Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat

Threat

Karyawan LastPass Bisa Mencegah Peretasan Dengan Pembaruan Perangkat Lunak

by

Peretas mengeksploitasi kerentanan dalam perangkat lunak Plex Media Server yang ditambal pada Mei 2020. ‘Versi yang mengatasi eksploit ini kira-kira 75 versi yang lalu,’ kata Plex.

Ternyata pelanggaran besar-besaran di LastPass dapat dihentikan, atau setidaknya ditunda, jika seorang karyawan perusahaan memperbarui perangkat lunak di komputer rumah mereka.

Minggu ini, LastPass mengungkapkan peretas melakukan pelanggaran dengan memasang malware di komputer rumah karyawan, memungkinkan mereka menangkap penekanan tombol di mesin. Tapi satu pertanyaan yang tersisa adalah bagaimana malware itu dikirimkan.

Pada saat itu, LastPass hanya mengatakan(Opens in a new window) bahwa peretas mengeksploitasi “paket perangkat lunak media pihak ketiga yang rentan”, tanpa menyebutkan vendor atau kelemahan yang sebenarnya. Hal itu membuat banyak orang bertanya-tanya apakah peretas telah menyalahgunakan kerentanan yang saat ini tidak diketahui, yang dapat membahayakan banyak pengguna lain.

PCMag sejak itu mengetahui bahwa peretas menargetkan perangkat lunak Plex Media Server untuk memuat malware di komputer rumah karyawan LastPass. Namun yang menarik, kelemahan yang dieksploitasi bukanlah hal baru. Menurut Plex, kerentanan tersebut berusia hampir tiga tahun dan telah ditambal sejak lama.

Plex memberi tahu PCMag bahwa kerentanannya adalah CVE-2020-5741(Buka di jendela baru), yang diungkapkan perusahaan secara publik kepada pengguna pada Mei 2020. “Penyerang yang sudah memiliki akses admin ke Plex Media Server dapat menyalahgunakan fitur Unggah Kamera untuk buat server mengeksekusi kode berbahaya, ”kata perusahaan itu saat itu.

“Pada saat itu, seperti disebutkan dalam posting itu, versi terbaru dari Plex Media Server tersedia untuk semua (7-MAY-2020),” kata juru bicara Plex. “Sayangnya, karyawan LastPass tidak pernah memutakhirkan perangkat lunak mereka untuk mengaktifkan tambalan. Sebagai referensi, versi yang mengatasi eksploit ini kira-kira 75 versi yang lalu.”

Selengkapnya: PC Mag

Medusa Mengklaim Serangan Ransomware PetroChina

by

Perusahaan regulator minyak dan gas PetroChina Indonesia diduga menjadi korban terbaru dari serangan ransomware, menambahkan satu perusahaan lagi ke dalam daftar infrastruktur penting yang menjadi sasaran peretas.

Profil perusahaan minyak dan gas tersebut dibagikan di postingan web gelap yang dipublikasikan di Blog Medusa. Kolektif peretas juga menuntut uang tebusan untuk penghapusan data, menambah tenggat waktu, dengan ancaman untuk menjual data. Peneliti keamanan siber Dominic Alvieri mengkonfirmasi insiden tersebut dengan The Cyber Express.

Detail tentang serangan ransomware PetroChina
Menurut Blog Medusa, batas waktu untuk menanggapi ancaman ransomware adalah 7 hari dan beberapa jam. $10.000 dituntut untuk menambah tenggat waktu sehari, $400.000 untuk menghapus semua data, dan $400.000 untuk mengunduh data.

Cyber Express tidak menerima tanggapan dari perusahaan terkait serangan ransomware PetroChina pada saat penulisan.

Serangan siber terhadap perusahaan minyak dan gas

Ini adalah serangan dunia maya kedua secara berurutan pada perusahaan minyak dan gas setelah LockBit diduga melanggar Grupo Albanesi hanya beberapa jam di belakang PetroChina. Situs web resmi dapat diakses pada saat penulisan.

Menyerang Grupo Albanesi berdampak langsung pada 9 pabrik yang menghasilkan tenaga di Argentina.

Pada tahun 2021, Colonial Pipeline yang berbasis di Georgia, yang menyediakan hampir 45% solar, bahan bakar jet, dan bensin dari Pantai Timur, mengalami serangan ransomware. Keadaan darurat diumumkan oleh Presiden Joe Biden karena dampaknya terhadap perekonomian negara, dan pelakunya ditangkap tepat pada waktunya.

Anggota geng ransomware TrickBot ditangkap oleh Inggris dan AS dalam kampanye yang dipimpin oleh National Crime Agency (NCA), pejabat dari Departemen Keuangan, dan Kantor Pengawasan Aset Asing (OFAC) Departemen Keuangan AS.

Kampanye ini menyaksikan penangkapan 7 anggota TrickBot bersama dengan Ryuk, Wizard Spider atau Darkside, dan anggota geng Conti ransomware.

selengkapnya : thecyberexpress

Pemerintah AS memperingatkan ransomware Royal menargetkan infrastruktur penting

by

The U.S. government is sounding the alarm about the Royal ransomware operation, which it says has targeted numerous critical infrastructure sectors across the United States.

Peringatan tersebut muncul setelah Departemen Kesehatan dan Layanan Kemanusiaan AS memperingatkan pada bulan Desember bahwa ransomware Royal “secara agresif” menargetkan sektor kesehatan AS. Situs kebocoran web gelap Royal saat ini mencantumkan Layanan Kesehatan Michigan Barat Laut dan Konsultan Ortopedi Midwest di antara para korbannya.

Pakar keamanan percaya bahwa Royal terdiri dari aktor ransomware berpengalaman dari operasi sebelumnya, mencatat kesamaan antara Royal dan Conti, grup peretasan terkait Rusia yang produktif yang dibubarkan pada Juni 2022.

Pada November 2022, ransomware Royal dilaporkan sebagai operasi ransomware paling produktif, menyalip Lockbit. Data terbaru menunjukkan bahwa Royal bertanggung jawab atas setidaknya 19 serangan ransomware pada bulan Februari, di balik 51 serangan yang dikaitkan dengan LockBit, dan 22 serangan terkait dengan Vice Society.

Meskipun sebagian besar korban Royal berbasis di Amerika Serikat, salah satu korbannya yang terkenal adalah Sirkuit Silverstone, salah satu sirkuit balap motor terbesar di Inggris Raya. Korban lain yang diklaim oleh geng tersebut termasuk ICS, sebuah organisasi yang menyediakan layanan keamanan siber ke Departemen Pertahanan AS, Distrik Sekolah Dallas, dan lainnya.

Menurut penasehat pemerintah AS, permintaan tebusan yang dibuat oleh Royal bervariasi dari $1 juta sampai $11 juta, tetapi belum jelas berapa banyak operasi yang telah dilakukan dari para korbannya. Penasihat mencatat bahwa aktor Kerajaan juga terlibat dalam taktik pemerasan ganda, di mana mereka mengancam untuk merilis data terenkripsi secara publik jika korban tidak membayar uang tebusan.

selengkapnya : techcrunch

Peringatan tentang serangan rantai pasokan seperti SolarWinds: ‘Mereka semakin besar’

by

SCSW Kembali pada tahun 2020, Eric Scales memimpin tim tanggap insiden yang menyelidiki peretasan negara-negara yang membahayakan server perusahaannya bersama dengan yang ada di agen federal dan raksasa teknologi termasuk Microsoft dan Intel.

“Itu mirip dengan serbuan persaudaraan – pengalaman terbaik yang tidak ingin saya lakukan lagi,” kata Scales, kepala respons insiden di Mandiant, kepada The Register. “Itu cukup intens. Sedikit yang kami tahu kami akan berada di tengah serangan rantai pasokan dekade ini.”

Ini, tentu saja, adalah serangan SolarWinds, yang sejak itu dikaitkan dengan geng Cozy Bear Rusia, dan selain menjadi pelanggaran rantai pasokan paling terkenal, itu juga selama penguncian COVID-19, jadi perang tim IR ruangan itu sepenuhnya virtual.

Lebih dari dua tahun kemudian, “Saya kira kami tidak banyak berkembang sama sekali,” katanya. “Tampaknya serangan rantai pasokan baru saja meningkat.” Dan akhir-akhir ini, para penjahat sangat tertarik untuk menyerang pustaka perangkat lunak sumber terbuka, katanya.

Namun, ada pelajaran berharga yang bisa dipetik dari SolarWinds, dan Scales memiliki beberapa tip bagus tentang bagaimana perusahaan dapat melindungi diri mereka sendiri dan apa yang harus dilakukan organisasi jika mereka menemukan diri mereka dalam situasi yang sama.

Seperti yang dikatakan Scales kepada kami: “Masalah ini tidak akan hilang – ini hanya akan menjadi lebih besar.”

Selengkapnya: The Register

Negara Bagian Tennessee, universitas -universitas Louisiana tenggara yang dipukul dengan serangan cyber

by

Dua universitas di Tennessee dan Louisiana sedang berjuang dengan serangan siber yang telah melumpuhkan layanan kampus dan membuat siswa berebut untuk menemukan alat alternatif.

Tennessee State University-sebuah universitas historis historis hitam di Nashville-memberi tahu lebih dari 8.000 mahasiswa pada hari Rabu bahwa sistem TI diturunkan oleh serangan ransomware.

Dalam sebuah surat, sekolah mengatakan itu menutup semua akses internet di kampus dan berencana untuk menjaga sistem tetap sampai setidaknya Jumat. Siswa masih akan memiliki akses ke akun email mereka, zoom dan lab komputer kampus. Tetapi VPN kampus, jaringan nirkabel, dan situs web eksternal seperti Google tidak akan dapat diakses.

“Kami menganggap ransomware dengan sangat serius dan melindungi integritas data Anda adalah yang paling penting,” kata tim TI universitas itu. “Siswa harus menghubungi instruktur dan/atau penasihat mereka melalui email atau telepon jika Anda memiliki masalah dengan mengakses tugas dan/atau penilaian.”

Sekolah ini adalah HBCU terbaru yang dilanda ransomware setelah beberapa orang lain melayani mahasiswa minoritas – seperti North Carolina A&T University, Florida International University dan banyak lagi – telah menjadi sasaran. Karena ketidakseimbangan pendanaan yang sudah lama ada, sekolah -sekolah ini sering kali tidak mampu membayar jenis keamanan jaringan yang diperlukan untuk melindungi informasi siswa dan fakultas.

Selengkapnya: The Record

Peretas Menyerang Karyawan dari Enam Firma Hukum dengan Malware GootLoader Menggunakan Perjanjian Hukum Palsu dan Lubang Air Berbahaya, lapor eSentire

by

GootLoader adalah malware populer yang memberi pelaku ancaman akses awal ke lingkungan TI korban. Begitu berada di komputer korban, GootLoader diketahui mengunduh GootKit Remote Access Trojan (RAT), ransomware REvil, atau Cobalt Strike, alat populer yang digunakan untuk mendapatkan pijakan di lingkungan target dan memperluas jaringan target.

Sepanjang tahun 2022, sementara infeksi GootLoader terus meningkat menjadi intrusi langsung, tidak ada ransomware yang diamati bahkan ketika penyusup diizinkan untuk memerintah hampir bebas. Dalam kasus tersebut, hanya Koleksi yang diamati. Mengingat target utama GootLoader adalah firma hukum, TRU mengakui kemungkinan bahwa GootLoader telah beralih ke operasi spionase dan eksfiltrasi. Untuk mencapai akses awal, seperti dalam kampanye GootLoader sebelumnya, pelaku ancaman menggunakan peracunan Search Engine Optimization (SEO) untuk memikat dan menginfeksi korban dengan malware GootLoader.

Dalam kampanye ini, cybercriminal mengkompromikan situs web WordPress yang sah (tetapi rentan) dan tanpa sepengetahuan pemilik situs web, menambahkan posting blog baru ke situs tersebut. Judul yang efektif untuk mengelabui karyawan firma hukum termasuk “perjanjian lisan antara pembeli dan penjual real estat dipertimbangkan” (Gambar 1) dan “perjanjian bersama asosiasi petugas pemadam kebakaran profesional.”

rekomendasi
GootLoader: Jangan percayai dokumen yang diposting di forum acak. Memiliki proses bagi karyawan untuk mengunduh dokumen hanya dari sumber tepercaya.

selengkaspnya : esentire

Resmi: Malware BlackLotus dapat mem-bypass Secure Boot pada Windows

by

BlackLotus, bootkit UEFI yang dijual di forum peretasan seharga sekitar $5.000, sekarang dapat mem-bypass Secure Boot, menjadikannya malware pertama yang diketahui berjalan di sistem Windows bahkan dengan fitur keamanan firmware diaktifkan.
Secure Boot seharusnya mencegah perangkat menjalankan perangkat lunak yang tidak sah pada mesin Microsoft. Tetapi dengan menargetkan UEFI, malware BlackLotus dimuat sebelum hal lain dalam proses booting, termasuk sistem operasi dan alat keamanan apa pun yang dapat menghentikannya.

Peneliti keamanan utama Kaspersky, pertama kali melihat BlackLotus dijual di pasar kejahatan siber pada Oktober 2022 dan spesialis keamanan telah membongkar bagian demi bagian sejak saat itu.

Malware terbaru mampu berjalan bahkan pada sistem Windows 11 yang sepenuhnya up-to-date dengan UEFI Secure Boot diaktifkan.

Eksploitasi proof-of-concept untuk kerentanan ini telah tersedia untuk umum sejak Agustus 2022, diperkirakan akan segera melihat lebih banyak penjahat dunia maya menggunakan masalah ini untuk tujuan terlarang.

BlackLotus dapat menonaktifkan beberapa alat keamanan OS termasuk BitLocker, Integritas Kode yang dilindungi Hypervisor (HVCI) dan Windows Defender, dan melewati Kontrol Akun Pengguna (UAC), menurut toko keamanan.

Secure Boot dengan menargetkan UEFI, malware BlackLotus dimuat sebelum hal lain dalam proses booting, termasuk sistem operasi dan alat keamanan apa pun yang dapat menghentikannya.

Setelah mengeksploitasi CVE-2022-21894 dan mematikan alat keamanan sistem, BlackLotus menyebarkan driver kernel dan pengunduh HTTP. Driver kernel melindungi file bootkit dari penghapusan, sedangkan pengunduh HTTP berkomunikasi dengan server perintah-dan-kontrol dan mengeksekusi muatan.

Selengkapnya: The Register

Aruba Networks Memperbaiki Enam Vulnerability Kritis di ArubaOS

by

Aruba Networks menerbitkan penasehat keamanan untuk memberi tahu pelanggan tentang enam kerentanan kritis-keparahan yang berdampak pada beberapa versi ArubaOS, sistem operasi jaringan miliknya.

Cacat tersebut memengaruhi Konduktor Mobilitas Aruba, Pengontrol Mobilitas Aruba, dan Gateway WLAN yang dikelola Aruba serta Gateway SD-WAN.

Aruba Networks adalah anak perusahaan Hewlett Packard Enterprise yang berbasis di California, yang berspesialisasi dalam jaringan komputer dan solusi konektivitas nirkabel.

Cacat kritis yang ditangani oleh Aruba kali ini dapat dipisahkan menjadi dua kategori: cacat injeksi perintah dan masalah buffer overflow berbasis stack di protokol PAPI (protokol manajemen titik akses Aruba Networks).

Semua kelemahan ditemukan oleh analis keamanan Erik de Jong, yang melaporkannya ke vendor melalui program bug bounty resmi.

Kerentanan injeksi perintah dilacak sebagai CVE-2023-22747, CVE-2023-22748, CVE-2023-22749, dan CVE-2023-22750, dengan peringkat CVSS v3 9,8 dari 10,0.

Penyerang jarak jauh yang tidak diautentikasi dapat memanfaatkannya dengan mengirimkan paket yang dibuat khusus ke PAPI melalui port UDP 8211, menghasilkan eksekusi kode arbitrer sebagai pengguna istimewa di ArubaOS.

Bug buffer overflow berbasis tumpukan dilacak sebagai CVE-2023-22751 dan CVE-2023-22752, dan juga memiliki peringkat CVSS v3 9,8.

Cacat ini dapat dieksploitasi dengan mengirimkan paket yang dibuat khusus ke PAPI melalui port UDP 8211, memungkinkan penyerang jarak jauh yang tidak diautentikasi untuk menjalankan kode arbitrer sebagai pengguna istimewa di ArubaOS.

versi yang terdampak :

  • ArubaOS 8.6.0.19 dan dibawahnya
  • ArubaOS 8.10.0.4 dan dibawahnya
  • ArubaOS 10.3.1.0 dan dibawahnya
  • SD-WAN 8.7.0.0-2.3.0.8 dan dibawahnya

Versi peningkatan target, menurut Aruba, harus:

  • ArubaOS 8.10.0.5 dan yang lebih baru
  • ArubaOS 8.11.0.0 dan yang lebih baru
  • ArubaOS 10.3.1.1 dan yang lebih baru
  • SD-WAN 8.7.0.0-2.3.0.9 dan yang lebih baru

Sayangnya, beberapa versi produk yang telah mencapai End of Life (EoL) juga terpengaruh oleh kerentanan ini dan tidak akan menerima pembaruan perbaikan. Ini adalah:

  • ArubaOS 6.5.4.x
  • ArubaOS 8.7.x.x
  • ArubaOS 8.8.x.x
  • ArubaOS 8.9.x.x
  • SD-WAN 8.6.0.4-2.2.x.x

Solusi untuk administrator sistem yang tidak dapat menerapkan pembaruan keamanan atau menggunakan perangkat EoL adalah dengan mengaktifkan mode “Enhanced PAPI Security” menggunakan kunci non-default.

Namun, penerapan mitigasi tidak mengatasi 15 kerentanan tingkat tinggi dan delapan kerentanan tingkat menengah lainnya yang tercantum dalam penasehat keamanan Aruba, yang diperbaiki oleh versi baru.

Aruba menyatakan tidak mengetahui adanya diskusi publik, mengeksploitasi kode, atau mengeksploitasi secara aktif kerentanan ini pada tanggal rilis penasehat, 28 Februari 2022.

sumber : bleepingcomputer