Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat

Threat

Eksploitasi dirilis untuk bug Microsoft Exchange RCE

by

Kode eksploitasi telah dirilis secara online selama akhir pekan untuk kerentanan tingkat tinggi yang dieksploitasi secara aktif yang berdampak pada server Microsoft Exchange.

Bug keamanan yang dilacak sebagai CVE-2021-42321 berdampak pada Exchange Server 2016 dan Exchange Server 2019 lokal (termasuk yang digunakan oleh pelanggan dalam mode Exchange Hybrid) dan ditambal oleh Microsoft selama Patch Tuesday bulan ini.

Pada hari Minggu, hampir dua minggu setelah patch CVE-2021-42321 diterbitkan, peneliti Janggggg menerbitkan eksploitasi proof-of-concept untuk bug RCE pasca-auth Exchange.

Jika Anda belum menambal kerentanan keamanan ini di server lokal, Anda dapat membuat inventaris cepat dari semua server Exchange di lingkungan Anda yang perlu diperbarui menggunakan versi terbaru skrip Pemeriksa Kesehatan Server Exchange.

Untuk memeriksa apakah salah satu server Exchange Anda yang rentan telah terkena upaya eksploitasi CVE-2021-42321, Anda harus menjalankan kueri PowerShell ini di setiap server Exchange untuk memeriksa peristiwa tertentu di Log Peristiwa:

Get-EventLog -LogName Application -Source “MSExchange Common” -EntryType Error | Where-Object { $_.Message -like “*BinaryFormatter.Deserialize*” }

Jalur pembaruan Exchange Server CVE-2021-42321 (Microsoft)

Admin Exchange telah menangani dua gelombang serangan besar-besaran sejak awal tahun 2021, yang menargetkan kerentanan keamanan ProxyLogon dan ProxyShell.

Pelaku ancaman yang didukung negara dan bermotivasi finansial menggunakan eksploitasi ProxyLogon untuk menyebarkan shell web, cryptominers, ransomware, dan malware lainnya mulai awal Maret.

Dalam serangan ini, mereka menargetkan lebih dari seperempat juta server Microsoft Exchange, milik puluhan ribu organisasi di seluruh dunia.

Empat bulan kemudian, AS dan sekutunya, termasuk UE, Inggris, dan NATO, secara resmi menyalahkan China atas serangan peretasan Microsoft Exchange yang meluas ini.

Pada bulan Agustus, pelaku ancaman juga mulai memindai dan melanggar server Exchange dengan mengeksploitasi kerentanan ProxyShell setelah peneliti keamanan mereproduksi eksploitasi yang berfungsi.

Meskipun muatan yang dijatuhkan menggunakan eksploitasi ProxyShell pada awalnya tidak berbahaya, penyerang kemudian beralih untuk menyebarkan muatan ransomware LockFile di seluruh domain Windows yang diretas menggunakan eksploitasi Windows PetitPotam.

Dengan kerentanan terbaru ini (CVE-2021-42321), para peneliti telah melihat penyerang memindai dan mencoba untuk mengkompromikan sistem yang rentan.

Selengkapnya : Bleeping Computer

Windows zero-day baru dengan eksploitasi publik memungkinkan Anda menjadi admin

by

Seorang peneliti keamanan telah secara terbuka mengungkapkan eksploitasi untuk kerentanan zero-day elevasi hak istimewa lokal Windows baru yang memberikan hak istimewa admin di Windows 10, Windows 11, dan Windows Server.

BleepingComputer telah menguji eksploit dan menggunakannya untuk membuka ke command prompt dengan hak istimewa SISTEM dari akun yang hanya memiliki hak ‘Standar’ tingkat rendah.

Dengan menggunakan kerentanan ini, pelaku ancaman dengan akses terbatas ke perangkat yang disusupi dapat dengan mudah meningkatkan hak istimewa mereka untuk membantu menyebar secara lateral di dalam jaringan.

Kerentanan memengaruhi semua versi Windows yang didukung, termasuk Windows 10, Windows 11, dan Windows Server 2022.

Sebagai bagian dari Patch Selasa November 2021, Microsoft memperbaiki kerentanan ‘Windows Installer Elevation of Privilege Vulnerability’ yang dilacak sebagai CVE-2021-41379.

Kerentanan ini ditemukan oleh peneliti keamanan Abdelhamid Naceri, yang menemukan bypass ke patch dan kerentanan elevasi hak istimewa zero-day baru yang lebih kuat setelah memeriksa perbaikan dari Microsoft.

Kemarin, Naceri menerbitkan exploit proof-of-concept yang berfungsi untuk zero-day baru di GitHub, menjelaskan bahwa itu berfungsi pada semua versi Windows yang didukung.

Naceri juga menjelaskan bahwa meskipun user dapat mengonfigurasi kebijakan grup untuk mencegah pengguna ‘Standar’ melakukan operasi MSI installer, zero-day-nya melewati kebijakan ini dan akan tetap berfungsi.

Selengkapnya: Bleeping Computer

Otentikasi biometrik dapat dilewati menggunakan foto sidik jari, printer, dan lem

by

Para peneliti menunjukkan bahwa sidik jari dapat dikloning untuk otentikasi biometrik hanya dengan $5 tanpa menggunakan alat canggih.

Meskipun otentikasi biometrik berbasis sidik jari umumnya dianggap lebih unggul daripada PIN dan kata sandi dalam hal keamanan, fakta bahwa jejak dapat ditinggalkan di banyak tempat umum membuatnya siap untuk disalahgunakan.

Telah terbukti sebelumnya bahwa ada cara untuk mengumpulkan dan menggunakan sidik jari orang untuk mengelabui sensor yang paling canggih sekalipun. Namun, ini biasanya melibatkan penggunaan alat khusus seperti kamera DSLR dan printer 3D dengan ketelitian tinggi.

Menurut tim Kraken Security Labs, ada cara untuk mengkloning sidik jari menggunakan bahan murah, tanpa alat canggih yang terlibat dalam setiap langkah proses, yaitu menggunakan sebuah printer dan beberapa lem.

Caranya adalah memotret sidik jari tersebut menggunakan smartphone modern kemudian melakukan pengeditan dasar, ini cukup untuk menyesuaikan garis luar sidik jari yang dicuri dan mempersiapkannya untuk langkah pencetakan, jadi tidak diperlukan gambar DSLR beresolusi tinggi.

Untuk langkah pencetakan, setiap printer laser yang menerima lembaran asetat akan cocok untuk serangan itu. Asetat biasanya digunakan untuk kartu, stensil, dan overlay, tetapi sangat ideal dalam kasus ini karena printer laser dapat mengetsanya.

Setelah pencetakan selesai, sidik jari sintetis dapat disatukan dengan mengoleskan lem kayu di atas cetakan dan membiarkannya kering.

Membuka kunci MacBook Pro dengan sidik jari yang dikloning
Sumber: Kraken

Melalui pengujian, tim Kraken menemukan bahwa sidik jari yang dihasilkan dapat mengelabui sensor sidik jari tercanggih seperti yang digunakan pada MacBook Pro terbaru.

Temuan Kraken tidak berarti bahwa akhir dari sidik jari sudah dekat, tetapi ini adalah pengingat yang baik tentang mengapa orang tidak boleh memperlakukan mereka sebagai satu lapisan perlindungan untuk akun mereka.

Sidik jari adalah metode autentikasi biometrik yang nyaman, tetapi jika menyangkut aplikasi penting, sidik jari hanya boleh digunakan sebagai 2FA bersama dengan kata sandi yang kuat.

“Sidik jari tidak boleh dianggap sebagai alternatif yang aman untuk kata sandi yang kuat. Melakukan hal itu membuat informasi Anda – dan, berpotensi, aset kripto Anda – rentan bahkan terhadap penyerang yang paling tidak canggih sekalipun,” jelas para peneliti Kraken.

Seiring kemajuan teknologi dan elektronik konsumen berbiaya rendah menjadi lebih mampu menghasilkan hasil fidelitas tinggi, sidik jari akan lebih mudah untuk dikloning.

Sumber : Bleeping Computer

Peretasan GoDaddy menyebabkan pelanggaran data yang memengaruhi 1,2 juta pelanggan

by

GoDaddy mengatakan bahwa data 1,2 juta pelanggannya terungkap setelah peretas memperoleh akses ke lingkungan hosting WordPress Terkelola perusahaan.

Insiden itu ditemukan oleh GoDaddy Rabu lalu, pada 17 November, namun penyerang memiliki akses ke jaringannya dan data yang terdapat pada sistem yang dilanggar setidaknya sejak 6 September 2021.

    Penyerang dapat mengakses informasi pelanggan GoDaddy berikut menggunakan kata sandi yang disusupi:

  • Hingga 1,2 juta pelanggan WordPress Terkelola aktif dan tidak aktif memiliki alamat email dan nomor pelanggan mereka. Pemaparan alamat email menghadirkan risiko serangan phishing.
  • Kata sandi Admin WordPress asli yang ditetapkan pada saat penyediaan terungkap. Jika kredensial tersebut masih digunakan, kami menyetel ulang kata sandi tersebut.
  • Untuk pelanggan aktif, nama pengguna dan kata sandi sFTP dan database diekspos. Kami mengatur ulang kedua kata sandi.
  • Untuk subset pelanggan aktif, kunci pribadi SSL diekspos. Kami sedang dalam proses menerbitkan dan memasang sertifikat baru untuk pelanggan tersebut.

Perusahaan juga mengungkapkan pelanggaran tahun lalu, pada bulan Mei, ketika memperingatkan beberapa pelanggannya bahwa pihak yang tidak berwenang menggunakan kredensial akun hosting web mereka pada bulan Oktober untuk terhubung ke akun hosting mereka melalui SSH.

Tim keamanan GoDaddy menemukan insiden itu setelah melihat file SSH yang diubah di lingkungan hosting GoDaddy dan aktivitas mencurigakan di subset server GoDaddy.

Pada tahun 2019, scammers juga menggunakan ratusan akun GoDaddy yang disusupi untuk membuat 15.000 subdomain, mencoba meniru situs web populer dan mengarahkan calon korban ke halaman spam yang mendorong produk minyak ular.

Sebelumnya pada tahun 2019, GoDaddy diketahui menyuntikkan JavaScript ke situs pelanggan AS tanpa sepengetahuan mereka, sehingga berpotensi membuat mereka tidak dapat dioperasikan atau memengaruhi kinerja mereka secara keseluruhan.

Sumber : Bleeping Computer

Ransomware Baru Memento Beralih ke WinRar Setelah Gagal Dalam Enkripsi

by Leave a Comment

Sebuah kelompok ransomware baru bernama Memento mengambil pendekatan yang tidak biasa untuk mengunci file di dalam arsip yang dilindungi kata sandi setelah metode enkripsi mereka terus terdeteksi oleh perangkat lunak keamanan.

Bulan lalu, kelompok ini menjadi aktif ketika mereka mulai mengeksploitasi cacat klien web VMware vCenter Server untuk akses awal ke jaringan korban.

Kerentanan vCenter dilacak sebagai ‘CVE-2021-21972’ dan merupakan bug eksekusi kode jarak jauh yang tidak diautistik dengan peringkat keparahan 9,8 (kritis).

Cacat ini memungkinkan siapa pun dengan akses jarak jauh ke port TCP / IP 443 pada server vCenter yang terbuka untuk menjalankan perintah pada OS yang mendasarinya dengan hak istimewa admin.

Sebuah patch untuk cacat ini keluar pada bulan Februari, tetapi seperti yang ditunjukkan oleh operasi Memento, banyak organisasi belum menambal instalasi mereka.

Kerentanan ini telah dieksploitasi oleh Memento sejak April, sementara pada bulan Mei, aktor yang berbeda terlihat mengeksploitasinya untuk menginstal penambang XMR melalui perintah PowerShell.
Memanfaatkan vCenter untuk menyebarkan ransomware

Memento meluncurkan operasi ransomware mereka bulan lalu ketika mereka memulai vCenter untuk mengekstrak kredensial administratif dari server target, membangun ketekunan melalui tugas yang dijadwalkan, dan kemudian menggunakan RDP melalui SSH untuk menyebar secara lateral di dalam jaringan.

Setelah tahap pengintaian, para aktor menggunakan WinRAR untuk membuat arsip file yang dicuri dan mengekratekannya.

Sumber: Sophos

Akhirnya, mereka menggunakan utilitas wiping data BCWipe Jetico untuk menghapus jejak yang tertinggal dan kemudian menggunakan strain ransomware berbasis Python untuk enkripsi AES.

Namun, upaya asli Memento pada file terenkripsi karena sistem memiliki perlindungan anti-ransomware, menyebabkan langkah enkripsi terdeteksi dan dihentikan sebelum kerusakan dilakukan.
Solusi

Untuk mengatasi deteksi ransomware komoditas oleh perangkat lunak keamanan, Memento datang dengan taktik yang menarik – lewati enkripsi sama sekali dan pindahkan file ke arsip yang dilindungi kata sandi.

Untuk melakukan ini, grup sekarang memindahkan file ke arsip WinRAR, menetapkan kata sandi srong untuk perlindungan akses, mengenkripsi kunci itu, dan akhirnya menghapus file asli.

“Alih-alih mengenkripsi file, kode “crypt” sekarang menempatkan file dalam bentuk yang tidak terenkripsi ke dalam file arsip, menggunakan salinan WinRAR, menyimpan setiap file dalam arsipnya sendiri dengan ekstensi file .vaultz,” jelas analis Sophos Sean Gallagher.

“Kata sandi dihasilkan untuk setiap file seperti yang diarsipkan. Kemudian kata sandi itu sendiri dienkripsi.”

Catatan tebusan yang dijatuhkan menuntut korban membayar 15,95 BTC ($ 940.000) untuk pemulihan lengkap atau 0,099 BTC ($ 5.850) per file.

Sumber: Sophos

Dalam kasus yang diselidiki Sophos, upaya pemerasan ini belum menyebabkan pembayaran tebusan, karena korban menggunakan cadangan mereka untuk memulihkan file.

Namun, Memento adalah kelompok baru yang baru saja menemukan pendekatan atipikal yang berhasil, jadi mereka mungkin akan mencobanya melawan organisasi lain.

Dengan demikian, jika Anda menggunakan VMware vCenter Server dan/ atau Cloud Foundation, pastikan untuk memperbarui alat Anda ke versi terbaru yang tersedia untuk menyelesaikan kerentanan yang diketahui.

Sumber: Bleepingcomputer

Phishing TikTok Mengancam Terhapusnya Akun Influencer

by

Para peneliti telah mengamati kampanye phishing baru yang terutama menargetkan akun TikTok menarik milik influencer, konsultan merek, studio produksi, dan manajer influencer.

Peneliti Keamanan Abnormal yang melihat serangan itu, mengamati dua puncak aktivitas saat mengamati distribusi email dalam kampanye khusus ini, pada 2 Oktober 2021, dan pada 1 November 2021, sehingga babak baru kemungkinan akan dimulai dalam beberapa minggu.

Surat masuk!

Dalam beberapa kasus yang dilihat oleh Abnormal Security, para aktor meniru karyawan TikTok, mengancam penerima dengan penghapusan akun yang akan segera terjadi karena dugaan pelanggaran persyaratan platform.

Sumber: Abnormal Security

Tema lain yang digunakan dalam email adalah menawarkan lencana ‘Verified’ yang menambah kredibilitas dan keaslian akun.

Lencana ‘Verified’ TikTok memberi bobot pada konten yang diposting oleh akun terverifikasi dan memberi sinyal pada algoritma platform untuk meningkatkan tingkat paparan posting dari akun ini.

Menggunakan umpan ini untuk phishing sangat efektif karena banyak orang akan senang menerima email yang menawarkan mereka kesempatan untuk mendapatkan lencana verifikasi.

Sumber: Abnormal Security

Dalam kedua kasus, penyerang menyediakan target mereka dengan cara untuk memverifikasi akun mereka dengan mengklik tautan yang disematkan.

Namun, mereka malah diarahkan ke ruang obrolan WhatsApp di mana mereka disambut oleh scammer yang berpura-pura menjadi karyawan TikTok yang sudah menunggu.

Sumber: Abnormal Security

Pengambilalihan akun atau pemerasan?

Tidak jelas apa tujuan aktor phishing dalam kampanye ini, tetapi bisa jadi upaya untuk mengambil alih akun target atau memeras pemilik akun dan memaksa mereka untuk membayar uang tebusan demi mendapatkan akum mereka kembali.

Persyaratan layanan TikTok memperjelas bahwa jika akun, terutama yang memiliki banyak pengikut, melanggar layanannya, itu akan ditangguhkan atau dihentikan secara permanen.

Ini berarti bahwa para aktor dapat dengan mudah mengancam untuk memposting sesuatu yang tidak pantas, berujung penghapusan profil yang pemiliknya mungkin telah menghabiskan banyak waktu dan uang untuk membangunnya.

Jika Anda memiliki dan / atau mengelola akun media sosial yang berharga, pastikan untuk mencadangkan semua konten dan data Anda di tempat yang aman.

Selain itu, Anda harus selalu mengamankan akun Anda dengan otentikasi dua faktor (2FA) atau verifikasi 2 langkah, seperti yang disebut TikTok, idealnya dengan kunci keamanan perangkat keras.

Jika Anda hanya dapat menggunakan opsi 2FA berbasis SMS (yang kurang aman), ambil nomor pribadi yang tidak Anda bagikan dengan siapa pun dan gunakan hanya untuk tujuan ini.

Sumber: Bleepingcomputer

Regulator Singapura Menghukum Pelanggaran Data Terbesar yang Pernah Ada: Hampir 5,9 Juta Info Pelanggan Hotel Terekspos

by

RedDoorz.com malu setelah meninggalkan kunci akses AWS di APK

Komisi Perlindungan Data Pribadi Singapura (PDPC) telah mengeluarkan denda sebesar SG $ 74.000 ($ 54.456) pada perusahaan travel Commeasure, yang mengoperasikan situs web pemesanan travel bernama RedDoorz yang mengekspos 5,9 juta data pelanggan — pelanggaran data terbesar yang ditangani oleh Komisi sejak awal.

PDPC mengumumkan hukuman karena “gagal menerapkan pengaturan keamanan yang wajar untuk mencegah akses tidak sah dan eksfiltrasi data pribadi pelanggan yang dihosting dalam database cloud”.

RedDoorz mulai hidup di Indonesia sebelum pindah operasi ke Singapura, dari sana ia mengumpulkan pemesanan hotel murah di kota-kota tertentu di Asia Tenggara. Pengguna memilih hotel murah dari RedDoorz berdasarkan foto, area dan harga. Ketika wisatawan tiba, pengalaman kamar hotel diganti namanya menjadi RedDoorz dan dilengkapi dengan layanan tertentu – seperti WiFi, TV, dan air minum.

Commeasure mengetahui ada pelanggaran data pelanggan RedDoorz pada September 2020, ketika sebuah perusahaan cybersecurity yang berbasis di Atlanta memberi tahu perusahaan induk tentang peretasan dan menawarkan layanan perbaikan. Dalam seminggu, perusahaan teknologi perjalanan memberi tahu PDPC.

Data yang dicuri termasuk nama, nomor kontak, alamat email, ulang tahun, kata sandi akun RedDoorz terenkripsi dan informasi pemesanan. Menurut putusan PDPC, database tidak termasuk nomor kartu kredit. Jarahan itu disiapkan untuk dijual di forum hacker.

Kesalahan langkah yang membuat data dicuri kembali ke hari-hari startup perusahaan, ketika kunci akses AWS disematkan ke dalam paket aplikasi Android (APK) yang tersedia untuk diunduh dari Google Play Store. APK, yang dibuat pada tahun 2015 dan terakhir diperbarui pada Januari 2018, secara keliru ditandai sebagai kunci “uji” oleh pengembang pada saat itu. Itu tetap terlihat meskipun dianggap “mati” sampai perusahaan diberitahu tentang pelanggaran pada tahun 2020.

Dengan kunci akses AWS di tangan, crims dapat memperoleh akses dan exfiltrate catatan pelanggan yang dihosting di database cloud Amazon RDS. RedDoorz memang melakukan upaya untuk melindungi data – misalnya dengan menyewa perusahaan cybersecurity dan menggunakan alat obfuscation Java Proguard untuk mencegah rekayasa balik APK – tetapi itu semua sia-sia karena file yang relevan tidak pernah dievaluasi.

Pendiri dan CEO RedDoorz, Amit Samberwal, mengatakan kepada The Register:

Kami segera melakukan tinjauan internal dan kemudian melibatkan perusahaan cybersecurity eksternal untuk meningkatkan langkah-langkah keamanan. Pada saat itu, kami juga telah memberi tahu semua pengguna, media publik, dan otoritas masing-masing tentang pelanggaran tersebut. PDPC di Singapura baru-baru ini menyelesaikan penyelidikan setelah lebih dari satu setengah tahun, dan menganggap kasus ini ditutup dengan denda $ 74K yang dikenakan.

Commeasure mengatakan kepada PDPC bahwa kegagalan untuk menerapkan proses yang cukup kuat untuk mengelola inventaris kunci akses infrastrukturnya adalah karena pergantian karyawan yang tinggi. Itu tidak berjalan dengan baik dengan Komisi. Namun, otoritas pengatur mengatakan mempertimbangkan perilaku kooperatif perusahaan, tindakan perbaikan, tinjauan keamanan yang tidak efektif namun teratur, dan keadaan yang tidak menguntungkan menjadi bisnis perhotelan di tengah pandemi, karena memutuskan hukuman keuangan.

Komisi memberi Commeasure 30 hari untuk membayar sebelum bunga masuk.

Sumber: The Register

Meningkatnya Serangan Iran ke Sektor TI

by Leave a Comment

Aktor ancaman Iran meningkatkan serangan terhadap perusahaan layanan TI sebagai cara untuk mengakses jaringan pelanggan mereka. Kegiatan ini penting karena menargetkan pihak ketiga memiliki potensi untuk mengeksploitasi organisasi yang lebih sensitif dengan memanfaatkan kepercayaan dan akses dalam rantai pasokan. Microsoft telah mengamati beberapa aktor ancaman Iran yang menargetkan sektor layanan TI yang bertujuan untuk mencuri kredensial sign-in ke jaringan pelanggan yang memungkinkan serangan lebih lanjut. Microsoft Threat Intelligence Center (MSTIC) dan Digital Security Unit (DSU) menilai ini adalah bagian dari tujuan spionase yang lebih luas untuk mengkompromikan organisasi yang berkepentingan dengan rezim Iran.

Hingga Juli 2021, Microsoft telah mengamati sejarah yang relatif sedikit tentang aktor Iran yang menyerang target India. Ketika India dan negara-negara lain meningkat sebagai pusat layanan TI utama, lebih banyak aktor negara mengikuti rantai pasokan untuk menargetkan pelanggan sektor publik dan swasta di seluruh dunia yang sesuai dengan kepentingan negara.

Hingga tahun ini, Microsoft telah mengeluarkan lebih dari 1.600 pemberitahuan kepada lebih dari 40 perusahaan TI sebagai tanggapan atas penargetan Iran, dibandingkan dengan 48 pemberitahuan pada tahun 2020, menjadikan ini peningkatan yang signifikan dari tahun-tahun sebelumnya (Gambar 1). Fokus beberapa kelompok ancaman Iran di sektor TI terutama melonjak dalam enam bulan terakhir – sekitar 10-13% dari pemberitahuan kami terkait dengan aktivitas ancaman Iran dalam enam bulan terakhir, dibandingkan dengan dua setengah persen dalam enam bulan sebelumnya (Gambar 2).

Gambar 1: Jumlah pemberitahuan yang dikirim ke Layanan TI terkait penargetan aktor yang berbasis di Iran
Gambar 2: Jumlah pemberitahuan yang dikirim ke Layanan TI terkait penargetan aktor yang berbasis di Iran

Sebagian besar penargetan difokuskan pada perusahaan layanan TI yang berbasis di India, serta beberapa perusahaan yang berbasis di Israel dan Uni Emirat Arab. Meskipun beda teknik dari serangan rantai pasokan baru-baru ini, serangan ini merupakan contoh lain tentang bagaimana aktor negara semakin menargetkan rantai pasokan sebagai vektor tidak langsung untuk mencapai tujuan mereka.

Seengkapnya: Microsoft