Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat

Threat

Situs Drupal rentan terhadap serangan ekstensi ganda

by

Tim di balik sistem manajemen konten (CMS) Drupal telah merilis pembaruan keamanan minggu ini untuk menambal kerentanan kritis yang mudah dieksploitasi dan dapat memberi penyerang akses penuh pada situs yang rentan. Drupal, yang saat ini merupakan CMS keempat yang paling banyak digunakan di internet setelah WordPress, Shopify, dan Joomla, memberi peringkat kerentanan “Kritis”, yang menyarankan pemilik situs untuk menambal sesegera mungkin.

Dilacak sebagai CVE-2020-13671, kerentanan ini sangat mudah dieksploitasi dan mengandalkan trik “ekstensi ganda” yang bagus. Penyerang dapat menambahkan ekstensi kedua ke file berbahaya, mengunggahnya di situs Drupal melalui bidang unggahan terbuka, dan mengeksekusi program jahat.

Misalnya, file berbahaya seperti malware.php dapat diubah namanya menjadi malware.php.txt. Ketika diunggah di situs Drupal, file tersebut akan diklasifikasikan sebagai file teks daripada file PHP tetapi Drupal akan mengeksekusi kode PHP berbahaya saat mencoba membaca file teks tersebut.

sumber : ZDNET

Peretasan besar-besaran yang didanai negara China menghantam perusahaan di seluruh dunia, menurut laporan

by

Peneliti telah menemukan kampanye peretasan besar-besaran yang menggunakan alat dan teknik canggih untuk menyusupi jaringan perusahaan di seluruh dunia. Para peretas, kemungkinan besar dari kelompok terkenal yang didanai oleh pemerintah China, dilengkapi dengan alat siap pakai dan alat yang dibuat khusus. Salah satu alat tersebut mengeksploitasi Zerologon, nama yang diberikan untuk kerentanan server Windows, yang ditambal pada bulan Agustus, yang dapat memberi penyerang hak istimewa administrator instan pada sistem yang rentan.

Symantec menggunakan nama kode Cicada untuk grup tersebut, yang diyakini secara luas didanai oleh pemerintah China dan juga membawa nama APT10, Stone Panda, dan Cloud Hopper dari organisasi penelitian lain. Grup, yang tidak memiliki hubungan atau afiliasi dengan perusahaan mana pun yang menggunakan nama Cicada, telah aktif dalam peretasan bergaya spionase setidaknya sejak 2009 dan hampir secara eksklusif menargetkan perusahaan yang terkait dengan Jepang. Meskipun perusahaan yang ditargetkan dalam kampanye baru-baru ini berlokasi di Amerika Serikat dan negara lain, semuanya memiliki hubungan dengan Jepang atau perusahaan Jepang.

Symantec menghubungkan serangan tersebut ke Cicada berdasarkan sidik jari digital yang ditemukan di malware dan kode serangan. Sidik jari termasuk obfuscation techniques dan kode shell yang terlibat dalam pemuatan samping DLL serta ciri-ciri berikut yang dicatat dalam laporan tahun 2019 ini dari perusahaan keamanan Cylance:
1. DLL tahap ketiga memiliki ekspor bernama “FuckYouAnti”
2. DLL tahap ketiga menggunakan teknik CppHostCLR untuk menginjeksi dan menjalankan rakitan loader .NET
3. .NET Loader dikaburkan dengan ConfuserEx v1.0.0
4. Muatan terakhir adalah QuasarRAT — backdoor open source yang digunakan oleh Cicada di masa lalu

sumber : Arstechnica

Layanan gratis Google sekarang menjadi sahabat kampanye phishing

by

Pelaku ancaman menyalahgunakan alat dan layanan produktivitas gratis Google untuk membuat kampanye phishing yang meyakinkan yang dapat mencuri kredensial Anda atau mengelabui Anda agar memasang malware.

Dalam laporan baru oleh firma keamanan email Armorblox, peneliti menggambarkan bagaimana pelaku ancaman membuat kampanye phishing yang rumit menggunakan layanan Google yang tidak hanya terlihat meyakinkan tetapi juga menghindari deteksi.

Salah satunya adalah layanan pembuatan formulir gratis yang disebut Google Form yang memungkinkan siapa saja membuat survei online gratis yang kemudian dapat dikirim ke pengguna lain.

Namun, pelaku ancaman menyalahgunakan Google Form untuk membuat formulir yang rumit yang berupaya mencuri kredensial Anda, seperti formulir pemulihan akun American Express palsu pada contoh berikut. Pelaku ancaman kemudian dapat mengumpulkan informasi yang diserahkan di kemudian hari.

Sumber: Armorblox

Selain itu, layanan Google yang paling umum digunakan dalam penipuan phishing adalah Google Documents. Layanan ini tidak hanya digunakan untuk mengarahkan penerima ke pencurian kredensial dan penipuan akuntansi, tetapi juga untuk mengirimkan malware.

Karena Google Docs sangat banyak digunakan, hampir semua dokumen baru akan melewati gerbang email yang aman sampai mereka diidentifikasi sebagai berbahaya.

Google Docs juga banyak digunakan dalam kampanye malware BazarLoader sebagai halaman perantara untuk mendownload malware yang menyamar sebagai invoice, informasi COVID-19, dan jenis dokumen lainnya.

Baca berita selengkapnya pada tautan di bawah ini;
Sumber: Bleeping Computer

Aplikasi Pesan Go SMS Pro Mengekspos File Media Pribadi Pengguna

by

Aplikasi Android yang populer menggunakan alamat Web yang mudah ditebak saat pengguna mengirim foto pribadi, video, dan pesan suara. Kerentanan keamanan di Go SMS Pro, aplikasi perpesanan Android populer, mengekspos foto pribadi, video, dan pesan suara dari jutaan pengguna, lapor peneliti. Peneliti dengan Trustwave SpiderLabs menemukan kelemahan Go SMS Pro versi 7.91, yang memiliki lebih dari 100 juta pengguna. Meskipun tidak jelas versi lain mana yang terpengaruh, diyakini versi sebelumnya dan versi yang akan datang rentan terhadap masalah yang sama, kata mereka.

Go SMS Pro, seperti banyak aplikasi messenger lainnya, memungkinkan orang mengirim media pribadi ke pengguna lain. Jika penerima memiliki aplikasi, media akan muncul di dalam aplikasi. Jika penerima tidak memiliki Go SMS Pro, file media dikirim sebagai alamat Web melalui SMS dan kemudian dibuka di dalam browser. Peneliti menemukan tautan ini dapat diakses tanpa otentikasi atau otorisasi apa pun, sehingga siapa pun yang memiliki tautan dapat melihat kontennya. Mereka juga mempelajari bahwa tautan URL berurutan (heksadesimal) dan dapat diprediksi, yang berarti penyerang dapat menaikkan nilai dalam URL tertentu untuk melihat atau mendengarkan pesan media pengguna lain tanpa otentikasi.

Trustwave menemukan kerentanan pada bulan Agustus dan berusaha menghubungi vendor aplikasi beberapa kali. Perusahaan tidak menanggapi, artinya kerentanan ini masih menimbulkan risiko bagi pengguna. Peneliti menyarankan agar tidak mengirim file media yang mungkin berisi data sensitif sampai Bug diperbaiki.

sumber : DarkReading

Bug Facebook Messenger bisa saja memungkinkan peretas untuk memata-matai pengguna

by

Facebook telah memperbaiki bug keamanan utama hari ini di aplikasi Messenger untuk Android yang memungkinkan penyerang untuk melakukan dan menghubungkan panggilan audio Messenger tanpa sepengetahuan atau interaksi penelepon.

Kerentanan tersebut, yang bisa saja disalahgunakan untuk memata-matai pengguna Facebook melalui ponsel Android mereka, ditemukan selama audit keamanan oleh Natalie Silvanovich, seorang peneliti yang bekerja untuk tim keamanan Project Zero Google.

Dalam laporan bug yang dipublikasikan hari ini, Silvanovich mengatakan bug tersebut berada di protokol WebRTC yang digunakan aplikasi Messenger untuk mendukung panggilan audio dan video.

Lebih khusus lagi, Silvanovich mengatakan bahwa masalahnya ada di Session Description Protocol (SDP), bagian dari WebRTC. Protokol ini menangani data sesi untuk koneksi WebRTC, dan Silvanovich menemukan bahwa pesan SDP dapat disalahgunakan untuk menyetujui koneksi WebRTC secara otomatis tanpa interaksi pengguna.

sumber : ZDNET

Kebocoran Informasi di API Kebijakan Berbasis Sumber Daya AWS

by

Peneliti Unit 42 menemukan kelas API Amazon Web Services (AWS) yang dapat disalahgunakan untuk membocorkan pengguna dan peran AWS Identity and Access Management (IAM) di akun arbitrer. Peneliti mengonfirmasi bahwa 22 API di 16 layanan AWS yang berbeda dapat disalahgunakan dengan cara yang sama dan eksploitasi tersebut berfungsi di ketiga partisi AWS (aws, aws-us-gov atau aws-cn). Layanan AWS yang berpotensi disalahgunakan oleh penyerang mencakup Amazon Simple Storage Service (S3), Amazon Key Management Service (KMS), dan Amazon Simple Queue Service (SQS). Aktor jahat dapat memperoleh daftar akun, mempelajari struktur internal organisasi, dan meluncurkan serangan yang ditargetkan terhadap individu. Dalam latihan Tim Merah baru-baru ini, peneliti Unit 42 membobol akun cloud pelanggan dengan ribuan beban kerja menggunakan peran IAM yang salah dikonfigurasi yang diidentifikasi oleh teknik ini.

Akar penyebab masalah ini adalah bahwa backend AWS secara proaktif memvalidasi semua kebijakan berbasis sumber daya yang dilampirkan ke sumber daya seperti keranjang Amazon Simple Storage Service (S3) dan kunci yang dikelola pelanggan. Kebijakan berbasis sumber daya biasanya mencakup bidang Prinsipal yang menentukan identitas (pengguna atau peran) yang diizinkan untuk mengakses sumber daya. Jika kebijakan berisi identitas yang tidak ada, panggilan API yang membuat atau memperbarui kebijakan akan gagal dengan pesan kesalahan. Namun, fitur praktis ini dapat disalahgunakan untuk memeriksa apakah ada identitas di akun AWS. Musuh dapat berulang kali memanggil API ini dengan prinsipal yang berbeda untuk menghitung pengguna dan peran dalam akun yang ditargetkan. Selain itu, akun yang ditargetkan tidak dapat mengamati pencacahan karena log API dan pesan kesalahan hanya muncul di akun penyerang tempat kebijakan sumber daya dimanipulasi. Sifat teknik yang “tersembunyi” membuat deteksi dan pencegahan menjadi sulit. Penyerang dapat memiliki waktu tidak terbatas untuk melakukan pengintaian pada akun AWS yang ditargetkan atau acak tanpa khawatir akan diketahui.

Mendeteksi dan mencegah pengintaian identitas menggunakan teknik ini sulit dilakukan karena tidak ada log yang dapat diamati di akun yang ditargetkan. Namun, kebersihan keamanan IAM yang baik masih dapat secara efektif mengurangi ancaman dari jenis serangan ini. Meskipun tidak mungkin mencegah penyerang menyebutkan identitas di akun AWS, pencacahan dapat menjadi lebih sulit dan Anda dapat memantau aktivitas mencurigakan yang dilakukan setelah pengintaian. Untuk mengurangi masalah ini, kami merekomendasikan praktik terbaik keamanan IAM berikut untuk organisasi:

-Hapus pengguna dan peran yang tidak aktif untuk mengurangi permukaan serangan.
-Tambahkan string acak ke nama pengguna dan nama peran agar lebih sulit ditebak.
-Masuk dengan penyedia identitas dan federasi, sehingga tidak ada pengguna tambahan yang dibuat di akun AWS.
-Catat dan pantau semua aktivitas otentikasi identitas.
-Aktifkan otentikasi dua faktor (2FA) untuk setiap pengguna dan peran IAM.

sumber : UNIT42.PaloAlto

Egregor ransomware membombardir printer korban dengan catatam tebusan

by

Ransomware Egregor menggunakan pendekatan baru untuk menarik perhatian korban setelah serangan – ambil catatan tebusan dari semua printer yang tersedia.

Geng ransomware tahu bahwa banyak bisnis lebih suka menyembunyikan serangan ransomware daripada mempublikasikannya, termasuk kepada karyawan, karena takut akan berita yang memengaruhi harga saham dan reputasi mereka.

Untuk meningkatkan kesadaran publik atas serangan tersebut dan menekan korban agar membayar, operasi Egregor diketahui berulang kali mencetak catatan tebusan dari semua jaringan dan printer lokal yang tersedia setelah serangan terjadi.

Menurut BleepingComputer, mereka dapat mengonfirmasi bahwa itu bukan ransomware yang dapat menjalankan pencetakan catatan tebusan.

Sebaliknya, diyakini bahwa penyerang ransomware menggunakan skrip di akhir serangan untuk mencetak catatan tebusan ke semua printer yang tersedia.

Skrip ini belum ditemukan pada saat penulisan.

Sumber: Bleeping Computer

Bug Cisco Webex memungkinkan penyerang untuk bergabung dalam rapat sebagai pengguna hantu

by

Cisco berencana untuk memperbaiki tiga kerentanan di aplikasi konferensi video Webex yang memungkinkan penyerang menyelinap dan bergabung dengan rapat Webex sebagai pengguna bayangan, yang tidak terlihat oleh peserta lain.

Kerentanan tersebut ditemukan awal tahun ini oleh peneliti keamanan dari IBM, yang melakukan peninjauan terhadap alat kerja jarak jauh yang digunakan raksasa perangkat lunak teknologi tersebut secara internal selama pandemi virus corona.

Para peneliti mengatakan tiga bug, jika digabungkan, akan memungkinkan penyerang untuk:
1. Bergabunglah dengan rapat Webex sebagai pengguna bayangan, tidak terlihat oleh orang lain di daftar peserta, tetapi dengan akses penuh ke audio, video, obrolan, dan berbagi layar.
2. Tetap berada dalam rapat Webex sebagai pengguna audio hantu bahkan setelah dikeluarkan darinya.
3. Dapatkan informasi tentang peserta rapat, seperti nama lengkap, alamat email, dan alamat IP. Informasi ini juga dapat diperoleh dari lobi ruang rapat, bahkan sebelum penyerang menerima panggilan.

Peneliti IBM mengatakan bug berada dalam proses “jabat tangan” yang terjadi saat pertemuan Webex baru dibuat. Cisco akan merilis patch hari ini untuk tiga kerentanan Webex yang dilaporkan oleh tim IBM – yaitu CVE-2020-3441, CVE-2020-3471, dan CVE-2020-3419.

sumber : ZDNET