Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat / Vulnerability

Vulnerability

AMD Mengungkapkan 50 Celah Keamanan yang Mempengaruhi CPU EPYC, Driver Radeon

by

AMD menerbitkan tiga buletin keamanan yang membahas kerentanan keamanan yang memengaruhi prosesor EPYC dan driver grafis Radeon untuk Windows 10. Meskipun banyak yang ditandai dengan Keparahan Tinggi, mereka dapat dimitigasi dengan pembaruan driver dan paket AGESA.

Pembuat chip tersebut mengungkap 22 potensi kerentanan yang memengaruhi tiga generasi prosesor EPYC: EPYC 7001 (Naples), EPYC 7002 (Roma), dan EPYC 7003 (Milan).

Eksploitasi secara khusus menargetkan AMD Platform Security Processor (PSP), AMD System Management Unit (SMU), AMD Secure Encrypted Virtualization (SEV) dan komponen platform lainnya.

Menanggapi eksploitasi, AMD mendistribusikan pembaruan AGESA NaplesPI-SP3_1.0.0.G, RomePI-SP3_1.0.0.C dan MilanPI-SP3_1.0.0.4 ke mitra OEM-nya. Jika Anda menjalankan salah satu chip EPYC AMD, Anda harus menghubungi OEM Anda untuk pembaruan.

Driver grafis Radeon untuk Windows 10 sama-sama dipenuhi dengan kerentanan. AMD mendeteksi hingga 27 eksploitasi berbeda dengan berbagai tingkat keparahan yang berdampak pada konsumen mainstream dan perusahaan. Untungnya, pengguna hanya perlu memperbarui driver Radeon mereka ke versi terbaru untuk menambal lubang keamanan tersebut.

Selengkapnya: Tom’s Hardware

Peneliti menunggu 12 bulan untuk melaporkan kerentanan dengan 9,8 dari 10 peringkat keparahan

by

Sekitar 10.000 server perusahaan yang menjalankan Palo Alto Networks GlobalProtect VPN rentan terhadap bug buffer overflow yang baru saja ditambal dengan peringkat keparahan 9,8 dari kemungkinan 10.

Randori menemukan kerentanan 12 bulan yang lalu dan sebagian besar waktu itu digunakan secara pribadi dalam produk tim merahnya yang membantu pelanggan menguji pertahanan jaringan mereka terhadap ancaman dunia nyata. Norma di kalangan profesional keamanan adalah peneliti secara pribadi wajib melaporkan kerentanan tingkat tinggi kepada vendor sesegera mungkin daripada menimbunnya secara rahasia.

CVE-2021-3064, saat kerentanan dilacak merupakan cacat buffer overflow yang terjadi saat mem-parsing input yang disediakan pengguna di lokasi dengan panjang tetap pada stack. Eksploitasi proof-of-concept yang dikembangkan peneliti Randori menunjukkan kerusakan besar yang dapat terjadi.

Selama beberapa tahun terakhir, peretas telah aktif mengeksploitasi kerentanan dalam serangkaian firewall dan VPN perusahaan seperti Citrix, Microsoft, dan Fortinet, lembaga pemerintah memperingatkan awal tahun ini. Produk perusahaan serupa, termasuk dari Pulse Secure dan Sonic Wall, juga diserang. Sekarang, GlobalProtect Palo Alto Networks mungkin siap untuk bergabung dalam daftar.

CVE-2021-3064 hanya memengaruhi versi yang lebih lama dari PAN-OS 8.1.17, tempat GlobalProtect VPN berada. Peneliti independen Kevin Beaumont mengatakan pencarian Shodan yang dia lakukan menunjukkan bahwa kira-kira setengah dari semua contoh GlobalProtect yang dilihat oleh Shodan rentan.

Luapan terjadi ketika perangkat lunak mem-parsing input yang disediakan pengguna di lokasi dengan panjang tetap di tumpukan. Kode buggy tidak dapat diakses secara eksternal tanpa memanfaatkan apa yang dikenal sebagai penyelundupan HTTP, teknik eksploitasi yang mengganggu cara situs web memproses urutan permintaan HTTP. Kerentanan muncul ketika frontend dan backend situs web menafsirkan batas permintaan HTTP secara berbeda, dan kesalahan menyebabkan mereka tidak sinkron.

Kebingungan merupakan hasil dari kode yang menyimpang dari spesifikasi ketika berhadapan dengan header Content-Length dan Transfer-Encoding. Dalam prosesnya, bagian dari permintaan dapat ditambahkan ke permintaan berikutnya yang memungkinkan respons dari permintaan yang diselundupkan diberikan kepada pengguna lain. Kerentanan penyelundupan permintaan sering kali kritis karena memungkinkan penyerang melewati kontrol keamanan, mendapatkan akses tidak sah ke data sensitif, dan secara langsung membahayakan pengguna aplikasi lain.

Randori mengatakan bahwa risikonya sangat akut untuk versi virtual dari produk yang rentan karena tidak memiliki pengacakan tata letak ruang alamat — mekanisme keamanan yang biasanya disingkat ASLR yang dirancang untuk sangat mengurangi kemungkinan eksploitasi yang berhasil — diaktifkan.

“Pada perangkat dengan ASLR diaktifkan (yang tampaknya menjadi kasus di sebagian besar perangkat keras), eksploitasi sulit tetapi mungkin,” tulis peneliti Randori. “Pada perangkat tervirtualisasi (firewall seri VM), eksploitasi secara signifikan lebih mudah karena kurangnya ASLR dan Randori mengharapkan eksploitasi publik akan muncul. Peneliti Randori belum mengeksploitasi buffer overflow untuk menghasilkan eksekusi kode terkontrol pada versi perangkat keras tertentu dengan CPU bidang manajemen berbasis MIPS karena arsitektur big endian mereka, meskipun overflow dapat dijangkau pada perangkat ini dan dapat dieksploitasi untuk membatasi ketersediaan layanan .”
Apa yang membuatmu begitu lama?

Posting Randori mengatakan peneliti perusahaan menemukan buffer overflow dan cacat penyelundupan HTTP November lalu. Beberapa minggu kemudian, perusahaan “mulai menggunakan rantai kerentanan secara resmi sebagai bagian dari platform tim merah Randori yang berkelanjutan dan otomatis.”

“Alat dan teknik tim merah, termasuk eksploitasi zero-day, diperlukan untuk keberhasilan pelanggan kami dan dunia keamanan siber secara keseluruhan,” tulis CTO Randori David Wolpoff dalam sebuah posting. “Namun, seperti alat ofensif lainnya, informasi kerentanan harus ditangani dengan hati-hati dan dengan rasa hormat yang seharusnya. Misi kami adalah untuk memberikan pengalaman yang sangat berharga bagi pelanggan kami, sekaligus mengenali dan mengelola risiko terkait.”

Selengkapnya : Arstechnica

Microsoft Memperbarui Excel Zero-day, Pengguna Mac Mohon Menunggu

by Leave a Comment

Patch Tuesday bulan ini, Microsoft telah menambal kerentanan Excel zero-day yang dieksploitasi pelaku ancaman.

Zero-day adalah bug yang ditemukan secara publik tanpa update keamanan resmi.

Kerentanan yang dilacak sebagai CVE-2021-42292, adalah bypass fitur keamanan tingkat keparahan tinggi yang dapat dieksploitasi oleh penyerang yang tidak diautentikasi secara lokal dalam serangan kompleksitas rendah yang tidak memerlukan interaksi pengguna.

Microsoft juga menambal kelemahan keamanan Excel kedua yang digunakan selama kontes peretasan Piala Tianfu bulan lalu, bug eksekusi kode jarak jauh yang dilacak sebagai CVE-2021-40442 dan dapat dieksploitasi oleh penyerang yang tidak diautistik.

Sementara Redmond merilis pembaruan keamanan untuk sistem yang menjalankan Aplikasi Microsoft 365 untuk Perusahaan dan versi Windows dari Microsoft Office dan Microsoft Excel, Redmond gagal menambal kerentanan di macOS.

Pelanggan Mac yang menjalankan versi MacOS dari Microsoft Office dan Microsoft diberitahu bahwa mereka harus menunggu sedikit lebih lama untuk patch CVE-2021-42292.

Sumber: Bleepingcomputer

Ini bisa menjadi waktu yang tepat untuk menambal kernel Linux Anda

by

Peneliti keamanan siber telah membantu memperbaiki kerentanan keamanan heap-overflow kritis di kernel Linux yang dapat dieksploitasi baik secara lokal atau melalui eksekusi kode jarak jauh (RCE) untuk membahayakan komputer Linux yang rentan.

Ditemukan oleh peneliti SentinelLabs Max Van Amerongen, kerentanan yang dilacak sebagai CVE-2021-43267 ada dalam modul Transparan Inter Process Communication (TIPC) kernel, khususnya dalam jenis pesan yang memungkinkan node untuk saling mengirim kunci kriptografi.

“Kerentanan ini dapat dieksploitasi baik secara lokal maupun jarak jauh. Sementara eksploitasi lokal lebih mudah karena kontrol yang lebih besar atas objek yang dialokasikan di tumpukan kernel, eksploitasi jarak jauh dapat dicapai berkat struktur yang didukung TIPC,” catat Amerongen.

Karena jenis pesan yang terpengaruh relatif baru, bug hanya ada di rilis kernel antara v5.10 dan v5.15.

Peneliti menjelaskan bahwa jenis pesan yang rentan, yang disebut MSG_CRYPTO, diperkenalkan pada September 2020, untuk bertukar kunci kriptografi.

Namun, Amerongen menemukan bahwa meskipun jenis pesan membuat berbagai alokasi untuk mentransfer kunci, ia gagal untuk memeriksa dan memvalidasi beberapa di antaranya.

Patch telah dirilis yang menambahkan pemeriksaan verifikasi ukuran yang sesuai ke proses, yang telah ditambahkan ke rilis utama Linux 5.15 Long Term Support (LTS).

Sumber: Tech Radar

NUCLEUS:13 kerentanan berdampak pada peralatan medis & industri Siemens

by

Peneliti keamanan hari ini mengungkapkan satu set 13 kerentanan yang berdampak pada perpustakaan perangkat lunak penting Siemens yang disertakan dengan perangkat medis, otomotif, dan sistem industri.

Dinamakan NUCLEAUS:13, kerentanan berdampak pada Nucleus NET, tumpukan TCP/IP yang disertakan dengan Nucleus, sistem operasi real-time yang dimiliki oleh Siemens, yang biasanya berjalan pada papan system-on-a-chip (SoC) yang disertakan di dalam perangkat medis, mobil, smartphone, perangkat Internet of Things, PLC industri, dan banyak lagi.

Laporan Forescout dan Medigate Labs mengatakan kerentanan NUCLEUS:13 dapat digunakan untuk mengambil alih, mogok, atau membocorkan informasi dari perangkat yang menjalankan versi Nucleus RTOS yang lebih lama.

Kerentanan yang sangat mudah untuk dijadikan senjata adalah CVE-2021-31886, masalah eksekusi kode jarak jauh (RCE) yang menerima peringkat 9,8 dari 10 yang langka, terutama karena tingkat keparahannya.

ICS-CERT telah menerbitkan nasihat keamanan hari ini untuk meningkatkan kesadaran akan kerentanan NUCLEUS:13 di antara organisasi AS, sementara Siemens telah merilis pembaruan keamanan melalui portal CERT pribadinya, kepada semua pelanggannya.

Peneliti prakiraan Stanislav Dashevskyi juga menerbitkan demo bukti konsep yang menunjukkan bagaimana kerentanan NUCLEUS:13 dapat disalahgunakan dalam praktiknya untuk mengambil alih perangkat yang rentan. Seperti yang ditunjukkan Dashevskyi dalam video, penyerang hanya perlu memiliki semacam koneksi jaringan ke perangkat yang rentan, karena serangan hanya membutuhkan beberapa detik untuk dieksekusi.

Kerentanan NUCLEUS:13 adalah bagian kelima dan terakhir dari proyek penelitian bernama Project Memoria, di mana peneliti Forescout menganalisis tumpukan TCP/IP populer untuk kelemahan keamanan.

Secara total, Project Memoria menemukan 97 kerentanan yang memengaruhi 14 tumpukan TCP/IP. Daftar tersebut meliputi:

  • AMNESIA:33
  • NUMBER:JACK
  • NAME:WRECK
  • INFRA:HALT
  • NUCLEUS:13

Selengkapnya : The Record

Eksploitasi Microsoft Exchange ProxyShell yang digunakan untuk menyebarkan ransomware Babuk

by

Aktor ancaman baru meretas server Microsoft Exchange dan menerobos jaringan perusahaan menggunakan kerentanan ProxyShell untuk menyebarkan Ransomware Babuk.

Serangan ProxyShell terhadap server Microsoft Exchange yang rentan dimulai beberapa bulan yang lalu, dengan LockFile dan Conti menjadi salah satu kelompok ransomware pertama yang mengeksploitasinya.

Menurut sebuah laporan oleh para peneliti di Cisco Talos, afiliasi ransomware Babuk yang dikenal sebagai ‘Tortilla’ telah bergabung dengan klub pada bulan Oktober, ketika aktor tersebut mulai menggunakan web shell ‘China Chopper’ di server Exchange yang dilanggar.

Nama Tortilla didasarkan pada executable berbahaya yang terlihat dalam kampanye menggunakan nama Tortilla.exe.

Dimulai dengan Exchange

Serangan ransomware Babuk dimulai dengan DLL, atau .NET executable yang dijatuhkan di server Exchange menggunakan kerentanan ProxyShell. Proses pekerja Exchange IIS w3wp.exe kemudian mengeksekusi muatan berbahaya ini untuk menjalankan perintah PowerShell yang dikaburkan yang menampilkan perlindungan titik akhir yang melewati, yang akhirnya menjalankan permintaan web untuk mengambil pemuat muatan bernama ‘tortilla.exe.’

Pemuat ini akan terhubung ke ‘pastebin.pl’ dan mengunduh muatan yang dimuat ke dalam memori dan disuntikkan ke dalam proses NET Framework, yang pada akhirnya mengenkripsi perangkat dengan Babuk Ransomware.

Infection chain diagram
Source: Cisco

Meskipun analis Cisco menemukan bukti eksploitasi kerentanan ProxyShell di sebagian besar merupakan infeksi, terutama web shell ‘China Chopper’, data telemetri mencerminkan spektrum luas dari upaya eksploitasi.

Lebih khusus lagi, Tortilla mengikuti jalur ini untuk menghapus modul DLL dan NET:

  • Microsoft Exchange menemukan upaya pemalsuan permintaan sisi server secara otomatis
  • Upaya eksekusi kode jarak jauh injeksi Atlassian Confluence OGNL
  • Upaya eksekusi kode jarak jauh Apache Struts
  • Akses wp-config.php WordPress melalui upaya traversal direktori
  • Upaya bypass otentikasi SolarWinds Orion
  • Upaya eksekusi perintah jarak jauh Oracle WebLogic Server
  • Upaya deserialisasi objek Java sewenang-wenang Liferay

Serangan ini bergantung pada kerentanan yang ditambal, maka sangat disarankan agar admin meningkatkan server mereka ke versi terbaru untuk mencegahnya dieksploitasi dalam serangan.

Menggunakan Babuk dalam serangan baru

Babuk Locker adalah operasi ransomware yang diluncurkan pada awal 2021 ketika mulai menargetkan bisnis dan mengenkripsi data mereka dalam serangan pemerasan ganda.

Setelah melakukan serangan terhadap Departemen Kepolisian Metropolitan (MPD) Washinton DC, dan merasakan panas dari penegakan hukum AS, geng ransomware menutup operasi mereka.

Setelah kode sumber untuk versi pertama Babu dan pembuatnya bocor di forum peretasan, pelaku ancaman lainnya mulai memanfaatkan ransomware untuk meluncurkan serangan mereka sendiri.

Tidak jelas apakah Tortilla adalah afiliasi dari Babuk saat RaaS aktif atau apakah mereka hanya mengambil kode sumber strain ketika keluar untuk melakukan serangan baru.

Namun, karena catatan tebusan yang digunakan dalam serangan ini meminta uang $10.000 yang rendah di Monero, kemungkinan itu tidak dilakukan oleh operasi Babuk yang asli, yang menuntut uang tebusan yang jauh lebih besar dalam Bitcoin.

Tortilla’s ransom note
Source: Cisco

Menargetkan AS

Meskipun peneliti Talos melihat beberapa serangan di Jerman, Thailand, Brasil, dan Inggris, sebagian besar target Tortilla berbasis di AS.

I.P. alamat server unduhan terletak di Moskow, Rusia, yang dapat menunjukkan asal serangan ini, tetapi tidak ada kesimpulan atribusi dalam laporan tersebut. Domain ‘pastebin.pl’ yang digunakan untuk tahap pembongkaran sebelumnya telah disalahgunakan oleh kampanye distribusi AgentTesla dan FormBook.

Victim heatmap
Source: Cisco

Meskipun decryptor sebelumnya dirilis untuk ransomware Babuk, ia hanya dapat mendekripsi korban yang kunci pribadinya merupakan bagian dari kebocoran kode sumber.

Oleh karena itu, pelaku ancaman dapat terus menggunakan ransomware Babuk untuk meluncurkan operasi mereka sendiri, seperti ypelaku ancaman Tortilla.

SUMBER : Bleeping Computer

Cisco memperbaiki kredensial hard-code dan masalah kunci SSH default

by

Cisco telah merilis pembaruan keamanan untuk mengatasi kelemahan keamanan kritis yang memungkinkan penyerang yang tidak diautentikasi untuk masuk menggunakan kredensial hard-code atau kunci SSH default untuk mengambil alih perangkat yang belum ditambal.

CISA juga mendorong pengguna dan administrator hari ini untuk meninjau saran Cisco dan menerapkan semua pembaruan yang diperlukan untuk memblokir upaya untuk mengambil alih sistem yang terkena dampak.

Catalyst PON Switch kredensial hard-coded

Yang pertama dari dua kelemahan yang ditambal pada hari Rabu (dilacak sebagai CVE-2021-34795) hadir dengan skor CVSS 10/10 yang sempurna dan ditemukan di Cisco Catalyst Passive Optical Network (PON) Series Switches Optical Network Terminal (ONT).

“Kerentanan dalam layanan Telnet Cisco Catalyst PON Series Switches ONT dapat memungkinkan penyerang jarak jauh yang tidak diautentikasi masuk ke perangkat yang terpengaruh dengan menggunakan akun debugging yang memiliki kata sandi default dan statis,” perusahaan menjelaskan dalam sebuah nasihat yang diterbitkan kemarin. .

Untungnya, kerentanan ini hanya dapat dieksploitasi dengan membuat sesi Telnet ke perangkat yang rentan dan masuk dengan kredensial hard-coded.

Karena Telnet tidak diaktifkan secara default pada perangkat yang terpengaruh, ini secara drastis membatasi jumlah target yang dapat diserang oleh aktor ancaman.

Daftar perangkat yang terpengaruh termasuk sakelar CGP-ONT-1P, CGP-ONT-4P, CGP-ONT-4PV, CGP-ONT-4PVC, dan CGP-ONT-4TVCW Catalyst PON.

Cisco mengkonfirmasi bahwa CVE-2021-34795 tidak berdampak pada Catalyst PON Switch CGP-OLT-8T dan Catalyst PON Switch CGP-OLT-16T.
Kunci SSH default di Cisco Policy Suite

Cacat keamanan kritis kedua yang ditambal kemarin dilacak sebagai CVE-2021-40119 dan disebabkan oleh penggunaan kembali kunci SSH statis di seluruh instalasi Cisco Policy Suite.

“Kerentanan dalam mekanisme otentikasi SSH berbasis kunci dari Cisco Policy Suite dapat memungkinkan penyerang jarak jauh yang tidak diautentikasi untuk masuk ke sistem yang terpengaruh sebagai pengguna root,” jelas Cisco.

“Seorang penyerang dapat mengeksploitasi kerentanan ini dengan mengekstrak kunci dari sistem di bawah kendali mereka.”

Perangkat lunak Cisco Policy Suite merilis 21.2.0 dan yang lebih baru akan secara otomatis membuat kunci SSH baru selama proses instalasi tetapi tidak selama peningkatan.

Untuk menghasilkan kunci SSH baru dan menyebarkannya ke semua mesin, Anda dapat menggunakan langkah-langkah yang dirinci di bagian Rilis Tetap dari saran Cisco.

Tim Respons Insiden Keamanan Produk Cisco (PSIRT) mengatakan bahwa tidak ada kode eksploitasi konsep publik yang tersedia secara online untuk kedua kerentanan ini dan menambahkan bahwa mereka tidak mengetahui adanya eksploitasi yang sedang berlangsung di alam liar.

SUMBER : Bleeping Computer

Discord Menjadi Jembatan Besar Penyebaran Malware

by

Fitur Utama dan Content Delivery Network Discord digunakan untuk mengirim file berbahaya—termasuk RAT—ke seluruh jaringannya yang terdiri dari 150 juta pengguna, yang membahayakan perusahaan.

Threat actors menyalahgunakan fitur inti dari platform komunikasi digital Discord yang populer untuk terus-menerus mengirimkan berbagai jenis malware—khususnya trojan akses jarak jauh (RAT) yang dapat mengambil alih sistem—menempatkan 150 juta penggunanya dalam risiko, menurut RiskIQ dan CheckPoint.

Keduanya menemukan malware multi-fungsi yang dikirim dalam pesan di seluruh platform, yang memungkinkan pengguna untuk mengatur server Discord ke dalam saluran berbasis topik di mana mereka dapat berbagi file teks, gambar atau suara atau executable lainnya. File-file itu kemudian disimpan di server Jaringan Pengiriman Konten (CDN) Discord.

Para peneliti memperingatkan, “banyak file yang dikirim melalui platform Discord berbahaya, menunjukkan sejumlah besar penyalahgunaan CDN yang di-hosting sendiri oleh aktor dengan membuat saluran dengan tujuan tunggal mengirimkan file berbahaya ini,” menurut sebuah laporan yang diterbitkan Kamis oleh Tim RiskIQ.

Awalnya Discord menarik para gamer, tetapi platform tersebut sekarang digunakan oleh organisasi untuk komunikasi di tempat kerja. Penyimpanan file berbahaya di CDN Discord dan proliferasi malware di platform berarti bahwa “banyak organisasi dapat mengizinkan lalu lintas buruk ini ke jaringan mereka,” tulis peneliti RiskIQ.

RAT dan Malware Lain-lain
Fitur malware terbaru yang ditemukan di platform termasuk kemampuan untuk mengambil tangkapan layar, mengunduh dan mengeksekusi file tambahan, dan melakukan keylogging, peneliti CheckPoint Idan Shechter dan Omer Ventura diungkapkan dalam laporan terpisah yang juga diterbitkan Kamis.

CheckPoint juga menemukan bahwa Discord Bot API—implementasi Python sederhana yang memudahkan modifikasi dan mempersingkat proses pengembangan bot di platform—“dapat dengan mudah mengubah bot menjadi RAT sederhana” yang dapat digunakan oleh pelaku ancaman “untuk mendapatkan akses penuh dan jarak jauh. kontrol pada sistem pengguna.”

Bot Discord menjadi bagian yang semakin integral dari cara pengguna berinteraksi dengan Discord, memungkinkan mereka untuk mengintegrasikan kode untuk fitur yang disempurnakan guna memfasilitasi manajemen komunitas, kata para peneliti.

“Bot perselisihan tampaknya kuat, ramah, dan sangat menghemat waktu,” tulis Shechter dan Ventura. “Namun, dengan kekuatan besar juga ada tanggung jawab besar, dan kerangka kerja bot Discord dapat dengan mudah digunakan untuk niat jahat.”

Peneliti CheckPoint menemukan beberapa repositori berbahaya di antara GitHub yang relevan untuk platform Discord. Repositori ini termasuk malware berdasarkan Discord API dan bot jahat dengan fungsi berbeda, kata mereka.

Sementara itu, peneliti RiskIQ memeriksa URL CDN Discord yang berisi .exe, DLL dan berbagai dokumen dan file terkompresi, menemukan setelah meninjau hash di VirusTotal bahwa lebih dari 100 mengirimkan konten berbahaya. Delapan puluh file berasal dari 17 keluarga malware yang berbeda, dengan trojan yang terdiri dari malware paling umum yang diamati di platform, kata para peneliti.

Secara khusus, peneliti RiskIQ mempelajari lebih dalam bagaimana Discord CDN menggunakan domain Discord melalui tautan yang menggunakan [hxxps://cdn.discordapp[.]com/attachments/{ChannelID}/{AttachmentID}/{filename}] sebagai format untuk menemukan malware, kata mereka.

Para peneliti mendeteksi tautan dan menanyakan ID saluran Discord yang digunakan dalam tautan ini, yang memungkinkan mereka mengidentifikasi domain yang berisi halaman web yang tertaut ke tautan CDN Discord dengan ID saluran tertentu, kata mereka.

“Misalnya, platform RiskIQ dapat menanyakan ID saluran yang terkait dengan zoom[-]download[.]ml,” jelas peneliti. “Domain ini mencoba menipu pengguna agar mengunduh plug-in Zoom untuk Microsoft Outlook dan sebagai gantinya mengirimkan pencuri kata sandi Dcstl yang dihosting di CDN Discord.”

Dalam contoh lain, RiskIQ menemukan bahwa ID saluran untuk URL yang berisi file pencuri kata sandi Raccoon mengembalikan domain untuk Taplink, sebuah situs yang menyediakan halaman arahan mikro kepada pengguna untuk mengarahkan individu ke halaman Instagram dan media sosial lainnya, jelas mereka.

“Seorang pengguna kemungkinan menambahkan tautan Discord CDN ke halaman Taplink mereka,” jelas para peneliti. “Meminta ID ini memungkinkan pengguna RiskIQ untuk memahami file Discord mana dan infrastruktur terkait yang bersangkutan dan di mana mereka berada di seluruh web.”

Teknik ini memungkinkan peneliti untuk menentukan tanggal dan waktu saluran Discord dibuat, menghubungkan yang dibuat dalam beberapa hari sebelum pengamatan pertama dari file di VirusTotal ke saluran dengan tujuan tunggal mendistribusikan malware, kata mereka. Pada akhirnya, mereka menemukan dan membuat katalog 27 jenis malware unik yang dihosting di CDN Discord.

source: THREATPOST