Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat

Threat

Hampir 30% bug plugin WordPress kritis tidak mendapatkan tambalan

by

Patchstack, pemimpin dalam keamanan WordPress dan intelijen ancaman, telah merilis whitepaper untuk menyajikan keadaan keamanan WordPress pada tahun 2021, dan laporan tersebut memberikan gambaran yang mengerikan.

Lebih detailnya, 2021 telah melihat pertumbuhan 150% dalam kerentanan yang dilaporkan dibandingkan dengan tahun sebelumnya, sementara 29% dari kelemahan kritis dalam plugin WordPress tidak pernah menerima pembaruan keamanan.

Ini mengkhawatirkan mengingat WordPress adalah sistem manajemen konten paling populer di dunia, digunakan di 43,2% dari semua situs web di luar sana.

Dari semua kerentanan yang dilaporkan pada tahun 2021, hanya 0,58% yang ada di inti WordPress, dengan sisanya berada di tema dan plugin untuk platform, yang berasal dari berbagai sumber dan pengembang yang berbeda.

Khususnya, 91,38% dari kekurangan ini ditemukan di plugin gratis, sedangkan add-on WordPress berbayar/premium hanya menyumbang 8,62% dari total, mencerminkan prosedur pemeriksaan dan pengujian kode yang lebih baik.

PatchStack juga melaporkan bahwa cross-site scripting (XSS) menduduki puncak daftar dengan jenis kelemahan WordPress yang paling banyak dilaporkan pada tahun 2021, diikuti oleh “campuran”, cross-site request forgery, SQL injection, dan unggahan file yang sewenang-wenang.

Sekitar 42% situs WordPress memiliki setidaknya satu komponen rentan pada tahun 2021, dari rata-rata 18 yang diinstal. Meskipun jumlah ini lebih rendah dari 23 plugin yang dipasang di situs pada tahun 2020, masalahnya tetap ada karena enam dari 18 plugin sudah usang.

Selengkapnya: Bleeping Computer

Intel, AMD, Arm memperingatkan bug CPU eksekusi spekulatif baru

by

Peneliti keamanan telah menemukan cara baru untuk melewati pertahanan berbasis perangkat keras yang ada untuk eksekusi spekulatif dalam prosesor komputer modern dari Intel, AMD, dan Arm.

Ketiga produsen CPU tersebut telah menerbitkan saran yang disertai dengan pembaruan mitigasi dan rekomendasi keamanan untuk mengatasi masalah yang baru ditemukan yang memungkinkan bocornya informasi sensitif meskipun ada perlindungan berbasis isolasi.

Teknik eksekusi spekulatif dirancang untuk mengoptimalkan kinerja CPU dengan menjalankan beberapa tugas terlebih dahulu (branch prediction) sehingga informasi tersedia saat diperlukan.

Pada tahun 2018, para peneliti menemukan cara untuk membocorkan informasi yang berasal dari perhitungan proaktif ini, dengan menyebutkan kerentanan terkait Meltdown and Spectre.

Sejak itu, vendor telah merilis mitigasi berbasis perangkat lunak seperti “Retpoline” yang mengisolasi cabang tidak langsung dari eksekusi spekulatif. Pembuat chip juga telah mengatasi masalah dengan perbaikan perangkat keras seperti eIBRS dari Intel dan CSV2 dari Arm.

Para peneliti di VUSec merinci dalam laporan teknis hari ini tentang metode baru untuk melewati semua mitigasi yang ada dengan memanfaatkan apa yang mereka sebut sebagai Branch History Injection (BHI).

Makalah ini menggarisbawahi bahwa sementara mitigasi perangkat keras masih mencegah penyerang yang tidak memiliki hak untuk menyuntikkan entri prediktor untuk kernel, mengandalkan sejarah global untuk memilih target menciptakan metode serangan yang sebelumnya tidak diketahui.

Intel menanggapi temuan ini dengan menetapkan dua kerentanan tingkat menengah, CVE-2022-0001 dan CVE-2022-0002, dan merekomendasikan pengguna untuk menonaktifkan akses ke runtime terkelola dalam mode istimewa.

Untuk daftar lengkap rekomendasi mitigasi, lihat halaman khusus ini, sementara daftar semua model prosesor yang terpengaruh tersedia di sini.

Arm juga telah menerbitkan buletin keamanan tentang masalah ini, karena serangan history poisoning baru memengaruhi beberapa produk Cortex-A dan Neoverse-nya.

Selengkapnya: Bleeping Computer

Emotet Tumbuh Perlahan Tapi Pasti Sejak Kebangkitannya Di Bulan November

by

Botnet Emotet yang terkenal masih terus didistribusikan di alam liar, dan sekarang telah menginfeksi 130.000 sistem di 179 negara.

Aktivitas emotet berhenti pada 2019 saat versi utama keduanya beredar, dan malware baru kembali pada November 2021, dengan bantuan Trickbot.

Analis ancaman di lab Black Lotus telah memutuskan untuk mendalami “Epoch 3” Emotet untuk mengidentifikasi fitur baru dan memetakan pola distribusinya saat ini.

Seperti yang Anda bisa lihat di bawah, botnet Emotet mulai perlahan-lahan membuat ulang dirinya sendiri pada bulan November, melihat distribusi yang jauh lebih besar melalui kampanye phishing yang dimulai pada Januari 2022.

Sumber: Black Lotus

Kampanye Emotet baru juga menyertakan fitur seperti skema kriptografi kurva eliptik (ECC) baru yang menggantikan enkripsi RSA yang digunakan untuk perlindungan dan validasi lalu lintas jaringan.

Selain itu, pembuat malware kini telah menambahkan lebih banyak kemampuan pengumpulan info untuk profil sistem yang lebih baik, sedangkan sebelumnya, Emotet hanya akan mengirim kembali daftar proses yang berjalan.

Black Lotus melaporkan bahwa saat ini ada 200 C2 unik yang mendukung kebangkitan Emotet, dengan jumlah yang tumbuh perlahan tapi pasti. Jumlah hari aktivitas rata-rata untuk C2 saat ini adalah 29.

Sumber: Black Lotus

Seperti sebelumnya, sebagian besar infrastruktur C2 Emotet terletak di Amerika Serikat dan Jerman, diikuti oleh Prancis, Brasil, Thailand, Singapura, Indonesia, Kanada, Inggris, dan India.

Sumber: Black Lotus

Dalam hal distribusi bot, fokusnya adalah di Jepang, India, Indonesia, Thailand, Afrika Selatan, Meksiko, Amerika Serikat, China, Brasil, dan Italia.

Sumber: Black Lotus

Analis ancaman percaya bahwa alasan untuk tiga negara pertama yang menempati urutan teratas daftar ini adalah jumlah mesin Windows yang ketinggalan jaman dan dengan demikian rentan di wilayah tersebut.

Salinan Windows bajakan yang dengan sengaja memutuskan konektivitasnya ke server pembaruan Microsoft tetap rentan terhadap serangan malware seperti milik Emotet.

Selengkapnya: Bleeping Computer

Microsoft Patch Tuesday Bulan Maret 2022 Memperbaiki 71 Kelemahan, 3 Zero Day

by

Microsoft telah merilis Patch Tuesday bulan MAret 2022, dan dengan itu datang perbaikan untuk 3 kerentanan zero-day dan total 71 kelemahan keamanan.

Microsoft telah memperbaiki 71 kerentanan (tidak termasuk 21 kerentanan Microsoft Edge ) dengan pembaruan hari ini, dengan tiga diklasifikasikan sebagai Kritis karena memungkinkan eksekusi kode jarak jauh.

Patch Tuesday bulan ini juga mencakup perbaikan untuk tiga kerentanan zero-day yang diungkapkan secara publik. Kabar baiknya adalah bahwa tidak satu pun dari kerentanan ini yang dieksploitasi secara aktif dalam serangan.

Kerentanan yang diungkapkan kepada publik yang diperbaiki sebagai bagian dari Patch Tuesday Maret 2022 adalah:

  • CVE-2022-21990 – Remote Desktop Client Remote Code Execution Vulnerability
  • CVE-2022-24459 – Windows Fax and Scan Service Elevation of Privilege Vulnerability
  • CVE-2022-24512 – .NET and Visual Studio Remote Code Execution Vulnerability

Meskipun tidak satu pun dari kerentanan ini telah digunakan dalam serangan, Microsoft menyatakan bahwa ada eksploit proof-of-concept untuk CVE-2022-21990 dan CVE-2022-24459.

Kerentanan lain yang menarik bulan ini yang diyakini Microsoft lebih mungkin menjadi sasaran pelaku ancaman adalah:

  • CVE-2022-24508 – Windows SMBv3 Client/Server Remote Code Execution Vulnerability
  • CVE-2022-23277 – Microsoft Exchange Server Remote Code Execution Vulnerability

Pengguna disarankan untuk menerapkan pembaruan yang telah tersedia sesegera mungkin.

Selengkapnya: Bleeping Computer

HP menambal 16 bug firmware UEFI yang memungkinkan infeksi malware tersembunyi

by

HP telah mengungkapkan 16 kerentanan firmware UEFI berdampak tinggi yang memungkinkan pelaku ancaman menginfeksi perangkat dengan malware yang mendapatkan hak istimewa tinggi dan tetap tidak terdeteksi oleh perangkat lunak keamanan yang diinstal.

Kerentanan ini memengaruhi beberapa model HP, termasuk laptop, komputer desktop, sistem PoS, dan node edge computing.

Cacat tersebut ditemukan oleh para peneliti di Binarly, tim yang sama yang menerbitkan serangkaian kekurangan UEFI lainnya yang memengaruhi 25 vendor komputer pada bulan Februari.

Beberapa hari setelah itu, pendiri Binarly mempresentasikan lima kelemahan UEFI baru yang berdampak pada HP di OffensiveCon, dan HP merilis pembaruan keamanan yang sesuai untuk mengatasinya.

Hari ini, Binarly, HP, dan CERT/CC telah mengoordinasikan pengungkapan set lengkap kerentanan yang baru ditemukan, termasuk 11 kerentanan baru yang memengaruhi firmware UEFI HPE.

Malware firmware tidak teoretis, seperti yang telah kami laporkan tentang kelompok peretas yang disponsori negara yang menyebarkan malware UEFI, seperti MoonBounce, ESPecter, dan pemuat FinSpy, di masa lalu.

Pada titik ini, satu-satunya cara untuk mengatasi risiko keamanan ini adalah dengan menerapkan pembaruan firmware yang tersedia dari portal pemutakhiran BIOS HP, atau dengan mengikuti petunjuk berikut.

Selengkapnya: Bleeping Computer

Bug Linux baru memberikan akses root di semua distro utama

by

Kerentanan Linux baru yang dikenal sebagai ‘Dirty Pipe’ memungkinkan pengguna lokal untuk mendapatkan hak akses root melalui eksploitasi yang tersedia untuk umum.

Peneliti keamanan Max Kellermann secara bertanggung jawab mengungkapkan kerentanan ‘Dirty Pipe’ dan menyatakan bahwa itu mempengaruhi Linux Kernel 5.8 dan versi yang lebih baru, bahkan pada perangkat Android.

Kerentanan dilacak sebagai CVE-2022-0847 dan memungkinkan pengguna yang tidak memiliki hak istimewa untuk menyuntikkan dan menimpa data dalam file read-only, termasuk proses SUID yang berjalan sebagai root.

Kellerman menyatakan bahwa kerentanan tersebut mirip dengan kerentanan Dirty COW (CVE-2016-5195) yang diperbaiki pada tahun 2016.

Sebagai bagian dari pengungkapan Dirty Pipe, Kellerman merilis eksploit proof-of-concept (PoC) yang memungkinkan pengguna lokal untuk memasukkan data mereka sendiri ke dalam file read-only yang sensitif, menghapus batasan atau memodifikasi konfigurasi untuk memberikan akses yang lebih besar.

Misalnya, peneliti keamanan Phith0n mengilustrasikan bagaimana mereka dapat menggunakan exploit untuk memodifikasi file /etc/passwd sehingga pengguna root tidak memiliki kata sandi. Setelah perubahan ini dibuat, pengguna yang tidak memiliki hak istimewa cukup menjalankan perintah ‘su root’ untuk mendapatkan akses ke akun root.

Namun, eksploitasi yang diperbarui oleh peneliti keamanan BLASTY juga dirilis secara publik hari ini yang membuatnya lebih mudah untuk mendapatkan hak akses root dengan menambal perintah /usr/bin/su untuk menjatuhkan shell root di /tmp/sh dan kemudian menjalankan skrip.

Setelah dieksekusi, pengguna mendapatkan hak akses root, seperti yang ditunjukkan oleh BleepingComputer di bawah ini di Ubuntu 20.04.3 LTS yang menjalankan kernel generik 5.13.0-27.

Sumber: Bleeping Computer

Kerentanan tersebut diungkapkan secara bertanggung jawab kepada berbagai pengelola Linux mulai 20 Februari 2022, termasuk tim keamanan kernel Linux dan Tim Keamanan Android.

Sementara bug telah diperbaiki di kernel Linux 5.16.11, 5.15.25, dan 5.10.102, banyak server terus menjalankan kernel usang yang membuat rilis eksploitasi ini menjadi masalah signifikan bagi administrator server.

Sumber: Bleeping Computer

Peretas mengklaim kebocoran besar Samsung, termasuk kunci enkripsi dan kode sumber

by

Kelompok peretas Lapsus$ baru-baru ini menargetkan Nvidia, menuntut pembuat chip menghilangkan fitur di beberapa GPU yang membatasi tingkat hash saat menambang cryptocurrency Ethereum. Lapsus$ tidak berhenti di situ — sekarang Samsung berada di bawah kendali, dan kode sumber yang berharga sekali lagi dipertaruhkan.

Kebocoran baru dirinci dalam laporan dari Bleeping Computer, yang menyebut Lapsus$ sebagai “geng pemerasan” dan mengatakan kelompok itu awalnya memposting tangkapan layar kode untuk perangkat lunak Samsung, kemudian merinci apa yang telah dieksfiltrasi dari server raksasa elektronik Korea Selatan tersebut.

Info yang dicuri tampaknya mencakup informasi penting, termasuk algoritme untuk semua operasi pembukaan kunci biometrik, kode sumber untuk bootloader untuk produk Samsung yang lebih baru, dan semua kode sumber di balik proses otorisasi dan otentikasi akun Samsung.

Ini adalah pelanggaran yang buruk jika semua klaim itu benar. Data tersebut diduga tersedia untuk torrent, dengan Lapsus$ mengemasnya ke dalam file terkompresi yang totalnya hampir 190GB.

Menurut Bleeping Computer, peretasan tersebut bukanlah penculikan seperti halnya Nvidia, karena pada hari Sabtu tidak ada bukti permintaan tebusan.

Sumber: Android Police

Trojan perbankan SharkBot ditemukan di aplikasi antivirus Play Store

by

Trojan perbankan akses jarak jauh, SharkBot, pertama kali terlihat pada Oktober 2021. Peneliti keamanan di Cleafy menemukannya dan menyimpulkan bahwa itu adalah satu-satunya, tanpa koneksi ke malware seperti TeaBot atau Xenomorph — dan memiliki beberapa fungsi yang sangat canggih dan berbahaya.

Satu, Sistem Transfer Otomatis (ATS), adalah fungsi baru di Android dan memungkinkan penyerang memindahkan uang secara otomatis dari rekening korban, tanpa perlu campur tangan manusia. Dan seperti yang ditemukan oleh peneliti keamanan TI Inggris, SharkBot yang diperbarui bersembunyi di dalam aplikasi antivirus yang tampak tidak bersalah yang masih tersedia di Google Play Store pada hari Sabtu.

Para peneliti dari NCC Group menerbitkan laporan awal pekan ini yang merinci cara kerja SharkBot dan bagaimana akhirnya melewati langkah-langkah keamanan Play Store.

Aplikasi berbahaya ini berfungsi seperti pil racun tiga lapis, dengan satu lapisan menyamar sebagai antivirus dan lapisan kedua sebagai versi SharkBot yang diperkecil yang kemudian diperbarui dengan mengunduh versi malware yang sepenuhnya berbahaya. Saat itulah ia bekerja menggunakan berbagai taktik untuk menjarah rekening bank korban.

Menurut NCC, SharkBot dapat melakukan “serangan overlay” saat mendeteksi aplikasi perbankan yang aktif. SharkBot memunculkan layar yang terlihat seperti bank yang dimaksud, bersiap untuk mendapatkan kredensial login yang Anda berikan. Malware ini bahkan dapat membajak notifikasi yang masuk dan mengirimkan pesan yang berasal dari perintah dan kontrol penyerang. Pada akhirnya, SharkBot dapat menggunakan metode ini untuk mengambil alih smartphone Android sepenuhnya.

Untungnya, aplikasi berbahaya ini belum menyebar lebih dari 1.000 unduhan — sejauh ini. Namun, jika Anda telah mengunduh “Antivirus, Super Cleaner” palsu dari Play Store, segera hapus dan pertimbangkan kemungkinan Anda perlu mereset ponsel Anda sepenuhnya.

Sumber: Android Police