Technology

Aplikasi OAuth sedang dieksploitasi untuk meluncurkan serangan dunia maya

March 25, 2021 by Winnie the Pooh

Penjahat dunia maya semakin menyalahgunakan aplikasi OAuth untuk meluncurkan serangan terhadap bisnis perusahaan menurut penelitian baru dari Proofpoint.

Bagi mereka yang tidak terbiasa, aplikasi OAuth adalah aplikasi yang terintegrasi dengan layanan komputasi awan dan mungkin disediakan oleh vendor berbeda selain penyedia layanan awan. Aplikasi ini dapat digunakan untuk menambahkan fitur bisnis serta peningkatan antarmuka pengguna ke layanan cloud seperti Microsoft 365 atau Google Workspace.

Agar aplikasi OAuth dapat bekerja dengan layanan cloud, kebanyakan dari mereka meminta izin untuk mengakses dan mengelola informasi dan data pengguna serta masuk ke aplikasi cloud lain atas nama pengguna. OAuth bekerja melalui HTTPS dan menggunakan token akses, bukan kredensial masuk untuk memberi otorisasi perangkat, API, server, dan aplikasi.

Namun, mengingat izin luas yang dimiliki aplikasi ini untuk aplikasi cloud inti organisasi, aplikasi tersebut telah menjadi permukaan dan vektor serangan yang berkembang. Penjahat dunia maya menggunakan berbagai metode untuk menyalahgunakan aplikasi OAuth termasuk meretas sertifikat aplikasi yang digunakan dalam peretasan SolarWinds baru-baru ini.

Karena aplikasi OAuth dapat dengan mudah dieksploitasi, penyerang dapat menggunakan akses OAuth untuk menyusup dan mengambil alih akun cloud pengguna. Lebih buruk lagi, penyerang masih dapat mengakses akun dan data pengguna sampai token OAuth secara eksplisit dicabut.

Aplikasi hasad atau malware cloud menggunakan sejumlah trik seperti phishing token OAuth dan peniruan aplikasi untuk memanipulasi pemilik akun menjadi persetujuan. Pada tahun 2020 saja, Proofpoint menemukan lebih dari 180 aplikasi berbahaya dan sebagian besar dari mereka ditemukan menyerang banyak penyewa.

Pengodean atau desain yang buruk sering kali menyebabkan aplikasi rentan terhadap pengambilalihan yang tidak bersahabat dan dalam kasus ini penyerang akan menyusupi aset atau mekanisme aplikasi alih-alih berinteraksi dengan akun target itu sendiri. Salah satu contoh baru-baru ini terjadi pada bulan Maret tahun lalu ketika ditemukan bahwa berbagi GIF di Microsoft Teams dapat mengakibatkan pengambilalihan akun.

sumber : TechRadar

Keamanan API menjadi prioritas ‘atas’ untuk pemain perusahaan

March 23, 2021 by Winnie the Pooh

Ketika serangan terhadap API terus meningkat, perusahaan mulai mengambil aspek keamanan adopsi API dengan lebih serius.

Dalam laporan baru yang dirilis oleh Imvision, “API Security is Coming,” Perusahaan meminta lebih dari 100 profesional Cybersecurity di AS dan Eropa untuk wawasan tentang Keamanan API Perusahaan saat ini.

Application programming interfaces (API) menghubungkan layanan dan sistem teknologi yang berbeda. Mereka dapat memproses kueri dari klien, berurusan dengan instruksi sisi server, dan dapat memfasilitasi pengambilan dan pemrosesan data.

Menurut laporan itu, 91% profesional TI mengatakan keamanan API harus dianggap sebagai prioritas dalam dua tahun ke depan, terutama karena lebih dari 70% perusahaan perusahaan diperkirakan menggunakan lebih dari 50 API.

Namun, menemukan pendekatan holistik untuk ‘tulang punggung’ keamanan API ini tetap menjadi tantangan. Lebih dari 80% organisasi diperkirakan menggunakan, atau berencana untuk menggunakan, solusi manajemen terpusat untuk keamanan API – seperti platform Manajemen API (APIM) – tetapi hanya sepertiga responden yang percaya bahwa penyiapan API mereka cukup dilindungi dari serangan siber hari ini.

Perusahaan mengutip integrasi solusi API dengan sistem dan alur kerja saat ini dan mendapatkan visibilitas ke dalam penggunaan API secara keseluruhan sebagai penghalang utama untuk meningkatkan keamanan API.

Selengkapnya: ZDNet

Microsoft Defender Antivirus sekarang secara otomatis memitigasi kerentanan Exchange Server

March 20, 2021 by Winnie the Pooh

Microsoft telah menerapkan alat mitigasi otomatis dalam Defender Antivirus untuk mengatasi kerentanan kritis di Exchange Server.

Pada 18 Maret, raksasa Redmond mengatakan perangkat lunak tersebut akan secara otomatis memitigasi CVE-2021-26855, kerentanan parah yang secara aktif dieksploitasi di alam liar.

Microsoft merilis perbaikan darurat untuk kelemahan keamanan pada 2 Maret dan memperingatkan bahwa kelompok ancaman yang disponsori negara bernama Hafnium secara aktif mengeksploitasi bug, dan sejak itu, puluhan ribu organisasi dicurigai telah diserang.

Setidaknya ada 10 grup advanced persistent threat (APT) lainnya telah memanfaatkan peluang pada patch yang lambat atau terfragmentasi.

Penerapan pembaruan intelijen keamanan terkini untuk Microsoft Defender Antivirus dan System Center Endpoint Protection berarti bahwa mitigasi akan diterapkan pada server Exchange yang rentan saat perangkat lunak diterapkan, tanpa masukan lebih lanjut dari pengguna.

Menurut perusahaan, Antivirus Pertahanan Microsoft akan secara otomatis mengidentifikasi jika server rentan dan menerapkan perbaikan mitigasi sekali per mesin.

Jika pembaruan otomatis tidak diaktifkan, disarankan agar pengguna menginstal pembaruan baru secara manual dan memastikan perangkat lunak mereka ditingkatkan ke setidaknya versi 1.333.747.0, atau yang lebih baru. Perlindungan cloud tidak diperlukan untuk menerima perbaikan mitigasi tetapi perusahaan merekomendasikan agar fitur ini diaktifkan sebagai praktik terbaik.

Sumber: ZDNet

Seorang Hacker Baru Mencuri $ 5,7 Juta Dari Rol Startup Token Sosial

March 17, 2021 by Winnie the Pooh

Selama akhir pekan ini, peretas mencuri jutaan dolar dalam crypto dari Roll, startup mata uang sosial yang memungkinkan kreator untuk meluncurkan dan mengelola sistem uang berbasis blockchain Ethereum mereka sendiri.

Menurut perusahaan, seseorang berhasil masuk ke dalam cryptowalletnya pada Minggu pagi, menghasilkan uang senilai $ 5,7 juta. Peretas kemudian menjual token di Uniswap, platform pertukaran kripto. Roll mengatakan peretasan tampaknya terjadi melalui kompromi salah satu “kunci pribadi” dompet, yang setara dengan seseorang yang mempelajari kata sandi utama Anda.

“Saat tulisan ini dibuat, [penyebabnya tampaknya] kompromi dari kunci pribadi dompet panas kami dan bukan bug dalam kontrak pintar Roll atau kontrak token apa pun,” kata perusahaan itu dalam sebuah pernyataan Minggu. “Kami sedang menyelidiki ini dengan penyedia infrastruktur dan penegak hukum kami.” Perusahaan selanjutnya berjanji untuk melakukan audit keamanan pihak ketiga dan analisis forensik untuk “mencari tahu bagaimana kunci itu disusupi”, karena saat ini tidak jelas bagaimana peretas mendapatkannya.

Source : Gizmodo

Pengelola kata sandi Bitwarden menambahkan teks terenkripsi dan berbagi file

March 16, 2021 by Winnie the Pooh

Bitwarden adalah salah satu bintang yang sedang naik daun di dunia aplikasi, dengan cepat mendapatkan pengguna dan disukai setelah LastPass melumpuhkan tingkat non-pembayarannya.

Pelindung kata sandi terenkripsi gratis ini telah muncul sebagai opsi paling kaya akan fitur untuk pengguna gratis. Aplikasi Android dan platform pada umumnya mendapatkan opsi baru: Send, kemampuan untuk mengirim info teks dengan alat enkripsi yang sama dengan penyimpan kata sandi.

Send memberi pengguna sejumlah kecil teks online untuk dikirim kepada siapa pun melalui URL singkat Bitwarden.

Informasi yang dikirim dienkripsi di kedua ujungnya, tetapi ada beberapa opsi lain untuk melindunginya juga: Anda dapat mengatur kata sandi untuk mengaksesnya, menambahkan waktu hapus otomatis dari satu jam hingga tujuh hari, mengatur tanggal kedaluwarsa hingga 30 hari, atau bahkan menetapkan jumlah maksimum pengguna yang dapat mengaksesnya. Setel fitur itu ke 1, dan Anda dapat memastikan bahwa info yang dikirim hanya akan dilihat oleh satu orang sebelum pesan tersebut hilang.

Selain aplikasi Android dan iOS, Bitwarden Send tersedia juga untuk web, aplikasi khusus untuk Windows, MacOS, dan Linux, dan melalui ekstensi untuk semua browser web desktop utama.

Selengkapnya: Android Police

Peretas meretas chip baru yang tidak dapat diretas selama tiga bulan. Chip tetap tidak diretas

March 14, 2021 by Winnie the Pooh

Prosesor bertajuk ‘tidak dapat diretas’ yang berbahaya telah bertahan dari uji peretasan terbesarnya tanpa cedera. Dibuat oleh University of Michigan (UoM), desain chip Morpheus sekarang telah diserang oleh lebih dari 500 peneliti cybersecurity yang dengan tegas menggunakan chip tersebut selama tiga bulan berturut-turut.

Namun selama ini belum ada yang berhasil mengeksploitasinya. Sekarang, tiga bulan tidak selalu berarti itu benar-benar tidak dapat diretas, tetapi tentu saja membuatnya sangat aman.

Memberi nama chip ‘tidak dapat diretas’, seperti pembatas GPU tertentu yang dapat kami sebutkan, sama saja dengan memohon seseorang untuk datang dan memecahkannya, dan itulah yang telah dilakukan UoM dalam menempatkan Morpheus ke dalam Finding Exploits to Thwart Merusak (FETT ) Perburuan Bug Bounty dari DARPA.

Penelitian ini juga didukung oleh program DARPA SSITH.

Bagaimanapun, hackathon berburu bug berlangsung dari Juni hingga Agustus tahun lalu, dan chip berbasis RISC-V menolak semua upaya untuk mengkompromikannya.

Dijuluki Morpheus oleh penciptanya, desain chip menggunakan campuran ‘enkripsi dan churn’ untuk pertama-tama, secara acak mengaburkan poin data utama — seperti lokasi, format, dan konten inti program — dan kemudian mengacak ulang semuanya sementara sistem sedang beroperasi.

selengkapnya : PCGAMER

Peretas menemukan cara untuk bersembunyi di dalam walled garden Apple

March 9, 2021 by Winnie the Pooh

Anda pernah mendengar tentang taman bertembok (walled garden) Apple yang terkenal, ekosistem teknologi yang dikontrol ketat yang memberi perusahaan kontrol fitur dan keamanan yang unik.

Semua aplikasi melalui proses persetujuan Apple yang ketat, mereka dibatasi sehingga informasi sensitif tidak dikumpulkan di ponsel, dan pengembang tidak dapat masuk ke tempat yang dapat mereka masuki di sistem lain. Penghalang sekarang sangat tinggi sehingga mungkin lebih akurat untuk menganggapnya sebagai dinding kastil.

Namun, ketika peretas paling canggih berhasil menerobos, sesuatu yang aneh terjadi: pertahanan luar biasa Apple akhirnya melindungi penyerang itu sendiri.

“Itu pedang bermata dua,” kata Bill Marczak, peneliti senior di pengawas keamanan siber Citizen Lab. “Anda akan menghindari banyak kekacauan dengan mempersulit pembobolan iPhone. Tapi 1% dari peretas top akan menemukan jalan masuk dan, begitu mereka masuk, benteng iPhone yang tak tertembus melindungi mereka.”

Dia berpendapat bahwa sementara keamanan iPhone semakin ketat karena Apple menginvestasikan jutaan untuk meningkatkan tembok, peretas terbaik memiliki jutaan mereka sendiri untuk membeli atau mengembangkan eksploitasi zero-click yang memungkinkan mereka mengambil alih iPhone tanpa terlihat.

Ini memungkinkan penyerang untuk menggali ke dalam bagian terlarang ponsel tanpa pernah memberi target indikasi bahwa ponsel mereka telah disusupi.

Terkadang sistem yang terkunci dapat menjadi bumerang bahkan lebih langsung. Ketika Apple merilis versi baru iOS musim panas lalu di tengah penyelidikan Marczak, fitur keamanan baru ponsel membunuh alat “jailbreak” tidak resmi yang digunakan Citizen Lab untuk membuka iPhone. Pembaruan tersebut menguncinya dari area pribadi ponsel, termasuk folder untuk pembaruan baru — yang ternyata persis dimana peretas bersembunyi.

Selengkapnya: Technology Review

Cookie	Duration	Description
_ga	2 years	The _ga cookie, installed by Google Analytics, calculates visitor, session and campaign data and also keeps track of site usage for the site's analytics report. The cookie stores information anonymously and assigns a randomly generated number to recognize unique visitors.
_gat_gtag_UA_172707709_1	1 minute	Set by Google to distinguish users.
_gid	1 day	Installed by Google Analytics, _gid cookie stores information on how visitors use a website, while also creating an analytics report of the website's performance. Some of the data that are collected include the number of visitors, their source, and the pages they visit anonymously.

Technology

Cookies Settings