Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat

Threat

Bug Pada Browser Seluler Membuat Pengguna Safari dan Opera Dapat Terinfeksi Malware

by

Serangkaian kerentanan spoofing address-bar yang memengaruhi sejumlah browser seluler membuka pintu bagi pengiriman malware, phishing, dan kampanye disinformasi.

Bug tersebut, dilaporkan oleh Rapid7 dan peneliti independen Rafay Baloch, memengaruhi enam browser, mulai dari yang umum (Apple Safari, Opera Touch/Mini, dan Yandex), hingga yang kurang umum (Bolt Browser, RITS Browser, dan UC Browser). Mereka memungkinkan penyerang menampilkan alamat palsu untuk halaman web – yang merupakan masalah di dunia seluler, di mana URL sering kali menjadi satu-satunya verifikasi keabsahan yang dimiliki pengguna sebelum menavigasi ke situs web.

“Browser seluler adalah jenis perangkat lunak yang cukup khusus yang akhirnya bertindak sebagai jalur ganda pengguna untuk semua jenis aplikasi penting dalam kehidupan sehari-hari mereka,” jelas direktur riset Rapid7 Tod Beardsley, dalam sebuah blog pada hari Selasa. Pada dasarnya, jika browser Anda memberi tahu Anda bahwa pemberitahuan pop-up atau halaman ‘dari’ bank Anda, atau beberapa layanan penting lainnya yang Anda andalkan, Anda benar-benar harus memiliki beberapa mekanisme untuk memvalidasi sumber itu. Di browser seluler, sumber itu dimulai dan diakhiri dengan URL seperti yang ditunjukkan di address bar.”

Karena kurangnya real estat untuk indikator keamanan di layar seluler, browser biasanya memblokir pengembang untuk mengubah apa pun di address bar. Apa yang ditampilkan di layar harus sesuai dengan tempat halaman sebenarnya dihosting, sehingga hampir tidak mungkin untuk memalsukan lokasi teks atau gambar secara meyakinkan. Namun, kelompok bug ini memungkinkan penyerang untuk menghindari perlindungan semacam itu.

“Bug ini memungkinkan penyerang untuk mengganggu waktu antara pemuatan halaman dan ketika browser mendapat kesempatan untuk menyegarkan address bar,” kata Baloch, dalam makalah teknis yang juga diposting pada hari Selasa.

“Mereka dapat menyebabkan pop-up tampak berasal dari situs web arbitrer atau dapat membuat konten di jendela browser yang secara keliru tampak berasal dari situs web arbitrer.”

Baloch merilis eksploitasi bukti konsep (PoC) yang mendemonstrasikan kerentanan spoofing berbasis browser di Safari untuk iOS dan Mac (CVE-2020-9987).

Berikut adalah daftar browser yang terpengaruh dan CVE yang ditetapkan:

Sumber: Threat Post

Berita selengkapnya:
Source: The Threat Post

Ryuk Ransomware Menggunakan Bug Zerologon untuk Serangan Secepat Kilat

by

Pelaku ancaman Ryuk telah menyerang lagi, beralih dari mengirim email phishing ke menyelesaikan enkripsi di seluruh jaringan korban hanya dalam lima jam.

Kecepatan sangat tinggi itu sebagian merupakan hasil dari kelompok yang menggunakan bug eskalasi hak istimewa Zerologon (CVE-2020-1472), kurang dari dua jam setelah phish awal, kata para peneliti.

Kerentanan Zerologon memungkinkan penyerang yang tidak diautentikasi dengan akses jaringan ke domain controller untuk sepenuhnya membahayakan semua layanan identitas Active Directory, menurut Microsoft. Itu telah diperbaiki pada bulan Agustus, tetapi banyak organisasi tetap rentan.

Dalam serangan khusus ini, setelah penyerang meningkatkan hak istimewanya menggunakan Zerologon, mereka menggunakan berbagai alat komoditas seperti Cobalt Strike, AdFind, WMI, dan PowerShell untuk mencapai tujuan mereka, menurut analisis dari para peneliti di Laporan DFIR.

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: The Threat Post

Microsoft sekarang menjadi brand yang paling banyak ditiru dalam serangan phishing

by

Sebuah posting blog hari Senin dari penyedia intelijen ancaman cyber, Check Point Research menemukan bahwa Microsoft adalah brand yang paling sering dipalsukan dalam upaya phishing selama kuartal ketiga.

Sekitar 19% dari semua upaya phishing brand di seluruh dunia mencoba menipu raksasa perangkat lunak tersebut pada kuartal ketiga, naik dari hanya 7% pada kuartal sebelumnya. Check Point mengaitkan kenaikan peringkat Microsoft dengan iklim kerja jarak jauh yang sedang berlangsung yang diharuskan karena COVID-19.

Sebagai satu contoh, Check Point menemukan kampanye email phishing berbahaya pada pertengahan Agustus di mana para penyerang mencoba untuk mendapatkan kredensial akun Microsoft. Strateginya adalah meyakinkan penerima untuk mengklik link berbahaya di email yang kemudian akan mengarahkan mereka ke halaman login Microsoft palsu.

Di belakang Microsoft, DHL adalah brand kedua yang paling banyak ditiru pada kuartal terakhir, muncul dalam 9% serangan phishing yang dilihat oleh Check Point. Google berada di posisi ketiga, diikuti oleh PayPal dan Netflix. Di urutan 10 teratas adalah Facebook, Apple, WhatsApp, Amazon, dan Instagram.

Untuk melindungi Anda dan organisasi Anda dari serangan Phishing, lakukan beberapa langkah di bawah ini;

  • Perhatikan pengirim dan link pada email sebelum membuka nya
  • Tidak mengunduh lampiran, apalagi dengan ekstensi yang mencurigakan
  • Melakukan pembaruan perangkat lunak secara reguler
  • Perhatikan indikator-indikator mencurigakan lainnya, seperti salam yang umum pada email/pesan teks
  • Laporkan kepada IT staff Anda ketika Anda menemukan hal mencurigakan, agar dapat ditindaklanjuti

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: Tech Republic

Cacat Keamanan di Aplikasi Desktop Discord Memungkinkan Peretas Mengambil Alih Sistem

by

Platform perpesanan instan dan VoIP populer, Discord, memiliki kerentanan di aplikasi desktopnya yang terbuka untuk serangan eksekusi kode jarak jauh (RCE). Pertama kali diungkapkan oleh pemburu bug bounty Masato Kinugawa, RCE dapat dieksploitasi untuk mengambil alih komputer korban.

Kinugawa pertama kali mendeteksi kerentanan beberapa bulan lalu dan melaporkannya melalui program bug bounty Discord. Dalam deskripsi detail di blognya, dia mengatakan kerentanan tersebut merupakan kombinasi dari beberapa bug – tidak ada contextIsolation, XSS di sematan iframe, dan bypass pembatasan navigasi.

Penyebab utama bug adalah Electron, kerangka kerja perangkat lunak sumber terbuka yang membantu dalam membuat aplikasi lintas platform menggunakan CSS, JavaScript, dan HTML. Aplikasi perpesanan desktop Discord bukan open source tetapi memiliki kode JavaScript yang digunakan Electron. Kode disimpan secara lokal.

Dia menambahkan bahwa ketika dia mencoba menemukan cara untuk mengeksekusi JavaScript di aplikasi Electron, dia menemukan cacat cross-site scripting (XSS) di iframe. Ini digunakan untuk menyematkan video yang dapat ditampilkan dalam obrolan atau halaman web.

Ketika peneliti memeriksa domain di iframe, dia menemukan Sketchfab yang memungkinkan tampilan konten 3D di halaman web. Meskipun Sketchfab dapat disematkan di iframe, ia menemukan kerentanan XSS berbasis DOM (Document Object Model) di halaman sematan yang dapat disalahgunakan.

Berikut adalah video dimana Masato Kinugawa, dengan menggabungkan tiga bug yang ia temukan, dapat mencapai RCE.

Malware baru ini menggunakan serangan overlay jarak jauh untuk membajak rekening bank Anda

by

Para peneliti telah menemukan bentuk baru sebuah malware menggunakan serangan overlay jarak jauh untuk menyerang pemegang rekening bank Brasil.

Varian malware baru, yang dijuluki Vizom oleh IBM, sedang digunakan dalam kampanye aktif di seluruh Brasil yang dirancang untuk menyusupi rekening bank melalui layanan keuangan online.

Pada hari Selasa, peneliti keamanan IBM Chen Nahman, Ofir Ozer, dan Limor Kessem mengatakan malware tersebut menggunakan taktik yang menarik untuk tetap tersembunyi dan membahayakan perangkat pengguna secara real-time – yaitu, teknik overlay jarak jauh dan pembajakan DLL.

Vizom menyebar melalui kampanye phishing berbasis spam dan menyamar sebagai perangkat lunak konferensi video populer, alat yang telah menjadi sangat penting keberadaanya untuk bisnis dan acara sosial karena pandemi virus corona.

Setelah malware mendarat di PC Windows yang rentan, Vizom pertama-tama akan menyerang direktori AppData untuk memulai rantai infeksi. Dengan memanfaatkan pembajakan DLL, malware akan mencoba memaksa pemuatan DLL berbahaya dengan menamai varian berbasis Delphi miliknya sendiri dengan nama yang diharapkan oleh perangkat lunak yang sah di direktori mereka.

Dengan membajak “logika inheren” sistem, IBM mengatakan sistem operasi tersebut tertipu untuk memuat malware Vizom sebagai child proses dari file konferensi video yang sah. DLL bernama Cmmlib.dll, file yang terkait dengan Zoom.

Sebuah dropper kemudian akan meluncurkan zTscoder.exe melalui command prompt dan muatan kedua, sebuah Remote Access Trojan (RAT), diekstrak dari server jarak jauh – dengan trik pembajakan yang sama dilakukan pada browser Internet Vivaldi.

Karena Vizom telah menerapkan kemampuan RAT, penyerang dapat mengambil alih sesi yang dikompromikan dan overlay konten untuk mengelabui korban agar mengirimkan akses dan kredensial akun untuk rekening bank mereka. Vizom juga dapat mengambil tangkapan layar melalui fungsi cetak dan kaca pembesar Windows.

Berita selengkapnya:
Source: ZDNet

Ancaman Peretasan Jarak Jauh Windows 10 Baru Dikonfirmasi — Perbarui Sekarang

by

Departemen Keamanan Dalam Negeri, Keamanan Siber, dan Badan Keamanan Infrastruktur (CISA) A.S. tidak asing lagi merekomendasikan agar pengguna Windows menerapkan pembaruan keamanan sebagai masalah yang mendesak.

Tepat satu bulan yang lalu, pada 18 September, CISA merilis Petunjuk Darurat langka yang memaksa pengguna Windows Server agen federal untuk memperbarui satu pembaruan tersebut dalam waktu tiga hari. Saat ini tidak ada persyaratan untuk dipatuhi, juga tidak ada bukti bahwa celah ini dieksploitasi di alam liar.

Tidak lama setelah peluncuran perbaikan keamanan Patch Tuesday bulanan, yang mencakup 87 kerentanan di mana 11 di antaranya dianggap kritis, Microsoft mengonfirmasi dua pembaruan keamanan out-of-band lainnya pada hari Kamis, 15 Oktober.

Meskipun dinilai “penting” daripada kritis oleh Microsoft, keduanya dapat memungkinkan penyerang untuk mengambil kendali sistem Windows Anda melalui eksploitasi eksekusi kode jarak jauh.

Satu, CVE-2020-17023, adalah kerentanan di editor Kode Visual Studio. Yang lainnya, CVE-2020-17022, menyangkut kerentanan eksekusi kode jarak jauh di Perpustakaan Codec Microsoft Windows, khususnya cara menangani objek di memori.

Perbaikan untuk kerentanan ini tidak datang melalui proses Pembaruan Windows biasa, seperti biasanya. Sebaliknya, itu disajikan secara otomatis oleh Microsoft Store. Dengan asumsi, pengguna memiliki pembaruan aplikasi Microsoft Store yang dikonfigurasi untuk memperbarui secara otomatis. Sangat disarankan untuk memeriksa pengaturan Microsoft Store Anda untuk memastikannya; dengan begitu, Anda akan mendapatkan perlindungan yang Anda butuhkan.

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: Forbes

Serangan DDoS Berukuran Tiga Kali Lipat karena Permintaan Tebusan Muncul Kembali

by

Kuartal terakhir tahun 2020 telah terjadi gelombang serangan aplikasi web yang telah menggunakan surat tebusan untuk menargetkan bisnis di sejumlah industri.

Menurut penelitian dari Akamai, serangan terbesar ini mengirimkan lebih dari 200 Gbps traffic ke target mereka sebagai bagian dari kampanye berkelanjutan Bits Per Second (BPS) dan Packets Per Second (PPS) yang lebih tinggi daripada serangan serupa yang ditampilkan beberapa minggu sebelumnya.

“Sebelum Agustus, vektor sinyal telah digunakan terutama untuk menargetkan industri game,” klaim perusahaan. “Mulai bulan Agustus, serangan ini tiba-tiba beralih ke organisasi keuangan.”

Akamai menjelaskan bahwa tidak ada vektor baru yang terlibat dalam rangkaian serangan ini, karena sebagian besar lalu lintas dihasilkan oleh reflektor dan sistem yang digunakan untuk memperkuat lalu lintas.

Namun, beberapa organisasi mulai menerima email yang ditargetkan dengan ancaman serangan DDoS, yang akan diluncurkan kecuali sejumlah uang tebusan telah dibayarkan.

Sementara Akamai mengatakan banyak email pemerasan yang akhirnya tertangkap oleh filter spam, tidak semua target bersedia mengakui bahwa mereka telah menerima email dari para penyerang.

Kampanye ini memuncak pada bulan Agustus dan September, “dan mencapai puncaknya, mungkin saat penyerang yakin bahwa mereka telah dimitigasi dan mulai mengubah taktik mereka.” Ini termasuk langkah untuk menggunakan serangan lapisan tiga dan empat, yang biasanya ditargetkan pada pusat data, situs web, dan API.

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: Info Security

FIN11: Grup peretasan dipromosikan menjadi elit kejahatan siber keuangan

by

Peneliti keamanan telah mengidentifikasi grup kejahatan siber keuangan baru yang sangat aktif.

Cakupan FIN11 sangat luas: targetnya mencakup universitas, lembaga pemerintah, dan organisasi di sektor utilitas, farmasi, serta pengiriman dan logistik, menurut laporan yang diterbitkan oleh perusahaan keamanan siber AS Mandiant.

Sebelumnya, pada 2017 dan 2018, grup fokus pada sektor keuangan, ritel, dan restoran.

Aktivitas yang terkait dengan FIN11 pertama kali terungkap pada tahun 2016, tetapi Mandiant sekarang telah ‘meluluskan’ aktor ancaman ke status ‘FIN’, grup ancaman keuangan pertama yang mendapatkan penunjukan dalam tiga tahun.

Salah satu alasan promosi grup tersebut adalah beralihnya ke pemerasan hibrida, “menggabungkan ransomware dengan pencurian data untuk menekan korbannya agar menyetujui tuntutan pemerasan”, dengan tuntutan tebusan mencapai hingga US $10 juta.

Grup tersebut menggunakan file Microsoft Office yang berbahaya untuk memberikan iming-iming keuangan konvensional termasuk ‘pesanan penjualan’, ‘laporan bank’, dan ‘faktur’, tetapi baru-baru ini mereka menargetkan perusahaan farmasi dengan iming-iming termasuk ‘laporan penelitian’ dan bahkan ‘kecelakaan laboratorium’. Dokumen tersebut mengirimkan pengunduh FRIENDSPEAK, yang pada gilirannya menyebarkan backdoor MIXLABEL.

Elliot Rose, kepala cybersecurity di PA Consulting, mengatakan penunjukan grup FIN baru melanjutkan tren yang sedang berkembang.

Kelompok ancaman FIN berbeda dari kelompok APT sejauh mereka biasanya lebih canggih dan menuntut tanggapan yang berbeda dari tim keamanan.

“Mereka cenderung menargetkan korban mereka melalui analisis media sosial dan spear phishing terkait, yang telah menyebabkan pelanggaran informasi yang serius, dan mereka mendaftar, melalui perusahaan palsu, yang tidak bersalah dalam bentuk pentester dan pengembang, untuk membantu mereka dalam aktivitas kriminal mereka.” jelas Rose.

Ini berarti bahwa “pendidikan karyawan memainkan peran kunci, di samping teknologi, dalam memerangi ancaman. Itu berarti memberi tahu mereka untuk sangat berhati-hati dengan apa yang mereka posting di media sosial atau untuk menghindari mengklik tautan di email atau mengungkapkan informasi kepada siapa pun bahwa mereka tidak sepenuhnya yakin siapa yang mereka katakan. Berpikir sebelum Anda mengeklik adalah pertahanan utama!”

Laporan tersebut dapat diakses melalui layanan intelijen ancaman Mandiant.

Berita selengkapnya:
Source: The Daily Swig