Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Technology

Technology

Malware Glupteba Kembali Beraksi Setelah Gangguan Google

by

Botnet malware Glupteba telah beraksi kembali, menginfeksi perangkat di seluruh dunia setelah operasinya diganggu oleh Google hampir setahun yang lalu.

Pada Desember 2021, Google berhasil menyebabkan gangguan secara besar-besaran pada botnet yang mengaktifkan blockchain, mengamankan perintah pengadilan untuk mengambil kendali atas infrastruktur botnet dan mengajukan keluhan terhadap dua operator Rusia.

Nozomi melaporkan transaksi blockchain, pendaftaran sertifikat TLS, dan sampel rekayasa balik Glupteba menunjukkan kampanye Glupteba skala besar baru yang dimulai pada Juni 2022 dan masih berlangsung.

Menemukan fungsi yang digunakan untuk mengambil domain C2 (Nozomi)

Bersembunyi di Blockchain
Glupteba adalah malware modular berkemampuan blockchain yang menginfeksi perangkat Windows untuk menambang cryptocurrency, mencuri kredensial dan cookie pengguna, dan menyebarkan proxy pada sistem Windows dan perangkat IoT.

Malware ini sebagian besar didistribusikan melalui malvertising pada jaringan bayar-per-instal (PPI) dan sistem distribusi lalu lintas (TDS) yang mendorong penginstal yang menyamar sebagai perangkat lunak, video, dan film gratis.

Glupteba menggunakan blockchain Bitcoin untuk menghindari gangguan dengan menerima daftar terbaru dari server perintah dan kontrol yang harus dihubungi untuk menjalankan perintah.

Klien botnet mengambil alamat server C2 menggunakan fungsi temukan yang menyebutkan server dompet Bitcoin, mengambil transaksi mereka, dan mem-parsingnya untuk menemukan alamat terenkripsi AES.

Diagram transaksi blockchain. Dari kiri ke kanan, kampanye 2022 (paling kompleks), 2021, 2020, dan 2019 (Nozomi)

Kembalinya Glupteba
Menurut Nozomi, penggunaan blockchain dengan cara yang sama membuat analis Glupteba memindai seluruh blockchain untuk menemukan domain C2 yang tersembunyi.

Dalam investigasi oleh Nozomi, ditemukan sejumlah 15 alamat Bitcoin yang digunakan dalam empat kampanye Glupteba.

Berdasarkan hasil penuturan Nozomi diatas, mulai dari jumlah layanan tersembunyi TOR yang digunakan sebagai server C2 yang meningkat sepuluh kali lipat sejak kampanye 2021, banyak pendaftaran domain Glupteba melalui data DNS pasif dan lainnya, menandakan bahwa botnet Glupteba telah kembali, dan terdapat tanda-tanda yang menunjukkan botnet ini lebih masif dari sebelumnya, bahkan berpotensi lebih tangguh.

Selengkapnya: BLEEPINGCOMPUTER

Tagged With: Blockchain, Botnet, Glupteba, Google, Malware

NIST Menghentikan Algoritma Kriptografi SHA-1

by

Fungsi hash kriptografi yang terhormat memiliki kerentanan yang membuat penggunaannya lebih lanjut tidak disarankan.
Algoritma Hash Aman telah digunakan sejak 1995 sebagai bagian dari Standar Pemrosesan Informasi Federal (FIPS) 180-1. Pakar keamanan di National Institute of Standards and Technology (NIST) mengumumkan bahwa SHA-1 harus dihapus pada 31 Desember 2030, mendukung grup algoritma SHA-2 dan SHA-3 yang lebih aman.
Didukung dengan pernyataan oleh Chris Celi, ilmuwan komputer NIST, disarankan agar segera mungkin bermigrasi ke SHA-2 atau SHA-3. Salah satu penyebabnya adalah keparahan serangan collision untuk merusak SHA-1 di aplikasi lain.
SHA-1 berfungsi sebagai blok penyusun untuk banyak aplikasi keamanan, seperti memvalidasi situs web dengan tujuan mengamankan informasi dengan melakukan operasi matematika yang kompleks pada karakter pesan, menghasilkan string karakter pendek yang disebut hash.
Rencana NISAT pada tanggal 31 Desember 2030 antara lain mempublikasikan FIPS 180-5 (revisi FIPS 180) untuk menghapus spesifikasi SHA-1, merevisi SP 800-131A dan publikasi NIST lain yang terpengaruh untuk mencerminkan penarikan SHA-1 yang direncanakan, dan membuat & menerbitkan strategi transisi untuk memvalidasi modul dan algoritma kriptografi.

Selengkapnya: NIST

Kecacatan Parah AMI MegaRAC Memengaruhi Server dari AMD, ARM, HPE, Dell, dan lainnya

by

Tiga kerentanan dalam perangkat lunak American Megatrends MegaRAC Baseboard Management Controller (BMC) berdampak pada peralatan server yang digunakan di banyak penyedia layanan cloud dan pusat data.

Kecacatan yang ditemukan oleh Eclypsium pada Agustus 2022 ini memungkinkan penyerang, dalam kondisi tertentu untuk mengeksekusi kode, melewati autentikasi, dan melakukan pencacahan pengguna.

Peneliti menemukan kekurangan tersebut setelah memeriksa kode hak milik American Megatrends yang bocor, khususnya firmware MegaRAC BMC. Firmware tersebut digunakan oleh setidaknya 15 produsen server, termasuk AMD, Ampere Computing, ASRock, Asus, ARM, Dell EMC, Gigabyte, Hewlett-Packard Enterprise, Huawei, Inspur, Lenovo, Nvidia, Qualcomm, Quanta, dan Tyan.

MegaRAC BMC adalah solusi untuk manajemen sistem jarak jauh “out-of-band” dan “lights-out”, yang memungkinkan admin memecahkan masalah server dari jarak jauh.

Detail Kerentanan
Tiga kerentanan yang ditemukan oleh Eclypsium dan dilaporkan ke American Megatrends dan vendor yang terpengaruh yaitu CVE-2022-40259, CVE-2022-40242, dan CVE-2022-2827.

Satu diantaranya memiliki skor dengan tingkat kritis, dan dua lainnya memiliki skor dengan tingkat tinggi. Tingkat kritis adalah kerentanan yang terparah yang mana memerlukan akses sebelumnya ke setidaknya akun dengan hak istimewa rendah untuk melakukan callback API.

Dampak
Kerentanan yang parah memberikan penyerang akses ke shell administratif tanpa memerlukan eskalasi lebih lanjut.

Hal ini dapat menyebabkan manipulasi data, pelanggaran data, pemadaman layanan, gangguan bisnis, dan lainnya.

Sementara kerentanan dengan skor tingkat tinggi awal tidak memiliki dampak keamanan langsung yang signifikan, namun dapat membuka jalan untuk memeriksa kata sandi baru karena mengetahui akun apa yang ada di target.

Tindakan antisipasi yang dapat dilakukan adalah admin sistem disarankan untuk menonaktifkan opsi administrasi jarak jauh, menambahkan langkah autentikasi jarak jauh jika memungkinkan, meminimalkan paparan eksternal antarmuka manajemen server, dan memastikan pembaruan firmware terbaru yang tersedia diinstal di semua sistem.

Selengkapnya: BLEEPINGCOMPUTER

Biden Mem-blacklist YMTC, Menindak Sektor Chip AI

by

Pemerintahan Biden pada hari Kamis menambahkan pembuat chip memori China YMTC dan 21 pemain “utama” China di sektor chip kecerdasan buatan ke daftar hitam perdagangan, memperluas tindakan kerasnya terhadap industri chip China.

YMTC, yang telah lama berada di garis bidik pemerintah AS, ditambahkan ke dalam daftar karena khawatir dapat mengalihkan teknologi Amerika ke raksasa teknologi China yang sebelumnya masuk daftar hitam Huawei Technologies Co Ltd.

21 entitas chip AI China yang ditambahkan ke daftar hitam perdagangan, termasuk Cambricon Technologies Corp (688256.SS) dan CETC, menghadapi hukuman yang lebih berat, dengan pemerintah AS secara efektif memblokir akses mereka ke teknologi yang dibuat di mana saja di dunia dengan peralatan AS.

Ketika pemerintah China berusaha menghilangkan hambatan antara sektor militer dan sipilnya, “kepentingan keamanan nasional AS mengharuskan kami bertindak tegas untuk menolak akses ke teknologi canggih,” kata Asisten Menteri Perdagangan untuk Administrasi Ekspor Thea Kendler dalam sebuah pernyataan.

Kedutaan Besar China di Washington mengatakan Amerika Serikat terlibat dalam “paksaan ekonomi dan intimidasi yang terang-terangan di bidang teknologi,” merusak aktivitas bisnis normal antara perusahaan China dan Amerika dan mengancam stabilitas rantai pasokan global.

Departemen Perdagangan pada hari Kamis juga menargetkan sembilan entitas China karena diduga berusaha mendukung modernisasi militer China, termasuk Shanghai Micro Electronics Equipment Group Co Ltd (SMEE), satu-satunya perusahaan litografi China.

SMEE tidak segera menanggapi permintaan komentar.

Ia menambahkan pembuat kamera pengintai China Tianjin Tiandi Weiye Technologies karena diduga berpartisipasi dalam “kampanye penindasan China, penahanan sewenang-wenang massal, dan pengawasan teknologi tinggi terhadap Uyghur.” Tiandi tidak segera menanggapi permintaan komentar.

Senat Tinggi Demokrat Chuck Schumer menggembar-gemborkan hukuman baru pada YMTC, yang dilaporkan Reuters sedang diselidiki karena diduga melanggar peraturan ekspor AS dengan memasok chip ke Huawei tanpa lisensi.

sumber : reuters

Peretas Mencuri $300.000 dalam Serangan pada Kedensial DraftKings

by

Perusahaan taruhan olahraga DraftKings mengatakan hari ini bahwa itu akan membuat seluruh pelanggan terpengaruh oleh serangan isian kredensial yang menyebabkan kerugian hingga $300.000.

Pernyataan tersebut mengikuti tweet Senin pagi yang mengatakan bahwa DraftKings sedang menyelidiki laporan [1, 2, 3, 4] tentang pelanggan yang mengalami masalah dengan akun mereka.

Beberapa korban juga mengungkapkan rasa frustrasi mereka di media sosial karena mereka tidak dapat menghubungi siapa pun di DraftKings sementara harus menyaksikan penyerang berulang kali menarik uang dari rekening bank mereka.

Perusahaan menyarankan pelanggan untuk tidak pernah menggunakan kata sandi yang sama untuk lebih dari satu layanan online dan tidak pernah membagikan kredensial mereka dengan platform pihak ketiga, termasuk pelacak taruhan dan aplikasi taruhan selain yang disediakan oleh DraftKings.

Pernyataan DraftKings tentang serangan isian kredensial (Dukungan Pelanggan DraftKings)

Ini bekerja sangat baik terhadap akun yang pemiliknya telah menggunakan kembali kredensial di berbagai platform.

Tujuannya adalah mengambil alih sebanyak mungkin akun untuk mencuri info pribadi dan keuangan terkait yang nantinya dapat dijual di web gelap atau di forum peretasan.

Itu juga melaporkan bahwa situasinya telah memburuk secara drastis tahun ini karena mencatat lebih dari 10 miliar peristiwa isian kredensial di platformnya selama tiga bulan pertama tahun 2022.

Jumlah tersebut mewakili sekitar 34% dari keseluruhan lalu lintas autentikasi yang dilacak oleh Okta, yang berarti bahwa sepertiga dari semua upaya masuk bersifat jahat dan curang.

sumber : bleeping computer

Penyerang Melewati Coinbase dan MetaMask 2FA Melalui TeamViewer, Obrolan Dukungan Palsu

by

Kampanye phishing pencuri crypto sedang dilakukan untuk melewati otentikasi multi-faktor dan mendapatkan akses ke akun di Coinbase, MetaMask, Crypto.com, dan KuCoin dan mencuri cryptocurrency.

Pelaku ancaman menyalahgunakan layanan Microsoft Azure Web Apps untuk menghosting jaringan situs phishing dan memikat korban melalui pesan phishing yang menyamar sebagai permintaan konfirmasi transaksi palsu atau deteksi aktivitas mencurigakan.

email phishing yang menyamar sebagai Coinbase
Sumber: PIXM

Saat target mengunjungi situs phishing, mereka disuguhi jendela obrolan yang seharusnya untuk ‘dukungan pelanggan’, yang dikendalikan oleh scammer yang mengarahkan pengunjung melalui proses penipuan multi-langkah.

Melewati 2FA
Fase pertama serangan di situs phishing pertukaran crypto palsu melibatkan formulir login palsu diikuti dengan prompt otentikasi dua faktor.

Terlepas dari kredensial yang dimasukkan selama tahap ini, kredensial tersebut masih akan dicuri oleh pelaku ancaman. Halaman tersebut kemudian melanjutkan ke prompt yang meminta kode 2FA yang diperlukan untuk mengakses akun.

Langkah 2FA dari situs phishing
Sumber: PIXM

Penyerang mencoba kredensial yang dimasukkan di situs web yang sah, memicu pengiriman kode 2FA ke korban, yang kemudian memasukkan 2FA yang valid di situs phishing.

Mengobrol dengan penipu
ini dilakukan dengan menampilkan pesan kesalahan palsu yang menyatakan bahwa akun telah ditangguhkan karena aktivitas yang mencurigakan dan meminta pengunjung menghubingi dukungan untuk menyelesaikan masalah tersebut

Menghasilkan kesalahan login palsu
Sumber: PIXM

“Mereka akan menanyakan nama pengguna, kata sandi, dan kode autentikasi 2 faktor kepada pengguna secara langsung di obrolan,” jelas laporan PIXM yang baru.

“Penjahat kemudian akan membawa ini langsung ke browser di mesin mereka dan kembali mencoba mengakses akun pengguna.”

Untuk akun yang berhasil dilanggar, korban masih berhubungan dengan dukungan pelanggan jika mereka perlu mengkonfirmasi transfer dana sementara para penjahat mengosongkan dompet mereka.

Tipuan Jarak Jauh
Selanjutnya, penipu meminta korban untuk masuk ke dompet cryptocurrency atau akun pertukaran mereka, dan saat mereka melakukannya, pelaku ancaman menambahkan karakter acak di bidang kata sandi untuk menyebabkan kegagalan masuk.

Penyerang kemudian meminta korban untuk menempelkan kata sandi pada obrolan TeamViewer, menggunakan kata sandi (minus karakter acak) untuk masuk ke perangkat mereka, dan kemudian merebut tautan konfirmasi perangkat yang dikirim ke korban untuk mengautentikasi perangkat mereka sebagai tepercaya.

Untuk menghindari scammed dalam serangan seperti ini, penting untuk selalu memperhatikan alamat email pengirim dan URL yang dikirim.

Jika URL ini tidak cocok dengan platform mata uang kripto, Anda harus segera menganggap email tersebut mencurigakan dan menghapusnya.

sumber : bleeping computer

Otentikasi Dua Faktor Twitter Memiliki Kerentanan – DIPERBARUI

by

Grup Media Keamanan Informasi telah menyadari bahwa peneliti keamanan lain, @BetoOnSecurity, juga mengidentifikasi kemampuan untuk mematikan SMS 2FA Twitter melalui perintah “STOP” yang dikirim sebagai kerentanan, mengingat potensi spoofing. Sumber kami secara independen mengidentifikasi kerentanan.

Peneliti keamanan memperingatkan bahwa autentikasi multifaktor di Twitter mengandung kerentanan yang memungkinkan pengambilalihan akun potensial.

Kerentanan muncul ketika Twitter memasuki minggu ketiga di bawah kepemilikan Elon Musk, periode di mana staf keamanan dan kepatuhan utama di perusahaan telah pergi, banyak karyawan dan kontraktor telah diberhentikan, dan keretakan mulai terlihat di perusahaan. teknologi yang berhadapan dengan pelanggan

Kerentanan, yang diverifikasi ISMG, memungkinkan peretas untuk memalsukan nomor telepon yang terdaftar untuk menonaktifkan otentikasi dua faktor. Itu berpotensi membuat akun terkena serangan reset kata sandi atau pengambilalihan akun melalui isian kata sandi. Twitter memungkinkan penggunaan untuk mengatur multifact

Selama masa jabatan Musk sebagai kepala eksekutif, masalah lain terkait dengan kontrol akun telah muncul – serentetan akun palsu yang menyamar sebagai merek multinasional yang tampak asli, berkat adanya tanda centang biru.

Musk tetap melanjutkan. Selama periode kira-kira dua hari selama Rabu dan Kamis, penipu menyamar sebagai perusahaan farmasi Eli Lilly dengan mengumumkan bahwa insulin sekarang akan gratis, produsen pisang Chiquita dengan mengumumkan penggulingan pemerintah Brasil, dan pembuat mobil listrik yang dipimpin Musk Tesla dengan memperpanjang menawarkan untuk mengirimkan 10.000 mobil untuk mendukung militer Ukraina.

Pada saat itu, serentetan peniruan telah menarik perhatian Partai Demokrat AS.

sumber : data breach today

‘Authentication’ Windows Kerberos Rusak Setelah Pembaruan November

by

Microsoft sedang menyelidiki masalah baru yang diketahui yang menyebabkan pengontrol domain perusahaan mengalami kegagalan masuk Kerberos dan masalah autentikasi lainnya setelah menginstal pembaruan kumulatif yang dirilis selama Patch Selasa bulan ini.

Kerberos telah menggantikan protokol NTLM sebagai protokol autentikasi default untuk perangkat yang terhubung dengan domain pada semua versi Windows di atas Windows 2000.

Kesalahan yang dicatat dalam log peristiwa sistem pada sistem yang terpengaruh akan ditandai dengan frasa kunci “kunci yang hilang memiliki ID 1”.

“Saat memproses permintaan AS untuk layanan target , akun tidak memiliki kunci yang sesuai untuk membuat tiket Kerberos (kunci yang hilang memiliki ID 1),” tulis kesalahan yang dicatat.

Daftar skenario otentikasi Kerberos mencakup namun tidak terbatas pada hal berikut:

  • Login pengguna domain mungkin gagal. Ini juga dapat mempengaruhi autentikasi Active Directory Federation Services (AD FS).
  • Akun Layanan Terkelola Grup (gMSA) yang digunakan untuk layanan seperti Layanan Informasi Internet (Server Web IIS) mungkin gagal diautentikasi.
  • ​Koneksi Desktop Jarak Jauh menggunakan pengguna domain mungkin gagal terhubung.
  • Anda mungkin tidak dapat mengakses folder bersama di workstation dan berbagi file di server.
  • ​Pencetakan yang memerlukan otentikasi pengguna domain mungkin gagal.

Mempengaruhi platform klien dan server
Daftar lengkap platform yang terpengaruh mencakup rilis klien dan server:

  • Klien: Windows 7 SP1, Windows 8.1, Windows 10 Enterprise LTSC 2019, Windows 10 Enterprise LTSC 2016, Windows 10 Enterprise 2015 LTSB, Windows 10 20H2 atau lebih baru, dan Windows 11 21H2 atau lebih baru
  • Server: Windows Server 2008 SP2 atau lebih baru, termasuk rilis terbaru, Windows Server 2022.

Masalah ini tidak memengaruhi perangkat yang digunakan oleh pelanggan rumahan dan yang tidak terdaftar di domain lokal. Selain itu, ini tidak memengaruhi lingkungan Azure Active Directory ibu-hibrid dan lingkungan yang tidak memiliki server Active Directory lokal.

Microsoft sedang mengerjakan perbaikan untuk masalah umum ini dan memperkirakan solusi akan tersedia dalam beberapa minggu mendatang.

sumber : bleeping computer