Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat

Threat

Bug Bluetooth BrakTooth dapat memengaruhi miliaran perangkat

by

Kerentanan secara kolektif disebut sebagai BrakTooth mempengaruhi Bluetooth stacks yang diimplementasikan pada sirkuit system-on-a-chip (SoC) dari lebih dari selusin vendor.

Serangkaian masalah berdampak pada berbagai perangkat, mulai dari elektronik konsumen hingga peralatan industri. Risiko terkait berkisar dari penolakan layanan, kondisi kebuntuan perangkat hingga eksekusi kode arbitrer.

Para peneliti dari Singapore University of Technology and Design telah menerbitkan rincian tentang BrakTooth – keluarga baru kerentanan keamanan dalam Bluetooth stacks komersial.

Mereka menilai 13 perangkat Bluetooth dari hampir selusin vendor SoC termasuk Intel, Qualcomm, Texas Instruments, dan Cypress.

Menggali lebih dalam, para peneliti menemukan bahwa lebih dari 1.400 daftar produk dipengaruhi oleh BrakTooth, dan daftar tersebut termasuk tetapi tidak terbatas pada jenis perangkat: Smartphone, Sistem infotainment, Sistem laptop dan desktop, Perangkat audio (speaker, headphone), Sistem hiburan rumah, Keyboard, mainan, Peralatan industri (misalnya pengontrol logika yang dapat diprogram – PLC)

Mempertimbangkan berbagai produk yang terpengaruh, kemungkinan besar bahwa BrakTooth memengaruhi miliaran perangkat.

Para peneliti mengatakan bahwa risiko yang terkait dengan serangkaian kelemahan keamanan BrakTooth berkisar dari penolakan layanan (DoS) dengan merusak firmware perangkat, atau kondisi kebuntuan di mana komunikasi Bluetooth tidak lagi memungkinkan, hingga kode arbitrer.

Seseorang yang melakukan serangan BrakTooth akan memerlukan kit pengembangan ESP32, firmware Link Manager Protocol (LMP) kustom, dan komputer untuk menjalankan alat proof-of-concept (PoC).

Dari 16 kerentanan BrakTooth, salah satunya dilacak sebagai CVE-2021-28139 menghadirkan risiko yang lebih tinggi daripada yang lain karena memungkinkan eksekusi kode arbitrer.

Selengkapnya: Bleeping Computer

Cara memblokir Windows Plug-and-Play yang menginstal aplikasi tidak aman secara otomatis

by

Sebuah trik telah ditemukan yang mencegah perangkat Anda diambil alih oleh aplikasi Windows yang rentan saat sebuah perangkat dicolokkan ke komputer Anda.

Bulan lalu, para peneliti merinci bagaimana hanya dengan mencolokkan perangkat di Windows juga dapat menginstal aplikasi vendor yang memungkinkan pengguna biasa dengan cepat mendapatkan hak istimewa SISTEM, tingkat hak istimewa pengguna tertinggi di Windows.

Misalnya, ketika pengguna mencolokkan mouse USB Razer, Windows akan secara otomatis menginstal driver dan perangkat lunak Razer Synapse.

Dengan menggunakan bug ini, pengguna dengan sedikit hak istimewa pada perangkat Windows dapat dengan mudah mengambil kendali penuh hanya dengan mencolokkan mouse USB $20.

Kerentanan ini ditemukan di aplikasi yang dikenal sebagai “co-installer” dan, sejak yang pertama terlihat, peneliti lain menemukan lebih banyak perangkat yang memungkinkan peningkatan hak istimewa lokal, termasuk perangkat SteelSeries.

Ketika pengembang perangkat keras mengirimkan driver ke Microsoft untuk didistribusikan melalui Windows, mereka dapat mengonfigurasi co-installer khusus perangkat yang akan dijalankan setelah Windows Plug-and-Play menginstal driver.

Co-installers ini dapat digunakan untuk mengonfigurasi kunci Registri khusus perangkat, mengunduh dan menginstal aplikasi lain, atau melakukan fungsi lain yang diperlukan agar perangkat berfungsi dengan benar.

Melalui fitur co-installer, Razer, Synapse, dan produsen perangkat keras lainnya dapat menginstal utilitas konfigurasi mereka ketika perangkat USB mereka dicolokkan ke komputer.

Seperti yang pertama kali ditemukan oleh Will Dormann, analis kerentanan untuk CERT/CC, adalah mungkin untuk mengonfigurasi nilai Windows Registry yang memblokir co-installers agar tidak diinstal selama fitur Plug-and-Play.

Untuk melakukan ini, buka Registry Editor dan arahkan ke kunci Registri HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Device Installer. Di bawah kunci itu, tambahkan nilai DWORD-32 bernama DisableCoInstallers dan setel ke 1, seperti yang ditunjukkan di bawah ini.

Sumber: BleepingComputer

Setelah diaktifkan, Windows akan memblokir co-installer agar tidak diinstal saat Anda mencolokkan perangkat USB terkait ke komputer Anda.

Penting untuk dicatat bahwa membuat perubahan ini akan memblokir perangkat lunak konfigurasi perangkat agar tidak diinstal secara otomatis. Sebagai gantinya, Anda harus mengunduh dan menginstalnya dari situs vendor secara manual.

Selengkapnya: Bleeping Computer

Kriminal siber menjual alat untuk menyembunyikan malware di AMD, GPU NVIDIA

by

Penjahat siber membuat langkah menuju serangan dengan malware yang dapat mengeksekusi kode dari unit pemrosesan grafis (GPU) dari sistem yang disusupi.

Meskipun metode ini bukanlah hal baru dan kode demo telah diterbitkan sebelumnya, proyek sejauh ini berasal dari dunia akademis atau tidak lengkap dan tidak disempurnakan.

Awal bulan ini, proof-of-concept (PoC) dijual di forum peretas, berpotensi menandai transisi penjahat siber ke tingkat kecanggihan baru untuk serangan mereka.

Dalam posting singkat di forum peretas, seseorang menawarkan untuk menjual proof-of-concept (PoC) untuk teknik yang mereka katakan menjaga kode berbahaya tetap aman dari solusi keamanan yang memindai RAM sistem.

Penjual hanya memberikan gambaran umum tentang metode mereka, dengan mengatakan bahwa metode tersebut menggunakan buffer memori GPU untuk menyimpan kode berbahaya dan menjalankannya dari sana.

Menurut pengiklan, proyek ini hanya berfungsi pada sistem Windows yang mendukung kerangka kerja OpenCL versi 2.0 ke atas untuk mengeksekusi kode pada berbagai prosesor, termasuk GPU.

Postingan tersebut juga menyebutkan bahwa penulis menguji kode pada kartu grafis dari Intel (UHD 620/630), Radeon (RX 5700), dan GeForce (GTX 740M(?), GTX 1650).

Anggota lain dari forum peretas menunjukkan bahwa malware berbasis GPU telah dilakukan sebelumnya, menunjuk ke JellyFish – PoC enam tahun untuk rootkit GPU berbasis Linux.

Penjual membantah memiliki asosiasi dengan malware JellyFish dengan mengatakan bahwa metode mereka berbeda dan tidak bergantung pada pemetaan kode kembali ke ruang pengguna.

Selengkapnya: Bleeping Computer

Pengguna Android: Jangan klik pesan teks ini

by

Pesan teks adalah vektor yang semakin populer bagi para peretas dan berbagai macam solusi digital yang belum pernah digunakan untuk memisahkan korban yang tidak curiga dari data atau uang mereka. Terkadang keduanya.

Malware Android yang dikenal sebagai FluBot adalah salah satu contoh ancaman yang menyebar melalui penipuan pesan teks, berhasil menarik korban karena sejumlah alasan berbeda. Sebagian karena rata-rata orang saat ini mungkin jauh lebih kecil kemungkinannya untuk mengklik email jahat.

Tetapi pesan teks yang menyamar sebagai pembaruan “pengiriman paket yang tidak terjawab” yang tampak sah, seperti halnya cara FluBot menyebar, tampaknya jauh lebih mungkin untuk menemukan sasarannya.

Menurut perusahaan keamanan siber Proofpoint, tipe malware Android ini – salah satu dari banyak yang harus diwaspadai – tampaknya melonjak sekali lagi. Ada penurunan dalam aktivitas FluBot pada awal tahun ini, yang dikaitkan dengan penangkapan yang dilakukan di Eropa. Tapi sekarang malware FluBot menyerang lebih banyak negara di Eropa sekali lagi.

Selain itu, meskipun ini tampaknya merupakan ancaman Android, pemilik perangkat Apple mungkin tidak kebal terhadap kerusakan dari FluBot.

Begini cara kerja malware ini. Penipuan pesan teks seharusnya memberi tahu Anda bahwa Anda melewatkan pengiriman paket. Anda mengeklik tautan, dan Anda diminta untuk mengunduh aplikasi phishing. Pada aplikasi tersebut, FluBot bersembunyi di dalamnya.

Setelah mendapatkan izin yang diperlukan dari pengguna? FluBot dapat terus bertindak “sebagai spyware, spammer SMS, dan pencuri kredensial perbankan dan kartu kredit,” menurut Proofpoint.

Dengan ini pengguna disarankan untuk tidak mengklik tautan di dalam teks. Dan hapus pesannya.

Sekali lagi, jika Anda mengharapkan, katakanlah, pengiriman DHL? Cukup kunjungi situs web resmi DHL untuk melacak pengiriman Anda di sana. Jangan gunakan tautan dalam pesan teks. Kunjungi situs web DHL. Jangan. Klik. Tautan. Itu.

Selengkapnya: BGR

Bangkok Airways terkena serangan ransomware LockBit, kehilangan banyak data setelah menolak membayar

by

Bangkok Airways telah mengungkapkan bahwa mereka adalah korban serangan siber dari kelompok ransomware LockBit pada 23 Agustus, yang mengakibatkan penerbitan data curian.

Pengumuman Bangkok Airways tentang masalah itu datang Kamis lalu, sehari setelah LockBit memposting pesan di portal web gelapnya yang mengancam maskapai untuk membayar uang tebusan atau data mereka akan dibocorkan.

Maskapai ini diberi waktu lima hari untuk menyortir pembayaran, tetapi alih-alih membayar, mereka malah mengungkapkan pelanggaran tersebut. LockBit merespons dengan menerbitkan lot. Mengklaim bahwa data yang di dump lebih dari 200GB.

Data tersebut sebagian besar berisi dokumen terkait bisnis, tetapi ada beberapa data pribadi penumpang yang tercampur. Data pribadi mungkin termasuk nama, kewarganegaraan, jenis kelamin, nomor telepon, email, alamat, informasi paspor, riwayat perjalanan, sebagian nomor kartu kredit, dan bahkan preferensi makanan.

Maskapai regional Thailand mengatakan tidak ada sistem keamanan operasional atau aeronautika yang terpengaruh.

Maskapai mengatakan sedang menyelidiki insiden tersebut dan telah memberi tahu lembaga penegak hukum dan pelanggan. Kelompok terakhir disarankan untuk berhati-hati terhadap scammer – terutama siapa pun yang menyamar sebagai Bangkok Airways yang meminta informasi seperti detail kartu kredit.

Selengkapnya: The Register

Bug Microsoft Exchange ProxyToken dapat membuat peretas mencuri email pengguna

by

Detail teknis telah muncul pada kerentanan serius di Microsoft Exchange Server yang dijuluki ProxyToken yang tidak memerlukan otentikasi untuk mengakses email dari akun target.

Penyerang dapat mengeksploitasi kerentanan dengan membuat permintaan ke layanan web dalam aplikasi Exchange Control Panel (ECP) dan mencuri pesan dari kotak masuk korban.

Dilacak sebagai CVE-2021-33766, ProxyToken memberi penyerang yang tidak diautentikasi akses ke opsi konfigurasi kotak surat pengguna, tempat mereka dapat menentukan aturan penerusan email.

Akibatnya, pesan email yang ditujukan untuk pengguna target juga dapat dikirimkan ke akun yang dikontrol penyerang.

Bug tersebut ditemukan oleh Le Xuan Tuyen, seorang peneliti di Information Security Center of Vietnam Posts and Telecommunications Group (VNPT-ISC) dan dilaporkan melalui program Zero-Day Initiative (ZDI) pada bulan Maret.

Meskipun detail teknis untuk ProxyToken baru dirilis hari ini, upaya eksploitasi telah dicatat sejak tiga minggu lalu.

Menurut Rich Warren, red team untuk NCC Group, ia melihat lebih banyak upaya eksploitasi pada 10 Agustus.

Seperti dalam kasus kerentanan ProxyShell, jika administrator server Microsoft Exchange belum menginstal patch untuk ProxyToken, mereka harus memprioritaskan tugas tersebut.

Selengkapnya: Bleeping Computer

Peneliti Mengungkapkan Kerentanan Seperti Meltdown untuk Prosesor AMD Zen+ dan Zen 2

by

Menurut peneliti keamanan dan AMD, prosesor Zen 2 dan Zen+ perusahaan mengalami kerentanan baru seperti Meltdown. AMD telah menyiapkan panduan untuk mengurangi kerentanan dan mempublikasikan detail tentang cara kerja kerentanan.

Disebut “Eksekusi Transien Akses Non-kanonik,” kerentanan ini bertindak sangat mirip dengan kerentanan Meltdown yang sudah diungkapkan yang hanya berdampak pada CPU Intel.

Saidgani Musaev dan Christof Fetzer, peneliti dari Dresden Technology University, menemukan kerentanan pada prosesor AMD Zen+ dan Zen 2. Para peneliti mengungkapkan kerentanan CVE-2020-12965 terhadap AMD pada Oktober 2020, memberi perusahaan cukup waktu untuk mengembangkan teknik mitigasi yang telah dibahas AMD dalam makalah resmi tentang Arxiv (PDF) dan situs web keamanan AMD.

Kerentanan Eksekusi Transien Akses Non-kanonik bekerja hanya dengan menggabungkan urutan perangkat lunak tertentu, di mana CPU AMD “dapat secara sementara mengeksekusi beban non-kanonik dan menyimpan hanya menggunakan 48 bit alamat yang lebih rendah yang berpotensi mengakibatkan kebocoran data.” Kebocoran data ini kemudian dimanfaatkan untuk mengakses kemungkinan rahasia yang tersimpan di komputer, yang menyebabkan masalah keamanan.

AMD merekomendasikan agar semua vendor perangkat lunak yang mengirimkan kode untuk platform Zen+ dan Zen 2 mengunjungi kembali program mereka dan menambahkan mitigasi. Misalnya, perusahaan merekomendasikan penggunaan instruksi LFENCE (Load Fence) dalam perangkat lunak atau salah satu mitigasi eksekusi spekulatif yang ada yang diungkapkan dalam manual perangkat lunak di sini.

Selengkapnya: Tom’s Hardware

Ragnarok ransomware merilis master decryptor setelah penonaktifan grup

by

Geng ransomware Ragnarok tampaknya telah berhenti dan merilis kunci master yang dapat mendekripsi file yang dikunci dengan malware mereka.

Pelaku ancaman tidak meninggalkan catatan yang menjelaskan tindakan tersebut; tiba-tiba, mereka mengganti semua korban di situs kebocoran mereka dengan instruksi singkat tentang cara mendekripsi file.

Situs kebocoran telah dilucuti dari elemen visual. Yang tersisa hanyalah teks singkat yang menghubungkan ke arsip yang berisi kunci master dan binari yang menyertainya untuk menggunakannya.

Hingga hari ini, situs kebocoran ransomware Ragnarok menunjukkan 12 korban, ditambahkan antara 7 Juli dan 16 Agustus, kata penyedia intelijen ancaman HackNotice kepada BleepingComputer.

Dengan mencantumkan korban di situs web mereka, Ragnarok berusaha memaksa mereka untuk membayar uang tebusan, di bawah ancaman membocorkan file tidak terenkripsi yang dicuri selama penyusupan.

Perusahaan yang terdaftar berasal dari Prancis, Estonia, Sri Lanka, Turki, Thailand, AS, Malaysia, Hong Kong, Spanyol, dan Italia dan aktif di berbagai sektor mulai dari manufaktur hingga layanan hukum.

Decryptor universal untuk ransomware Ragnarok saat ini sedang dalam pengerjaan. Ini akan segera tersedia dari Emsisoft, sebuah perusahaan yang terkenal karena membantu korban ransomware dengan dekripsi data.

Grup ransomware Ragnarok telah ada setidaknya sejak Januari 2020 dan merenggut puluhan korban setelah menjadi berita utama karena mengeksploitasi kerentanan Citrix ADC tahun lalu.

Selengkapnya: Bleeping Computer