Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for News

Server Microsoft Exchange diretas untuk menyebarkan ransomware LockBit

by

Microsoft sedang menyelidiki laporan bug zero-day baru yang disalahgunakan untuk meretas server Exchange yang kemudian digunakan untuk meluncurkan serangan ransomware Lockbit.

Setidaknya dalam satu insiden sejak Juli 2022, penyerang menggunakan web shell yang sebelumnya digunakan pada server Exchange yang disusupi untuk meningkatkan hak istimewa ke admin Active Directory, mencuri sekitar 1,3 TB data, dan mengenkripsi sistem jaringan.

Seperti yang dijelaskan oleh perusahaan keamanan siber Korea Selatan AhnLab, yang ahli analisis forensiknya dipekerjakan untuk membantu penyelidikan, pelaku ancaman hanya membutuhkan waktu seminggu untuk membajak akun admin AD sejak web shell diunggah.

AhnLab mengatakan server Exchange kemungkinan diretas menggunakan “kerentanan zero-day yang tidak diungkapkan,” mengingat korban menerima dukungan teknis dari Microsoft untuk menyebarkan patch keamanan triwulanan setelah kompromi sebelumnya dari Desember 2021.

Seperti yang dikatakan juru bicara Microsoft kepada BleepingComputer sebelumnya, perusahaan sedang “menyelidiki klaim dalam laporan ini dan akan mengambil tindakan apa pun yang diperlukan untuk membantu melindungi pelanggan.”

Selengkapnya: Bleeping Computer

Microsoft October 2022 Patch Tuesday memperbaiki zero-day yang digunakan dalam serangan serta 84 kelemahan

by

Microsoft telah merilis Patch Tuesday bulan Oktober 2022, dan dengan itu datang perbaikan untuk kerentanan Windows yang dieksploitasi secara aktif dan total 84 kelemahan.

Tiga belas dari 84 kerentanan yang diperbaiki dalam pembaruan kali ini diklasifikasikan sebagai ‘Kritis’ karena memungkinkan peningkatan hak istimewa, spoofing, atau eksekusi kode jarak jauh, salah satu jenis kerentanan yang paling parah.

Patch Tuesday bulan ini juga memperbaiki dua kerentanan zero-day, satu secara aktif dieksploitasi dalam serangan dan satu diungkapkan secara publik.

Kerentanan zero-day yang dieksploitasi secara aktif yang diperbaiki kali ini dilacak sebagai ‘CVE-2022-41033 – Windows COM+ Event System Service Elevation of Privilege Vulnerability’.

“Seorang penyerang yang berhasil mengeksploitasi kerentanan ini dapat memperoleh hak istimewa SISTEM,” bunyi nasihat Microsoft.

Kerentanan yang diungkapkan kepada publik dilacak sebagai ‘CVE-2022-41043 – Microsoft Office Information Disclosure Vulnerability’ dan ditemukan oleh Cody Thomas dari SpecterOps. Microsoft mengatakan penyerang dapat menggunakan kerentanan ini untuk mendapatkan akses ke token otentikasi pengguna.

Microsoft meminta pengguna untuk segera menerapkan pembaruan sesegera mungkin untuk melindungi sistem mereka.

Selengkapnya: Bleeping Computer

Serangan siber dilaporkan telah terjadi di bandara AS

by

Beberapa bandara terbesar di AS telah menjadi sasaran serangan siber pada hari Senin oleh seorang penyerang di Federasi Rusia, seorang pejabat senior menjelaskan tentang situasi yang dikonfirmasi kepada ABC News.

Lebih dari selusin situs web bandara terkena dampak serangan “denial of service”, John Hultquist, kepala analisis intelijen di perusahaan keamanan siber Mandiant, mengatakan kepada ABC News. Jenis serangan itu pada dasarnya membebani situs dengan membuat mereka macet dengan pengguna buatan.

“Killnet,” kelompok peretas pro-Rusia, diyakini berada di balik serangan itu, menurut Hultquist. Sementara kelompok serupa telah ditemukan menjadi front bagi aktor yang didukung negara, Hultquist mengatakan tidak ada bukti bahwa pemerintah Rusia terlibat dalam mengarahkan serangan ini.

Serangan pertama kali dilaporkan sekitar pukul 3 pagi ET ketika Otoritas Pelabuhan memberi tahu Badan Keamanan Cybersecurity dan Infrastruktur bahwa sistem Bandara LaGuardia telah diserang. LaGuardia telah dipulihkan, tetapi bandara lain di seluruh negeri kemudian menjadi sasaran.

Kelompok “Killnet” telah aktif sejak awal perang di Ukraina, menargetkan sekutu Ukraina dan baru-baru ini mengklaim kredit karena menghapus situs web pemerintah di AS. Mereka beroperasi secara internasional dan diketahui melakukan serangan di seluruh Eropa, menurut pakar keamanan siber.

Selengkapnya: ABC News

Toyota mengungkapkan kebocoran data setelah adanya access key yang tidak dilindungi di GitHub

by

Toyota Motor Corporation memperingatkan bahwa informasi pribadi pelanggan mungkin telah terungkap setelah access key tersedia untuk umum di GitHub selama hampir lima tahun.

Toyota T-Connect adalah aplikasi konektivitas resmi pembuat mobil yang memungkinkan pemilik mobil Toyota untuk menghubungkan smartphone mereka dengan sistem infotainment kendaraan untuk panggilan telepon, musik, navigasi, integrasi notifikasi, data mengemudi, status mesin, konsumsi bahan bakar, dan banyak lagi.

Toyota baru-baru ini menemukan bahwa sebagian dari kode sumber situs T-Connect salah dipublikasikan di GitHub dan berisi access key ke server data yang menyimpan alamat email pelanggan dan nomor manajemen.

Ini memungkinkan pihak ketiga yang tidak berwenang untuk mengakses detail 296.019 pelanggan antara Desember 2017 dan 15 September 2022, ketika akses ke repositori GitHub dibatasi.

Pengumuman tersebut menjelaskan bahwa nama pelanggan, data kartu kredit, dan nomor telepon tidak dikompromikan karena tidak disimpan dalam database yang terbuka.

Pembuat mobil Jepang menyimpulkan bahwa meskipun tidak ada tanda-tanda penyalahgunaan data, tidak menutup kemungkinan seseorang telah mengakses dan mencuri data tersebut.

Untuk itu, seluruh pengguna T-Connect yang mendaftar antara Juli 2017 hingga September 2022 dihimbau untuk waspada terhadap penipuan phishing dan menghindari membuka lampiran email dari pengirim tidak dikenal yang mengaku dari Toyota.

Selengkapnya: Bleeping Computer

Layanan kafein memungkinkan siapa saja meluncurkan serangan phishing Microsoft 365

by

Platform phishing-as-a-service (PhaaS) bernama ‘Caffeine’ memudahkan pelaku ancaman untuk meluncurkan serangan, menampilkan proses pendaftaran terbuka yang memungkinkan siapa saja untuk masuk dan memulai kampanye phishing mereka sendiri.

Kafein tidak memerlukan undangan atau rujukan, juga tidak memerlukan calon pelaku ancaman untuk mendapatkan persetujuan dari admin di Telegram atau forum peretasan. Karena itu, Caffeine menghilangkan banyak hambatan yang menjadi ciri hampir semua platform semacam ini.

Ciri khas lain dari Caffeine adalah bahwa template phishingnya menargetkan platform Rusia dan Cina, sedangkan sebagian besar platform PhaaS cenderung berfokus pada umpan untuk layanan Barat.

Analis Mandiant menemukan dan menguji Caffeine secara menyeluruh, dan melaporkan bahwa Caffeine adalah PhaaS kaya fitur yang mengkhawatirkan mengingat hambatannya yang rendah untuk masuk.

Dalam hal opsi phishing, beberapa fitur lanjutan yang ditawarkan oleh platform ini meliputi:

  • Mekanisme untuk menyesuaikan skema URL dinamis untuk membantu menghasilkan halaman yang diisi sebelumnya secara dinamis dengan informasi khusus korban.
  • Halaman pengalihan kampanye tahap pertama dan halaman iming-iming terakhir.
  • Opsi pemblokiran IP untuk pemblokiran geografis, pemblokiran berbasis range CIDR, dll.

Selengkapnya: Bleeping Computer

Fortinet mengatakan bug bypass auth kritis dieksploitasi dalam serangan

by

Fortinet telah mengkonfirmasi bahwa kerentanan keamanan bypass otentikasi kritis yang ditambal minggu lalu sedang dieksploitasi di alam liar.

Kelemahan keamanan (CVE-2022-40684) adalah bypass autentikasi pada antarmuka administratif yang memungkinkan pelaku ancaman jarak jauh untuk masuk ke firewall FortiGate, proxy web FortiProxy, dan FortiSwitch Manager (FSWM).

“Sebuah bypass otentikasi menggunakan jalur alternatif atau kerentanan saluran [CWE-288] di FortiOS, FortiProxy dan FortiSwitchManager memungkinkan penyerang yang tidak diautentikasi untuk melakukan operasi pada antarmuka administratif melalui permintaan HTTP atau HTTPS yang dibuat khusus,” kata Fortinet dalam sebuah advisory.

Perusahaan tersebut merilis pembaruan keamanan untuk mengatasi kelemahan ini pada hari Kamis. Mereka juga memperingatkan beberapa pelanggannya melalui email untuk menonaktifkan antarmuka pengguna manajemen jarak jauh pada perangkat yang terpengaruh “dengan sangat mendesak.”

Fortinet telah merilis security patch dan meminta pelanggan untuk memperbarui perangkat yang rentan ke FortiOS 7.0.7 atau 7.2.2 dan yang lebih baru, FortiProxy 7.0.7 atau 7.2.1 dan yang lebih baru, dan FortiSwitchManager 7.2.1 atau yang lebih baru untuk mempertahankan perangkat mereka dari serangan.

Fortinet juga memberikan informasi tentang bagaimana pelanggan dapat memblokir serangan yang masuk meskipun mereka tidak dapat segera memasang pembaruan keamanan.

Selengkapnya: Fortiguard | Bleeping Computer

Peneliti Merinci Alat Berbahaya yang Digunakan oleh Kelompok Siber Spionase Earth Aughisky

by

Sebuah penelitian baru telah merinci sifat perangkat malware yang semakin canggih yang digunakan oleh kelompok ancaman persisten tingkat lanjut (APT) bernama Earth Aughisky.

“Selama dekade terakhir, grup ini terus melakukan penyesuaian dalam alat dan penyebaran malware pada target tertentu yang berlokasi di Taiwan dan, baru-baru ini, Jepang,” ungkap Trend Micro dalam profil teknis minggu lalu.

Earth Aughisky, juga dikenal sebagai Taidoor, adalah kelompok siber spionase yang dikenal karena kemampuannya untuk menyalahgunakan akun, perangkat lunak, aplikasi, dan kelemahan lain yang sah dalam desain dan infrastruktur jaringan untuk tujuan mereka sendiri.

Vertikal industri yang paling sering ditargetkan termasuk pemerintah, telekomunikasi, manufaktur, alat berat, teknologi, transportasi, dan perawatan kesehatan.

Rantai serangan yang dipasang oleh grup biasanya memanfaatkan spear-phishing sebagai metode awal masuk, menggunakannya untuk menyebarkan backdoor tahap berikutnya. Yang utama di antara alat-alatnya adalah trojan akses jarak jauh yang disebut Taidoor (alias Roudan).

Beberapa pintu backdoor terkenal lainnya yang digunakan oleh Earth Aughisky selama bertahun-tahun adalah sebagai berikut:

  • SiyBot, backdoor dasar yang menggunakan layanan publik seperti Gubb dan 30 Box untuk command-and-control (C2)
  • TWTRAT, yang menyalahgunakan fitur pesan langsung Twitter untuk C2
  • DropNetClient (alias Buxzop), yang memanfaatkan API Dropbox untuk C2

Selengkapnya: The Hacker News

Multitool Kriminal LilithBot Hadir Di Kancah Malware-as-a-service

by

Kelompok ancaman yang berbasis di Rusia yang mendirikan toko distribusi malware awal tahun ini berada di belakang botnet yang dilengkapi dengan berbagai kemampuan jahat, mulai dari mencuri informasi hingga menambang cryptocurrency.

Itu menurut para peneliti di unit intelijen ancaman ThreatLabz Zscaler. Dikatakan grup Eternity – juga dikenal sebagai EternityTeam dan Eternity Project – menawarkan malware LilithBot multifungsi melalui grup Telegram khusus dan tautan Tor di mana penjahat dunia maya dapat memperoleh berbagai muatan melalui langganan.

Grup malware as a service (MaaS) telah aktif setidaknya sejak Januari, mendistribusikan berbagai modul di bawah merek Eternity yang – bersama dengan malware pencuri dan penambang – termasuk ransomware, bot distributed denial of service (DDoS), worm and dropper, dan clipper yang memalsukan alamat crypto di dompet, tulis para peneliti dalam sebuah laporan.

Beberapa kelompok ancaman beralih ke model as-a-service sebagai penghasil pendapatan utama mereka atau sebagai sumber pendapatan tambahan untuk melengkapi aktivitas jahat mereka yang lain. Tidak hanya mencakup MaaS tetapi juga ransomware dan access-as-a-service, di mana sebuah grup akan mendapatkan akses awal ke jaringan perusahaan dan kemudian menjual akses itu ke penjahat dunia maya lainnya.

Selengkapnya: The Register