui Internet. Pencarian menghasilkan total 5.271 instance Server VMware vCenter yang terbuka secara publik ke Internet. Dari jumlah itu, 4.019 dipastikan rentan terhadap dua ancaman yang diidentifikasi VMware bulan lalu. 942 host lainnya menjalankan server vCenter versi lama dan akhir masa pakainya, Trustwave mengatakan dalam sebuah laporan minggu ini.

Selengkapnya: Dark Reading

Keamanan sumber terbuka: Google memiliki rencana baru untuk menghentikan serangan rantai pasokan perangkat lunak

by

Untuk mengatasi ancaman serangan yang berkembang pada rantai pasokan perangkat lunak, Google telah mengusulkan kerangka kerja Tingkat Rantai Pasokan untuk Artefak Perangkat Lunak, atau SLSA yang diucapkan “salsa”.

Penyerang yang canggih telah mengetahui bahwa rantai pasokan perangkat lunak adalah bagian bawah dari industri perangkat lunak. Di luar peretasan SolarWinds yang mengubah permainan, Google menunjuk ke serangan rantai pasokan Codecov baru-baru ini, yang berdampak pada perusahaan keamanan siber Rapid7 melalui pengunggah Bash yang tercemar.

Meskipun serangan rantai pasokan bukanlah hal baru, Google mencatat bahwa serangan tersebut telah meningkat pada tahun lalu, dan telah mengalihkan fokus dari eksploitasi untuk kerentanan perangkat lunak yang diketahui atau zero-day.

Google menggambarkan SLSA sebagai “kerangka kerja ujung ke ujung untuk memastikan integritas artefak perangkat lunak di seluruh rantai pasokan perangkat lunak”.

Ini memimpin dari “Binary Authorization for Borg” (BAB) internal Google – sebuah proses yang telah digunakan Google selama lebih dari delapan tahun untuk memverifikasi asal kode dan menerapkan identitas kode.

Tujuan BAB adalah untuk mengurangi risiko orang dalam dengan memastikan bahwa perangkat lunak produksi yang digunakan di Google ditinjau dengan benar, terutama jika kode tersebut memiliki akses data pengguna.

Sementara kerangka kerja SLSA hanyalah seperangkat pedoman untuk saat ini, Google membayangkan bahwa bentuk akhirnya akan melampaui praktik terbaik melalui penegakan.

Selengkapnya: ZDNet