Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cybersecurity

Cybersecurity

Masalah 212: Kendali jarak jauh kendaraan, Peretasan API untuk Tim QA, Panduan API Top 10

by

Kerentanan API kritis memungkinkan peneliti menunjukkan bukti serangan konsep yang memungkinkan pengambilalihan kendaraan jarak jauh.

Kerentanan: Kerentanan API Kritis Memungkinkan Kendali Jarak Jauh Kendaraan Hyundai dan Genesis
Penelitian Sam Curry tentang kerentanan API yang memengaruhi jajaran kendaraan Hyundai dan Genesis adalah membuat bukti konsep yang merinci eksploit dan menjelaskan langkah-langkahnya secara mendetail di utas Twitter.

Poin utamanya adalah jangan pernah mempercayai input pengguna, tetap gunakan ekspresi reguler yang terpercaya, dan segmentasikan kontrol akses pengguna.

Artikel: Tiga alasan tim QA harus mempelajari peretasan API
Kontributor reguler buletin Dana Epp (@DanaEpp), membagikan pemikirannya tentang nilai tim jaminan kualitas (QA) yang mempelajari dasar-dasar peretasan API dan menggunakan pola pikir ofensif.

Tiga alasan utama tim QA harus mengembangkan keterampilan tersebut, yaitu pengguna akan memberikan nilai lebih, menjadi penjahat mengubah pengguna menjadi pahlawan, dan keamanan adalah tanggung jawab semua orang.

Artikel: GitHub Mengungkapkan Versi API Generasi Berikutnya
Pembuatan versi API penting bagi keamanan API, karena memiliki sistem versi API formal berarti ada sedikit kemungkinan API bayangan atau zombie karena ada proses formal seputar tata kelola API. Namun, sistem versi yang lebih lancar seperti yang diadopsi oleh GitHub berarti kemungkinan akan ada lebih banyak versi API dalam produksi yang semuanya perlu dilacak dan dipantau untuk masalah keamanan.

Panduan: Panduan OWASP API Security Top 10
Langkah-langkah dari OWASP API Security Top 10 dari Grant Ongers (@rewtd) aplikasi API rentan vAPI, menggunakan vAPI yang berjalan di Docker dan mendemonstrasikan masing-masing dari 10 Teratas menggunakan Postman dan ZAP sebagai alat dasarnya.

Selengkapnya: APIsecurity.io

Implan Linux Canggih Ditemukan Mengompromikan Perangkat Keamanan Jaringan Fortinet

by

Minggu ini, perusahaan merilis detail lebih lanjut tentang implan malware canggih yang disebarkan oleh penyerang melalui celah tersebut.

Kerentanan, dilacak sebagai CVE-2022-42475, berada dalam fungsionalitas SSL-VPN FortiOS dan dapat dieksploitasi oleh penyerang jarak jauh tanpa autentikasi.

Fortinet memberi peringkat kerentanan 9,3 (Kritis) pada skala CVSS dan merilis pembaruan untuk varian utama FortiOS, FortiOS-6K7K, dan FortiProxy, produk gerbang web aman perusahaan.

Analis tidak dapat memulihkan semua file dari alat yang disusupi yang mereka analisis, sehingga rantai serangan penuh tidak diketahui. Namun, mereka menemukan file bernama wxd.conf yang isinya mirip dengan file konfigurasi untuk reverse proxy open-source yang dapat digunakan untuk mengekspos sistem di belakang NAT ke internet.

Analisis penangkapan paket jaringan dari alat menyarankan malware menghubungkan dua server eksternal yang dikendalikan penyerang untuk mengunduh muatan tambahan dan perintah untuk dieksekusi.

Fortinet juga telah merilis tanda tangan IPS (sistem pencegahan intrusi) untuk mendeteksi upaya eksploit, serta aturan deteksi untuk implan yang dikenal di mesin antivirusnya.

sumber : paulponraj

Hal-hal Buruk Datang dalam Paket Besar: Bypass Verifikasi Tanda Tangan .pkg di MacOS

by

Kerentanan (CVE-2022-42841) yang dapat digunakan untuk memodifikasi paket penginstal yang ditandatangani tanpa membatalkan tanda tangannya. Kerentanan ini dapat disalahgunakan untuk mem-bypass Gatekeeper, SIP dan dalam kondisi tertentu meningkatkan hak istimewa ke root.

Kerentanan
Untuk paket yang ditandatangani, hash TOC perlu digunakan untuk dua pemeriksaan berbeda:

  • Hash TOC yang dihitung harus sama dengan hash TOC yang disimpan di heap.
  • Tanda tangan dan sertifikat harus sesuai dengan hash TOC.

Ini diterapkan di lokasi berikut dalam kode sumber xar.

Di sini, TOC yang dihitung dibandingkan dengan nilai yang disimpan di heap.

https://github.com/apple-oss-distributions/xar/blob/f67a3a8c43fdd35021fd3d1562b62d2da32b4f4b/xar/lib/archive.c#L391-L484

Ini pertama mengambil atribut atribut checksum dari dokumen XML sebagai nilai const char *. Kemudian, strtoull mengubahnya menjadi bilangan bulat 64-bit yang tidak ditandatangani dan disimpan dalam variabel offset.

Untuk mendapatkan hash TOC untuk memvalidasi tanda tangan, sedikit kode serupa digunakan:
https://github.com/Apple-oss-distributions/xar/blob/f67a3a8c43fdd35021fd3d1562b62d2da32b4f4b/xar/lib/signature.c#L244-L276

Perhatikan di sini perbedaan kecil tapi sangat penting: sementara perbandingan pertama menyimpan offset dalam offset uint64_t (integer unsigned 64-bit), di sini ia menggunakan offset uint32_t (integer unsigned 32-bit). Perbedaan ini berarti bahwa jika offset berada di luar rentang yang dapat disimpan dalam nilai 32-bit, kedua pemeriksaan tersebut dapat menggunakan offset heap yang berbeda.

Dengan demikian, dimungkinkan untuk memodifikasi file xar tanpa membatalkan tanda tangannya sebagai berikut:

  • Ambil file xar yang ditandatangani dengan benar dan parsing TOC.
  • Ubah nilai offset checksum menjadi 4294967296 (dan buat perubahan lain yang Anda inginkan pada file yang disertakan, seperti menambahkan skrip prainstal berbahaya atau mengganti skrip pemeriksaan instalasi).
  • Tulis TOC yang dimodifikasi kembali ke file dan hitung hash TOC baru.
  • Tambahkan padding hingga heap berukuran tepat 4294967296 byte (4 GiB).
  • Tempatkan hash TOC baru di heap offset 4294967296, biarkan hash TOC asli di heap offset 0.

    • Perbaikan
    Ini diperbaiki oleh Apple dengan perbaikan 2 karakter: mengubah uint32_t menjadi uint64_t di macOS 13.1.

    selengkapnya : sector7

AMD Diam-diam Mencantumkan 31 Kerentanan CPU Baru, Mengeluarkan Panduan Patch

by

AMD diam-diam membocorkan 31 kerentanan CPU baru dalam pembaruan januari, mencakup chip Ryzen untuk konsumen dan prosesor pusat data EPYC. Pembaruan kerentananjugamenyertakan daftar versi AGESA, dengan mitigasi untuk prosesor yang terperngaruh. AMD mengungkapkan kerentanan dalam pengungkapan terkoordinasi dengan beberapa peneliti, termasuk tim dari google, Apple dan Oracle.

Seperti yang sering kita lihat pada sistem lama, beberapa mungkin tidak diperbarui. Tampaknya jua beberapa model yang terkena dampak belum memliki mitigasi.

Kerentanan mencakup tiga varian baru untuk PC desktop Ryzen yang ditujukan untuk konsumen, HEDT, Pro, dan prosesor seluler.

kerentanan mencakup chip desktop Pinnacle Ridge seri 2000 Ryzen, bersama dengan produk APU seri 2000 dan 5000 yang hadir dengan grafik terintegrasi (Raven Ridge, Cezanne).

AMD juga telah mendaftarkan 28 kerentanan untuk prosesor EPYC-nya, empat diantaranya sangat parah. Tiga dari varian tingkat keparahan tinggi memungkinkan eksekusi kode arbitrer melalui berbagai vektor serangan, sementara satu varian memungkinkan penulisan data ke wilayah tertentu yang dapat menyebabkan hilangnya integritas dan ketersediaan data. Para peneliti juga menemukan 15 kerentanan lain dengan tingkat keparahan sedang dan sembilan vulnerabilitas tingkat rendah

AMD juga telah mendaftarkan 28 kerentanan untuk prosesor EPYC-nya, empat di antaranya sangat parah. Tiga dari varian tingkat keparahan tinggi memungkinkan eksekusi kode arbitrer melalui berbagai vektor serangan, sementara satu varian memungkinkan penulisan data ke wilayah tertentu yang dapat menyebabkan hilangnya integritas dan ketersediaan data. Para peneliti juga menemukan 15 kerentanan lain dengan tingkat keparahan sedang dan sembilan

Chip AMD telah lama dikenal memiliki kerentanan yang diketahui lebih sedikit daripada model intel.

Keberhasilan AMD baru-baru ini dalam merebut pangsa pasar dari Intel, terutama di pasar pusat data yang berfokus pada keamanan, akan membuat para peneliti lebih mengalihkan pandangan mereka ke arsitektur AMD untuk mencari potensi celah keamanan. AMD juga memiliki beberapa pengungkapan kerentanan baru lainnya di masa lalu.

sumber: tomshardware

14 sekolah Inggris menderita serangan siber, dokumen yang sangat rahasia bocor

by

Lebih dari selusin sekolah di Inggris telah mengalami serangan dunia maya yang menyebabkan dokumen yang sangat rahasia dibocorkan secara online oleh penjahat dunia maya.

Menurut laporan dari BBC, informasi SEN anak-anak, pindaian paspor anak, skala gaji staf, dan detail kontrak telah dicuri oleh kelompok kejahatan dunia maya terkenal Vice Society, yang dikenal secara tidak proporsional menargetkan sektor pendidikan dengan serangan ransomware di Inggris dan lainnya. negara.

Sekolah Tata Bahasa Pates di Gloucestershire adalah salah satu dari 14 yang terkena dampak pelanggaran data, BBC melaporkan, dengan peretas Vice Society menggunakan istilah pencarian umum untuk mencuri dokumen.

“Satu folder bertanda ‘paspor’ berisi pindaian paspor untuk siswa dan orang tua dalam perjalanan sekolah sejak 2011, sedangkan ‘kontrak’ bertanda lain berisi penawaran kontrak yang dibuat untuk staf di samping dokumen pengajaran tentang kontraksi otot.

Folder lain bertanda ‘rahasia’ berisi dokumen gaji kepala sekolah dan penerima dana beasiswa,” tulis BBC. Peretasan di Pates diperkirakan terjadi pada 28 September sebelum data dipublikasikan di web gelap.

Kantor Komisi Informasi Inggris (ICO) dan Polisi Gloucestershire mengonfirmasi bahwa mereka sedang menyelidiki dugaan pelanggaran pada tahun 2022.

Selengkapnya: CSO

NortonLifeLock warns that hackers breached Password Manager accounts

by

Gen Digital, sebelumnya Symantec Corporation dan NortonLifeLock, mengirimkan pemberitahuan pelanggaran data kepada pelanggan, memberi tahu mereka bahwa peretas telah berhasil menembus akun Norton Password Manager dalam serangan isian kredensial.

Menurut contoh surat yang dibagikan dengan Kantor Kejaksaan Agung Vermont, serangan tersebut tidak diakibatkan oleh pelanggaran pada perusahaan tetapi dari kompromi akun pada platform lain.

Lebih khusus lagi, pemberitahuan tersebut menjelaskan bahwa sekitar 1 Desember 2022, penyerang menggunakan pasangan nama pengguna dan kata sandi yang mereka beli dari web gelap untuk mencoba masuk ke akun pelanggan Norton.

Perusahaan mendeteksi “volume yang luar biasa besar” dari upaya login yang gagal pada 12 Desember 2022, menunjukkan serangan isian kredensial di mana pelaku ancaman mencoba kredensial secara massal.

Pada 22 Desember 2022, perusahaan telah menyelesaikan penyelidikan internalnya, yang mengungkapkan bahwa serangan isian kredensial telah berhasil meretas sejumlah akun pelanggan yang dirahasiakan.

Untuk pelanggan yang menggunakan fitur Norton Password Manager, pemberitahuan tersebut memperingatkan bahwa penyerang mungkin telah memperoleh detail yang disimpan di brankas pribadi.

Bergantung pada apa yang disimpan pengguna di akun mereka, ini dapat menyebabkan penyusupan akun online lainnya, kehilangan aset digital, terungkapnya rahasia, dan banyak lagi.

NortonLifeLock menggarisbawahi bahwa risikonya sangat besar bagi mereka yang menggunakan kata sandi akun Norton dan kunci utama Pengelola Kata Sandi yang serupa, memungkinkan penyerang untuk melakukan pivot dengan lebih mudah.

Perusahaan mengatakan telah mengatur ulang kata sandi Norton pada akun yang terkena dampak untuk mencegah penyerang mendapatkan akses lagi di masa depan dan juga menerapkan langkah-langkah tambahan untuk melawan upaya jahat.

Selengkapnya: Bleeping Computer

Malware IcedID Menyerang Lagi: Domain Direktori Aktif Tersusupi dalam Waktu Kurang dari 24 Jam

by

Serangan malware IcedID baru baru ini memungkinkan pelaku ancaman untuk mengkompromikan domain Active Directory dari target yang tidak disebutkan namanya kurang dari 24jam setelah mendapatkan akses awal.

IcedID, juga dikenal dengan nama BokBOt memulai hidupnya sebagai trojan perbankan pada a=tahu 2017 sebelum berkemban menjadi dropper untuk malware lainnya, bergabung dengen Emotet, TrickBot, Qakbot, Bumblebee, dan Raspberry Robin.

Serangan yang melibatkan pengiriman IcedID telah memanfaatkan berbagai metode, terutama setelah keputusan Microsoft untuk memblokir makro dari Office yang diunduh

Malware kemudian membangun kegigihan pada host melalui tugas terjadwal dan berkomunikasi dengan server jarak jauh untuk mengunduh muatan tambahan, termasuk Cobalt Strike Beacon untuk kegiatan pengintaian lanjutan.

Itu juga melakukan gerakan lateral di seluruh jaringan dan mengeksekusi Cobalt Strike Beacon yang sama di semua workstation tersebut, dan kemudian mulai menginstal agen Atera, alat administrasi jarak jauh yang sah, sebagai mekanisme akses jarak jauh yang berlebihan.

Cobalt Strike Beacon selanjutnya digunakan sebagai saluran untuk mengunduh alat C# yang dijuluki Rubeus untuk pencurian kredensial, yang pada akhirnya memungkinkan pelaku ancaman untuk berpindah secara lateral ke Server Windows dengan hak admin domain.

Izin yang ditingkatkan kemudian dipersenjatai untuk melakukan serangan DCSync, memungkinkan musuh untuk mensimulasikan perilaku pengontrol domain (DC) dan mengambil kredensial dari pengontrol domain lainnya.

Temuan ini muncul saat para peneliti dari Team Cymru menjelaskan lebih lanjut tentang protokol BackConnect (BC) yang digunakan oleh IcedID untuk memberikan fungsionalitas tambahan pasca kompromi, termasuk modul VNC yang menyediakan saluran akses jarak jauh.

Perkembangan tersebut juga mengikuti laporan dari Proofpoint pada November 2022 bahwa kebangkitan aktivitas Emotet telah dikaitkan dengan distribusi versi baru IcedID.

sumber : thehackernews

Platform Narkoba Rusia Dibuka

by

Rusia adalah tempat berlindung yang aman bagi obat-obatan terlarang (narkoba) dan lahan subur bagi beberapa platform berbahaya yang memasok obat-obatan terlarang ke puluhan ribu pengguna. Penggunaan Dark Web dan teknologi membuat perbedaan besar dalam perdagangan narkoba saat ini. Para pedagang tidak lagi duduk di gang0gang gelap menawarkan barang haram mereka kepada orang asing. Sebaliknya, pengedar narkoba sekarang menggunakan layanan online untuk mengirim pasukan pengedar narkoba yang menyembunyikan berbagai narkoba di tengah lingkungan normal yang sederhana.

Partnership Killnet dan Solaris
KillMilk, pendiri Killnet (kelompok peretas Rusia yang menyerang Ukraina dan sekutunya) secara terbuka berterima kasih kepada kelompok Solaris atas “dukungan besar” mereka.

Ini adalah pengubah permainan. Sampai saat ini Killnet tidak malu meminta dukungan, tetapi afiliasi mereka dengan platform obat-obatan terlarang sangat tidak biasa. Jika ada, staf Solaris harus menentang pemerintah Rusia dan pendukungnya.

Solaris berbohong
Setelah bitcoin dialihkan dari pertukaran Solaris, administrasi Solaris menurunkan sebagian besar infrastrukturnya dengan mengklaim itu karena peningkatan besar. Mereka melakukan yang terbaik untuk menolak cerita Forbes (kecuali transfer uang), meyakinkan pelanggan mereka bahwa versi baru mereka akan lebih besar dan lebih baik. Ini semua bohong.

Killnet juga menyebarkan berita bahwa pemimpinnya terkait dengan geng narkoba. Beberapa anggota Killnet meminta KillMilk untuk berkomentar, tetapi hanya keheningan pengecut yang mengikuti.

Pertukaran alamat dompet berubah

Tor Node dan Penjaga DDoS
Data berikut mencakup skrip yang memungkinkan dan kunci SSH untuk penyebaran otomatis ke lebih dari 60 server, termasuk: kode sumber sistem AntiDDoS Solaris Guard, pengalihan dari RuTor ke Solaris, dan konfigurasi penyeimbang muatan Tor (keseimbangan bawang). Data ini juga termasuk Kunci Layanan Tersembunyi Bawang. Tautan

Otomatisasi infrastruktur Solaris

Kesimpulan
Hold Security membagikan temuan dan datanya dari platform obat-obatan terlarang Rusia, Solaris. Dalam beberapa pernyataan publik, grup Solaris telah menghubungkan diri mereka dengan Killnet. Tujuan kami adalah untuk meningkatkan kesadaran akan kesaahan dan koneksi Solaris, serta mengajukan pertanyaan tentang kepemim[inan Kilnet dan sumber dukungan mereka. Data yang ditautkan dlam artikel ini harus berbicara sendiri.

selengkapnya : holdsecurity