Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat / Vulnerability

Vulnerability

Serangan jaringan “PetitPotam” Windows – cara melindunginya

by

Peneliti asal Prancis Gilles Lionel, yang menggunakan @topotam77, baru-baru ini menerbitkan kode bukti konsep yang dapat digunakan penyerang untuk mengambil alih jaringan Windows.

Peretasan itu, yang ia juluki PetitPotam, melibatkan apa yang dikenal sebagai serangan relay NTLM, yang merupakan bentuk serangan manipulator-in-the-middle (MitM) terhadap sistem otentikasi NTLM Microsoft.

Microsoft telah menyarankan semua orang untuk menghindari NTLM, kependekan dari NT LAN Manager, selama lebih dari satu dekade, karena tidak memenuhi standar keamanan kriptografi modern.

Menurut Microsoft, kode PetitPotam bergantung pada penyalahgunaan fungsi sistem yang diaktifkan jika semua kondisi ini berlaku:

  • Otentikasi NTLM diaktifkan di domain Anda.
  • Anda menggunakan Active Directory Certificate Services (AD CS).
  • Anda mengaktifkan Certificate Authority Web Enrollment atau Certificate Enrollment Web Service.

Apa yang harus dilakukan?

Jelas, pertahanan paling kuat adalah berhenti menggunakan NTLM di jaringan Anda.

Jika Anda benar-benar tidak membutuhkannya (dan sudah tidak digunakan lagi selama lebih dari satu dekade), Anda dapat mematikannya di domain controller untuk meningkatkan keamanan seluruh jaringan Anda.

Jika Anda tidak dapat mematikan otentikasi NTLM sama sekali, Microsoft memiliki banyak langkah lain yang dapat Anda ambil, tetapi ini secara khusus menangani celah PetitPotam daripada menyingkirkan kriptografi NTLM yang sudah ketinggalan zaman itu sendiri.

Selengkapnya: Naked Security

Jaringan Industri Terekspos Melalui Teknologi Operasional Berbasis Cloud

by

Manfaat menggunakan platform manajemen berbasis cloud untuk memantau dan mengonfigurasi perangkat sistem kontrol industri (ICS) sangat jelas — efisiensi, penghematan biaya, dan diagnostik yang lebih baik hanya sebagai permulaan. Tetapi penelitian baru menemukan kerentanan kritis dalam platform ini yang dapat digunakan untuk melumpuhkan operasi jika dibiarkan tanpa tanggung jawab.

Analisis oleh tim peneliti Team82 Claroty yang baru menemukan kerentanan mencolok dalam sistem industri CODESYS dan WAGO, yang menggunakan otomatisasi berbasis cloud untuk teknologi operasional (OT) — segmen yang sering disebut sebagai “Industri 4.0.”

Kerentanan, jika dieksploitasi, dapat menyebabkan konsekuensi serius, termasuk menguasai peralatan dan operasi industri.

Sumber: Claroty

Beberapa jenis eksploitasi dapat dilakukan, tetapi Claroty menandai beberapa catatan. Dalam satu bukti konsep, mereka dapat memodifikasi paket CODESYS Package Designer untuk mengambil kredensial cloud pengguna; serangan melibatkan rekayasa sosial pengguna yang masuk untuk menginstalnya.

Serangan itu akan memungkinkan akses ke konsol manajemen berbasis cloud CODESYS, dimana musuh dapat lebih jauh mengeksploitasi PLC terkelola yang terhubung ke konsol.

WAGO dan CODESYS dengan cepat merespons dengan mitigasi dan patch untuk semua kerentanan yang dilaporkan.

Selengkapnya: Threat Post

Kerentanan Windows 10 baru memungkinkan siapa saja untuk mendapatkan hak istimewa admin

by

Windows 10 dan Windows 11 rentan terhadap peningkatan kerentanan hak istimewa lokal setelah menemukan bahwa pengguna dengan hak istimewa rendah dapat mengakses file database Registry yang sensitif.

Registry Windows bertindak sebagai repositori konfigurasi untuk sistem operasi Windows dan berisi kata sandi hash, penyesuaian pengguna, opsi konfigurasi untuk aplikasi, kunci dekripsi sistem, dan banyak lagi.

File database yang terkait dengan Windows Registry disimpan di bawah folder C:\Windows\system32\config dan dipecah menjadi file yang berbeda seperti SYSTEM, SECURITY, SAM, DEFAULT, dan SOFTWARE.

Karena file ini berisi informasi sensitif tentang semua akun pengguna di perangkat dan token keamanan yang digunakan oleh fitur Windows, file tersebut harus dibatasi agar tidak dilihat oleh pengguna biasa tanpa hak istimewa yang lebih tinggi.

Hal ini terutama berlaku untuk file Security Account Manager (SAM) karena berisi kata sandi hash untuk semua pengguna di sistem, yang dapat digunakan oleh pelaku ancaman untuk mengasumsikan identitas mereka.

Peneliti keamanan Jonas Lykkegaard mengatakan kepada BleepingComputer bahwa dia menemukan file Registry Windows 10 dan Windows 11 yang terkait dengan Security Account Manager (SAM), dan semua database Registry lainnya, dapat diakses oleh grup ‘Pengguna’ yang memiliki hak istimewa rendah pada perangkat.

Dengan izin file yang rendah ini, aktor ancaman dengan hak istimewa terbatas pada perangkat dapat mengekstrak kata sandi hash NTLM untuk semua akun di perangkat dan menggunakan hash tersebut dalam serangan pass-the-hash untuk mendapatkan hak istimewa yang lebih tinggi.

Serangan ini ditunjukkan dalam video di bawah yang dibuat oleh Delpy dan dibagikan dengan BleepingComputer yang menunjukkan Mimikatz menggunakan hash NTLM untuk mendapatkan hak debug.

Selengkapnya: Bleeping Computer

Bug keamanan sistem Linux yang buruk terungkap

by

Systemd, manajer sistem dan layanan Linux yang sebagian besar telah menggantikan init sebagai program startup dan kontrol utama Linux, selalu mendapat kritik.

Sekarang, dengan penemuan bug keamanan systemd baru oleh Qualys, systemd akan mendapatkan lebih banyak kritikan. Eksploitasi yang berhasil dari kerentanan terbaru ini memungkinkan pengguna yang tidak memiliki hak untuk menyebabkan Denial of Service melalui kernel panic.

Seperti yang ditulis oleh Bharat Jogi, manajer senior Qualys untuk Kerentanan dan Signatures, “Mengingat luasnya permukaan serangan untuk kerentanan ini, Qualys merekomendasikan pengguna untuk segera menerapkan patch untuk kerentanan ini”.

Systemd digunakan di hampir semua distribusi Linux modern. Lubang keamanan khusus ini tiba di kode systemd pada April 2015. Ini bekerja dengan memungkinkan penyerang untuk menyalahgunakan fungsi alloca() dengan cara yang akan mengakibatkan kerusakan memori. Ini memungkinkan seorang peretas untuk merusak systemd dan seluruh sistem operasi.

Secara praktis, ini dapat dilakukan oleh penyerang lokal yang memasang sistem file pada jalur yang sangat panjang. Ini menyebabkan terlalu banyak ruang memori untuk digunakan di tumpukan systemd, yang mengakibatkan sistem crash.

Itu berita buruknya. Kabar baiknya adalah bahwa Red Hat Product Security dan pengembang systemd telah segera menambal lubangnya.

Meskipun tidak ada di semua distro Linux saat ini, Anda akan menemukannya di sebagian besar distro seperti Debian 10 (Buster) dan kerabatnya seperti Ubuntu dan Mint. Oleh karena itu, jika Anda ingin komputer Anda tetap berfungsi, Anda harus menambal versi systemd Anda sesegera mungkin.

Selengkapnya: ZDNet

Microsoft Memperingatkan Kerentanan Windows Print Spooler Baru yang Belum Ditambal

by

Microsoft pada hari Kamis membagikan panduan baru tentang kerentanan lain yang memengaruhi layanan Windows Print Spooler, yang menyatakan bahwa itu berfungsi untuk mengatasinya dalam pembaruan keamanan yang akan datang.

Dilacak sebagai CVE-2021-34481 (skor CVSS: 7.8), masalah ini berkaitan dengan cacat eskalasi hak istimewa lokal yang dapat disalahgunakan untuk melakukan tindakan tidak sah pada sistem. Perusahaan memuji peneliti keamanan Jacob Baines karena menemukan dan melaporkan bug tersebut.

“Peningkatan kerentanan hak istimewa terjadi ketika layanan Windows Print Spooler melakukan operasi file yang diistimewakan secara tidak benar. Seorang penyerang yang berhasil mengeksploitasi kerentanan ini dapat menjalankan kode arbitrer dengan hak istimewa SISTEM,” kata pembuat Windows dalam penasehatnya. “Seorang penyerang kemudian dapat menginstal program; melihat, mengubah, atau menghapus data; atau membuat akun baru dengan hak pengguna penuh.”

Namun, perlu ditunjukkan bahwa eksploitasi kerentanan yang berhasil mengharuskan penyerang memiliki kemampuan untuk mengeksekusi kode pada sistem korban. Dengan kata lain, kerentanan ini hanya dapat dieksploitasi secara lokal untuk mendapatkan hak istimewa yang lebih tinggi pada perangkat.

selengkapnya : thehackernews.com

Adobe Menambal 11 Bug Kritis di Pembaca PDF Acrobat Populer

by

Sebelas bug kritis di pembaca PDF Adobe yang populer dan gratis, Acrobat, membuka pengguna Windows dan macOS hingga serangan mulai dari musuh yang mengeksekusi perintah secara sewenang-wenang pada sistem yang ditargetkan hingga kebocoran data yang terkait dengan kelemahan pembacaan sistem dan memori.

Dalam buletin keamanan Selasa, yang menyertakan tambalan untuk semua kekurangan, perusahaan melaporkan bahwa versi Windows dan macOS dari Acrobat sama-sama rentan. Namun Adobe menambahkan bahwa pihaknya tidak mengetahui adanya penyalahgunaan bug di alam liar.

Acrobat Reader 2020 gratis dan perangkat lunak pembuatan dan pengeditan PDF Acrobat 2020 termasuk di antara daftar program dengan bug kritis yang ditambal. Adobe juga menambal Acrobat DC, Acrobat DC Reader, Acrobat Reader 2017 dan Acrobat 2017. Secara keseluruhan, Adobe menambal 20 bug Acrobat, dengan sembilan yang dinilai penting.

Dua dari kerentanan Acrobat yang paling serius adalah kelemahan penggunaan-setelah-bebas (CVE-2021-28641, CVE-2021-28639) yang, dalam skenario terburuk, memungkinkan musuh untuk mengeksekusi kode secara sewenang-wenang pada sistem yang ditargetkan atau hanya membuat aplikasi crash .

selengkapnya : threatpost.com

Microsoft mengatakan kelompok Israel menjual alat untuk meretas Windows

by

Sebuah kelompok Israel menjual alat untuk meretas ke Microsoft Windows, Microsoft dan teknologi lainnya menurut kelompok hak asasi manusia Citizen Lab pada hari Kamis, menyoroti bisnis yang berkembang untuk menemukan dan menjual alat untuk meretas perangkat lunak yang banyak digunakan.

Vendor alat peretasan, bernama Candiru, membuat dan menjual eksploitasi perangkat lunak yang dapat menembus Windows, salah satu dari banyak produk intelijen yang dijual oleh industri rahasia yang menemukan kelemahan pada platform perangkat lunak umum untuk klien mereka, kata laporan Citizen Lab.

Analisis teknis oleh peneliti keamanan merinci bagaimana alat peretasan Candiru menyebar ke seluruh dunia ke banyak pelanggan yang tidak disebutkan namanya, di mana ia kemudian digunakan untuk menargetkan berbagai organisasi masyarakat sipil, termasuk kelompok pembangkang Saudi dan outlet berita Indonesia yang simpatis, lapor Citizen Lab dan acara Microsoft.

Upaya menghubungi Candiru untuk meminta komentar tidak berhasil.

Bukti eksploitasi yang ditemukan oleh Microsoft Corp menunjukkan bahwa itu digunakan terhadap pengguna di beberapa negara, termasuk Iran, Lebanon, Spanyol dan Inggris, menurut laporan Citizen Lab.

“Kehadiran Candiru yang semakin meningkat, dan penggunaan teknologi pengawasannya terhadap masyarakat sipil global, merupakan pengingat kuat bahwa industri spyware bayaran memiliki banyak pemain dan rentan terhadap penyalahgunaan yang meluas,” kata Citizen Lab dalam laporannya.

Microsoft memperbaiki kekurangan yang ditemukan pada hari Selasa melalui pembaruan perangkat lunak. Microsoft tidak secara langsung mengaitkan eksploitasi tersebut dengan Candiru, melainkan menyebutnya sebagai “aktor ofensif sektor swasta yang berbasis di Israel” dengan nama kode Sourgum.

selengkapnya : www.dawn.com

iOS zero-day membiarkan peretas SolarWinds berkompromi dengan iPhone yang sepenuhnya diperbarui

by

Peretas negara Rusia yang mengatur serangan rantai pasokan SolarWinds tahun lalu mengeksploitasi iOS zero-day sebagai bagian dari kampanye email berbahaya terpisah yang bertujuan mencuri kredensial otentikasi Web dari pemerintah Eropa Barat, menurut Google dan Microsoft.

Serangan yang menargetkan CVE-2021-1879, saat zero-day dilacak, mengarahkan pengguna ke domain yang memasang muatan berbahaya pada iPhone yang diperbarui sepenuhnya. Serangan itu bertepatan dengan kampanye oleh peretas yang sama yang mengirimkan malware ke pengguna Windows, kata para peneliti.

Kampanye ini sangat dekat dengan salah satu yang diungkapkan Microsoft pada bulan Mei. Dalam hal itu, Microsoft mengatakan bahwa Nobelium—nama yang digunakan perusahaan untuk mengidentifikasi peretas di balik serangan rantai pasokan SolarWinds—pertama kali berhasil mengkompromikan akun milik USAID, sebuah lembaga pemerintah AS yang mengelola bantuan luar negeri sipil dan bantuan pembangunan. Dengan mengontrol akun agensi untuk perusahaan pemasaran online Constant Contact, peretas dapat mengirim email yang tampaknya menggunakan alamat yang diketahui milik agensi AS.

Pemerintah federal telah mengaitkan serangan rantai pasokan tahun lalu dengan peretas yang bekerja untuk Badan Intelijen Asing Rusia (disingkat SVR). Selama lebih dari satu dekade, SVR telah melakukan kampanye malware yang menargetkan pemerintah, think tank politik, dan organisasi lain di negara-negara seperti Jerman, Uzbekistan, Korea Selatan, dan AS. Target termasuk Departemen Luar Negeri AS dan Gedung Putih pada tahun 2014. Nama lain yang digunakan untuk mengidentifikasi kelompok tersebut termasuk APT29, Dukes, dan Cozy Bear.

selengkapnya : arstechnica.com