Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Software / Application

Software / Application

Brian Acton dari Signal berbicara tentang ledakan pertumbuhan, monetisasi, dan penyebaran data WhatsApp

by

Brian Acton “bertemu kembali” dengan Facebook. Selama lebih dari satu dekade membangun dan mengoperasikan WhatsApp, pendiri perusahaan pertama-tama bersaing dan kemudian menjual aplikasi perpesanan instannya ke raksasa sosial. Hanya beberapa tahun yang lalu dia berpisah dengan perusahaan yang membuatnya menjadi miliarder dalam perpecahan pahit karena perpesanan dan privasi.

Sekarang Acton mengatakan kemarahan yang sedang berlangsung atas apa yang telah dilakukan Facebook pada layanan perpesanan yang dia bantu bangun mendorong orang-orang ke proyek terbarunya – Signal. Acton, yang menjabat sebagai ketua eksekutif perusahaan induk aplikasi perpesanan yang sadar privasi, mengatakan kepada TechCrunch dalam sebuah wawancara bahwa basis pengguna Signal telah “meledak” dalam beberapa pekan terakhir.

Melalui peringatan dalam aplikasi, WhatsApp telah meminta pengguna dalam beberapa hari terakhir untuk menyetujui persyaratan ketentuan baru yang memberikan aplikasi izin untuk membagikan data pribadi mereka dengan Facebook. Pengguna harus menyetujui persyaratan ini sebelum 8 Februari jika mereka ingin terus menggunakan aplikasi, kata peringatan itu.

Acton mengatakan WhatsApp bergulat dengan menggabungkan fitur-fitur monetisasi sambil tetap melindungi privasi orang. Dan “kebijakan rumit” barunya telah memaksa WhatsApp dan media untuk mencari penjelasan dan “semua orang bingung”.

sumber : Techcrunch

Telegram mempublikasikan lokasi pengguna secara online

by

Beberapa tahun yang lalu, saat menggunakan aplikasi Line, saya melihat fitur yang disebut “Orang di sekitar”. Fitur ini memungkinkan Anda terhubung dengan pengguna Line lainnya di area yang sama. Fitur ini akan memberi Anda jarak yang tepat dari Anda ke pengguna lain. Jika seseorang memalsukan garis lintang, bujurnya, mereka dapat melakukan pelacakan pengguna dan menemukan lokasinya. Saya melaporkan masalah di aplikasi Line, dan Mereka membayar saya $ 1000 untuk itu. Mereka memperbaikinya dengan menambahkan nomor acak ke tujuan pengguna. Anda dapat menemukan nama saya di sini.

Beberapa hari yang lalu, saya menginstal Telegram, dan saya perhatikan bahwa mereka memiliki fitur yang sama. Saya mencoba untuk melihat apakah saya dapat membuka kedok lokasi pengguna lain, dan saya menemukan mereka memiliki masalah yang sama dengan yang saya temukan di aplikasi Line beberapa tahun yang lalu. Saya melaporkan masalah tersebut ke keamanan Telegram, dan mereka mengatakan itu bukan masalah. Jika Anda mengaktifkan fitur untuk membuat diri Anda terlihat di peta, Anda menerbitkan alamat rumah Anda secara online.

Saya bisa mendapatkan alamat rumah persis pengguna itu.

Telegram memberi tahu saya bahwa itu bukan masalah. Jika Anda menggunakan fitur ini, pastikan untuk menonaktifkannya. Kecuali jika Anda ingin lokasi Anda dapat diakses oleh semua orang.

Sayangnya, keamanan aplikasi Telegram yang buruk dapat tercermin dengan jumlah scammer yang mereka miliki dalam fitur itu. Telegram memungkinkan pengguna membuat grup lokal dalam suatu wilayah geografis. Banyak scammer memalsukan lokasi mereka dan mencoba menjual investasi bitcoin palsu, alat peretasan, SSN yang digunakan untuk penipuan pengangguran, dan sebagainya.

oleh Ahmed’s Notes

Adobe Flash sudah EOL (End-Of-Life) : Inilah Artinya

by

Dukungan untuk Adobe Flash secara resmi berakhir pada 31 Desember 2020 (End-Of-Life).

Flash tidak lagi tersedia untuk diunduh sejak 31 Desember 2020, dan Adobe mulai memblokir konten Flash agar tidak berjalan sama sekali pada 12 Januari 2021. Perusahaan menyarankan pengguna untuk mencopot pemasangan / meng-uninstall Flash sepenuhnya demi keamanan. Tidak akan ada lagi pembaruan untuk Flash, Anda juga tidak akan dapat mengunduh versi lama langsung dari Adobe.

Ini juga berarti bahwa versi Flash yang dipaketkan dengan peramban seperti Google Chrome akan dihentikan. Perubahan tersebut kemungkinan tidak akan memengaruhi kebiasaan penjelajahan harian Anda karena sebagian besar situs web telah berhenti menggunakan Flash karena mendukung teknologi peramban modern.

Anda harus menghindari menginstal Flash Player versi lama dengan alasan keamanan. Jika Anda masih ingin mengakses konten Flash, ada opsi, tetapi tidak satupun yang secara resmi didukung oleh Adobe.

sumber : HowToGeek

CISA Releases Free Detection Tool for Azure/M365 Environment

by

CISA telah membuat alat gratis untuk mendeteksi aktivitas tidak biasa dan berpotensi berbahaya yang mengancam pengguna dan aplikasi di lingkungan Azure / Microsoft O365. Alat ini dimaksudkan untuk digunakan oleh penanggap insiden dan secara sempit difokuskan pada aktivitas yang endemik pada serangan berbasis identitas dan otentikasi baru-baru ini yang terlihat di berbagai sektor.

CISA sangat mendorong pengguna dan administrator untuk mengunjungi halaman GitHub berikut untuk informasi tambahan dan tindakan pencegahan deteksi.

sumber : US-CERT

FTC meminta Amazon, Facebook, Twitter, dan 6 perusahaan teknologi lainnya untuk membagikan cara mereka mengumpulkan, melacak, dan menggunakan data konsumen online

by

  1. Komisi Perdagangan Federal AS memesan Amazon, Facebook, WhatsApp, YouTube, Discord, ByteDance, Reddit, Snap, dan Twitter untuk menunjukkan kepada agensi bagaimana mereka mengumpulkan dan menggunakan informasi pribadi seseorang secara online.
  2. Perintah tersebut menanyakan cara perusahaan melacak data dan menargetkan iklan online kepada konsumen, apakah mereka menggunakan algoritme untuk menangani informasi pribadi, dan bagaimana praktik online mereka memengaruhi anak-anak dan remaja.
  3. Perusahaan memiliki waktu 45 hari untuk menanggapi pesanan sejak hari mereka menerimanya.
  4. Anggota parlemen semakin mengisyaratkan bahwa mereka berniat menindak perusahaan teknologi, dan wacana publik berpusat di sekitar meminta perusahaan lebih bertanggung jawab.

sumber : BusinessInsider

Twitter didenda oleh pengawas perlindungan data UE karena pelanggaran GDPR

by

Komisi Perlindungan Data Irlandia mendenda Twitter €450.000 (~ $550.000) karena gagal memberi tahu DPC tentang pelanggaran dalam jangka waktu 72 jam yang diberlakukan oleh Peraturan Perlindungan Data Umum (GDPR) Uni Eropa dan untuk mendokumentasikannya secara memadai.

Berdasarkan aturan GDPR, regulator data UE dapat mengenakan denda maksimum hingga €20 juta (sekitar $24,3 juta) atau 4% dari omset tahunan global perusahaan yang melanggar – mana saja yang lebih besar – untuk pelanggaran.

“Penyelidikan DPC dimulai pada Januari 2019 setelah menerima pemberitahuan pelanggaran dari Twitter dan DPC menemukan bahwa Twitter melanggar Pasal 33 (1) dan 33 (5) GDPR dalam hal kegagalan untuk memberi tahu pelanggaran tepat waktu ke DPC dan kegagalan untuk mendokumentasikan pelanggaran secara memadai,” kata DPC Irlandia.

Pelanggaran yang menyebabkan Twitter didenda disebabkan oleh bug berusia empat tahun di aplikasi Twitter Android yang bertanggung jawab atas pemaparan tweet pribadi akun yang dilindungi secara tidak sengaja.

“Pada 26 Desember 2018, kami menerima laporan bug melalui program bug bounty kami bahwa jika pengguna Twitter dengan akun yang dilindungi, menggunakan Twitter untuk Android, mengubah alamat email mereka, bug tersebut akan mengakibatkan akun mereka tidak terlindungi (private),” pemberitahuan pelanggaran dikirim ke DPC pada Januari 2019.

Twitter mengatakan bahwa pihaknya tidak menyadari tingkat keparahan masalah dan pelanggaran hingga 3 Januari 2019, saat proses respons insiden diaktifkan.

Sumber: Bleeping Computer

Bug Cisco 9.9/10-severity: Tambal kerentanan Jabber yang berbahaya ini pada Windows dan macOS

by

Cisco telah meluncurkan patch untuk beberapa kelemahan kritis yang memengaruhi klien Jabber untuk Windows, MacOS, dan aplikasi seluler untuk iOS dan Android.

Cacatnya buruk, dengan yang terburuk memiliki peringkat keparahan 9,9. Yang lebih buruk, cacat itu dimaksudkan untuk diperbaiki tiga bulan lalu dalam pembaruan untuk Jabber, tak lama setelah para peneliti merilis kode proof-of-concept eksploitasi untuk bug wormable, yang dapat dieksploitasi melalui pesan instan.

Jabber adalah platform enterprise chat dan pesan instan Cisco yang banyak digunakan, yang diakuisisi pada tahun 2008. Aplikasi ini didasarkan pada Chromium Embedded Framework (CEF), yang memungkinkan pengembang untuk menyematkan browser web berbasis Chromium dalam sandbox asli di aplikasi mereka.

Cisco mengatakan bahwa bug ini memungkinkan penyerang untuk “mengeksekusi program apapun pada sistem operasi yang mendasarinya dengan hak istimewa yang lebih tinggi atau mendapatkan akses ke informasi sensitif”.

Cisco mencatat bahwa kerentanan penanganan pesan baru dapat dieksploitasi jika penyerang dapat mengirim pesan Extensible Messaging and Presence Protocol (XMPP) ke sistem pengguna akhir yang menjalankan Cisco Jabber.

Tiga bug yang belum diperbaiki sepenuhnya dilacak sebagai CVE-2020-26085, CVE-2020-27127, dan CVE-2020-27132.

Watchcom melaporkan empat kerentanan ke Cisco awal tahun ini, dan itu diungkapkan oleh raksasa jaringan pada bulan September. Tetapi tiga di antaranya tidak diperbaiki dengan benar dalam pembaruan pada saat itu, menurut Watchcom.

Cisco juga menemukan dua bug tambahan di Jabber selama pengujian internal. Mereka dilacak sebagai CVE-2020-27133 dan CVE-2020-27134.

Sumber: ZDNet

Peretas dapat menggunakan koneksi server tidak aman WinZip untuk menjatuhkan malware

by

Komunikasi klien-server dalam versi tertentu dari alat kompresi file WinZip tidak aman dan dapat dimodifikasi untuk menyajikan malware atau konten palsu kepada pengguna.

WinZip telah menjadi utilitas lama bagi pengguna Windows dengan kebutuhan pengarsipan file di luar dukungan yang dibangun di dalam sistem operasi.

WinZip saat ini di versi 25 tetapi rilis sebelumnya memeriksa server untuk pembaruan melalui koneksi yang tidak terenkripsi, kelemahan yang dapat dieksploitasi oleh aktor jahat.

Martin Rakhmanov dari Trustwave SpiderLabs menangkap lalu lintas dari versi alat yang rentan untuk menunjukkan komunikasi yang tidak terenkripsi.

Mengingat sifat saluran komunikasi yang tidak aman, Rakhmanov mengatakan bahwa lalu lintas dapat “dirampas, dimanipulasi, atau dibajak” oleh penyerang di jaringan yang sama dengan pengguna WinZip.

Satu risiko yang berasal dari tindakan ini adalah DNS poisoning, yang mengelabui aplikasi agar mengambil pembaruan palsu dari server web jahat.

Pada versi WinZip yang rentan, penyerang juga dapat memperoleh informasi yang berpotensi sensitif seperti nama pengguna dan kode pendaftaran.

Peneliti mengatakan bahwa skenario ini juga disertai dengan risiko mengeksekusi kode arbitrary pada mesin korban karena WinZip menawarkan beberapa API “kuat” ke JavaScript.

Dengan dirilisnya WinZip 25, komunikasi cleartext tidak lagi terjadi. Pengguna disarankan untuk memperbarui ke versi yang terbaru.

Sumber: Bleeping Computer