Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for News

Peretas Mulai Mengeksploitasi Kerentanan Teks Apache Commons “Text4Shell” Kritis

by

Perusahaan keamanan WordPress Wordfence pada hari Kamis mengatakan mulai mendeteksi upaya eksploitasi yang menargetkan cacat yang baru diungkapkan di Apache Commons Text pada 18 Oktober 2022.

Kerentanan, dilacak sebagai CVE-2022-42889 alias Text4Shell, telah diberi peringkat keparahan 9,8 dari kemungkinan 10,0 pada skala CVSS dan memengaruhi versi 1,5 hingga 1,9 dari perpustakaan.

Ini juga mirip dengan kerentanan Log4Shell yang sekarang terkenal karena masalah berakar pada cara substitusi string yang dilakukan selama pencarian DNS, skrip, dan URL dapat menyebabkan eksekusi kode arbitrer pada sistem yang rentan saat meneruskan input yang tidak tepercaya.

“Penyerang dapat mengirim muatan yang dibuat dari jarak jauh menggunakan pencarian ‘script,’ ‘dns,’ dan ‘url’ untuk mencapai eksekusi kode jarak jauh yang sewenang-wenang,” tim Zscaler ThreatLabZ menjelaskan.

Eksploitasi cacat yang berhasil dapat memungkinkan aktor ancaman untuk membuka koneksi shell terbalik dengan aplikasi yang rentan hanya melalui muatan yang dibuat khusus, secara efektif membuka pintu untuk serangan lanjutan.

Pengguna yang memiliki ketergantungan langsung pada Apache Commons Text disarankan untuk meningkatkan ke versi tetap untuk mengurangi potensi ancaman. Menurut Maven Repository, sebanyak 2.593 proyek menggunakan perpustakaan, meskipun Flashpoint mencatat bahwa sangat sedikit dari yang terdaftar menggunakan metode yang rentan.

Cacat Teks Apache Commons juga mengikuti kelemahan keamanan kritis lainnya yang diungkapkan dalam Konfigurasi Apache Commons pada Juli 2022 (CVE-2022-33980, skor CVSS: 9,8), yang dapat mengakibatkan eksekusi kode arbitrer melalui fungsionalitas interpolasi variabel.

Selengkapnya: The Hacker News

BlackByte ransomware menggunakan alat pencurian data baru untuk pemerasan ganda

by

Afiliasi ransomware BlackByte menggunakan alat pencurian data khusus baru yang disebut ‘ExByte’ untuk mencuri data dari perangkat Windows yang disusupi dengan cepat.

Eksfiltrasi data diyakini sebagai salah satu fungsi terpenting dalam serangan pemerasan ganda, dengan BleepingComputer mengatakan bahwa perusahaan lebih sering membayar permintaan tebusan untuk mencegah kebocoran data daripada menerima decryptor.

Karena itu, operasi ransomware, termasuk ALPHV dan LockBit, terus berupaya meningkatkan alat pencurian data mereka.

Pada saat yang sama, pelaku ancaman lainnya, seperti Karakurt, bahkan tidak repot-repot mengenkripsi salinan lokal, hanya berfokus pada eksfiltrasi data.

Exbyte ditemukan oleh peneliti keamanan di Symantec, yang mengatakan bahwa pelaku ancaman menggunakan alat eksfiltrasi berbasis Go untuk mengunggah file curian langsung ke layanan penyimpanan cloud Mega.

Setelah dieksekusi, alat ini melakukan pemeriksaan anti-analisis untuk menentukan apakah itu berjalan di lingkungan kotak pasir dan memeriksa proses debugger dan anti-virus.

Biner ransomware BlackByte juga menerapkan pengujian yang sama ini, tetapi alat eksfiltrasi perlu menjalankannya secara independen karena eksfiltrasi data dilakukan sebelum enkripsi file.

Jika tesnya bersih, Exbyte menghitung semua file dokumen pada sistem yang dilanggar dan mengunggahnya ke folder yang baru dibuat di Mega menggunakan kredensial akun yang di-hardcode.

“Selanjutnya, Exbyte menghitung semua file dokumen di komputer yang terinfeksi, seperti file .txt, .doc, dan .pdf, dan menyimpan path lengkap dan nama file ke %APPDATA%\dummy,” jelas laporan Symantec.

Selengkapnya: Bleeping Computer

Bug VMware dengan peringkat keparahan 9,8 dieksploitasi untuk menginstal malware buatan penyihir

by

Peretas telah mengeksploitasi kerentanan yang sekarang ditambal di VMware Workspace ONE Access dalam kampanye untuk menginstal berbagai ransomware dan penambang cryptocurrency, seorang peneliti di perusahaan keamanan Fortinet mengatakan pada hari Kamis.

CVE-2022-22954 adalah kerentanan eksekusi kode jarak jauh di VMware Workspace ONE Access yang membawa peringkat keparahan 9,8 dari kemungkinan 10. VMware mengungkapkan dan menambal kerentanan pada 6 April.

Dalam 48 jam, peretas merekayasa balik pembaruan dan mengembangkan eksploitasi kerja yang kemudian mereka gunakan untuk mengkompromikan server yang belum menginstal perbaikan.

Akses VMware Workspace ONE membantu administrator mengonfigurasi rangkaian aplikasi yang dibutuhkan karyawan di lingkungan kerja mereka.

Pada bulan Agustus, para peneliti di Fortiguard Labs melihat lonjakan tiba-tiba dalam upaya eksploitasi dan perubahan besar dalam taktik. Padahal sebelum para peretas memasang muatan yang memanen kata sandi dan mengumpulkan data lain, gelombang baru membawa sesuatu yang lain—khususnya, ransomware yang dikenal sebagai RAR1ransom, penambang cryptocurrency yang dikenal sebagai GuardMiner, dan Mirai, perangkat lunak yang menyatukan perangkat Linux menjadi botnet besar untuk digunakan dalam serangan penolakan layanan terdistribusi.

“Meskipun kerentanan kritis CVE-2022-22954 sudah ditambal pada bulan April, masih ada beberapa kampanye malware yang mencoba mengeksploitasinya,” tulis peneliti Fortiguard Labs Cara Lin.

Penyerang, tambahnya, menggunakannya untuk menyuntikkan muatan dan mencapai eksekusi kode jarak jauh pada server yang menjalankan produk.

Selengkapnya: ars TECHNICA

CYBERCOM melaksanakan operasi pertahanan dunia maya global

by

Komando Siber A.S. melakukan konsep operasi ruang siber defensif baru dari 3-14 Oktober 2022.

Operasi ini dimaksudkan untuk menyoroti dan meningkatkan interoperabilitas CYBERCOM dengan mitra. Dengan meningkatkan konsistensi informasi dan berbagi wawasan dengan mitra aksi terpadu, kami meningkatkan keamanan dan stabilitas jaringan, sistem, dan tindakan nasional kami saat melawan aktivitas siber berbahaya.

Operasi 10 hari ini difokuskan secara internal dan dimaksudkan untuk mencari, mengidentifikasi, dan mengurangi malware yang diketahui publik dan variasi terkait yang berpotensi memengaruhi keamanan siber kami. Dimulai dengan malware yang dikenal atau variasinya memungkinkan operator untuk meningkatkan proses dan koordinasi dengan komando kombatan, antarlembaga, internasional, industri, dan mitra akademik. Jika dan ketika operator mengidentifikasi ancaman, wawasan mereka dibagikan di antara semua mitra.

“Di bawah kerangka ini, operasi tersebut merupakan kegiatan berkelanjutan yang dirancang untuk memperkuat ketahanan Jaringan Informasi Departemen Pertahanan (DODIN) dan sistem pendukung lainnya,” kata Laksamana Muda Angkatan Laut AS Matthew C. Paradise, wakil direktur, Operasi J-3 , CYBERCOM. “Operasi Ruang Siber Defensif membantu CYBERCOM memenuhi tanggung jawab misinya dengan mengaktifkan dan meningkatkan jaminan misi pasukan gabungan, serta sekutu dan mitra kami, dengan mempertahankan jaringan yang andal dan dapat dipertahankan,” tambah Paradise.

Operasi defensif ini dilakukan secara bersamaan di berbagai jaringan DOD dan secara global dengan mitra yang berpartisipasi.

Sumber: U.S. Cyber Command

Cacat RCE Teks Apache Commons, Haruskah Anda khawatir?

by

Cacat eksekusi kode jarak jauh (RCE) di library Teks Apache Commons membuat beberapa orang khawatir bahwa itu bisa berubah menjadi Log4Shell berikutnya. Namun, sebagian besar peneliti keamanan siber mengatakan itu sama sekali tidak mengkhawatirkan.

Apache Commons Text adalah library Java open-source populer dengan “sistem interpolasi” yang memungkinkan pengembang untuk memodifikasi, mendekode, menghasilkan, dan melepaskan string berdasarkan pencarian string yang dimasukkan.

Misalnya, meneruskan pencarian string ${base64Decoder:SGVsbG9Xb3JsZCE=} ke sistem interpolasi akan menyebabkan library mengonversinya ke nilai dekode base64 ‘HelloWorld!’.

Kerentanan CVE-2022-42889 baru di Apache Commons Text, dijuluki “Text4Shell,” disebabkan oleh evaluasi skrip yang tidak aman oleh sistem interpolasi yang dapat memicu eksekusi kode saat memproses input berbahaya dalam konfigurasi default library.

Masalah ini ditemukan oleh analis ancaman GitHub Alvaro Munoz dan dilaporkan ke Apache pada 9 Maret 2022.

Namun, pengembang library open-source membutuhkan waktu 7 bulan, hingga 12 Oktober 2022, untuk merilis perbaikan di versi 1.10.0, yang menonaktifkan interpolasi.

Haruskah Anda khawatir?
Karena penyebaran library yang rentan secara luas, dan karena cacat tersebut memengaruhi versi yang ada sejak 2018, beberapa awalnya khawatir bahwa itu dapat menyebabkan kerusakan yang meluas seperti kerentanan Log4Shell.

Namun berdasarkan laporan dari Rapid7, tidak semua versi antara 1.5 dan 1.9 tampak rentan dan bahwa potensi eksploitasinya terhubung ke versi JDK yang digunakan.

Bahkan dengan eksploitasi proof of concept (PoC) yang diperbarui menggunakan mesin JEXL sebagai jalur eksploitasi melewati batasan JDK, para peneliti masih tidak terlalu khawatir.

Tim keamanan Apache mengatakan bahwa cakupan kelemahannya tidak seserius Log4Shell, menjelaskan bahwa interpolasi string adalah fitur yang terdokumentasi. Oleh karena itu, kecil kemungkinannya bahwa aplikasi yang menggunakan library akan secara tidak sengaja melewatkan input yang tidak aman tanpa validasi.

Sementara kelemahan tingkat keparahan kritis tetap tidak ditambal selama tujuh bulan dan terpapar pada upaya eksploitasi, tidak ada laporan pelecehan di alam liar bahkan setelah eksploitasi dilepaskan.

Meskipun kita mungkin akan melihat beberapa aktor ancaman yang mengeksploitasi CVE-2022-42889 di masa depan, mungkin cakupannya akan terbatas.

Untuk saat ini, pengguna disarankan untuk meningkatkan ke versi 1.10 atau yang lebih baru sesegera mungkin untuk memperbaiki kekurangannya.

Sumber: Bleeping Computer

Peretas menggunakan pintu belakang PowerShell tersembunyi baru untuk menargetkan 60+ korban

by

Backdoor PowerShell yang sebelumnya tidak terdokumentasi dan sepenuhnya tidak terdeteksi sedang digunakan secara aktif oleh aktor ancaman yang menargetkan setidaknya 69 entitas.

Berdasarkan fitur-fiturnya, malware ini dirancang untuk spionase siber, terutama terlibat dalam pemusnahan data dari sistem yang disusupi.

Saat pertama kali terdeteksi, backdoor PowerShell tidak dianggap berbahaya oleh vendor mana pun di layanan pemindaian VirusTotal.

Namun, penyamarannya terbongkar karena kesalahan operasional oleh peretas, memungkinkan analis SafeBreach untuk mengakses dan mendekripsi perintah yang dikirim oleh penyerang untuk dieksekusi pada perangkat yang terinfeksi.

Serangan dimulai dengan kedatangan email phishing dengan lampiran dokumen berbahaya bernama “Terapkan Form.docm.” Berdasarkan konten file dan metadata, kemungkinan bertema aplikasi pekerjaan berbasis LinkedIn.

Umpan dokumen yang berisi makro (SafeBreach)

Dokumen tersebut berisi makro berbahaya yang menjatuhkan dan menjalankan skrip ‘updater.vbs’ yang membuat tugas terjadwal untuk meniru pembaruan Windows rutin.

Skrip VBS kemudian mengeksekusi dua skrip PowerShell, “Script.ps1” dan “Temp.ps1,” yang keduanya disimpan di dalam dokumen berbahaya dalam bentuk yang dikaburkan.

Saat SafeBreach pertama kali menemukan skrip, tidak ada vendor antivirus di VirusTotal yang mendeteksi skrip PowerShell sebagai berbahaya.

VirusTotal mengembalikan pemindaian bersih pada kedua skrip (SafeBreach)

“Script.ps1” terhubung ke server perintah dan kontrol penyerang (C2), mengirimkan ID korban ke operator, dan kemudian menunggu perintah yang diterima dalam bentuk terenkripsi AES-256 CBC.

Berdasarkan jumlah ID, analis SafeBreach menyimpulkan bahwa C2 pelaku ancaman telah mencatat 69 ID sebelumnya, yang kemungkinan merupakan perkiraan jumlah komputer yang dilanggar.

Skrip “Temp.ps1” mendekode perintah dalam respons, mengeksekusinya, lalu mengenkripsi dan mengunggah hasilnya melalui permintaan POST ke C2.

SafeBreach memanfaatkan ID korban yang dapat diprediksi dan membuat skrip yang dapat mendekripsi perintah yang dikirim ke masing-masing dari mereka.

Analis menemukan bahwa dua pertiga dari perintah adalah untuk mengekstrak data, dengan yang lain digunakan untuk enumerasi pengguna, daftar file, penghapusan file dan akun, dan enumerasi klien RDP.

Backdoor PowerShell ini adalah contoh karakteristik dari ancaman tersembunyi yang tidak diketahui yang digunakan dalam serangan terhadap sistem pengguna pemerintah, perusahaan, dan pribadi.

Pembela tidak hanya perlu diberi tahu tentang ancaman yang diketahui atau yang muncul, tetapi juga untuk memperhitungkan vektor yang tidak diketahui yang mungkin mampu melewati langkah-langkah keamanan dan pemindaian AV.

Sementara beberapa mesin AV dapat mendeteksi perilaku berbahaya secara heuristik dalam skrip PowerShell, pelaku ancaman terus mengembangkan kode mereka untuk melewati deteksi ini.

Cara terbaik untuk mencapai ini adalah dengan menerapkan pembaruan keamanan secepat mungkin, membatasi akses jarak jauh ke titik akhir, mengikuti prinsip hak istimewa paling rendah, dan memantau lalu lintas jaringan secara teratur.

Sumber: Bleeping Computer

Peretas mengkompromikan jaringan agen pemerintah Hong Kong selama setahun

by

Para peneliti di Symantec telah menemukan serangan siber yang dikaitkan dengan aktor spionase terkait China APT41 (alias Winnti) yang melanggar lembaga pemerintah di Hong Kong dan tidak terdeteksi selama satu tahun dalam beberapa kasus.

Pelaku ancaman telah menggunakan malware khusus yang disebut Spyder Loader, yang sebelumnya dikaitkan dengan grup.

Pada Mei 2022, para peneliti di Cybereason menemukan ‘Operasi CuckooBees’, yang telah berlangsung sejak 2019 dengan fokus pada perusahaan teknologi tinggi dan manufaktur di Amerika Utara, Asia Timur, dan Eropa Barat.

Laporan Symantec mencatat bahwa ada tanda-tanda bahwa aktivitas Hong Kong yang baru ditemukan adalah bagian dari operasi yang sama, dan target Winnti adalah lembaga pemerintah di wilayah administrasi khusus.

Dalam Operasi CuckooBees, Winnti menggunakan versi baru dari pintu belakang Spyder Loader. Laporan Symantec menunjukkan bahwa peretas terus mengembangkan malware, menyebarkan beberapa varian pada target, semuanya dengan fungsi yang sama.

Beberapa kesamaan yang ditemukan Symantec jika dibandingkan dengan versi yang dianalisis oleh Cybereason antara lain:

  • menggunakan perpustakaan CryptoPP C++
  • penyalahgunaan rundll32.exe untuk eksekusi pemuat malware
  • dikompilasi sebagai salinan modifikasi DLL 64-bit dari SQLite3 DLL untuk mengelola database SQLite, sqlite3.dll, dengan ekspor berbahaya (sqlite3_extension_init)

Digunakan pada tahap infeksi awal, Spyder Loader memuat gumpalan terenkripsi AES yang membuat muatan tahap berikutnya, “wlbsctrl.dll.”

Analis Symantec juga mengamati penyebaran ekstraktor kata sandi Mimikatz dalam kampanye terbaru, yang memungkinkan pelaku ancaman untuk menggali lebih dalam ke jaringan korban.

Selain itu, para peneliti melihat “ZLib DLL trojan yang memiliki beberapa ekspor berbahaya, salah satunya tampaknya menunggu komunikasi dari server perintah-dan-kontrol, sementara yang lain akan memuat muatan dari nama file yang disediakan di baris perintah. .”

Meskipun Symantec tidak dapat mengambil muatan terakhir, tampaknya tujuan dalam kampanye terbaru APT41 adalah untuk mengumpulkan intelijen dari entitas kunci di Hong Kong.

Sumber: Bleeping Computer

Pelanggaran data Microsoft mengekspos data pelanggan

by

Microsoft telah mengatakan bahwa beberapa informasi sensitif pelanggannya diekspos oleh server Microsoft yang salah konfigurasi yang dapat diakses melalui Internet.

Perusahaan mengamankan server setelah diberitahu tentang kebocoran pada 24 September 2022 oleh peneliti keamanan di perusahaan intelijen ancaman SOCRadar.

“Konfigurasi yang salah ini mengakibatkan potensi akses yang tidak diautentikasi ke beberapa data transaksi bisnis yang terkait dengan interaksi antara Microsoft dan calon pelanggan, seperti perencanaan atau implementasi potensial dan penyediaan layanan Microsoft,” ungkap perusahaan tersebut.

Menurut Microsoft, informasi yang terbuka mencakup nama, alamat email, konten email, nama perusahaan, dan nomor telepon, serta file yang ditautkan ke bisnis antara pelanggan yang terpengaruh dan Microsoft atau mitra resmi Microsoft.

Redmond menambahkan bahwa kebocoran itu disebabkan oleh “kesalahan konfigurasi yang tidak disengaja pada titik akhir yang tidak digunakan di seluruh ekosistem Microsoft” dan bukan karena kerentanan keamanan.

SOCRadar mengungkapkan bahwa data disimpan di Azure Blob Storage yang salah konfigurasi. Secara total, SOCRadar mengklaim dapat menautkan informasi sensitif ini ke lebih dari 65.000 entitas dari 111 negara yang disimpan dalam file tertanggal 2017 hingga Agustus 2022.

Perusahaan intel ancaman menambahkan bahwa, dari analisisnya, data yang bocor “termasuk dokumen Proof-of-Execution (PoE) dan Pernyataan Kerja (SoW), informasi pengguna, pesanan/penawaran produk, detail proyek, PII (Informasi Identifikasi Pribadi)) data, dan dokumen yang dapat mengungkapkan kekayaan intelektual.”

Microsoft menambahkan hari ini bahwa mereka percaya SOCRadar “sangat melebih-lebihkan ruang lingkup masalah ini” dan “angkanya.”

Lebih lanjut, Redmond mengatakan bahwa keputusan SOCRadar untuk mengumpulkan data dan membuatnya dapat dicari menggunakan portal pencarian khusus “bukan demi memastikan privasi atau keamanan pelanggan dan berpotensi mengekspos mereka pada risiko yang tidak perlu.”

Portal pencarian kebocoran data SOCRadar bernama BlueBleed yang memungkinkan perusahaan untuk menemukan apakah info sensitif mereka juga terpapar dengan data yang bocor.

Selain apa yang ditemukan di dalam server Microsoft yang salah konfigurasi, BlueBleed juga memungkinkan pencarian data yang dikumpulkan dari lima ember penyimpanan publik lainnya.

Di server Microsoft saja, SOCRadar mengklaim telah menemukan 2,4 TB data yang berisi informasi sensitif, dengan lebih dari 335.000 email, 133.000 proyek, dan 548.000 pengguna yang terpapar ditemukan saat menganalisis file yang bocor hingga sekarang.

Berdasarkan analisis SOCRadar, file-file ini berisi email pelanggan, dokumen SOW, penawaran produk, karya POC (Proof of Concept), detail ekosistem mitra, faktur, detail proyek, daftar harga produk pelanggan, dokumen POE, pesanan produk, dokumen pelanggan yang ditandatangani, komentar internal untuk pelanggan, strategi penjualan, dan dokumen aset pelanggan.

Sumber: Bleeping Computer