Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat / Vulnerability

Vulnerability

‘Vulnerabilities’ Ditemukan di Sebagian Besar Pengontrol Industri

by

Tiga perempat perangkat yang menjaga fasilitas seperti instalasi pengelolahan air dan listrik tetap aman dan beroperasi memiliki kerentanan keamanan siber yang parah dan belum diperbaiki.

Ini adalah poin data terbaru tentang ancaman yang, ketika memanfaatkannya, dapat menyebabkan banyak malapetaka:

  • The Student worm memusnahkan sekitar seperlima sentrifugal nuklir Iran lebih dari satu dekade lalu dengan menargetkan pengontrol industri.
  • Industroyer malware menyerang sistem kontrol industri pada tahun 2016 untuk mematikan listrik ke beberapa bagian Kyiv, Ukraina, selama satu jam
  • Seorang peretas secara singkat mampu meningkatkan tingkat alkali di pabrik pengelolahan air di Oldsmar, Florida, tahun lalu ke tingkat yang berbahaya bagi manusia. Untungnya, seorang operator pabrik memperhatikan peretas tersebut dan dapat dengan cepat menggagalkannya.

Mengapa begitu rentan?
Usia sistem ini berarti mereka kadang-kadang berjalan pada perangkat lunak yang tidak lagi diperbarui dan didukung oleh produsen, Bort, pendiri perusahaan keamanan siber SCYTHE, memberi tahu saya. Perangkat dirancang dengan mempertimbangkan ketersediaan dan keamanan, bukan keamanan.

Namun, tidak semua angka microsodt begitu suram.

  • Perusahaan menemukan bahwa pengungkapan kerentanan paling parah pada peralatan kontrol industri yang diproduksi oleh vendor populer melonjak 78 persen dari tahun 2020 ke 2022.
  • Itu tidak berarti ada lebih banyak kerentanan — hanya saja lebih banyak yang ditemukan dan diungkapkan.
  • “Itu sangat positif,” kata Vasu Jakkal, wakil presiden korporat untuk keamanan, kepatuhan, identitas, manajemen, dan privasi di Microsoft kepada saya.

Apa yang orang lain lakukan tentang hal itu
Banyak upaya pemerintah untuk mengamankan perangkat dan sistem ini digabungkan ke dalam inisiatif lain.

Misalnya, Badan keamanan siber dan infrastruktur telah mengundang pakar industri sistem kontrol industri untuk bergabung dalam program untuk berkolaborasi guna mengurangi ancaman siber.

Satu program khusus sistem kontrol industri yang mendapatkan hasil yang baik dari Energy Department’s Office of Cybersecurity, Energy Security and Emergency Response adalah inisiatif yang secara sukarela menghubungkan vendor dengan Laboratorium Nasional unutk mengirimkan peralatan untuk pengujian keamanan, kata Bort

Sementara itu, di Eropa, peraturan keamanan siber yang diusulkan yang dikenal sebagai Undang-Undang Ketahanan Siber akan mewajibkan produk perangkat lunak dan perangkat keras untuk memenuhi tolok ukur keamanan tertentu berdasarkan seberapa “kritis” mereka dianggao.

sumber : The Washington Post

Jaringan Berbagi Info Terverifikasi FBI ‘InfraGard’ Diretas

by

InfraGard, sebuah program yang dijalankan oleh Biro Investigasi Federal AS (FBI) untuk membangun kemitraan berbagi informasi ancaman dunia maya dan fisik dengan sektor swasta, minggu ini melihat basis data informasi kontaknya di lebih dari 80.000 anggota dijual di Inggris- forum kejahatan dunia maya bahasa. Sementara itu, para peretas yang bertanggung jawab berkomunikasi langsung dengan anggota melalui portal InfraGard online — menggunakan akun baru dengan identitas samaran CEO industri keuangan yang diperiksa oleh FBI sendiri.

Program InfraGard FBI seharusnya memeriksa Siapa Siapa dari orang-orang kunci dalam peran sektor swasta yang melibatkan keamanan dunia maya dan fisik di perusahaan yang mengelola sebagian besar infrastruktur penting negara

FBI mengatakan mengetahui potensi akun palsu yang terkait dengan Portal InfraGard dan secara aktif menyelidiki masalah ini.

Anggota forum Pelanggaran yang menggunakan pegangan “USDoD” dan yang avatarnya adalah stempel Departemen Pertahanan AS.

Utas penjualan InfraGard USDoD di Pelanggaran.

USDoD mengatakan mereka memperoleh akses ke sistem InfraGard FBI dengan mengajukan akun baru menggunakan nama, Nomor Jaminan Sosial, tanggal lahir, dan detail pribadi lainnya dari seorang CEO di sebuah perusahaan yang kemungkinan besar akan diberikan keanggotaan InfraGard.

Saat ini kepala perusahaan keuangan besar AS yang memiliki dampak langsung pada kelayakan kredit sebagian besar orang Amerika.

USDoD mengatakan alamat email mereka atas nama CEO menerima balasan yang mengatakan bahwa aplikasi telah disetujui.

USDoD mengatakan data pengguna InfraGard tersedia dengan mudah melalui Application Programming Interface (API)

USDoD mengakui bahwa harga yang mereka minta sebesar $50.000 untuk database InfraGard mungkin sedikit tinggi, mengingat ini adalah daftar orang yang cukup mendasar yang sudah sangat sadar akan keamanan. Selain itu, hanya sekitar setengah dari akun pengguna yang berisi alamat email, dan sebagian besar bidang basis data lainnya

USDoD mengatakan mereka berharap akun palsu itu akan bertahan cukup lama bagi mereka untuk menyelesaikan pengiriman pesan langsung sebagai CEO ke eksekutif lain menggunakan portal perpesanan InfraGuard.

Pada November 2021, KrebsOnSecurity merinci bagaimana Pompompurin menyalahgunakan kerentanan di portal online FBI yang dirancang untuk berbagi informasi dengan otoritas penegak hukum negara bagian dan lokal.

Update, 11:15 malam. ET: FBI baru saja mengonfirmasi bahwa mereka mengetahui potensi akun palsu yang terkait dengan portal InfraGard. Ceritanya sekarang termasuk pernyataan lengkap mereka.

sumber : KERBSonSECURITY

NSA Mengatakan Peretas Cina Mengeksploitasi Bug Zero-day

by

Badan Keamanan Nasional AS memperingatkan bahwa peretas yang didukung pemerintah China mengeksploitasi kerentanan zero-day di dua produk jaringan Citrix yang banyak digunakan untuk mendapatkan akses ke jaringan yang ditargetkan.

Kerentanan yang dilacak sebagai CVE-2022-27518, memengaruhi Citrix ADC, pengontrol pengiriman aplikasi, dan Citrix Gateway, alat akses jarak jauh, dan keduanya populer di jaringan perusahaan. Kerentanan dengan peringkat kritis memungkinkan penyerang yang tidak diautentikasi untuk menjalankan kode berbahaya dari jarak jauh pada perangkat yang rentan.

Dalam sebuah blog, Kepala Keamanan dan Kepercayaan Citrix, Peter Lefkowitz, menuliskan bahwa Citrix mengetahui sejumlah kecil serangan yang ditargetkan di alam liar menggunakan kerentanan ini. Namun, Citrix belum dapat menentukan industri yang menjadi target maupun yang telah banyak disusupi.

NSA mengatakan bahwa APT5, grup peretas China yang terkenal, telah secara aktif menargetkan Citrix ADC untuk masuk ke organisasi tanpa harus mencuri kredensial terlebih dahulu, memberikan panduan perburuan ancaman untuk tim keamanan, dan meminta pembagian intelijen antara sektor publik dan swasta.

Tahun lalu, APT5 mengeksploitasi kerentanan zero-day di sebuah produk jaringan lain untuk menembus jaringan A.S. yang terlibat dalam penelitian dan pengembangan pertahanan.

Selengkapnya: TechCrunch+

Hacker Mengeksploitasi Critical Citrix ADC dan Gateway Zero Day, Patch Now

by

Citrix sangat mendesak admin untuk menerapkan pembaruan keamanan untuk kerentanan zero-day ‘Kritis’ (CVE-2022-27518) di Citrix ADC dan Gateway yang secara aktif dieksploitasi oleh peretas yang disponsori negara untuk mendapatkan akses ke jaringan perusahaan.

Kerentanan baru ini memungkinkan penyerang yang tidak diautentikasi untuk mengeksekusi perintah dari jarak jauh pada perangkat yang rentan dan mengambil kendali atasnya.

“Pelanggan yang menggunakan build yang terpengaruh dengan konfigurasi SAML SP atau IdP disarankan untuk segera menginstal build yang direkomendasikan karena kerentanan ini telah diidentifikasi sebagai kritis. Tidak ada solusi yang tersedia untuk kerentanan ini.” – Citrix.

Kerentanan berdampak pada versi Citrix ADC dan Citrix Gateway berikut ini:

  • Citrix ADC and Citrix Gateway 13.0 before 13.0-58.32
  • Citrix ADC and Citrix Gateway 12.1 before 12.1-65.25
  • Citrix ADC 12.1-FIPS before 12.1-55.291
  • Citrix ADC 12.1-NDcPP before 12.1-55.291

Versi di atas hanya terpengaruh jika peralatan dikonfigurasi sebagai SAML SP (penyedia layanan SAML) atau SAML IdP (penyedia identitas SAML).

Citrix ADC dan Citrix Gateway versi 13.1 tidak terpengaruh oleh CVE-2022-27518, jadi pemutakhiran ke CVE-2022-27518 memecahkan masalah keamanan.

Mereka yang menggunakan versi lama disarankan untuk memutakhirkan ke versi terbaru yang tersedia untuk cabang 12.0 (12.1.65.25) atau 13.0 (13.0.88.16).

Selain itu, Citrix ADC FIPS dan Citrix ADC NDcPP harus ditingkatkan ke versi 12.1-55.291 atau lebih baru.

Dieksploitasi oleh peretas yang disponsori negara

Sementara Citrix belum membagikan detail apa pun tentang bagaimana bug baru ini disalahgunakan, NSA telah membagikan bahwa peretas APT5 yang disponsori negara (alias UNC2630 dan MANGANESE) secara aktif mengeksploitasi kerentanan dalam serangan.

Dalam pengungkapan terkoordinasi, NSA telah merilis penasehat “APT5: Citrix ADC Threat Hunting Guidance” dengan informasi tentang pendeteksian jika suatu perangkat telah dieksploitasi dan tip untuk mengamankan perangkat Citrix ADC dan Gateway.

APT5 diyakini sebagai grup peretasan yang disponsori negara China yang dikenal memanfaatkan zero-days di perangkat VPN untuk mendapatkan akses awal dan mencuri data sensitif.

Pada tahun 2019, cacat eksekusi kode jarak jauh yang dilacak sebagai CVE-2019-19781 ditemukan di Citrix ADC dan Citrix Gateway dan dengan cepat menjadi sasaran operasi ransomware (1, 2), APT yang didukung negara, penyerang oportunistik yang menggunakan bypass mitigasi, dan banyak lagi

Eksploitasi menjadi sangat disalahgunakan sehingga pemerintah Belanda menyarankan perusahaan untuk mematikan perangkat Citrix ADC dan Citrix Gateway mereka hingga admin dapat menerapkan pembaruan keamanan.

sumber : bleeping computer

Peretas Mendapatkan $989.750 Untuk 63 zero-days yang Dieksploitasi di Pwn2Own Toronto

by

Pwn2Own Toronto 2022 telah berakhir dengan pesaing mendapatkan $989.750 untuk 63 eksploitasi zero-day (dan beberapa tabrakan bug) yang menargetkan produk konsumen antara 6 Desember dan 9 Desember.

Dalam kompetisi ini, sejumlah 26 tim dan peneliti keamanan telah menargetkan berbagai perangkat elektronik seperti ponsel, printer, router nirkabel, dan penyimpanan yang terhubung ke jaringan, semuanya mutakhir dan dalam konfigurasi default mereka. Meski tidak ada tim yang mendaftar untuk meretas smartphone Apple iPhone 13 dan Google Pixel 6, para kontestan meretas Samsung Galaxy S22 yang ditambal sepenuhnya sebanyak empat kali.

Sepanjang kontes, peretas telah berhasil mendemonstrasikan eksploit yang menargetkan bug zero-day di perangkat dari berbagai vendor, termasuk Canon, HP, Mikrotik, NETGEAR, Sonos, TP-Link, Lexmark, Synology, Ubiquiti, Western Digital, Mikrotik, dan HP.

Setelah kerentanan zero-day yang dieksploitasi selama acara Pwn2Own dilaporkan, vendor diberi waktu 120 hari untuk merilis patch sebelum ZDI mengungkapkannya secara publik. Pwn2Own Toronto 2022 telah berakhir tepat pada hari keempat kompetisi dengan kontestan mendapatkan $989.750 untuk 63 eksploitasi zero-day di berbagai kategori.Berikut ini adalah daftar pemenang kontes Pwn2Own Toronto 2022 dalam Papan Final Pwn2Own (ZDI).

Selengkapnya: BLEEPINGCOMPUTER

Apple mengumumkan rencana untuk mengenkripsi cadangan iCloud

by

apel mengumumkan pada hari Rabu bahwa mereka berencana untuk mengizinkan pengguna mengenkripsi jenis data iCloud tambahan di servernya, termasuk cadangan lengkap, foto, dan catatan.

Fitur tersebut, yang disebut Perlindungan Data Lanjutan, akan mencegah Apple melihat konten dari beberapa data pengguna paling sensitif yang disimpan di servernya dan akan membuat Apple tidak mungkin menyediakan konten cadangan terenkripsi kepada penegak hukum.

Sementara Apple sebelumnya telah mengenkripsi banyak data yang disimpannya di server, seluruh cadangan perangkat yang mencakup pesan teks, kontak, dan data penting lainnya tidak dienkripsi ujung ke ujung, dan Apple sebelumnya memiliki akses ke konten cadangan.

Aparat penegak hukum di seluruh dunia umumnya menentang enkripsi karena memungkinkan tersangka untuk “menjadi gelap” dan menolak akses penegakan hukum ke bukti potensial yang sebelumnya dapat mereka akses di bawah tingkat keamanan yang lebih rendah.

Pada tahun 2018, CEO Apple Tim Cook mengatakan dalam sebuah wawancara bahwa salah satu faktor dalam pengambilan keputusan Apple seputar pencadangan iCloud terenkripsi ujung ke ujung adalah penggunanya mengharapkan Apple dapat membantu memulihkan data mereka. Jika pengguna lupa kata sandinya, dan mereka mengaktifkan Perlindungan Data Lanjutan, Apple tidak akan dapat memulihkan akun karena tidak memiliki kunci enkripsi yang diperlukan.

Apple juga mengumumkan dua fitur keamanan lainnya pada hari Rabu. Pengguna akan segera dapat menggunakan kunci fisik sebagai perlindungan faktor kedua untuk login ID Apple. Pembaruan lain memungkinkan pengguna menghadapi ancaman keamanan yang signifikan untuk mengonfirmasi bahwa pesan teks tidak dicegat.

sumber : cnbc

Hacker masih mengeksploitasi Internet Explorer zero-days

by

Grup Analisis Ancaman Google (TAG) mengungkapkan bahwa sekelompok peretas Korea Utara yang dilacak sebagai APT37 mengeksploitasi kerentanan Internet Explorer yang sebelumnya tidak diketahui (dikenal sebagai zero-day) untuk menginfeksi target Korea Selatan dengan malware.

Google TAG mengetahui serangan baru-baru ini pada tanggal 31 Oktober ketika beberapa pengirim VirusTotal dari Korea Selatan mengunggah dokumen Microsoft Office berbahaya bernama “221031 Situasi tanggap kecelakaan Yongsan Itaewon Seoul (06:00).docx.”

Setelah dibuka di perangkat korban, dokumen tersebut akan mengirimkan muatan yang tidak diketahui setelah mengunduh template jarak jauh file teks kaya (RTF) yang akan merender HTML jarak jauh menggunakan Internet Explorer.

Memuat konten HTML yang mengirimkan eksploit dari jarak jauh memungkinkan penyerang untuk mengeksploitasi IE zero-day bahkan jika target tidak menggunakannya sebagai browser web default mereka.

Kerentanan (dilacak sebagai CVE-2022-41128) disebabkan oleh kelemahan dalam mesin JavaScript Internet Explorer, yang memungkinkan pelaku ancaman yang berhasil mengeksploitasinya untuk mengeksekusi kode arbitrer saat merender situs web yang dibuat secara berbahaya.

Microsoft menambalnya selama Patch Selasa bulan lalu, pada 8 November, lima hari setelah menetapkannya sebagai ID CVE menyusul laporan dari TAG yang diterima pada 31 Oktober.

Tidak ada informasi tentang malware yang didorong ke perangkat korban
Meskipun Google TAG tidak dapat menganalisis muatan jahat terakhir yang didistribusikan oleh peretas Korea Utara di komputer target Korea Selatan mereka, pelaku ancaman dikenal menyebarkan berbagai malware dalam serangan mereka.

“Meskipun kami tidak mendapatkan muatan akhir untuk kampanye ini, kami sebelumnya telah mengamati kelompok yang sama mengirimkan berbagai implan seperti ROKRAT, BLUELIGHT, dan DOLPHIN,” kata Clement Lecigne dan Benoit Stevens dari Google TAG.

“Implan APT37 biasanya menyalahgunakan layanan cloud yang sah sebagai saluran C2 dan menawarkan kemampuan yang khas dari sebagian besar backdoor.”

Kelompok ancaman ini dikenal karena memfokuskan serangannya pada individu yang berkepentingan dengan rezim Korea Utara, termasuk para pembangkang, diplomat, jurnalis, aktivis hak asasi manusia, dan pegawai pemerintah.

Sumber: Bleeping Computer

Pasar Malware Infostealer Meledak, Saat Kelelahan MFA Terjadi

by

Aktor jahat menemukan keberhasilan dalam menyebarkan malware pencuri informasi (infostealer), menggabungkan kredensial yang dicuri dan rekayasa sosial untuk melakukan pelanggaran profil tinggi dan memanfaatkan serangan kelelahan otentikasi multifaktor (MFA).

Pasar untuk kredensial yang dikompromikan juga berkembang, menurut laporan tersebut, yang melihat secara mendalam situs pasar Rusia yang digunakan oleh grup jahat RedLine, Raccoon Stealer, Vidar, Taurus, dan AZORult untuk mendapatkan kredensial untuk dijual.

Paul Mansfield, analis intelijen ancaman dunia maya di Accenture, menjelaskan poin terpenting untuk dipahami tentang munculnya malware infostealer adalah ancaman terhadap jaringan perusahaan.

Dia menambahkan bahwa kesamaan yang dimiliki oleh kelompok orang tersebut adalah minat untuk mengumpulkan data sensitif (data pribadi dari komputer mereka, termasuk kredensial login, detail rekening bank, alamat cryptocurrency, dan data lokasi granular).

Melampaui Batas MFA
Laporan tersebut menyoroti peningkatan efektivitas serangan kelelahan MFA, yang melibatkan upaya berulang kali untuk masuk ke akun yang mengaktifkan MFA menggunakan kredensial curian, sehingga membombardir calon korban dengan permintaan push MFA.

Laporan sebelumnya menemukan bahwa sementara MFA telah diadopsi di antara organisasi sebagai cara untuk meningkatkan keamanan atas kata sandi saja, peningkatan pencurian cookie browser melemahkan keamanan tersebut.

Aktor jahat mengimbau pengguna yang “bosan” dengan beberapa pemberitahuan push yang mengklaim sebagai verifikasi faktor kedua dan dia menerimanya untuk menghilangkannya.

Villadiego menambahkan ini tentang memiliki kontrol yang tepat dan kecerdasan untuk mengurangi semua kontak dengan musuh segera setelah mereka masuk — dan untuk menahan dampak serangan terhadap organisasi.

Mansfield mengatakan ketika aktor ancaman mengamati seberapa sukses grup lain pada tahun 2022 — misalnya, mereka yang berada di belakang Raccoon Stealer, Redline Stealer, dan Vidar — lebih banyak lagi yang akan memasuki arena dan menciptakan pasar yang lebih kompetitif.

Membela Terhadap Malware Infostealer
Mansfield mengatakan organisasi dapat melindungi dari malware infostealer dengan memastikan sistem operasi dan perangkat lunak diperbarui sepenuhnya dan bahwa staf dilatih tentang cara menemukan dan menangani email dan tautan yang mencurigakan dan juga menggunakan perangkat lunak antivirus.

Villadiego menambahkan satu langkah cepat yang dapat diambil organisasi untuk menopang pertahanan terhadap malware infostealer adalah melihat ke dalam jaringan.

Dia mengatakan penting untuk mengingat serangan ini tidak terjadi dalam hitungan detik — musuh meninggalkan remah roti dan mengirim telegram apa yang akan mereka lakukan, tetapi tim keamanan TI perlu menemukan serangan itu dan memiliki cara untuk menanggapinya secara real time.

sumber : dark reading