Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat

Threat

Korban Baru Muncul setelah Serangan Ransomware Massal

by

Clop mengklaim meretas 130 organisasi secara massal. Jumlah korban terserang ransomware massal, yang disebabkan oleh bug pada alat transfer data populer yang digunakan oleh bisnis di seluruh dunia, terus bertambah berdasarkan keterangan organisasi lain yang juga teretas pada TechCrunch.

Raksasa pembiayaan Kanada Investissement Québec, mengonfirmasi bahwa beberapa informasi pribadi karyawan baru-baru ini dicuri oleh grup ransomware yang mengklaim telah melanggar lusinan perusahaan lain. Juru bicara Isabelle Fontaine mengatakan insiden itu terjadi di Fortra, sebelumnya dikenal sebagai HelpSystems, yang mengembangkan alat transfer file GoAnywhere yang rentan.

Hitachi Energy juga mengkonfirmasi bahwa beberapa data karyawannya telah dicuri dalam insiden serupa yang melibatkan sistem GoAnywhere-nya, tetapi mengatakan bahwa insiden tersebut terjadi di Fortra.

Beberapa hari terakhir, geng Clop yang terkait dengan Rusia telah menambahkan beberapa organisasi lain ke situs kebocoran web gelapnya untuk memeras perusahaan lebih lanjut dengan mengancam akan menerbitkan file yang dicuri kecuali jika permintaan uang tebusan dibayarkan.

Sementara jumlah korban peretasan massal meningkat, dampak yang diketahui paling tidak jelas.

Sejak serangan pada akhir Januari atau awal Februari, Clop mengungkapkan kurang dari setengah dari 130 organisasi yang diklaim telah disusupi melalui GoAnywhere, sebuah sistem yang dapat dihosting di cloud atau di jaringan organisasi yang memungkinkan perusahaan untuk mentransfer set besar data dan file besar lainnya dengan aman.

Detail baru terungkap pada 2 Februari setelah reporter keamanan independen Brian Krebs pertama kali melaporkan detail bug tersebut, yang disembunyikan Fortra di balik layar login di situs webnya. Fortra merilis perbaikan keamanan untuk GoAnywhere lima hari kemudian.

Pengguna GoAnywhere lain yang teridentifikasi tidak menanggapi beberapa permintaan komentar, termasuk penyedia rehabilitasi dan kesehatan mental Kanada Homewood Health, penyedia perumahan terjangkau yang berbasis di Inggris Guinness Partnership, perusahaan perbankan ritel Avidia Bank, Medex Healthcare, Cornerstone Home Lending dan raksasa energi Kolombia Grupo Vanti.

Selengkapnya: TechCrunch+

Hacker Menguras ATM Bitcoin Sebesar $1,5 Juta dengan Mengeksploitasi Bug Zero-Day

by

Hacker meninggalkan pelanggan dalam bahaya kerugian yang tidak dapat dikembalikan, produsen kios mengungkapkannya.

Pencurian menargetkan ATM yang dijual oleh General Bytes, perusahaan dengan banyak lokasi di seluruh dunia. BATM atau ATM Bitcoin dapat dipasang di toserba dan bisnis lain untuk memungkinkan orang menukar bitcoin dengan mata uang lain dan sebaliknya. Pelanggan menghubungkan BATM ke server aplikasi crypto (CAS) yang dapat mereka kelola atau, hingga sekarang, yang dapat dikelola oleh General Bytes untuk mereka.

BATM menawarkan opsi yang memungkinkan pelanggan mengunggah video dari terminal ke CAS menggunakan mekanisme yang dikenal sebagai antarmuka server master.

Aktor ancaman tak dikenal mengeksploitasi kerentanan yang sebelumnya tidak diketahui, memungkinkannya menggunakan antarmuka ini untuk mengunggah dan menjalankan aplikasi Java berbahaya untuk melakukan pencurian. Kemudian ia menguras berbagai dompet panas sekitar $1,5 juta Bitcoin.

General Bytes menambal kerentanan 15 jam setelah mempelajarinya, tetapi karena cara kerja cryptocurrency, kerugian tidak dapat dipulihkan.

Pejabat General Bytes menulis bahwa seluruh tim bekerja keras untuk mengumpulkan semua data terkait pelanggaran keamanan dan terus bekerja menyelesaikan semua kasus untuk membantu klien kembali online dan terus mengoperasikan ATM mereka sesegera mungkin.

Ditulis juga permohonan maaf atas apa yang terjadi dan akan meninjau semua prosedur keamanan, dan saat ini sedang diupayakan untuk menjaga pelanggan yang terdampak tetap bertahan.

Praktisi keamanan telah lama menyarankan orang untuk menyimpan dana di dompet dingin yang tidak dapat diakses langsung ke Internet. Sayangnya, BATM dan jenis ATM cryptocurrency lainnya umumnya tidak dapat mengikuti praktik ini, menandakan bahwa BATM kemungkinan tetap menjadi target utama para hacker.

Selengkapnya: arsTECHNICA

Ferrari Menolak Permintaan Tebusan setelah Serangan Siber

by

Pembuat mobil Italia Ferrari menolak membayar uang tebusan setelah pelaku ancaman yang tidak ditentukan masuk ke sistem TI dan mencuri data pelanggan.

Produsen supercar Ferrari telah memperingatkan pelanggan bahwa data pribadi mereka mungkin berisiko setelah sejumlah sistem TI mereka disusupi dan informasi diekstraksi oleh aktor ancaman yang belum ditentukan.

Perusahaan yang berbasis di Maranello, Italia menghubungi mereka yang terlibat pada Senin 20 Maret. Dalam sebuah surat kepada pelanggan, kepala eksekutif Benedetto Vigna mengatakan data yang terungkap termasuk nama, alamat, alamat email, dan nomor telepon.

Vigna meyakinkan pelanggan bahwa berdasarkan keadaan penyelidikan saat ini, organisasi meyakini tidak ada data keuangan pelanggan, atau data kendaraan merek yang telah disusupi.

Dalam pernyataan publik, juru bicara Ferrari mengatakan organisasi tersebut telah dihubungi oleh aktor ancaman dengan permintaan uang tebusan terkait dengan rincian kontak klien tertentu. Organisasi tidak mengidentifikasi aktor ancaman yang terlibat.

Juru bicara Ferrari percaya bahwa tindakan terbaik adalah memberitahu kliennya tentang potensi paparan data dan sifat insiden tersebut.

Organisasi itu mengatakan menjaga kerahasiaan kliennya dengan sangat serius dan akan bekerja sama dengan pakar keamanan untuk memperkuat sistemnya.

Insiden itu tidak berdampak pada operasi sehari-hari dan tampaknya juga tidak mempengaruhi jalannya tim juara Formula Satu, yang memiliki awal buruk di musim 2023, saat ini mendekam di klasemen konstruktor.

Selengkapnya: ComputerWeekly.com

Bug privasi Windows 11 Snipping Tool memperlihatkan konten gambar yang dipangkas

by

Sebuah cacat privasi serius bernama ‘acropalypse’ telah ditemukan mempengaruhi Snipping tool Windows dan Alat Markup Google Pixel.

Cacat ini memungkinkan pemulihan sebagian konten yang telah diedit dari gambar, yang dapat menimbulkan masalah privasi yang signifikan jika gambar tersebut memuat informasi sensitif seperti nomor kartu kredit atau wajah yang dihapus.

Para peneliti telah meluncurkan utilitas pemulihan tangkapan layar online untuk memulihkan gambar yang telah diedit dengan Google Pixel. Selain itu, Software engineer Chris Blume telah mengonfirmasi bahwa kelemahan privasi ‘acropalypse’ juga memengaruhi Alat Snipping Windows 11.

Ketika memotong atau mengedit file dalam Alat Snipping Windows 11, data yang tidak terpakai tidak dipotong dan dapat dipulihkan sebagian. Hal ini telah dikonfirmasi oleh pakar kerentanan.

Meskipun gambar yang dipotong sekarang berisi data yang jauh lebih sedikit daripada aslinya, ukuran file untuk file gambar asli (office-screenshot-original.png) dan file gambar yang dipotong (office-screenshot.png) sama, seperti yang terlihat di bawah.

Original and cropped images have the same file size
Source: BleepingComputer

Spesifikasi format file PNG mempersyaratkan agar file gambar PNG selalu diakhiri dengan potongan data ‘IEND’. Data apa pun yang ditambahkan setelah itu akan diabaikan oleh editor gambar dan penampil.

Sebagai contoh, di bawah ini adalah tangkapan layar asli yang saya ambil dari situs Microsoft. Seperti yang terlihat, file tersebut diakhiri dengan ‘IEND’ dan tidak mengandung data apapun setelah itu.

Potongan IEND di akhir gambar PNG asli
Sumber: BleepingComputer

Namun, menggunakan Snipping tool Windows 11 untuk menimpa gambar asli dengan versi yang dipotong, program tidak memotong data yang tidak digunakan dengan benar, dan tetap ada setelah potongan data IEND.

Data tidak terpotong setelah potongan data IEND
Sumber: BleepingComputer

Dalam penampil gambar, membuka file hanya akan menampilkan gambar yang dipotong, karena apapun setelah IEND pertama akan diabaikan. Namun, data yang tidak dipotong dapat digunakan untuk memulihkan bagian dari gambar asli yang berpotensi mengungkapkan informasi sensitif.

Saat ini, aplikasi pemulihan tangkapan layar acropalypse online tidak berfungsi dengan file Windows. Namun, Buchanan membagikan skrip Python yang dapat digunakan untuk memulihkan file Windows.

Perlu dicatat bahwa tidak semua file PNG terpengaruh oleh kelemahan ini, misalnya PNG yang dioptimalkan. Buchanan menjelaskan bahwa PNG asli disimpan dengan satu blok zlib, sedangkan tangkapan layar sebenarnya disimpan dengan beberapa blok zlib yang diperlukan untuk dieksploitasi.

Jika Anda membuka file PNG yang tidak terpotong di editor gambar seperti Photoshop dan menyimpannya ke file lain, data yang tidak digunakan akan dihapus sehingga tidak dapat dipulihkan lagi.

Alat Snipping di Windows 11 juga melakukan perilaku yang sama dengan file JPG, membiarkan data tidak terpotong jika ditimpa. Buchanan menegaskan bahwa saat ini eksploitasi tidak berfungsi pada file JPG, tetapi masih memungkinkan untuk dilakukan.

Sumber: Bleeping Computer

Pengguna Windows Perlu Segera Memperbarui Outlook

by

Menurut Microsoft, peretas secara aktif mengeksploitasi kerentanan kritis eskalasi hak istimewa (EoP) di Outlook. Pengguna Outlook di Windows perlu memperbarui klien email hari ini untuk menambal kerentanan kritis. Organisasi besar harus berkonsultasi dengan instruksi Microsoft untuk mengurangi ancaman ini dengan cepat.

Kerentanan zero-day CVE-2023-23397 ini diberi peringkat 9,8 dari 10 pada skala CVSS, menandakan bahwa berbahaya dan mudah dieksploitasi. Menurut Microsoft, email yang dibuat khusus secara otomatis memicu eksploit saat diterima oleh Outlook, tanpa interaksi apa pun dari korban.

Peretas dapat memperoleh akses ke jaringan korban untuk serangan atau observasi lebih lanjut melalui hash Net-NTLMv2 korban. Aktor ancaman berbasis di Rusia telah memanfaatkan eksploitasi ini untuk menargetkan organisasi di sektor pemerintahan, transportasi, energi, dan militer di Eropa.

Cara memperbarui Outlook yaitu tekan tab “File”, pilih “Microsoft Account” dari menu pop-out, klik “Update Options”, dan pilih “Update Now”.

Microsoft mencantumkan beberapa metode mitigasi pada daftar CVE-nya untuk mengantisipasi sebagian besar organisasi yang mengalami kesulitan memperbarui semua contoh Outlook. Ditawarkan juga skrip PowerShell yang memungkinkan organisasi melihat apakah mereka telah menjadi sasaran kerentanan ini.

Selengkapnya: reviewgeek

Setelah diretas, data dari raksasa teknologi Australia Atlassian dibuang secara online

by

Kru peretasan yang kurang dikenal bernama SiegedSec memposting data tentang ribuan karyawan Atlassian dan denah lantai untuk dua kantor vendor perangkat lunak Australia.

File karyawan yang diposting online Rabu berisi lebih dari 13.200 entri dan tinjauan sepintas terhadap file tersebut tampaknya menunjukkan beberapa data karyawan saat ini, termasuk nama, alamat email, departemen kerja, dan informasi lainnya. Denah lantai adalah untuk satu lantai kantor perusahaan di San Francisco dan satu lagi untuk kantornya di Sydney, Australia.

“BENAR SEKALI, SiegedSec di sini untuk mengumumkan bahwa kami telah meretas perusahaan perangkat lunak Atlassian,” kata sebuah pesan yang diposting dengan file tersebut. “Perusahaan senilai $44 miliar ini telah dimiliki oleh para peretas berbulu uwu.”

Perwakilan Atlassian awalnya memberi tahu CyberScoop melalui email pada hari Kamis bahwa pada 15 Februari perusahaan mengetahui bahwa data dari Utusan, aplikasi pihak ketiga yang digunakan Atlassian untuk mengoordinasikan sumber daya di kantor, diterbitkan secara online, tetapi bahwa “produk Atlassian dan data pelanggan ” adalah “tidak berisiko”. Perusahaan tersebut kemudian memberi tahu TechCrunch bahwa tinjauan internalnya mengungkapkan bahwa data tersebut diakses dari aplikasi Utusan “menggunakan kredensial karyawan Atlassian yang secara keliru diposting di repositori publik oleh karyawan tersebut.”

Seorang juru bicara Utusan memberi tahu CyberScoop bahwa sistem perusahaan tidak terganggu atau dilanggar. Orang tersebut mengatakan bahwa kedua perusahaan telah berkolaborasi untuk mengidentifikasi sumber kompromi data. “Kami menemukan bukti di log permintaan yang mengonfirmasi bahwa peretas memperoleh kredensial pengguna yang valid dari akun karyawan Atlassian dan menggunakan akses tersebut untuk mengunduh data yang terpengaruh dari aplikasi Envoy. Kami dapat mengonfirmasi bahwa sistem Utusan tidak disusupi atau dilanggar dan tidak ada data pelanggan lain yang diakses.”

Selengkapnya: Cyberscoop

Peretas Mengeksploitasi Cacat Eskalasi Hak Istimewa Microsoft Outlook di Alam Liar

by

Menanggapi penemuan kerentanan kritis di Microsoft Outlook, CVE-2023-23397, yang secara aktif dieksploitasi oleh pelaku ancaman, Cisco Talos mendesak semua pengguna Outlook untuk memperbarui klien email mereka sesegera mungkin setelah kerentanan ditemukan .

Sementara Microsoft kemudian menentukan bahwa aktivitas tersebut dihasilkan dari aktor yang berbasis di Rusia, dan mereka digunakan dalam serangan yang ditargetkan terhadap sejumlah organisasi.

Sebagai akibat dari eksploitasi kerentanan keamanan ini, serangan dilakukan antara pertengahan April dan Desember 2022. Selama ini, pelaku ancaman menargetkan dan menerobos jaringan sekitar 15 organisasi penting terkait dengan:-

  • Pemerintah
  • Militer
  • Energi
  • Transportasi

Detail Cacat
Kerentanan CVE-2023-23397 memengaruhi semua produk Microsoft Outlook yang berjalan di sistem operasi Windows. Ini adalah kerentanan di NTLM dan dapat dieksploitasi untuk pencurian kredensial untuk mendapatkan akses kaya ke organisasi melalui eskalasi kerentanan hak istimewa.

  • CVE ID: CVE-2023-23397
  • Dirilis: 14 Mar 2023, Terakhir diperbarui: 15 Mar 2023
  • Dampak: Peningkatan Hak Istimewa
  • Rangkuman: Peningkatan Kerentanan Privilege Microsoft Outlook
  • Keparahan: Kritis
  • Skor CVSS: 9.8

Pelaku ancaman dapat membuat email, undangan kalender, atau tugas yang berisi properti MAPI yang diperluas “PidLidReminderFileParameter.”

“PidLidReminderFileParameter” memungkinkan klien untuk menentukan nama file suara yang akan diputar saat pengingat untuk suatu objek terlambat.

Properti PidLidReminderFileParameter ini digunakan oleh penyerang untuk menentukan jalur ke share SMB yang dikendalikan oleh penyerang melalui Konvensi Penamaan Universal (UNC).

Penyerang mungkin dapat menggunakan hash Net-NTLMv2 yang dikirim oleh sistem yang rentan untuk melakukan serangan Relay NTLM terhadap sistem lain.

Mitigasi
Akibatnya, peneliti Microsoft telah menegaskan beberapa mitigasi utama yang harus diikuti organisasi sebagai tindakan pencegahan untuk menjaga diri mereka aman dari serangan cyber semacam ini:-

  • Menginstal tambalan, Microsoft menyediakan sesegera mungkin akan ideal untuk mengatasi kerentanan ini.
  • Untuk mencegah penggunaan NTLM sebagai metode otentikasi, pengguna harus menggunakan Grup Keamanan Pengguna yang Dilindungi.
  • Sangat penting bahwa Anda memblokir port keluar TCP/445 dari jaringan Anda untuk mencegah pesan NTLM meninggalkan jaringan.
  • Skrip yang dirilis oleh Microsoft memberi administrator kemampuan untuk mengaudit server Exchange mereka untuk item pesan yang memiliki PidLidReminderFileParameters yang disetel ke jalur Konvensi Penamaan Universal (UNC).
  • Admin harus membersihkan properti dan menghapus item berbahaya atau bahkan menghapus item secara permanen jika diperlukan dengan bantuan skrip ini.

Microsoft Outlook di Windows dipengaruhi oleh kerentanan eskalasi hak istimewa ini dengan tingkat keparahan 9,8, yang memengaruhi semua versi aplikasi.

Dengan mengirimkan email jahat ke target, penyerang dapat menggunakan kerentanan ini untuk mencuri kredensial NTLM mereka dalam hitungan detik.

Setiap kali Outlook terbuka, pengingat akan ditampilkan di sistem, dan tidak diperlukan interaksi dengan pengguna karena eksploitasi terjadi secara otomatis.

Singkatnya, sangat disarankan oleh analis keamanan bahwa admin harus segera menerapkan dan memeriksa semua mitigasi yang disarankan untuk mencegah serangan apa pun secara efektif.

selengkapnya : cybersecuritynews.com

Twitter diam saat peretas menipu pengguna dengan akun terverifikasi profil tinggi yang dicuri

by

Melihat Jase Robertson dan David Dayen, Anda tidak akan mengira keduanya memiliki banyak kesamaan. Robertson dikenal karena waktunya di acara TV realitas A&E Dinasti Bebek. Dia saat ini menjadi pembawa acara di outlet digital konservatif TheBlaze. David Dayen adalah jurnalis progresif lama dan editor eksekutif untuk majalah The American Prospect.

Namun, selama beberapa minggu terakhir, tweet dari akun Twitter Robertson dan Dayen telah membagikan pesan yang sama persis.

“Halo keluarga twitter!” memulai tweet yang diposting ke kedua akun. “Saya memiliki 10 MacBook yang akan saya tanda tangani sendiri, yang dapat Anda beli seharga $600 dan pengiriman gratis! Dasar siapa cepat dia dapat, dan semua hasilnya akan disumbangkan untuk amal! DMS SAYA DIBUKA JIKA TERTARIK”

Termasuk dalam tweet setiap akun adalah foto yang sama persis dari MacBook Pro yang duduk di lantai kayu. Apa yang terjadi di sini? Sudahkah Dayen dan Robertson mengesampingkan perbedaan politik mereka dan memulai bisnis penjualan kembali Apple?

Tidak. Mereka telah diretas, bersama dengan banyak akun terverifikasi lawas lainnya di platform media sosial. Dan, Twitter diam tentang masalah ini.

Meskipun beberapa dari akun ini telah diretas selama berminggu-minggu, Twitter belum menangguhkan akun tersebut, memungkinkan peretas untuk menipu pengguna ribuan dolar, jika tidak lebih.

Dayen memberi tahu Mashable bahwa dia awalnya diretas musim panas lalu setelah mengklik tautan jahat yang memberikan akses ke akunnya kepada aktor jahat. Dia mengatakan akunnya dengan cepat ditangguhkan oleh Twitter, jauh sebelum Elon Musk mengakuisisi perusahaan tersebut. Ketika dia mendapatkan kembali akses sekitar sebulan kemudian, Dayen dengan cepat mengaktifkan autentikasi dua faktor di akunnya. Memberlakukan langkah keamanan ini seharusnya membuat peretasan lain menjadi sangat sulit dilakukan.

Namun, di sini akun Twitter @ddayen, hanya 6 bulan kemudian, diretas dan menipu pengguna platform.

Selengkapnya: Mashable