Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cybersecurity

Cybersecurity

SAP memperbaiki bug kritis di Business Client, Commerce, dan NetWeaver

by

Pembaruan keamanan SAP untuk bulan ini mengatasi beberapa kerentanan kritis. Yang paling serius, dinilai dengan skor keseriusan tertinggi, memengaruhi produk Business Client perusahaan.

Dua produk lain dari perusahaan menerima tambalan untuk kekurangan tingkat keparahan kritis yang memberi pengguna yang tidak sah akses ke objek konfigurasi dan memungkinkan eksekusi kode jarak jauh.

Pada hari Selasa lalu, Tim Keamanan Produk SAP membagikan informasi tentang kerentanan yang ditemukan dan diperbaiki dalam produk perusahaan. Secara total, ada 19 catatan keamanan, lima di antaranya merupakan pembaruan dari bug sebelumnya.

Salah satu dari pembaruan ini mengacu pada kerentanan yang memengaruhi SAP Business Client, antarmuka pengguna yang bertindak sebagai titik masuk ke berbagai aplikasi bisnis SAP.

Risiko keamanan tidak terletak pada produk itu sendiri tetapi pada kontrol browser (Chromium) yang menyertainya. Tidak ada detail tentang masalah tersebut, kecuali bahwa masalah tersebut telah dinilai dengan skor tingkat keparahan maksimum, 10 dari 10.

Selengkapnya: Bleeping Computer

Codecov mengungkapkan serangan rantai pasokan selama 2,5 bulan

by

Codecov, sebuah perusahaan perangkat lunak yang menyediakan pengujian kode dan solusi statistik kode, mengungkapkan pada hari Kamis pelanggaran keamanan besar setelah pelaku ancaman berhasil menembus platformnya dan menambahkan pemanen kredensial ke salah satu alatnya.

Produk yang terkena dampak bernama Bash Uploader dan memungkinkan pelanggan Codecov mengirimkan laporan cakupan kode ke platform perusahaan untuk dianalisis.

Codecov mengatakan pelanggaran terjadi “karena kesalahan dalam proses pembuatan gambar Docker Codecov yang memungkinkan aktor untuk mengekstrak kredensial yang diperlukan untuk mengubah skrip Bash Uploader kami.”

Penyerang memperoleh akses ke skrip Pengunggah Bash pada 31 Januari dan membuat perubahan berkala untuk menambahkan kode berbahaya yang akan mencegat unggahan dan memindai serta mengumpulkan informasi sensitif seperti kredensial, token, atau kunci.

Codecov mengatakan pihaknya pertama kali mengetahui pelanggaran tersebut pada 1 April dan telah bekerja dengan perusahaan forensik untuk mengurai tindakan penyerang.

Perusahaan mengungkapkan insiden tersebut kemarin ketika mereka juga mengirim email dengan instruksi ke basis pelanggannya, yang mencakup beberapa nama besar seperti Atlassian, P&G, GoDaddy, Washington Post, Tile, Dollar Shave Club, dan Webflow.

selengkapnya : therecord.media

Keamanan terbaru WhatsApp adalah hadiah “memusingkan” untuk cyberstalkers

by

Suka atau tidak, WhatsApp adalah salah satu aplikasi perpesanan paling populer di luar sana, dan miliaran orang di seluruh dunia menggunakannya. Sayangnya, untuk alat yang tidak terpisahkan dengan komunikasi untuk khalayak yang begitu besar, keamanan jauh dari kedap udara. Baru-baru ini diketahui bahwa siapa pun dapat menangguhkan akun WhatsApp seseorang hanya dengan mengetahui nomornya. Sekarang, laporan penelitian lain menyoroti fitur pokok yang dieksploitasi oleh beberapa aplikasi dan layanan untuk mengungkap perilaku aplikasi pengguna yang ditargetkan.

Seperti yang ditunjukkan oleh perusahaan keamanan siber Traced, aplikasi dan layanan ini memanfaatkan fitur status online untuk memungkinkan pihak ketiga melacak saat seseorang menggunakan aplikasi. Seseorang hanya perlu memasukkan nomor ponsel orang yang ingin mereka ikuti, dan aplikasi ini akan melakukan sisanya untuk mereka. Mereka dapat memberi tahu pihak ketiga ini ketika target mereka sedang online / offline dan membuat laporan lengkap tentang riwayat penggunaan aplikasi mereka berdasarkan informasi ini.

Aplikasi ini sudah tersedia dan sering kali disamarkan sebagai alat bagi orang tua untuk melacak aktivitas online anak-anak mereka. Saya mencoba salah satu aplikasi tersebut dari Google Play Store dan berfungsi seperti yang diiklankan. Ini mengirimi saya peringatan ketika kontak tertentu (nomor lain saya) online atau offline dan dapat memetakan informasi ini pada grafik yang menunjukkan kapan dan berapa banyak waktu saya online. Bahkan ada opsi untuk melacak banyak kontak sekaligus, memungkinkan kemungkinan untuk menyimpulkan jika dua kontak berpotensi berbicara satu sama lain.

Mengingat Google tidak mengizinkan aplikasi cyberstalking di Play Store, agak mengejutkan bahwa ini tersedia dalam troves – beberapa bahkan memiliki model berlangganan yang membuka fitur pelacakan / tambahan tanpa batas.

Sayangnya, WhatsApp tidak mengizinkan pengguna menonaktifkan nomor yang tidak dikenal untuk melihat status online mereka, jadi tidak ada yang dapat Anda lakukan untuk mencegah siapa pun mengetahui kapan dan untuk berapa lama Anda menggunakan aplikasi. WhatsApp belum berkomentar tentang masalah ini tetapi kami akan memperbarui artikel jika kami mendengar sesuatu.

sumber : www.androidpolice.com

61 persen karyawan gagal dalam kuis keamanan siber dasar

by

Hampir 70% karyawan yang disurvei dalam survei baru mengatakan bahwa mereka baru-baru ini menerima pelatihan keamanan siber dari pemberi kerja mereka, namun 61% tetap gagal saat diminta untuk mengikuti kuis dasar tentang topik tersebut.

Ini adalah salah satu temuan utama dari studi penelitian – yang dilakukan oleh TalentLMS atas nama Kenna Security – yang berusaha memahami kebiasaan keamanan siber dari sekitar 1.200 pekerja, serta pengetahuan mereka tentang praktik terbaik dan kemampuan untuk mengenali ancaman keamanan.

Berikut adalah beberapa sorotan lain yang menggarisbawahi mengapa kejahatan dunia maya telah menjadi bisnis bernilai triliunan dolar:

  • Hanya 17% dari mereka yang disurvei yang bekerja di layanan informasi lulus kuis, dibandingkan dengan 57% pegawai perawatan kesehatan. Namun, 93% responden yang bekerja di layanan informasi melaporkan menerima pelatihan keamanan siber, dibandingkan dengan 67% responden perawatan kesehatan.
  • 60% karyawan yang gagal dalam kuis keamanan siber melaporkan bahwa mereka merasa aman dari ancaman. Hebatnya, 74% responden yang menjawab setiap pertanyaan secara tidak benar melaporkan merasa aman.
  • Meskipun sebagian besar sudah terbiasa dengan teknologi, karyawan berusia 18-24 tahun secara kolektif menunjukkan performa terburuk dalam kuis, dengan hanya 16% yang lulus. Di antara kelompok demografis usia, 25 hingga 34 tahun terikat dengan mereka yang berusia 54 ke atas untuk kinerja kolektif terbaik, dengan tingkat kelulusan 43%.

James McQuiggan, advokat kesadaran keamanan di KnowBe4, mengatakan organisasi harus mengadakan penilaian simulasi phishing berulang dan pelatihan tambahan sepanjang tahun, selain pelatihan berbasis komputer.

selengkapnya : www.scmagazine.com

Indonesia menangkap peretas lebih dari $ 60 juta penipuan COVID-19 AS

by

Surabaya, Indonesia – Dua peretas Indonesia telah ditangkap karena penipuan internasional di mana $ 60 juta dicuri dari program bantuan COVID-19 yang membantu orang Amerika kehilangan pekerjaan akibat pandemi, kata pihak berwenang.

Pesan teks dikirim ke 20 juta orang Amerika yang mengarahkan mereka ke lebih dari selusin situs web palsu pemerintah AS, kata polisi di negara Asia Tenggara itu Kamis malam.

Ribuan korban memberikan informasi pribadi, termasuk nomor jaminan sosial, ke situs palsu dengan harapan mendapatkan $ 2.000 yang ditawarkan di bawah program bantuan untuk pengangguran, kata pihak berwenang.

Tetapi data mereka malah digunakan oleh penipu untuk mencuri jutaan dolar dari program tersebut.

“Sekitar 30.000 warga AS ditipu dan kerugian keuangan pemerintah mencapai $ 60 juta,” kata kepala polisi Jawa Timur Nico Afinta.

Kedua tersangka ditangkap bulan lalu di kota terbesar kedua di Indonesia, Surabaya, setelah polisi diberi tahu oleh pihak berwenang AS.

Polisi Indonesia tidak mengatakan sudah berapa lama penipuan itu berlangsung.

Pasangan itu terancam hukuman sembilan tahun penjara berdasarkan undang-undang informasi elektronik Indonesia.

Polisi mengatakan mereka sedang menyelidiki kemungkinan keterlibatan orang ketiga yang mungkin telah mengamankan dana secara ilegal.

sumber : www.cbsnews.com

Standar keamanan aplikasi seluler untuk IoT, VPN yang diusulkan oleh grup yang didukung oleh Big Tech

by

Pada hari Kamis, ioXt Alliance, grup perdagangan keamanan Internet of Things (IoT) yang didukung oleh beberapa nama terbesar dalam bisnis, memperkenalkan serangkaian standar dasar untuk aplikasi seluler, dengan harapan keamanan IoT suatu hari nanti akan berkurang.

Pengumuman Profil Aplikasi Seluler baru [PDF], program sertifikasi yang mencakup praktik terbaik dan persyaratan untuk menjaga aplikasi seluler lebih aman daripada standar rendah kebijaksanaan vendor, berasal dari kolaborasi lebih dari 20 perusahaan anggota ioXt seperti Amazon, Comcast, Google , dan lain-lain.

“Dasar keamanan ini membantu mengurangi ancaman umum dan mengurangi kemungkinan kerentanan yang signifikan,” kata Brooke Davis dan Eugene Liderman, dari tim keamanan dan privasi Android Google, dalam sebuah posting blog.

“Profil ini memanfaatkan standar dan prinsip yang ada yang ditetapkan oleh OWASP MASVS dan VPN Trust Initiative, dan memungkinkan pengembang untuk membedakan kemampuan keamanan seputar kriptografi, otentikasi, keamanan jaringan, dan kualitas program pengungkapan kerentanan.”

selengkapnya : www.theregister.com

Tagged With:

Google mengelabui beberapa pengguna seluler Australia tentang pengumpulan data lokasi, temuan pengadilan

by

Raksasa teknologi itu dibawa ke pengadilan oleh Komisi Persaingan dan Konsumen Australia (ACCC) atas representasi layar yang dibuatnya di perangkat Android pada 2017 dan 2018.

Kasus ini berpusat pada dua setelan Google tertentu yang memengaruhi pengumpulan data lokasi; ‘riwayat lokasi’ dan ‘aktivitas web & aplikasi’.

Badan pengawas konsumen mengklaim Google menyesatkan konsumen karena jika ‘riwayat lokasi’ dinonaktifkan tetapi setelan terakhir dibiarkan, perusahaan terus mengumpulkan dan menggunakan data lokasi.

Hasilnya mewakili kemenangan parsial untuk ACCC, karena pengawas mengidentifikasi skenario pengguna tertentu yang merupakan pelanggaran hukum konsumen.

“Saya yakin bahwa perilaku Google yang dinilai secara keseluruhan menyesatkan atau menipu, atau cenderung menyesatkan atau menipu, anggota biasa dalam kelas yang diidentifikasi oleh ACCC, bertindak secara wajar,” kata Hakim Thomas Thawley dalam penilaiannya.

“Saya menyimpulkan bahwa perilaku Google yang dinilai secara keseluruhan menyampaikan representasi bahwa ‘mengaktifkan’ aktivitas web & aplikasi ‘tidak akan memungkinkan Google untuk mendapatkan, menyimpan, dan menggunakan data pribadi tentang lokasi pengguna.”

selengkapnya : www.abc.net.au

Eksploitasi zero-day Google Chrome kedua dibagikan di twitter minggu ini

by

Eksploitasi eksekusi kode jarak jauh zero-day Chromium kedua telah dirilis di Twitter minggu ini yang memengaruhi versi terbaru Google Chrome, Microsoft Edge, dan kemungkinan browser berbasis Chromium lainnya.

Kerentanan zero-day adalah ketika informasi mendetail tentang kerentanan atau exploit dirilis sebelum pengembang perangkat lunak yang terpengaruh dapat memperbaikinya. Kerentanan ini menimbulkan risiko yang signifikan bagi pengguna karena memungkinkan pelaku ancaman untuk mulai menggunakannya sebelum perbaikan dirilis.

Seorang peneliti keamanan yang dikenal sebagai frust menjatuhkan eksploitasi PoC di Twitter untuk bug zero-day browser berbasis Chromium yang menyebabkan aplikasi Windows Notepad terbuka.

Kerentanan zero-day baru ini muncul sehari setelah Google merilis Chrome 89.0.4389.128 untuk memperbaiki kerentanan zero-day Chromium lain yang dirilis secara publik pada hari Senin.

Frust merilis video yang menunjukkan kerentanan yang dieksploitasi untuk membuktikan bahwa eksploitasi PoC mereka berfungsi.

Selengkapnya: Bleeping Computer