Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat

Threat

Bug Windows 10 dapat merusak hard drive Anda saat melihat ikon file ini

by

Zero-day yang belum ditambal di Microsoft Windows 10 memungkinkan penyerang merusak hard drive berformat NTFS dengan perintah satu baris.

Dalam beberapa pengujian oleh BleepingComputer, perintah satu baris ini dapat dikirimkan secara tersembunyi di dalam file shortcut Windows, arsip ZIP, file batch, atau berbagai vektor lainnya untuk memicu kesalahan hard drive yang merusak indeks sistem file secara instan.

Peneliti infosec Jonas L menarik perhatian mengenai adanya kerentanan NTFS yang memengaruhi Windows 10 yang belum diperbaiki.

Ketika dieksploitasi, kerentanan ini dapat dipicu oleh satu baris perintah untuk langsung merusak hard drive berformat NTFS, dengan Windows meminta pengguna untuk me-restart komputer mereka untuk memperbaiki record disk yang rusak.

Peneliti memberi tahu BleepingComputer bahwa cacat tersebut dapat dieksploitasi mulai sekitar Windows 10 build 1803, Pembaruan Windows 10 April 2018, dan terus berfungsi di versi terbaru.

Yang lebih buruk adalah, kerentanan ini dapat dipicu oleh akun pengguna standar dan dengan hak istimewa rendah pada sistem Windows 10.

Drive dapat rusak hanya dengan mencoba mengakses atribut $i30 NTFS pada folder dengan cara tertentu.

Tidak jelas mengapa mengakses atribut ini merusak drive, dan Jonas memberi tahu BleepingComputer bahwa kunci Registry yang akan membantu mendiagnosis masalah tidak berfungsi.

Satu temuan mencolok yang dibagikan oleh Jonas kepada BleepingComputer adalah bahwa file pintasan Windows buatan (.url) yang lokasi ikonnya disetel ke C:\:$i30:$ bitmap akan memicu kerentanan bahkan jika pengguna tidak pernah membuka file!

Segera setelah file pintasan ini diunduh pada PC Windows 10, dan pengguna melihat foldernya, Windows Explorer akan mencoba menampilkan ikon file.

Untuk melakukan ini, Windows Explorer akan mencoba mengakses jalur ikon yang dibuat di dalam file di latar belakang, sehingga merusak hard drive NTFS dalam prosesnya.

Video demonstrasi dan artikel lebih lengkapnya dapat diakses melalui tautan berikut:

Sumber: Bleeping Computer

Peringatan phishing: Ini adalah merek yang paling mungkin ditiru oleh penjahat, tetap waspada!

by

Peneliti keamanan siber di Check Point menganalisis email phishing yang dikirim selama tiga bulan terakhir dan menemukan bahwa 43% dari semua upaya phishing yang meniru merek mencoba menyamar sebagai pesan dari Microsoft.

Microsoft adalah daya tarik yang populer karena distribusi Office 365 yang luas di antara perusahaan. Dengan mencuri kredensial ini, penjahat berharap mendapatkan akses ke jaringan perusahaan.

Merek kedua yang paling sering ditiru selama periode analisis Check Point adalah DHL, dengan serangan yang meniru penyedia logistik terhitung 18% dari semua upaya phishing. DHL telah menjadi umpan phishing yang populer bagi para penjahat karena banyak orang sekarang terjebak di rumah karena pembatasan COVID-19 dan menerima lebih banyak paket – sehingga orang lebih cenderung lengah ketika melihat pesan yang mengaku dari perusahaan pengiriman.

Merek lain yang biasanya ditiru dalam email phishing termasuk LinkedIn, Amazon, Google, PayPal, dan Yahoo. Mengompromikan salah satu akun ini dapat memberi penjahat siber akses ke informasi pribadi yang sensitif yang dapat mereka eksploitasi.

“Penjahat meningkatkan upaya mereka pada Q4 2020 untuk mencuri data pribadi orang-orang dengan meniru merek terkemuka, dan data kami dengan jelas menunjukkan bagaimana mereka mengubah taktik phishing untuk meningkatkan peluang sukses mereka,” kata Maya Horowitz, direktur intelijen dan penelitian ancaman di Check Titik.

“Seperti biasa, kami mendorong pengguna untuk berhati-hati saat memberikan data pribadi dan kredensial ke aplikasi bisnis, dan berpikir dua kali sebelum membuka lampiran atau tautan email, terutama email yang mengklaim dari perusahaan, seperti Microsoft atau Google, yang kemungkinan besar akan ditiru,” tambahnya.

Sumber: ZDNet

Cacat Cisco Tingkat Keparahan Tinggi Ditemukan di Perangkat Lunak CMX Untuk Retail

by

Cacat yang sangat parah dalam solusi Wi-Fi pintar Cisco untuk pengecer dapat memungkinkan penyerang jarak jauh untuk mengubah kata sandi pengguna akun mana pun pada sistem yang terpengaruh.

Kerentanan tersebut merupakan bagian dari sejumlah tambalan yang dikeluarkan oleh Cisco yang menangani 67 CVE tingkat keparahan tinggi pada hari Rabu. Ini termasuk kekurangan yang ditemukan di AnyConnect Secure Mobility Client Cisco, serta router bisnis kecil Cisco RV110W, RV130, RV130W, dan RV215W.

Cacat paling serius menimpa Cisco Connected Mobile Experiences (CMX), solusi perangkat lunak yang digunakan pengecer untuk memberikan wawasan bisnis atau analitik pengalaman pelanggan di tempat. Solusinya menggunakan infrastruktur nirkabel Cisco untuk mengumpulkan harta karun data dari jaringan Wi-Fi pengecer, termasuk pelacakan lokasi pelanggan secara waktu nyata.

Misalnya, jika pelanggan terhubung ke jaringan Wi-Fi toko yang menggunakan CMX, pengecer dapat melacak lokasi mereka di dalam tempat tersebut, mengamati perilaku mereka, dan memberikan penawaran atau promosi khusus kepada mereka-saat mereka berada di sana.

Kerentanan (CVE-2021-1144) disebabkan oleh penanganan pemeriksaan otorisasi yang salah untuk mengubah sandi. Cacat tersebut menempati urutan 8.8 dari 10 pada skala kerentanan-keparahan CVSS, menjadikannya sangat parah. Catatan, untuk mengeksploitasi kekurangan tersebut, penyerang harus memiliki akun CMX yang diautentikasi – tetapi tidak memerlukan hak administratif.

Admin memiliki berbagai hak istimewa, termasuk kemampuan untuk menggunakan perintah File Transfer Protocol (FTP) untuk mencadangkan dan memulihkan data di Cisco CMX dan mendapatkan akses ke kredensial (untuk membuka kunci pengguna yang telah terkunci dari akun mereka).

Kerentanan ini memengaruhi rilis Cisco CMX 10.6.0, 10.6.1, dan 10.6.2; masalah telah diperbaiki di Cisco CMX rilis 10.6.3 dan yang lebih baru.

Cacat tingkat keparahan tinggi lainnya (CVE-2021-1237) ada di Cisco AnyConnect Secure Mobility Client untuk Windows. AnyConnect Secure Mobility Client, produk perangkat lunak titik akhir modular, menyediakan berbagai layanan keamanan (seperti akses jarak jauh, fitur keamanan web, dan perlindungan roaming) untuk titik akhir.

Dan, lima CVE lagi (CVE-2021-1146, CVE-2021-1147, CVE-2021-1148, CVE-2021-1149 dan CVE-2021-1150) di router Cisco Small Business RV110W, RV130, RV130W, dan RV215W dapat mengizinkan penyerang jarak jauh yang diautentikasi untuk memasukkan perintah arbitrer yang dijalankan dengan hak akses root.

sumber :ThreatPost

Bug Penting Plugin WordPress Ditemukan di ‘Orbit Fox’ Memungkinkan Pengambilalihan Situs

by

Dua kerentanan (satu kritis) dalam plugin WordPress yang disebut Orbit Fox dapat memungkinkan penyerang memasukkan kode berbahaya ke situs web yang rentan dan / atau mengendalikan situs web.

Orbit Fox adalah plugin WordPress multi-fitur yang bekerja dengan utilitas pembuat situs Elementor, Beaver Builder dan Gutenberg. Ini memungkinkan administrator situs menambahkan fitur seperti formulir pendaftaran dan widget. Plugin, dari pengembang bernama ThemeIsle, telah diinstal oleh 400.000+ situs.

Menurut para peneliti di Wordfence, cacat pertama (CVE sedang menunggu) adalah cacat eskalasi hak istimewa yang diautentikasi yang membawa skor keparahan bug CVSS 9,9, membuatnya kritis. Penyerang terautentikasi dengan akses level kontributor atau lebih tinggi dapat meningkatkan status mereka menjadi administrator dan berpotensi mengambil alih situs WordPress.

Sementara itu, bug kedua adalah masalah pembuatan skrip lintas situs (XSS) tersimpan yang diautentikasi yang memungkinkan penyerang dengan akses tingkat kontributor atau pengarang untuk memasukkan JavaScript ke dalam posting. Injeksi ini dapat digunakan untuk mengarahkan pengunjung ke situs malvertising atau membuat pengguna administratif baru, di antara tindakan lainnya. Itu dinilai 6,4 pada skala CVSS, menjadikannya tingkat keparahan sedang.

sumber : ThreatPost

Microsoft memperbaiki zero-day di Defender nya pada Januari 2021 Patch Tuesday

by

Microsoft telah mulai meluncurkan set patch keamanan bulanan yang dikenal di industri sebagai Patch Tuesday.

Dalam pembaruan bulan ini, perusahaan yang berbasis di Redmond tersebut telah menambal total 83 kerentanan di berbagai produk, termasuk sistem operasi Windows, produk berbasis cloud, alat pengembang, dan enterprise servers.

Tetapi dari semua bug yang ditambal, yang paling penting adalah kerentanan zero-day di antivirus Microsoft Defender, yang menurut Microsoft telah dieksploitasi sebelum patch ini dirilis.

Dilacak sebagai CVE-2021-1647, kerentanan ini dideskripsikan sebagai bug eksekusi kode jarak jauh (RCE) yang memungkinkan pelaku ancaman untuk mengeksekusi kode pada perangkat yang rentan dengan menipu pengguna agar membuka dokumen berbahaya pada sistem tempat Defender diinstal.

Microsoft mengatakan bahwa meskipun eksploitasi terdeteksi di alam liar, teknik ini tidak berfungsi di semua situasi, dan masih dianggap berada pada tingkat proof-of-concept.

Selain zero-day Defender, Microsoft juga telah memperbaiki cacat keamanan di layanan splwow64 Windows yang dapat disalahgunakan untuk meningkatkan hak istimewa kode penyerang.

Detail tentang bug ini, dilacak sebagai CVE-2021-1648, dipublikasikan bulan lalu, pada 15 Desember, oleh proyek Zero-Day Initiative dari Trend Micro.

Administrator sistem disarankan untuk meninjau kembali dan menerapkan tambalan hari ini sesegera mungkin.

Sumber: ZDNet

Malware Android ini mengklaim memberi peretas kendali penuh atas ponsel pintar Anda

by

Kombinasi baru dari dua jenis malware yang lebih lama, yang memberi peretas akses ke hampir semua yang dilakukan pengguna di smartphone Android, dijual di forum bawah tanah hanya dengan $29,99 – bahkan menyediakan kemampuan untuk penjahat siber tingkat rendah sekalipun untuk mencuri data pribadi yang sensitif.

Remote administration tool (RAT) ‘Rogue’ menginfeksi korban dengan keylogger, memungkinkan penyerang untuk dengan mudah memantau penggunaan situs web dan aplikasi untuk mencuri nama pengguna dan kata sandi, serta data keuangan.

Malware tersebut mengancam spionase skala penuh pada perangkat dengan memantau lokasi GPS target, mengambil tangkapan layar, menggunakan kamera untuk mengambil gambar, secara diam-diam merekam audio dari panggilan dan banyak lagi.

Rogue telah dirinci oleh para peneliti keamanan siber di Check Point, yang mengatakan itu bukan bentuk malware yang sepenuhnya baru, melainkan kombinasi dari dua keluarga Android RAT sebelumnya – Cosmos dan Hawkshaw – dan mendemonstrasikan evolusi pengembangan malware di dark web.

Agar peretas berhasil menginstal Rogue, mereka dapat memilih metode infeksi, baik dengan phishing, melalui aplikasi jahat atau yang lainnya.

Setelah terpasang, Rogue akan mendaftarkan dirinya sebagai administrator perangkat dan menyembunyikan ikonnya dari layar beranda. Jika pengguna mencoba untuk mencabut kredensial administrator ini, sebuah pesan menanyakan “Apakah Anda yakin untuk menghapus semua data?”, sesuatu yang dapat membuat takut banyak orang untuk mencoba menghapus instalasi, takut mereka akan menghapus seluruh perangkat mereka.

Sumber: ZDNet

Google mengungkapkan operasi peretasan Windows dan Android yang canggih

by

Sumber: Google Project Zero

Google telah menerbitkan laporan enam bagian yang merinci operasi peretasan canggih yang terdeteksi oleh perusahaan tersebut pada awal 2020 dan yang menargetkan pemilik perangkat Android dan Windows.

Serangan itu dilakukan melalui dua server exploit yang memberikan rantai eksploitasi yang berbeda melalui serangan watering hole, kata Google.

“Satu server menargetkan pengguna Windows, yang lainnya menargetkan Android,” Project Zero, salah satu tim keamanan Google, mengatakan dalam posting pertama dari enam posting blog.

Google mengatakan bahwa kedua server exploit menggunakan kerentanan Google Chrome untuk mendapatkan pijakan awal pada perangkat korban. Setelah titik masuk awal dibuat di browser pengguna, penyerang menyebarkan exploit tingkat OS untuk mendapatkan kontrol lebih besar atas perangkat korban.

Rantai eksploitasi mencakup kombinasi kerentanan zero-day dan n-day.

Empat zero-day, yang semuanya ditambal pada musim semi 2020, adalah sebagai berikut:

  • CVE-2020-6418 – Kerentanan Chrome di TurboFan (diperbaiki pada Februari 2020)
  • CVE-2020-0938 – Kerentanan Font di Windows (diperbaiki pada April 2020)
  • CVE-2020-1020 – Kerentanan Font di Windows (diperbaiki pada April 2020)
  • CVE-2020-1027 – Kerentanan CSRSS Windows (diperbaiki pada April 2020)

“Rantai eksploitasi ini dibuat dengan baik, kode yang kompleks dengan berbagai metode eksploitasi baru, logging yang matang, teknik pasca-eksploitasi yang canggih dan diperhitungkan, serta pemeriksaan anti-analisis dan penargetan dalam jumlah besar,” kata Google.

Sumber: ZDNet

Malware Mac menggunakan AppleScripts ‘run-only’ untuk menghindari analisis

by

Kampanye penambangan cryptocurrency yang menargetkan macOS menggunakan malware yang telah berevolusi menjadi varian kompleks yang memberi banyak masalah bagi para peneliti untuk menganalisisnya.

Malware ini dilacak sebagai OSAMiner dan telah berada di alam liar setidaknya sejak 2015. Namun, sulit untuk menganalisisnya karena payload diekspor sebagai file run-only AppleScript, yang membuat proses penguraiannya menjadi kode sumber menjadi sangat sulit.

Varian yang baru-baru ini diamati membuat analisis semakin sulit karena ia menyematkan run-only AppleScript ke dalam skrip lain dan menggunakan URL di halaman web publik untuk mengunduh penambang Monero yang sebenarnya.

OSAMiner biasanya menyebar melalui salinan game dan perangkat lunak bajakan, League of Legends dan Microsoft Office untuk macOS menjadi contoh yang lebih populer.

File AppleScript menyertakan sumber dan kode yang dikompilasi, tetapi mengaktifkan “run-only” hanya menyimpan versi yang dikompilasi sehingga kode yang dapat dibaca manusia tidak lagi tersedia, sehingga menghilangkan kemungkinan reverse engineering.

Pada akhir tahun 2020 peneliti keamanan di SentinelOne menemukan sampel baru OSAMiner yang memperumit “proses analisis yang sudah sulit”.

Namun, mereka dapat melakukan reverse engineering beberapa sampel yang mereka kumpulkan dengan menggunakan disassembler AppleScript yang kurang dikenal (Jinmo’s applescript-disassembler) dan alat dekompilasi yang dikembangkan secara internal yang disebut aevt_decompile.

Sumber: Bleeping Computer