Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat

Threat

Masalah 212: Kendali jarak jauh kendaraan, Peretasan API untuk Tim QA, Panduan API Top 10

by

Kerentanan API kritis memungkinkan peneliti menunjukkan bukti serangan konsep yang memungkinkan pengambilalihan kendaraan jarak jauh.

Kerentanan: Kerentanan API Kritis Memungkinkan Kendali Jarak Jauh Kendaraan Hyundai dan Genesis
Penelitian Sam Curry tentang kerentanan API yang memengaruhi jajaran kendaraan Hyundai dan Genesis adalah membuat bukti konsep yang merinci eksploit dan menjelaskan langkah-langkahnya secara mendetail di utas Twitter.

Poin utamanya adalah jangan pernah mempercayai input pengguna, tetap gunakan ekspresi reguler yang terpercaya, dan segmentasikan kontrol akses pengguna.

Artikel: Tiga alasan tim QA harus mempelajari peretasan API
Kontributor reguler buletin Dana Epp (@DanaEpp), membagikan pemikirannya tentang nilai tim jaminan kualitas (QA) yang mempelajari dasar-dasar peretasan API dan menggunakan pola pikir ofensif.

Tiga alasan utama tim QA harus mengembangkan keterampilan tersebut, yaitu pengguna akan memberikan nilai lebih, menjadi penjahat mengubah pengguna menjadi pahlawan, dan keamanan adalah tanggung jawab semua orang.

Artikel: GitHub Mengungkapkan Versi API Generasi Berikutnya
Pembuatan versi API penting bagi keamanan API, karena memiliki sistem versi API formal berarti ada sedikit kemungkinan API bayangan atau zombie karena ada proses formal seputar tata kelola API. Namun, sistem versi yang lebih lancar seperti yang diadopsi oleh GitHub berarti kemungkinan akan ada lebih banyak versi API dalam produksi yang semuanya perlu dilacak dan dipantau untuk masalah keamanan.

Panduan: Panduan OWASP API Security Top 10
Langkah-langkah dari OWASP API Security Top 10 dari Grant Ongers (@rewtd) aplikasi API rentan vAPI, menggunakan vAPI yang berjalan di Docker dan mendemonstrasikan masing-masing dari 10 Teratas menggunakan Postman dan ZAP sebagai alat dasarnya.

Selengkapnya: APIsecurity.io

Peretas Mengeksploitasi Bug Kritis Cacti untuk Memasang Malware

by

Lebih dari 1.600 contoh alat pemantau perangkat Cacti yang dapat dijangkau melalui internet rentan terhadap masalah keamanan kritis yang sudah mulai dieksploitasi oleh peretas.

Cacti adalah solusi pemantauan manajemen operasional dan kesalahan untuk perangkat jaringan yang juga menyediakan visualisasi grafis. Ada ribuan instans yang diterapkan di seluruh dunia yang diekspos di web.

Penasihat keamanan memperingatkan tentang kerentanan injeksi perintah kritis yang dilacak sebagai CVE-2022-46169 dengan peringkat keparahan 9,8 dari 10, di Cacti yang dapat dieksploitasi tanpa autentikasi.

Selain merilis pembaruan yang memperbaiki kerentanan, pengembang juga memberikan saran untuk mencegah injeksi perintah dan bypass otorisasi.

Awalnya, eksploitasi memasang botnet, seperti malware Mirai. Eksploitasi lain yang diinstal adalah botnet IRC (berbasis PERL) yang membuka shell terbalik pada host dan menginstruksikannya untuk menjalankan pemindaian port. Serangan yang lebih baru hanya memeriksa kerentanan.

Data peneliti Shadowserver menunjukkan upaya eksploitasi untuk kerentanan CVE-2022-46169 di Cacti meningkat minggu lalu dan jumlah total saat ini berada di bawah dua lusin.

Dalam laporan dari platform Censys, perangkat yang terhubung ke Internet, ada 6.427 host Cacti yang terekspos di web. Namun, perusahaan dapat menghitung 1.637 host Cacti yang dapat dijangkau melalui web yang rentan terhadap CVE-2022-46169, banyak di antaranya menjalankan solusi pemantauan versi 1.1.38, yang dirilis pada April 2021.

Selengkapnya: BleepingComputer

Implan Linux Canggih Ditemukan Mengompromikan Perangkat Keamanan Jaringan Fortinet

by

Minggu ini, perusahaan merilis detail lebih lanjut tentang implan malware canggih yang disebarkan oleh penyerang melalui celah tersebut.

Kerentanan, dilacak sebagai CVE-2022-42475, berada dalam fungsionalitas SSL-VPN FortiOS dan dapat dieksploitasi oleh penyerang jarak jauh tanpa autentikasi.

Fortinet memberi peringkat kerentanan 9,3 (Kritis) pada skala CVSS dan merilis pembaruan untuk varian utama FortiOS, FortiOS-6K7K, dan FortiProxy, produk gerbang web aman perusahaan.

Analis tidak dapat memulihkan semua file dari alat yang disusupi yang mereka analisis, sehingga rantai serangan penuh tidak diketahui. Namun, mereka menemukan file bernama wxd.conf yang isinya mirip dengan file konfigurasi untuk reverse proxy open-source yang dapat digunakan untuk mengekspos sistem di belakang NAT ke internet.

Analisis penangkapan paket jaringan dari alat menyarankan malware menghubungkan dua server eksternal yang dikendalikan penyerang untuk mengunduh muatan tambahan dan perintah untuk dieksekusi.

Fortinet juga telah merilis tanda tangan IPS (sistem pencegahan intrusi) untuk mendeteksi upaya eksploit, serta aturan deteksi untuk implan yang dikenal di mesin antivirusnya.

sumber : paulponraj

Hal-hal Buruk Datang dalam Paket Besar: Bypass Verifikasi Tanda Tangan .pkg di MacOS

by

Kerentanan (CVE-2022-42841) yang dapat digunakan untuk memodifikasi paket penginstal yang ditandatangani tanpa membatalkan tanda tangannya. Kerentanan ini dapat disalahgunakan untuk mem-bypass Gatekeeper, SIP dan dalam kondisi tertentu meningkatkan hak istimewa ke root.

Kerentanan
Untuk paket yang ditandatangani, hash TOC perlu digunakan untuk dua pemeriksaan berbeda:

  • Hash TOC yang dihitung harus sama dengan hash TOC yang disimpan di heap.
  • Tanda tangan dan sertifikat harus sesuai dengan hash TOC.

Ini diterapkan di lokasi berikut dalam kode sumber xar.

Di sini, TOC yang dihitung dibandingkan dengan nilai yang disimpan di heap.

https://github.com/apple-oss-distributions/xar/blob/f67a3a8c43fdd35021fd3d1562b62d2da32b4f4b/xar/lib/archive.c#L391-L484

Ini pertama mengambil atribut atribut checksum dari dokumen XML sebagai nilai const char *. Kemudian, strtoull mengubahnya menjadi bilangan bulat 64-bit yang tidak ditandatangani dan disimpan dalam variabel offset.

Untuk mendapatkan hash TOC untuk memvalidasi tanda tangan, sedikit kode serupa digunakan:
https://github.com/Apple-oss-distributions/xar/blob/f67a3a8c43fdd35021fd3d1562b62d2da32b4f4b/xar/lib/signature.c#L244-L276

Perhatikan di sini perbedaan kecil tapi sangat penting: sementara perbandingan pertama menyimpan offset dalam offset uint64_t (integer unsigned 64-bit), di sini ia menggunakan offset uint32_t (integer unsigned 32-bit). Perbedaan ini berarti bahwa jika offset berada di luar rentang yang dapat disimpan dalam nilai 32-bit, kedua pemeriksaan tersebut dapat menggunakan offset heap yang berbeda.

Dengan demikian, dimungkinkan untuk memodifikasi file xar tanpa membatalkan tanda tangannya sebagai berikut:

  • Ambil file xar yang ditandatangani dengan benar dan parsing TOC.
  • Ubah nilai offset checksum menjadi 4294967296 (dan buat perubahan lain yang Anda inginkan pada file yang disertakan, seperti menambahkan skrip prainstal berbahaya atau mengganti skrip pemeriksaan instalasi).
  • Tulis TOC yang dimodifikasi kembali ke file dan hitung hash TOC baru.
  • Tambahkan padding hingga heap berukuran tepat 4294967296 byte (4 GiB).
  • Tempatkan hash TOC baru di heap offset 4294967296, biarkan hash TOC asli di heap offset 0.

    • Perbaikan
    Ini diperbaiki oleh Apple dengan perbaikan 2 karakter: mengubah uint32_t menjadi uint64_t di macOS 13.1.

    selengkapnya : sector7

AMD Diam-diam Mencantumkan 31 Kerentanan CPU Baru, Mengeluarkan Panduan Patch

by

AMD diam-diam membocorkan 31 kerentanan CPU baru dalam pembaruan januari, mencakup chip Ryzen untuk konsumen dan prosesor pusat data EPYC. Pembaruan kerentananjugamenyertakan daftar versi AGESA, dengan mitigasi untuk prosesor yang terperngaruh. AMD mengungkapkan kerentanan dalam pengungkapan terkoordinasi dengan beberapa peneliti, termasuk tim dari google, Apple dan Oracle.

Seperti yang sering kita lihat pada sistem lama, beberapa mungkin tidak diperbarui. Tampaknya jua beberapa model yang terkena dampak belum memliki mitigasi.

Kerentanan mencakup tiga varian baru untuk PC desktop Ryzen yang ditujukan untuk konsumen, HEDT, Pro, dan prosesor seluler.

kerentanan mencakup chip desktop Pinnacle Ridge seri 2000 Ryzen, bersama dengan produk APU seri 2000 dan 5000 yang hadir dengan grafik terintegrasi (Raven Ridge, Cezanne).

AMD juga telah mendaftarkan 28 kerentanan untuk prosesor EPYC-nya, empat diantaranya sangat parah. Tiga dari varian tingkat keparahan tinggi memungkinkan eksekusi kode arbitrer melalui berbagai vektor serangan, sementara satu varian memungkinkan penulisan data ke wilayah tertentu yang dapat menyebabkan hilangnya integritas dan ketersediaan data. Para peneliti juga menemukan 15 kerentanan lain dengan tingkat keparahan sedang dan sembilan vulnerabilitas tingkat rendah

AMD juga telah mendaftarkan 28 kerentanan untuk prosesor EPYC-nya, empat di antaranya sangat parah. Tiga dari varian tingkat keparahan tinggi memungkinkan eksekusi kode arbitrer melalui berbagai vektor serangan, sementara satu varian memungkinkan penulisan data ke wilayah tertentu yang dapat menyebabkan hilangnya integritas dan ketersediaan data. Para peneliti juga menemukan 15 kerentanan lain dengan tingkat keparahan sedang dan sembilan

Chip AMD telah lama dikenal memiliki kerentanan yang diketahui lebih sedikit daripada model intel.

Keberhasilan AMD baru-baru ini dalam merebut pangsa pasar dari Intel, terutama di pasar pusat data yang berfokus pada keamanan, akan membuat para peneliti lebih mengalihkan pandangan mereka ke arsitektur AMD untuk mencari potensi celah keamanan. AMD juga memiliki beberapa pengungkapan kerentanan baru lainnya di masa lalu.

sumber: tomshardware

Malware IcedID Menyerang Lagi: Domain Direktori Aktif Tersusupi dalam Waktu Kurang dari 24 Jam

by

Serangan malware IcedID baru baru ini memungkinkan pelaku ancaman untuk mengkompromikan domain Active Directory dari target yang tidak disebutkan namanya kurang dari 24jam setelah mendapatkan akses awal.

IcedID, juga dikenal dengan nama BokBOt memulai hidupnya sebagai trojan perbankan pada a=tahu 2017 sebelum berkemban menjadi dropper untuk malware lainnya, bergabung dengen Emotet, TrickBot, Qakbot, Bumblebee, dan Raspberry Robin.

Serangan yang melibatkan pengiriman IcedID telah memanfaatkan berbagai metode, terutama setelah keputusan Microsoft untuk memblokir makro dari Office yang diunduh

Malware kemudian membangun kegigihan pada host melalui tugas terjadwal dan berkomunikasi dengan server jarak jauh untuk mengunduh muatan tambahan, termasuk Cobalt Strike Beacon untuk kegiatan pengintaian lanjutan.

Itu juga melakukan gerakan lateral di seluruh jaringan dan mengeksekusi Cobalt Strike Beacon yang sama di semua workstation tersebut, dan kemudian mulai menginstal agen Atera, alat administrasi jarak jauh yang sah, sebagai mekanisme akses jarak jauh yang berlebihan.

Cobalt Strike Beacon selanjutnya digunakan sebagai saluran untuk mengunduh alat C# yang dijuluki Rubeus untuk pencurian kredensial, yang pada akhirnya memungkinkan pelaku ancaman untuk berpindah secara lateral ke Server Windows dengan hak admin domain.

Izin yang ditingkatkan kemudian dipersenjatai untuk melakukan serangan DCSync, memungkinkan musuh untuk mensimulasikan perilaku pengontrol domain (DC) dan mengambil kredensial dari pengontrol domain lainnya.

Temuan ini muncul saat para peneliti dari Team Cymru menjelaskan lebih lanjut tentang protokol BackConnect (BC) yang digunakan oleh IcedID untuk memberikan fungsionalitas tambahan pasca kompromi, termasuk modul VNC yang menyediakan saluran akses jarak jauh.

Perkembangan tersebut juga mengikuti laporan dari Proofpoint pada November 2022 bahwa kebangkitan aktivitas Emotet telah dikaitkan dengan distribusi versi baru IcedID.

sumber : thehackernews

Messenger ditagih Lebih Baik Daripada Signal Penuh Dengan Kerentanan

by

Peneliti akademik telah menemukan kerentanan serius di inti Threema, pengirim pesan instan yang menurut pengembangnya yang berbasis di Swiss memberikan tingkat keamanan dan privasi yang tidak dapat ditawarkan oleh layanan obrolan lain. Terlepas dari klaim yang luar biasa kuat dan dua audit keamanan independen yang telah diterima Threema, para peneliti mengatakan bahwa kelemahan tersebut benar-benar merusak jaminan kerahasiaan dan otentikasi yang merupakan landasan dari setiap program yang dijual sebagai penyedia enkripsi ujung-ke-ujung, biasanya disingkat E2EE.

Threema memiliki lebih dari 10 juta pengguna, termasuk pemerintah Swiss, tentara Swiss, Kanselir Jerman Olaf Scholz, dan politisi lain di negara tersebut. Pengembang Threema mengiklankannya sebagai alternatif yang lebih aman untuk messenger WhatsApp Meta. Ini adalah salah satu aplikasi Android teratas untuk kategori berbayar di Swiss, Jerman, Austria, Kanada, dan Australia. Aplikasi ini menggunakan protokol enkripsi yang dirancang khusus yang bertentangan dengan norma kriptografi yang ditetapkan.

Tujuh kelemahan yang mematikan
Para peneliti dari universitas riset ETH yang berbasis di Zurich melaporkan pada hari Senin bahwa mereka menemukan tujuh kerentanan di Threema yang secara serius mempertanyakan tingkat keamanan sebenarnya yang ditawarkan aplikasi tersebut selama bertahun-tahun. Dua dari kerentanan tidak memerlukan akses khusus ke server atau aplikasi Threema untuk menyamar sebagai pengguna secara kriptografis. Tiga kerentanan membutuhkan penyerang untuk mendapatkan akses ke server Threema. Dua sisanya dapat dieksploitasi saat penyerang mendapatkan akses ke ponsel yang tidak terkunci, seperti di perbatasan.

Tujuh kerentanan yang ditemukan para peneliti meliputi:
1. Aktor eksternal tanpa akses khusus

  • Jika kunci sesaat terungkap sekali pun, penyerang dapat secara permanen menyamar sebagai klien ke server dan kemudian mendapatkan semua metadata di semua pesan E2EE.
  • Cacat dalam cara protokol klien-ke-server (C2S) Threema berinteraksi dengan protokol end-to-end (E2E) yang menyebabkan pengguna membuat nilai Threema khusus yang dikenal sebagai kotak jaminan dan mengirimkannya ke penyerang.

selengkapnya : arstechnica

Peretas Menyerang Situs Web Bank Sentral Denmark, Bank Lain

by

Situs web bank sentral dan Bankdata, sebuah perusahaan yang mengembangkan solusi TI untuk industri keuangan, terkena apa yang disebut penolakan layanan terdistribusi (DDoS), yang mengarahkan lalu lintas ke server yang ditargetkan dalam upaya untuk membuatnya offline.

Seorang juru bicara bank sentral mengatakan situs webnya berfungsi normal pada Selasa sore dan serangan itu tidak memengaruhi sistem bank lain atau operasi sehari-hari.
Peretas Menyerang Situs Web Bank Sentral Denmark, Bank Lain
Peretas telah mengganggu akses ke situs web bank sentral Denmark dan tujuh bank swasta di negara itu minggu ini, menurut bank sentral dan perusahaan IT yang melayani industri tersebut.

Situs web bank sentral dan Bankdata, perusahaan yang mengembangkan solusi IT untuk industri keuangan, terkena penolakan layanan terdistribusi atau DDoS, yang mengarahkan lalu lintas ke server yang ditargetkan dalam upaya untuk membuatnya offline.

Meskipun serangan itu tidak mempengaruhi sistem bank lain atau operasi sehari-hari, akses ke situs web tujuh bank swasta sempat dibatasi pada hari Selasa setelah serangan DDoS terhadap Bankdata.

Bank-bank itu termasuk dua bank terbesar di Denmark, Jyske Bank (JYSK.CO) dan Sydbank (SYDB.CO).

Selengkapnya: REUTERS