Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat

Threat

Microsoft Februari 2021 Patch Tuesday memperbaiki 56 bug, termasuk Windows zero-day

by

Microsoft telah merilis pembaruan keamanan bulanan, yang dikenal sebagai Patch Tuesday. Bulan ini, pembuat OS telah memperbaiki 56 kerentanan keamanan, termasuk bug Windows yang dieksploitasi di alam liar sebelum patch hari ini.

Dilacak sebagai CVE-2021-1732, Windows zero-day adalah peningkatan bug hak istimewa di Win32k, komponen inti dari sistem operasi Windows.

Bug itu dieksploitasi setelah penyerang memperoleh akses ke sistem Windows untuk mendapatkan akses level SISTEM.

Menurut laporan dari perusahaan keamanan China DBAPPSecurity, zero-day tersebut digunakan oleh aktor ancaman tingkat lanjut yang dikenal sebagai Bitter, dengan sejarah panjang serangan yang menargetkan organisasi dan pengguna Pakistan dan China.

DBAPPSecurity mengatakan exploit zero-day yang awalnya mereka deteksi telah dikompilasi pada Mei 2020 dan dirancang untuk menargetkan sistem operasi Windows10 1909 64-bit, tetapi tes selanjutnya mengungkapkan bahwa bug juga memengaruhi Windows10 20H2 64-bitsOS terbaru juga.

Secara total, enam bug produk Microsoft telah diposting detailnya secara online sebelum patch hari ini. Ini termasuk:

  • CVE-2021-1721 – .NET Core and Visual Studio Denial of Service Vulnerability
  • CVE-2021-1733 – Sysinternals PsExec Elevation of Privilege Vulnerability
  • CVE-2021-26701 – .NET Core Remote Code Execution Vulnerability
  • CVE-2021-1727 – Windows Installer Elevation of Privilege Vulnerability
  • CVE-2021-24098 – Windows Console Driver Denial of Service Vulnerability
  • CVE-2021-24106 – Windows DirectX Information Disclosure Vulnerability

Bulan ini, Microsoft juga telah merilis perbaikan untuk tiga kerentanan di TCP/IP stack Windows, yang memungkinkan sistem operasi untuk terhubung ke internet.

Dua dari bug ini (CVE-2021-24074, CVE-2021-24094) menerapkan perbaikan untuk kerentanan eksekusi kode jarak jauh yang dapat memungkinkan penyerang untuk mengambil alih sistem Windows dari jarak jauh.

Selengkapnya: ZDNet

Bahaya Tersembunyi dari Power Automate dan eDiscovery Tools Microsoft 365

by

Ketika organisasi semakin merangkul lingkungan cloud hybrid, para aktor siber mengambil keuntungan dengan menggunakan akses istimewa dan aplikasi yang sah untuk melakukan serangan dan melakukan tindakan jahat.

Dengan tenaga kerja yang semakin tersebar dan adopsi cepat aplikasi berbasis cloud untuk mengakomodasi pekerja jarak jauh, Microsoft Office 365, sekarang disebut Microsoft 365, telah menjadi salah satu alat kolaborasi dan produktivitas yang paling kuat dan banyak digunakan di dunia, dengan lebih dari 250 juta pengguna.

Namun, Microsoft 365 terus menjadi salah satu lingkungan yang paling menantang dan kompleks untuk dipantau dan dikontrol, meskipun adopsi otentikasi multifaktor (MFA) dan kontrol keamanan lainnya ditingkatkan.

Power Automate dan eDiscovery Compliance Search, alat aplikasi yang disematkan di Microsoft 365, telah muncul sebagai target berharga bagi penyerang. Studi Vectra mengungkapkan bahwa 71% akun yang dipantau telah memperhatikan aktivitas mencurigakan menggunakan Power Automate, dan 56% akun mengungkapkan perilaku mencurigakan yang serupa menggunakan alat eDiscovery.

Di bawah ini adalah data yang ditampilkan dari waktu ke waktu dan relatif terhadap penerapan total Microsoft 365.

Sumber: Vectra AI

Penggunaan jahat Power Automate baru-baru ini menjadi yang terdepan ketika Microsoft mengumumkan menemukan pelaku ancaman tingkat lanjut dalam organisasi multinasional besar yang menggunakan alat tersebut untuk mengotomatiskan eksfiltrasi data. Insiden ini tidak terdeteksi selama lebih dari 200 hari.

Yang tidak kalah penting adalah eDiscovery Compliance Search, yang merupakan alat penemuan elektronik yang memungkinkan pengguna mencari informasi di semua konten dan aplikasi Microsoft 365 menggunakan satu perintah sederhana. Penyerang dapat menggunakan eDiscovery sebagai alat eksfiltrasi data. Misalnya, pencarian sederhana untuk “kata sandi” akan memunculkan hasil dari Microsoft Outlook, Teams, SharePoint, OneDrive, dan OneNote.

Power Automate dan eDiscovery secara aktif digunakan bersama di seluruh siklus hidup serangan. Setelah pelaku ancaman mendapatkan akses menggunakan Power Automate dan eDiscovery, mereka dapat mengonfigurasi ulang pengaturan email, membahayakan penyimpanan file SharePoint dan OneDrive, serta menyiapkan kemampuan pengintaian dan eksfiltrasi persisten dalam hitungan menit.

Selengkapnya: Dark Reading

App Store Apple menghosting penipuan jutaan dolar, kata pengembang iOS ini

by

Pengembang aplikasi seluler Kosta Eleftheriou memiliki panggilan baru yang melampaui pengembangan perangkat lunak: mengambil apa yang dilihatnya sebagai masalah penipuan yang merajalela yang merusak integritas App Store Apple.

Eleftheriou, yang membuat aplikasi papan ketik Apple Watch FlickType yang sukses, selama dua minggu terakhir secara terbuka mengkritik Apple karena lemahnya penegakan aturan App Store yang memungkinkan aplikasi scam, serta aplikasi yang mengkloning perangkat lunak populer dari pengembang lain, untuk berjalan merajalela.

Keluhan vokalnya, yang telah menarik perhatian dan dukungan dari banyak pengembang aplikasi lain di komunitas iOS, menggarisbawahi meningkatnya ketegangan antara Apple dan pembuat perangkat lunak yang menjadi sandarannya.

Eleftheriou pertama kali merinci pengalaman pribadinya dengan penipuan App Store akhir bulan lalu di utas Twitter, di mana dia menjelaskan bagaimana aplikasinya FlickType disalin dengan jahat oleh banyak pengembang yang membangun versi perangkat lunak yang tidak berfungsi dan mengenakan biaya berlangganan yang mengerikan, hanya lolos dengan itu karena ulasan App Store yang kuat dan peringkat bintang lima tinggi yang dia klaim palsu.

Eleftheriou mengatakan pesaing utamanya, aplikasi penipuan bernama KeyWatch, menagih pengguna $8 per minggu dan mengumpulkan lebih dari $2 juta setahun, menurut analitik dari Appfigures, meskipun aplikasinya tidak berfungsi dengan baik. Dia mengatakan KeyWatch bahkan mengiklankan perangkat lunaknya menggunakan video promosinya – dengan namanya yang masih terpasang.

Apple belum menanggapi secara terbuka klaim Eleftheriou, meskipun perusahaan telah menghapus KeyWatch dan beberapa aplikasi penipuan lainnya yang dia perhatikan selama seminggu terakhir.

Selengkapnya: The Verge

Serangan ransomware menargetkan perusahaan IT Ness di Israel, AS, India

by

Serangan ransomware telah menargetkan perusahaan Ness Digital Engineering yang beroperasi di Israel, AS, dan India, menurut konsultan keamanan siber Einat Meyron.

Rincian serangan siber masih belum jelas, tetapi laporan awal menunjukkan bahwa serangan itu mungkin telah dimulai di Israel dan kemudian menyebar ke cabang Ness lainnya di seluruh dunia.

Shachar Efal, CEO Ness Technologies, mengatakan kepada Ynet bahwa semua sistem mereka telah diuji dan tidak ada gangguan ke dalam perusahaan atau pelanggannya, termasuk ratusan pelanggan di Israel.

Menurut Direktorat Siber Nasional, insiden itu tidak ada hubungannya dengan Israel.

Menurut Meyron, lebih dari 150 server di Israel dan sekitar 1.000 server di luar Israel sedang dipindai oleh McAfee sehubungan dengan serangan itu. Manajer perusahaan cabang India dilaporkan telah mulai mengelola insiden tersebut dan telah melibatkan perusahaan asuransi mereka, AIG.

Tangkapan layar dari pesan yang ditampilkan sebagai bagian dari serangan tersebut berbunyi “Halo ness-digital-engineering! Jika Anda membaca pesan ini, artinya jaringan Anda DITETRASI dan semua file serta data Anda telah DIENKRIPSI oleh RAGNAR LOCKER!” Pesan tersebut menginstruksikan perusahaan untuk menghubungi obrolan langsung yang disediakan dalam pesan untuk menyelesaikan kasus dan “membuat kesepakatan.”

Selengkapnya: Jpost

Bagaimana serangan phishing yang berhasil dapat merugikan organisasi Anda

by

Serangan phishing tampak seperti taktik yang relatif sederhana di pihak penjahat siber. Namun, di sisi penerima, kampanye phishing yang berhasil dapat merusak organisasi dengan lebih dari satu cara.

Sebuah laporan yang dirilis pada hari Minggu oleh penyedia keamanan Proofpoint melihat dampak serangan phishing dan menawarkan tip tentang cara melawannya.

Tahun 2020 terlihat sedikit peningkatan serangan phishing di antara pelanggan Proofpoint. Sekitar 57% mengatakan organisasi mereka terkena serangan yang sukses tahun lalu, naik dari 55% pada 2019. Lebih dari 75% responden mengatakan mereka menghadapi serangan phishing berbasis luas – baik yang berhasil maupun yang tidak – pada tahun 2020.

Serangan phishing yang berhasil dapat memengaruhi organisasi dalam beberapa cara. Kehilangan data adalah efek samping terbesar, dikutip oleh rata-rata 60% di antara mereka yang disurvei.

Akun atau kredensial yang disusupi adalah pengaruh terbesar kedua, yang disebutkan oleh 52% responden. Hasil tambahan dari serangan phishing termasuk infeksi ransomware sebanyak 47%, infeksi malware lainnya sebesar 29%, dan kerugian finansial atau penipuan transfer bank sebesar 18%.

Untuk membantu organisasi dan karyawan Anda menggagalkan kampanye phishing, Proofpoint menawarkan berbagai saran yang dapat Anda lihat disini.

Sumber: Tech Republic

Microsoft akan memperingatkan pengguna Office 365 tentang aktivitas peretasan negara bangsa

by

Microsoft akan segera memberi tahu Office 365 tentang dugaan aktivitas peretasan negara-bangsa yang terdeteksi pada pelanggan mereka sesuai dengan daftar baru di roadmap Microsoft 365 perusahaan.

Pemberitahuan ini akan ditambahkan ke portal keamanan pelanggan untuk memberi mereka permulaan tentang apa yang dianggap Redmond sebagai grup peretasan paling canggih yang saat ini dilacaknya.

Peringatan terkait aktivitas peretasan dengan potensi sidik jari negara-bangsa akan didasarkan pada indikator profil ancaman dan kompromi yang dikumpulkan dan disatukan oleh pakar keamanan Microsoft.

Dukungan untuk fitur “Potential Nation State Activity Alerts” sedang dalam pengembangan dan Microsoft berencana untuk membuatnya tersedia secara umum di seluruh dunia bulan ini di semua lingkungan, untuk semua pengguna Microsoft Defender untuk Office 365 (Office 365 Advanced Threat Protection).

Fitur baru Office 365 ini memungkinkan pelanggan menguji perlindungan email Microsoft Defender tanpa harus mengkonfigurasi lingkungan dan perangkat mereka juga telah ditambahkan ke Office 365 baru-baru ini.

Sumber: Bleeping Computer

Fortinet telah memperbaiki kerentanan kritis di SSL VPN dan firewall web

by

Fortinet telah memperbaiki beberapa kerentanan parah yang memengaruhi produknya.

Kerentanan berkisar dari Remote Code Execution (RCE) hingga SQL Injection, hingga Denial of Service (DoS) dan berdampak pada produk FortiProxy SSL VPN dan FortiWeb Web Application Firewall (WAF).

Berbagai advisory yang diterbitkan oleh FortiGuard Labs bulan ini dan pada Januari 2021 menyebutkan berbagai kerentanan kritis yang telah ditambal oleh Fortinet pada produk mereka.

Catatan khusus adalah kerentanan CVE-2018-13381 di FortiProxy SSL VPN yang dapat dipicu oleh aktor jarak jauh yang tidak diautentikasi melalui permintaan POST yang dibuat.

Karena buffer overflow di portal SSL VPN FortiProxy, permintaan POST berukuran besar yang dibuat secara khusus, saat diterima oleh produk dapat membuat crash, yang mengarah ke kondisi Denial of Service (DoS).

Demikian pula, CVE-2018-13383 menarik karena penyerang dapat menyalahgunakannya untuk memicu luapan di VPN melalui properti konten HREF JavaScript.

Jika laman web buatan penyerang yang berisi muatan JavaScript diurai oleh FortiProxy SSL VPN, eksekusi kode jarak jauh sangat memungkinkan, sebagai tambahan DoS.

Kerentanan di FortiWeb Web Application Firewall ditemukan dan dilaporkan secara bertanggung jawab oleh peneliti Andrey Medov di Positive Technologies.

“Yang paling berbahaya dari keempat kerentanan ini adalah SQL Injection (CVE-2020-29015) dan Buffer Overflow (CVE-2020-29016) karena eksploitasi mereka tidak memerlukan otorisasi.”

Selengkapnya: Bleeping Computer

Ziggy ransomware menutup bisnis mereka dan melepaskan kunci dekripsi korban

by

Operasi ransomware Ziggy telah ditutup dan merilis kunci dekripsi korban setelah kekhawatiran tentang aktivitas penegakan hukum baru-baru ini dan rasa bersalah karena mengenkripsi korban.

Selama akhir pekan, peneliti keamanan M. Shahpasandi mengatakan kepada BleepingComputer bahwa admin Ziggy Ransomware mengumumkan di Telegram bahwa mereka menutup operasi mereka dan akan melepaskan semua kunci dekripsi.

Sumber: BleepingComputer

Kemarin, admin ransomware Ziggy memposting file SQL yang berisi 922 kunci dekripsi untuk korban yang dienkripsi. Untuk setiap korban, file SQL mencantumkan tiga kunci yang diperlukan untuk mendekripsi file terenkripsi mereka.

Sumber: BleepingComputer

Admin ransomware juga memposting decryptor [VirusTotal] yang dapat digunakan korban dengan kunci yang tercantum dalam file SQL.

Admin ransomware juga membagikan file ini dengan pakar ransomware Michael Gillespie yang memberi tahu BleepingComputer bahwa Emsisoft akan segera merilis decryptor.

Sumber: Bleeping Computer