Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cybersecurity

Cybersecurity

Apple memperbaiki 2 kerentanan zero-day iOS yang digunakan secara aktif dalam serangan

by

Hari ini, Apple telah merilis pembaruan keamanan yang memperbaiki dua kerentanan zero-day iOS yang dieksploitasi secara aktif di mesin Webkit yang digunakan oleh peretas untuk menyerang perangkat iPhone, iPad, iPod, macOS, dan Apple Watch.

Webkit adalah mesin rendering browser Apple yang harus digunakan oleh semua browser web seluler di iOS dan aplikasi lain yang membuat HTML, seperti Apple Mail dan App Store.

Kerentanan ini dilacak sebagai CVE-2021-30665 dan CVE-2021-30663, dan keduanya memungkinkan eksekusi kode jarak jauh (RCE) pada perangkat yang rentan hanya dengan mengunjungi situs web berbahaya.

Kerentanan RCE dianggap paling berbahaya karena memungkinkan penyerang menargetkan perangkat yang rentan dan menjalankan perintah pada perangkat tersebut dari jarak jauh.

Daftar perangkat yang terpengaruh meliputi:

  • iPhone 6s dan versi lebih baru, iPad Pro (semua model), iPad Air 2 dan versi lebih baru, iPad generasi ke-5 dan versi lebih baru, iPad mini 4 dan versi lebih baru, dan iPod touch (generasi ke-7)
  • macOS Big Sur
  • Apple Watch Series 3 dan lebih baru

Zero-day tersebut telah ditangani oleh Apple hari ini di iOS 14.5.1, iOS 12.5.3, macOS Big Sur 11.3.1, dan pembaruan watchOS 7.4.1. Pengguna disarankan untuk memperbarui perangkat mereka sesegera mungking.

Selengkapnya: Bleeping Computer

Ransomware N3TW0RM muncul dalam gelombang serangan dunia maya di Israel

by

Geng ransomware baru yang dikenal sebagai ‘N3TW0RM’ menargetkan perusahaan Israel dalam gelombang serangan siber yang dimulai minggu lalu.

Media Israel Haaretz melaporkan bahwa setidaknya empat perusahaan Israel dan satu organisasi nirlaba telah berhasil dibobol dalam gelombang serangan ini.

Seperti geng ransomware lainnya, N3TW0RM telah membuat situs kebocoran data di mana mereka mengancam akan membocorkan file curian sebagai cara untuk menakut-nakuti korbannya agar membayar tebusan.

Dua dari bisnis Israel, H&M Israel dan jaringan Veritas Logistic, telah terdaftar dalam kebocoran data geng ransomware, dengan pelaku ancaman telah membocorkan data yang diduga dicuri selama serangan terhadap Veritas.

Serangan N3TW0RM belum dikaitkan dengan grup peretasan mana pun saat ini.

Saat mengenkripsi jaringan, pelaku ancaman biasanya akan mendistribusikan ransomware mandiri yang dapat dieksekusi ke setiap perangkat yang ingin mereka enkripsi.

N3TW0RM melakukannya sedikit berbeda dengan menggunakan model klien-server sebagai gantinya.

Dari sampel [VirusTotal] ransomware yang dilihat oleh BleepingComputer dan diskusi dengan Arik Nachmias, CEO dari firma tanggapan insiden Honey Badger Security, pelaku ancaman N3TW0RM menginstal program di server korban yang akan mendengarkan koneksi dari workstation.

Nachmias menyatakan bahwa pelaku ancaman kemudian menggunakan PAExec untuk menyebarkan dan mengeksekusi klien ‘slave.exe’ yang dapat dieksekusi di setiap perangkat yang akan dienkripsi oleh ransomware. Saat mengenkripsi file, file akan memiliki ekstensi ‘.n3tw0rm’ yang ditambahkan ke namanya.

Selengkapnya: Bleeping Computer

Pulse Secure memperbaiki VPN zero-day yang digunakan untuk meretas target bernilai tinggi

by

Pulse Secure telah memperbaiki kerentanan zero-day dalam perangkat SSL VPN Pulse Connect Secure (PCS) yang secara aktif dieksploitasi untuk membahayakan jaringan internal perusahaan pertahanan dan lembaga pemerintah.

Minggu lalu, firma keamanan siber FireEye mengungkapkan bahwa pelaku ancaman secara aktif mengeksploitasi kerentanan zero-day, dilacak sebagai CVE-2021-22893, untuk menyebarkan malware pada perangkat Pulse Secure untuk mencuri kredensial dan menyediakan akses pintu belakang ke jaringan yang disusupi.

Sehari kemudian, Cybersecurity and Infrastructure Security Agency (CISA) AS mengeluarkan arahan darurat yang memerintahkan lembaga federal untuk mengurangi kerentanan dalam dua hari dengan menonaktifkan fitur Windows File Share Browser dan Pulse Secure Collaboration.

Pulse Secure juga merilis Pulse Connect Secure Integrity Tool untuk memeriksa apakah peretas mengubah file apa pun pada peralatan Pulse Secure mereka.

Hari ini, Pulse Secure telah merilis pembaruan keamanan untuk kerentanan CVE-2021-22893 dan merekomendasikan semua pengguna untuk segera menginstal tambalan.

Organisasi yang menjalankan Pulse Connect Secure 9.0RX & 9.1RX harus segera memperbarui ke Pulse Connect Secure 9.1R11.4.

Sebelum menginstal pembaruan, disarankan agar organisasi menjalankan Pulse Secure Integrity Tool terlebih dahulu untuk menentukan apakah perangkat mereka dilanggar dan untuk menanggapinya.

Sumber: Bleeping Computer

Microsoft mengungkapkan rencana terakhir untuk menghapus Flash Player di Windows 10

by

Microsoft diam-diam mengungkapkan rencananya untuk menghapus plugin Adobe Flash dari Windows 10, dengan penghapusan wajib mulai Juli 2021.

Pada tanggal 1 Januari 2021, Adobe Flash secara resmi mencapai akhir masa pakainya (EoL) setelah dianggap sebagai risiko keamanan yang signifikan saat menjelajahi web karena eksploitasi oleh pelaku ancaman.

Menanggapi hal tersebut, Microsoft merilis pembaruan opsional KB4577586 yang menghapus plugin Adobe Flash 32-bit dari Windows dan mencegahnya agar tidak diinstal lagi.

Saat ini, pembaruan KB4577586 harus diinstal secara manual dari Katalog Microsoft. Namun, Microsoft sebelumnya menyatakan bahwa mereka akan mendistribusikannya melalui WSUS dan Pembaruan Windows di masa mendatang.

Dalam pembaruan diam-diam untuk mengakhiri dukungan mereka untuk Adobe Flash, Microsoft telah menguraikan rencana lebih lanjut tentang bagaimana mereka akan mulai mendistribusikan pembaruan Windows 10 KB4577586 melalui blog mereka.

Mulai Juni 2021, Microsoft akan memasukkannya ke dalam pembaruan kumulatif pratinjau Windows 10 opsional mereka untuk Windows 10 1809 dan yang lebih baru.

Bagi mereka yang menginstal Windows 21H1, yang akan memulai pratinjau publik bulan ini, pembaruan KB4577586 akan diinstal secara otomatis dan plugin Adobe Flash Player akan dihapus.

Sumber: Bleeping Computer

ISC mendesak pembaruan server DNS untuk menghapus kerentanan BIND baru

by

Internet Systems Consortium (ISC) telah merilis sebuah advisory yang menguraikan trio kerentanan yang dapat memengaruhi keamanan sistem DNS.

Minggu ini, organisasi tersebut mengatakan kerentanan berdampak pada ISC Berkeley Internet Name Domain (BIND) 9, yang banyak digunakan sebagai sistem DNS dan dipertahankan sebagai proyek open source.

Kerentanan pertama dilacak sebagai CVE-2021-25216 dan telah dikeluarkan skor keparahan CVSS 8.1 (32-bit) atau 7.4 (64-bit). Pelaku ancaman dapat memicu kesalahan dari jarak jauh dengan melakukan serangan buffer overflow terhadap mekanisme negosiasi kebijakan keamanan GSSAPI BIND untuk protokol GSS-TSIG, yang berpotensi menyebabkan eksploitasi yang lebih luas termasuk error dan eksekusi kode jarak jauh.

Namun, dalam konfigurasi yang menggunakan setelan BIND default, jalur kode yang rentan tidak akan ditampilkan – kecuali nilai server (tkey-gssapi-keytab/tkey-gssapi-credential) disetel sebaliknya.

Cacat keamanan kedua, CVE-2021-25215, telah mendapatkan skor CVSS 7,5. CVE-2021-25215 adalah cacat yang dapat dieksploitasi dari jarak jauh yang ditemukan dalam cara pemrosesan data DNAME dan dapat menyebabkan proses crash karena pernyataan yang gagal.

Bug paling tidak berbahaya, dilacak sebagai CVE-2021-25214, telah mendapat skor CVSS 6,5. Masalah ini ditemukan di transfer zona inkremental (IXFR) dan jika named server menerima IXFR yang salah, ini menyebabkan named process lumpuh karena pernyataan yang gagal.

Kerentanan di BIND diperlakukan dengan serius karena hanya dengan satu bug, yang berhasil dieksploitasi, untuk menyebabkan gangguan yang meluas pada layanan.

BIND 9.11.31, 9.16.15, dan 9.17.12 semuanya berisi tambalan dan pembaruan yang harus diterapkan.

Selengkapnya: ZDNet

Ransomware Babuk menyiapkan posting ‘matikan’, berencana untuk membuka malware sumber

by

Setelah beberapa bulan beraktivitas, para operator ransomware Babuk secara singkat memposting pesan singkat tentang niat mereka untuk keluar dari bisnis pemerasan setelah mencapai tujuan mereka.

Tidak seperti geng lain yang memilih untuk melepaskan kunci dekripsi atau bahkan mengembalikan uang tebusan yang dikumpulkan, gerakan terakhir Babuk adalah memberikan obor kepada orang lain.

Sebelumnya hari ini, geng ransomware Babuk mengatakan dalam sebuah pesan berjudul “Hello World 2” di situs kebocoran mereka bahwa mereka telah mencapai tujuan mereka dan memutuskan untuk menghentikan operasi tersebut.

Namun, mereka tidak akan meninggalkan panggung tanpa warisan: kode sumber untuk malware pengenkripsi file Babuk akan tersedia untuk umum setelah mereka menghentikan “proyek”.

Pesan tersebut mengalami modifikasi dan terlihat sebentar di halaman utama situs. Dalam satu versi yang ditangkap oleh Dmitry Smilyanets dari Recorded Future, penjahat dunia maya mengatakan bahwa melanggar “PD adalah tujuan terakhir kami,” referensi yang jelas untuk korban terbaru mereka, Departemen Kepolisian Metropolitan (MPD). Seperti yang terlihat pada gambar di bawah, “PD” juga ada di judulnya.

Varian lain dari pesan tersebut, ditangkap oleh BleepingComputer, sama sekali tidak menyebutkan “PD”, yang berpotensi menunjukkan bahwa geng tersebut sedang bersiap untuk mengakhiri operasinya di masa mendatang, setelah mengkompromikan korban yang berbeda.

Namun demikian, satu bagian dari pesan tersebut jelas di kedua versi pesan tersebut. Kapan pun geng ransomware Babuk memutuskan untuk berhenti, setidaknya dengan nama Babuk, mereka akan “melakukan sesuatu seperti RaaS Sumber Terbuka, setiap orang dapat membuat produk mereka sendiri berdasarkan produk kami dan menyelesaikannya dengan RaaS lainnya.”

selengkapnya : www.bleepingcomputer.com

Biden Order Akan Membutuhkan Standar Keamanan Siber Baru Sebagai Tanggapan Terhadap Serangan SolarWinds

by

Pemerintahan Biden sedang memberikan sentuhan akhir pada perintah eksekutif yang bertujuan membantu AS mempertahankan diri dari serangan siber canggih seperti yang baru-baru ini dilontarkan peretas Rusia terhadap pembuat perangkat lunak Texas, SolarWinds.

Perintah tersebut, yang masih dalam proses penyusunan, menjabarkan serangkaian persyaratan baru bagi perusahaan yang berbisnis dengan pemerintah. Inisiatif ini mencakup rencana penyelidikan yang lebih sistematis atas peristiwa dunia maya dan standar untuk pengembangan perangkat lunak. Idenya adalah menggunakan proses kontrak federal untuk memaksa perubahan yang pada akhirnya akan mengalir ke sektor swasta lainnya.

Peretasan itu sendiri canggih dan tersembunyi. Para penyusup menggunakan teknik baru dan mengeksploitasi celah dalam sistem keamanan siber negara saat ini.

Antara lain, serangan itu diluncurkan dari dalam AS ke server yang disewa Rusia dari tempat-tempat seperti Amazon dan GoDaddy. Dengan melakukan itu, para peretas dapat lolos dari sistem peringatan dini Badan Keamanan Nasional karena NSA tidak diizinkan untuk melakukan pengawasan di dalam Amerika Serikat.

“Kami melakukan studi rinci tentang SolarWinds dan itu menunjukkan bahwa kami memiliki pekerjaan besar yang harus dilakukan untuk memodernisasi keamanan siber kami … untuk mengurangi risiko ini terjadi lagi,” kata Neuberger. “Dan perintah eksekutif yang akan datang adalah bagian besar dari itu.”

“Bukan tugas siapa-siapa … untuk memberi tahu kami apa yang terjadi”

selengkapnya : www.npr.org

Perusahaan keamanan Kaspersky yakin telah menemukan malware CIA baru

by

Perusahaan keamanan dunia maya Kaspersky mengatakan mereka menemukan malware baru yang tampaknya dikembangkan oleh Badan Intelijen Pusat AS.

Kaspersky mengatakan menemukan malware dalam “kumpulan sampel malware” yang diterima analis dan perusahaan keamanan lainnya pada Februari 2019.

Meskipun analisis awal tidak menemukan kode yang dibagikan dengan sampel malware yang diketahui sebelumnya, Kaspersky baru-baru ini menganalisis ulang file tersebut dan mengatakan menemukan bahwa “sampel memiliki perpotongan pola pengkodean, gaya, dan teknik yang telah terlihat di berbagai keluarga Lambert.”

Lamberts adalah nama kode internal yang digunakan Kaspersky untuk melacak operasi peretasan CIA.

Empat tahun lalu, setelah WikiLeaks mengungkap kemampuan peretasan CIA kepada publik dalam serangkaian kebocoran yang dikenal sebagai Vault7, perusahaan keamanan AS Symantec secara terbuka menghubungkan alat peretasan Vault7 ke CIA dan Longhorn APT (nama industri lain untuk Lamberts).

Karena memiliki kesamaan antara sampel yang baru ditemukan ini dan malware CIA sebelumnya, Kaspersky mengatakan sekarang melacak cluster malware baru ini sebagai Purple Lambert.

Berdasarkan metadata Purple Lambert, sampel malware tampaknya telah dikompilasi tujuh tahun lalu, pada tahun 2014.

Mengenai apa yang dilakukan malware ini, deskripsi Kaspersky tentang Purple Lambert tampaknya mengatakan malware bertindak sebagai trojan backdoor yang mendengarkan lalu lintas jaringan untuk paket tertentu yang akan mengaktifkannya pada host yang terinfeksi.

Selengkapnya: The Record