Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat

Threat

Badan federal diretas oleh 2 grup berkat cacat yang tidak ditambal selama 4 tahun

by

Berbagai aktor ancaman—salah satunya bekerja atas nama negara-bangsa—mendapatkan akses ke jaringan agen federal AS dengan mengeksploitasi kerentanan berusia empat tahun yang masih belum ditambal, pemerintah AS memperingatkan.

Aktivitas eksploitasi oleh satu kelompok kemungkinan besar dimulai pada Agustus 2021 dan Agustus lalu oleh kelompok lain, menurut sebuah penasehat yang diterbitkan bersama oleh Cybersecurity and Infrastructure Security Agency, FBI, dan Pusat Analisis dan Berbagi Informasi Multi-State. Dari November lalu hingga awal Januari, server menunjukkan tanda-tanda kompromi.

Kedua grup mengeksploitasi kerentanan eksekusi kode yang dilacak sebagai CVE-2019-18935 di alat pengembang yang dikenal sebagai antarmuka pengguna Telerik (UI) untuk ASP.NET AJAX, yang terletak di server web Microsoft Internet Information Services (IIS) agensi. Penasihat itu tidak mengidentifikasi badan tersebut selain mengatakan bahwa itu adalah Badan Cabang Eksekutif Sipil Federal di bawah otoritas CISA.

UI Telerik untuk ASP.NET AJAX dijual oleh perusahaan bernama Progress, yang berkantor pusat di Burlington, Massachusetts, dan Rotterdam di Belanda. Alat ini menggabungkan lebih dari 100 komponen UI yang dapat digunakan pengembang untuk mengurangi waktu yang diperlukan untuk membuat aplikasi Web kustom. Pada akhir 2019, Progress merilis versi 2020.1.114, yang menambal CVE-2019-18935, kerentanan deserialisasi tidak aman yang memungkinkan eksekusi kode dari jarak jauh pada server yang rentan. Kerentanan membawa peringkat keparahan 9,8 dari kemungkinan 10. Pada tahun 2020, NSA memperingatkan bahwa kerentanan sedang dieksploitasi oleh aktor yang disponsori negara China.

“Eksploitasi ini, yang menghasilkan akses interaktif dengan server web, memungkinkan pelaku ancaman berhasil mengeksekusi kode jarak jauh di server web yang rentan,” jelas penasehat hari Kamis. “Meskipun pemindai kerentanan agensi memiliki plugin yang sesuai untuk CVE-2019-18935, ia gagal mendeteksi kerentanan karena perangkat lunak Telerik UI dipasang di jalur file yang biasanya tidak dipindai. Ini mungkin terjadi pada banyak penginstalan perangkat lunak, karena jalur file sangat bervariasi tergantung pada organisasi dan metode penginstalan.”

Selengkapnya: ars TECHNICA

LockBit Membual: Kami akan Membocorkan Ribuan Blueprint SpaceX yang Dicuri dari Pemasok

by

Geng Ransomware Lockbit telah menyombongkannya masuk ke Industri Maksimum, yang membuat suku cadang untuk SpaceX, dan mencuri 3.000 skema berpemilik yang dikembangkan oleh pembuat roket Elon Musk.

Kru kejahatan siber yang produktif juga mengejek supremo SpaceX dan mengancam akan membocorkan atau menjual blueprint mulai 20 Maret jika tuntutan geng untuk membayar tidak dipenuhi. Ini mungkin tagihan yang tidak dapat dihindari Musk.

Klaim SpaceX mengikuti beberapa lainnya oleh penjahat yang berafiliasi dengan LockBit, yang tidak selalu merupakan kelompok paling jujur ​​tentang apa yang telah mereka curi.

Bulan lalu, kelompok penjahat yang sama mengklaim telah menyusup ke perusahaan teknologi keuangan ION dan mengancam akan menerbitkan data curian pada 4 Februari jika penyedia perangkat lunak tidak membayar.

LockBit mengkonfirmasi jika uang tebusan telah dibayarkan, namun mereka tidak memberikan bukti apa pun dan ION menolak berkomentar.

Royal Mail di Inggris, tersangka korban LockBit lainnya, melanjutkan pengiriman internasional pada bulan Februari setelah mengkonfirmasi “insiden siber” sebulan sebelumnya.

Pada akhirnya, pembuat malware tampak menyerah untuk mendapatkan uang tebusan yang mereka minta dari Royal Mail sebelum menerbitkan beberapa file yang mereka klaim berasal dari jarahan yang dicuri.

Selengkapnya: The Register

Grup Ransomware Mengklaim Peretasan Cincin Amazon

by

Geng ransomware mengklaim telah melanggar cincin perusahaan kamera keamanan yang sangat populer, yang dimiliki oleh Amazon. Geng ransomware mengancam akan merilis data Ring. Ring memberi tahu Motherboard bahwa ia tidak memiliki bukti pelanggaran sistemnya sendiri, tetapi mengatakan vendor pihak ketiga telah terkena ransomware.
ALPHV lebih dari sekadar mengunci file korban, dan memiliki situs web yang menamai dan mempermalukan korbannya dalam upaya untuk memeras mereka. Jika target tersebut tidak membayar, ALPHV mengancam akan merilis data yang dicuri dari mereka secara publik. Situs ALPHV menonjol karena bagian situsnya yang menerbitkan data yang diretas, yang disebut “Koleksi”, lebih mudah dicari daripada beberapa situs grup peretasan lainnya.

Motherboard memverifikasi bahwa daftar penamaan Cincin saat ini ada di situs pembuangan data ALPHV. Kolektif keamanan siber VX Underground men-tweet tangkapan layar dari daftar tersebut sebelumnya pada hari Senin.

Setelah publikasi, satu orang membagikan tautan ke artikel ini di saluran internal Amazon Slack, dan menulis “Jangan membahas apa pun tentang ini. Tim keamanan yang tepat dilibatkan.”

Tidak jelas data spesifik apa yang dapat diakses oleh ALPHV. Dalam sebuah pernyataan, Ring memberi tahu Motherboard, “Saat ini kami tidak memiliki indikasi bahwa Ring telah mengalami peristiwa ransomware.” Tetapi perusahaan menambahkan bahwa mereka mengetahui vendor pihak ketiga yang telah mengalami peristiwa ransomware, dan Ring bekerja sama dengan perusahaan tersebut untuk mempelajari lebih lanjut. Ring mengatakan vendor ini tidak memiliki akses ke catatan pelanggan.

Amazon telah bermitra dengan setidaknya dua ribu departemen kepolisian di seluruh negeri untuk memudahkan pengguna berbagi rekaman dengan penegak hukum. Kamera — dan rekaman yang mereka ambil, yang sering diposting online — telah menjadi sangat populer sehingga Amazon meluncurkan acara televisi yang disebut “Ring Nation”, yang merupakan acara ragam yang sebagian besar terdiri dari blooper yang diambil oleh kamera Ring.

Meskipun Ring sendiri tidak dikompromikan selama insiden tersebut, para peretas memang memanfaatkan kelemahan dalam pengaturan keamanan default Ring. Sejak peretasan tersebut, Ring telah mengubah beberapa praktik keamanannya untuk mempermudah dan memperjelas bagi pengguna untuk memeriksa pengaturan keamanan mereka.

selengkapnya : vice

Apa yang terjadi jika Anda ‘menutupi’ infeksi ransomware? Untuk Blackbaud, biaya $3 juta

by

Blackbaud telah setuju untuk membayar $3 juta untuk menyelesaikan tuduhan bahwa ia membuat pengungkapan yang menyesatkan tentang infeksi ransomware tahun 2020 di mana penjahat mencuri lebih dari satu juta file di sekitar 13.000 pelanggan pembuat perangkat lunak cloud.

Menurut pengawas keuangan Amerika, SEC, Blackbaud akan mengeluarkan uang tunai – tanpa mengakui atau menyangkal temuan regulator – dan akan berhenti melakukan pelanggaran lebih lanjut.

“Blackbaud dengan senang hati menyelesaikan masalah ini dengan SEC dan menghargai kolaborasi dan umpan balik konstruktif dari Komisi karena perusahaan terus meningkatkan kebijakan pelaporan dan pengungkapannya,” kata Tony Boor, kepala keuangan perusahaan tersebut, kepada The Register.

“Blackbaud terus memperkuat program keamanan sibernya untuk melindungi pelanggan dan konsumen, serta meminimalkan risiko serangan siber dalam lanskap ancaman yang selalu berubah,” tambah Boor.

Sebagai perspektif: perusahaan yang berbasis di South Carolina – yang menyediakan, antara lain, alat manajemen donor untuk organisasi nirlaba – menghasilkan pendapatan $1,1 miliar pada tahun 2022, yang mengakibatkan kerugian $45,4 juta. Penyelesaian ini adalah yang paling tidak menjadi perhatian bisnis, kami bayangkan.

Inilah yang terjadi: pada bulan Mei 2020, Blackbaud mengalami infeksi ransomware, diam-diam melunasi para penjahat, dan tidak memberi tahu pelanggan tentang pelanggaran keamanan hingga Juli 2020. Dan ketika perusahaan perangkat lunak memberi tahu pelanggan, mereka meyakinkan mereka bahwa ” penjahat dunia maya tidak mengakses…informasi rekening bank, atau nomor jaminan sosial,” menurut perintah SEC.

Namun, pada akhir bulan itu, SEC mengklaim bahwa personel Blackbaud menemukan bahwa penjahat telah mengakses informasi rekening bank donor dan nomor jaminan sosial yang tidak terenkripsi. Tetapi karyawan diduga tidak memberi tahu manajemen senior tentang pencurian data sensitif pelanggan karena Blackbaud “tidak memiliki kebijakan atau prosedur yang dirancang untuk memastikan mereka melakukannya,” kata dokumen pengadilan.

Selengkapnya: The Register

Bagaimana FBI membuktikan bahwa alat admin jarak jauh sebenarnya adalah malware

by

Pada hari Kamis, pemerintah AS mengumumkan telah menyita situs web yang digunakan untuk menjual malware yang dirancang untuk memata-matai komputer dan ponsel.

Malware tersebut disebut NetWire, dan selama bertahun-tahun beberapa perusahaan keamanan siber, dan setidaknya satu lembaga pemerintah, telah menulis laporan yang merinci bagaimana peretas menggunakan malware tersebut. Sementara NetWire juga dilaporkan diiklankan di forum peretasan, pemilik malware memasarkannya di situs web yang membuatnya terlihat seperti alat administrasi jarak jauh yang sah.

“NetWire dirancang khusus untuk membantu bisnis menyelesaikan berbagai tugas yang berhubungan dengan pemeliharaan infrastruktur komputer. Ini adalah ‘pusat komando’ tunggal di mana Anda dapat menyimpan daftar semua komputer jarak jauh Anda, memantau status dan inventarisnya, dan menghubungkannya ke salah satu dari mereka untuk tujuan pemeliharaan, ”baca versi situs yang diarsipkan.

Dalam siaran pers yang mengumumkan penyitaan situs web tersebut, yang dihosting di worldwiredlabs.com, Kantor Kejaksaan AS di Distrik Tengah California mengatakan bahwa FBI memulai penyelidikan terhadap situs tersebut pada tahun 2020. FBI menuduh situs tersebut digunakan untuk melakukan pencucian uang internasional, penipuan dan kejahatan komputer.

Seorang juru bicara Kantor Kejaksaan AS memberi TechCrunch salinan surat perintah yang digunakan untuk merebut situs web, yang merinci bagaimana FBI menentukan bahwa NetWire sebenarnya adalah Trojan Akses Jarak Jauh — atau RAT — malware dan bukan aplikasi yang sah untuk dikelola komputer jarak jauh.

Surat perintah tersebut berisi pernyataan tertulis yang ditulis oleh petugas Satuan Tugas FBI yang tidak disebutkan namanya, yang menjelaskan bahwa anggota atau agen Tim Investigasi FBI membeli lisensi NetWire, mengunduh malware, dan memberikannya kepada ilmuwan komputer FBI-LA, yang menganalisisnya pada bulan Oktober. 5 Januari 2020 dan 12 Januari 2021.

Selengkapnya: TechCrunch

Vulnerability dalam implementasi SHA-3, Shake, EDDSA, dan algoritma yang disetujui NIST lainnya dalam implementasi SHA-3, Shake, EDDSA, dan algoritma yang disetujui NIST lainnya

by

Makalah ini menggambarkan vulnerability dalam beberapa implementasi algoritma hash aman 3 (SHA-3) yang telah dirilis oleh desainernya. vulnerability telah hadir sejak pembaruan putaran akhir Keccak diserahkan ke Kompetisi Fungsi Hash Institute of Standards and Technology (NIST) SHA-3 pada Januari 2011, dan hadir dalam Paket Kode Keccak (XKCP) yang diperluas dari Tim Keccak. Ini mempengaruhi semua proyek perangkat lunak yang telah mengintegrasikan kode ini, seperti bahasa skrip Python dan php hypertext preprocessor (PHP).

vulnerability adalah overflow buffer yang memungkinkan nilai yang dikendalikan penyerang menjadi eksklusif (XORED) ke dalam memori (tanpa batasan nilai yang harus disedot dan bahkan jauh di luar lokasi buffer asli), dengan demikian membuat banyak langkah perlindungan standar terhadap Buffer overflows (mis., Nilai kenari) sama sekali tidak efektif.

Pertama, kami menyediakan skrip Python dan PHP yang menyebabkan kesalahan segmentasi ketika versi rentan penafsir digunakan. Kemudian, kami menunjukkan bagaimana vulnerability ini dapat digunakan untuk membangun preimage dan preimage kedua untuk implementasi, dan kami menyediakan file yang dibangun secara khusus yang, ketika hash, memungkinkan penyerang untuk menjalankan kode sewenang -wenang pada perangkat korban. vulnerability berlaku untuk semua ukuran nilai hash, dan semua sistem operasi Windows, Linux, dan MacOS 64-bit, dan juga dapat memengaruhi algoritma kriptografi yang memerlukan SHA-3 atau variannya, seperti algoritma tanda tangan digital Edwards-Curve (EDDSA) Edward Ketika kurva Edwards448 digunakan. Kami memperkenalkan uji init-update-final (IUFT) untuk mendeteksi vulnerability ini dalam implementasi.

@misc{cryptoeprint:2023/331,
author = {Nicky Mouha and Christopher Celi},
title = {A Vulnerability in Implementations of SHA-3, SHAKE, EdDSA, and Other NIST-Approved Algorithm},
howpublished = {Cryptology ePrint Archive, Paper 2023/331},
year = {2023},
note = {\url{https://eprint.iacr.org/2023/331}},
url = {https://eprint.iacr.org/2023/331}
}

sumber : eprint.iacr.org

Eksploitasi Kerentanan Kritis pada Produk VMware Akhir Masa Pakai Sedang Berlangsung

by

Perusahaan pendeteksi kerentanan aplikasi, Wallarm Detect, memperingatkan tentang eksploitasi berkelanjutan atas kelemahan kritis di VMware Cloud Foundation dan NSX Data Center for vSphere (NSX-V).

Diungkapkan pada Oktober 2022 dan dilacak sebagai CVE-2021-39144 (skor CVSS 9,8), saat VMware mengumumkan tambalan untuknya, meskipun produk yang terpengaruh telah mencapai status akhir masa pakai (EOL) pada Januari 2022.

Cacat keamanan diidentifikasi di library open-source XStream yang mendukung serialisasi objek ke XML dan sebaliknya, berdampak pada XStream versi 1.4.17 dan yang lebih lama.

VMware mengumumkan tambalan untuk kerentanan ini pada 25 Oktober. Dua hari kemudian, perusahaan memperbarui penasehatnya untuk memperingatkan bahwa kode proof-of-concept (PoC) yang menargetkan kerentanan telah dirilis.

Masalah ini telah diatasi bersama dengan CVE-2022-31678, cacat Entitas Eksternal XML (XXE) tingkat keparahan sedang yang dapat memungkinkan penyerang yang tidak diautentikasi menyebabkan kondisi denial-of-service (DoS).

Selengkapnya: Security Week

IceFire ransomware sekarang mengenkripsi sistem Linux dan Windows

by

Aktor ancaman yang terkait dengan operasi ransomware IceFire sekarang secara aktif menargetkan sistem Linux di seluruh dunia dengan enkripsi khusus yang baru.

Peneliti keamanan SentinelLabs menemukan bahwa geng tersebut telah menembus jaringan beberapa organisasi media dan hiburan di seluruh dunia dalam beberapa minggu terakhir, mulai pertengahan Februari, menurut sebuah laporan yang dibagikan sebelumnya dengan BleepingComputer.

Begitu berada di dalam jaringan mereka, penyerang menyebarkan varian malware baru mereka untuk mengenkripsi sistem Linux korban.

Ketika dijalankan, ransomware IceFire mengenkripsi file, menambahkan ekstensi ‘.ifire’ ke nama file, dan kemudian menutupi jejaknya dengan menghapus dirinya sendiri dan menghapus biner.

Penting juga untuk dicatat bahwa IceFire tidak mengenkripsi semua file di Linux. Ransomware secara strategis menghindari mengenkripsi jalur tertentu, memungkinkan bagian sistem penting tetap beroperasi.

Pendekatan yang diperhitungkan ini dimaksudkan untuk mencegah penghentian total sistem, yang dapat menyebabkan kerusakan yang tidak dapat diperbaiki dan bahkan gangguan yang lebih signifikan.

Meskipun aktif setidaknya sejak Maret 2022 dan sebagian besar tidak aktif sejak akhir November, ransomware IceFire kembali pada awal Januari dalam serangan baru, seperti yang ditunjukkan oleh pengiriman pada platform ID-Ransomware.

Operator IceFire mengeksploitasi kerentanan deserialisasi dalam perangkat lunak berbagi file IBM Aspera Faspex (dilacak sebagai CVE-2022-47986) untuk meretas sistem target yang rentan dan menyebarkan muatan ransomware mereka.

Kerentanan RCE pra-auth dengan tingkat keparahan tinggi ini ditambal oleh IBM pada bulan Januari dan telah dieksploitasi dalam serangan sejak awal Februari [1, 2] setelah perusahaan manajemen permukaan serangan Assetnote menerbitkan laporan teknis yang berisi kode eksploit.

CISA juga menambahkan kelemahan keamanan ke katalog kerentanannya yang dieksploitasi secara liar pada Februari 2021, memerintahkan agen federal untuk menambal sistem mereka hingga 14 Maret.

Selengkapnya: Bleeping Computer