Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Programming Language

Programming Language

Paket Node.js yang sangat banyak digunakan memiliki kerentanan injeksi kode

by

Library Node.js yang banyak diunduh memiliki kerentanan injeksi perintah dengan tingkat keparahan tinggi yang terungkap bulan ini.

Dilacak sebagai CVE-2021-21315, bug ini memengaruhi komponen npm “systeminformation” yang mendapatkan sekitar 800.000 unduhan mingguan dan telah mencetak hampir 34 juta unduhan hingga saat ini sejak diluncurkan.

Sederhananya, “systeminformation” adalah Library Node.js ringan yang dapat disertakan pengembang dalam proyek mereka untuk mengambil informasi sistem yang terkait dengan CPU, perangkat keras, baterai, jaringan, layanan, dan proses sistem.

Menurut pengembang proyek, pengembang diharapkan menggunakan “informasi sistem” di backend.

“Node.js hadir dengan beberapa informasi OS dasar, tetapi saya selalu menginginkan lebih. Jadi saya datang untuk menulis Library kecil ini.”

Pengguna “systeminformation” harus meningkatkan ke versi 5.3.1 dan yang lebih baru untuk mengatasi kerentanan CVE-2021-21315 dalam aplikasi mereka.

selengkapnya : BleepingComputer

Bahasa pemrograman Python mempercepat pembaruan untuk mengatasi kerentanan kode jarak jauh

by

Python Software Foundation (PSF) telah meluncurkan Python 3.9.2 dan 3.8.8 untuk mengatasi dua kelemahan keamanan yang terkenal, termasuk satu yang dapat dieksploitasi dari jarak jauh tetapi dalam istilah praktis hanya dapat digunakan untuk menjatuhkan mesin secara offline.

PSF mendesak asosiasi pengguna Python untuk meningkatkan sistem ke Python 3.8.8 atau 3.9.2, khususnya untuk mengatasi kerentanan eksekusi kode jarak jauh (RCE) yang dilacak sebagai CVE-2021-3177.

Proyek ini mempercepat perilisan setelah menerima tekanan tak terduga dari beberapa pengguna yang mengkhawatirkan kelemahan keamanan.

Python 3.x hingga 3.9.1 memiliki buffer overflow di PyCArg_repr di ctypes/callproc.c, yang dapat menyebabkan eksekusi kode jarak jauh.

Ini mempengaruhi aplikasi Python yang “menerima bilangan floating-point sebagai input tidak tepercaya, seperti yang ditunjukkan oleh argumen 1e300 ke c_double.from_param.”

Bug terjadi karena “sprintf” digunakan secara tidak aman. Dampaknya luas karena Python sudah diinstal sebelumnya dengan banyak distribusi Linux dan Windows 10.

Meskipun kerentanan eksekusi kode jarak jauh adalah berita buruk, RedHat mencatat bahwa “ancaman tertinggi dari kerentanan ini adalah ketersediaan sistem.” Dengan kata lain, penyerang kemungkinan hanya bisa melakukan serangan denial of service.

Selengkapnya: ZDNet

Trojan Windows Baru Mencuri Kredensial Browser, Outlook Files

by

Para peneliti telah menemukan trojan pencuri informasi baru, yang menargetkan sistem Microsoft Windows dengan kemampuan eksfiltrasi data yang hebat – mulai dari mengumpulkan kredensial browser hingga menargetkan file Outlook.

Trojan, yang disebut PyMicropsia (karena dibuat dengan Python) telah dikembangkan oleh kelompok ancaman AridViper, kata peneliti, yang dikenal sering menargetkan organisasi di Timur Tengah.

“AridViper adalah kelompok ancaman aktif yang terus mengembangkan alat baru sebagai bagian dari persenjataan mereka,” kata peneliti dari tim Unit42 Palo Alto dalam sebuah analisis.

Peneliti juga mengatakan bahwa ada beberapa bagian dari malware yang belum digunaka, menandakan bahwa malware masih dalam tahap pengembangan.

Kemampuan trojan info-stealer ini mencakup pengunggahan file, pengunduhan/eksekusi muatan, pencurian kredensial browser (dan kemampuan untuk menghapus riwayat dan profil penjelajahan), mengambil tangkapan layar dan keylogging.

Selain itu, malware juga dapat mengumpulkan informasi file listing, menghapus file, menyalakan ulang mesin, mengumpulkan informasi dari drive USB dan merekam audio; serta memanen file Outlook .OST dan mematikan/menonaktifkan proses Outlook. File OST mungkin berisi pesan email, kontak, tugas, data kalender, dan informasi akun lainnya.

Meskipun PyMicropsia dirancang untuk menargetkan sistem operasi Windows saja, peneliti menemukan cuplikan dalam kode yang memeriksa sistem operasi lain (seperti “posix” atau “darwin”). Posix, atau Portable Operating System Interface, adalah keluarga standar yang digunakan untuk menjaga kompatibilitas antara sistem operasi; dan Darwin sebuah sistem operasi mirip Unix.

Sumber: The Threat Post

Grup Skimmer Kartu Pembayaran Menggunakan Raccoon Info-Stealer untuk Menyedot Data

by

Sebuah grup kejahatan siber yang dikenal karena menargetkan situs web e-commerce melepaskan “kampanye jahat multi-tahap” awal tahun ini yang dirancang dengan maksud untuk mendistribusikan info-stealer dan skimmer pembayaran berbasis JavaScript.

Dalam laporan baru yang diterbitkan, perusahaan keamanan siber yang berbasis di Singapura Group-IB mengaitkan operasi tersebut dengan grup yang sama yang telah dikaitkan dengan serangan lain yang ditujukan untuk pedagang online dan menggunakan malware pencuri kata sandi untuk menginfeksi situs web mereka dengan FakeSecurity JavaScript-sniffers (JS-sniffers).

Kampanye ini berkembang dalam empat gelombang, dimulai pada Februari dan berakhir pada September, dengan operator mengandalkan halaman phishing yang dibuat khusus dan dokumen iming-iming yang dilengkapi dengan makro berbahaya untuk mengunduh pencuri informasi Vidar dan Raccoon ke sistem korban.

Tujuan akhir dari serangan itu, catat para peneliti, adalah untuk mencuri pembayaran dan data pengguna melalui beberapa vektor serangan dan alat untuk mengirimkan malware.

Sumber: Group IB

Sementara gelombang pertama kampanye pada bulan Februari dan Maret mengirimkan pencuri kata sandi Vidar untuk mencegat kata sandi dari browser pengguna dan berbagai aplikasi, iterasi berikutnya dialihkan ke Raccoon stealer dan AveMaria RAT untuk memenuhi tujuannya.

Bersama dengan empat tahap yang dijelaskan di atas, Group-IB juga mengamati fase sementara antara Mei hingga September 2020, saat sebanyak 20 toko online terinfeksi dengan JS-sniffer yang dimodifikasi dari keluarga FakeSecurity.

Sumber: The Hacker News

DeathStalker APT Menambah Keseruan dengan Malware PowerPepper Malware

by

Serangkaian teknik obfuscation memanas untuk hacking-for-hire operation. Kelompok ancaman persisten lanjutan (APT) DeathStalker memiliki senjata baru yang menarik: Backdoor yang sangat tersembunyi yang oleh para peneliti dijuluki PowerPepper, digunakan untuk memata-matai sistem yang ditargetkan.

DeathStalker menawarkan layanan tentara bayaran, spionase untuk disewa yang menargetkan sektor keuangan dan hukum, menurut para peneliti di Kaspersky. Mereka mencatat bahwa grup tersebut telah ada setidaknya sejak 2012 (pertama kali terlihat pada 2018), menggunakan serangkaian teknik, taktik, dan prosedur (TTP) yang relatif dasar dan menjual jasanya kepada penawar tertinggi. Namun, pada November, kelompok itu ditemukan menggunakan implan malware baru, dengan taktik obfuscation yang berbeda.

“DeathStalker telah memanfaatkan beberapa jenis malware dan rantai pengiriman selama bertahun-tahun, dari Python dan Janicab berbasis VisualBasic, hingga Powersing berbasis PowerShell, melewati Evilnum berbasis JavaScript,” kata para peneliti dalam posting Kamis. “DeathStalker juga secara konsisten memanfaatkan teknik anti-deteksi dan penghindaran antivirus, serta rantai pengiriman yang rumit, yang akan menjatuhkan banyak file pada sistem file target.” Malware khusus ini menonjol, karena menaikkan level panas pada taktik obfuscation-nya.

sumber : ThreatPost

Worm Lama Tapi Teknik Obfuscation Baru

by

Kemarin saya menemukan skrip JavaSvript yang menarik yang dikirim melalui kampanye phishing biasa (SHA256: 70c0b9d1c88f082bad6ae01fef653da6266d0693b24e08dcb04156a629dd6f81) dan memiliki skor VT 17/61.

Penyamaran skrip sederhana namun efektif: kode berbahaya didekodekan dan diteruskan ke fungsi eval () untuk dieksekusi. Payload adalah string karakter Unicode yang diubah satu per satu melalui fungsi wrwrwrwererw (). Karakter pertama adalah ‘huruf kapital cyrillic ef’ yang memiliki kode desimal 1060. Karakter yang dikembalikan akan menjadi ‘/’ (kode ASCII 47). Anda tidak perlu mendekode ini secara manual, cukup ganti eval () dengan echo () dan Anda akan mendapatkan skrip yang didekodekan. Mari kita lihat. Skrip baru juga dikaburkan tetapi tetap mudah dibaca.
Worm ini telah digunakan berkali-kali dalam berbagai kampanye dan tampaknya masih aktif sampai sekarang. Server C2 adalah hxxp: // dhanaolaipallets [.] Com: 7974 /.

sumber : SANS.EDU

GitHub meluncurkan fitur keamanan baru bernama Code Scanning untuk semua pengguna

by Leave a Comment

Situs web hosting kode GitHub telah meluncurkan fitur keamanan baru bernama Code Scanning untuk semua pengguna, baik di akun berbayar maupun gratis.

GitHub mengatakan fitur Code Scanning yang baru “membantu mencegah kerentanan mencapai produksi dengan menganalisis setiap permintaan pull, commit, dan merge — mengenali kode yang rentan segera setelah dibuat”.

Setelah kerentanan terdeteksi, Code Scanning bekerja dengan meminta pengembang untuk merevisi kode mereka.

Code Scanning berfungsi di atas CodeQL, teknologi yang diintegrasikan GitHub ke dalam platformnya setelah memperoleh platform analisis kode Semmle pada September 2019.

Untuk mengkonfigurasi Code Scanning, pengguna harus mengunjungi tab “Keamanan” di setiap repositori yang mereka inginkan agar fitur tersebut diaktifkan.

Di sini, pengembang akan diminta untuk mengaktifkan kueri CodeQL yang mereka inginkan untuk digunakan GitHub untuk memindai kode sumber mereka.

Baca berita lebih lanjut pada tautan di bawah ini;
Source: ZDNet

Malware Pembajakan Clipboard Ditemukan Pada 725 Ruby Library

by

Peneliti keamanan dari ReversingLabs telah menemukan 725 library Ruby yang berisi malware dan bertujuan untuk membajak clipboard pengguna.

Paket jahat tersebut diunggah di RubyGems antara 16 dan 25 Februari oleh dua akun – JimCarrey dan PeterGibbons.

725 library telah dihapus dua hari kemudian pada tanggal 27 Februari setelah tim ReversingLabs memberi tahu tim keamanan RubyGems. Semua library Ruby tersebut adalah salinan dari library yang sah, menggunakan nama yang mirip, berfungsi sebagaimana dimaksud, tetapi juga berisi file berbahaya tambahan.

File tambahan yang dimasukkan ke dalam setiap paket diberi nama aaa.png. Namun, ReversingLabs mengatakan file ini bukan gambar PNG, tetapi sebaliknya adalah file executable Windows PE.

Info lebih lengkap dapat dibaca pada tautan di bawah:

Source: ZDNet