Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for News

Pembaharuan sistem KB5017308 Windows 10 menyebabkan masalah dengan pengaturan Group Policy

by

Pembaruan kumulatif Windows 10 KB5017308 yang dirilis Patch Selasa ini dilaporkan menyebabkan masalah Group Policy Object (GPO), menurut laporan admin.

Menurut laporan yang dibagikan di beberapa jejaring sosial dan komunitas online Microsoft, operasi file GPO tidak akan berfungsi lagi karena mereka tidak dapat lagi membuat atau menyalin pintasan dengan benar setelah menginstal KB5017308.

“Secara khusus, kami menyalin file batch ke dokumen publik, lalu menyalin pintasan ke desktop pengguna saat ini untuk menjalankannya,” kata seorang admin di Reddit.

“Sejak pembaruan, ikon tidak ditransfer untuk pintasan (yaitu ikon kosong sekarang) dan file batch sebenarnya kosong saat disalin.”

Yang lain mengkonfirmasi masalah ini di situs web Komunitas Microsoft, mengatakan bahwa semua pintasan yang dibuat oleh GPO “dibuat kosong dengan 0 byte dan tidak ada info ke mana pintasan “mengarah.”

Meskipun Microsoft belum secara resmi mengakui masalah ini dan memberikan perbaikan atau solusi, beberapa admin Windows telah melaporkan bahwa menghapus centang pada opsi “Jalankan dalam konteks keamanan pengguna” pada GPO yang terpengaruh akan mengatasi masalah pembuatan pintasan.

Yang lain juga menyarankan perbaikan yang lebih radikal yang memerlukan penghapusan dan penyembunyian pembaruan kumulatif KB5017308 secara manual.

“Untuk menghapus LCU setelah menginstal paket SSU dan LCU gabungan, gunakan opsi baris perintah DISM/Hapus-Paket dengan nama paket LCU sebagai argumen. Anda dapat menemukan nama paket dengan menggunakan perintah ini: DISM /online /get- paket,” kata Microsoft.

“Menjalankan Windows Update Standalone Installer (wusa.exe) dengan sakelar /uninstall pada paket gabungan tidak akan berfungsi karena paket gabungan berisi SSU. Anda tidak dapat menghapus SSU dari sistem setelah penginstalan.”

Namun, penting untuk disebutkan bahwa, karena Microsoft menggabungkan semua perbaikan keamanan ke dalam satu pembaruan, menghapus KB5017308 dapat menyelesaikan bug tetapi juga akan menghapus semua perbaikan untuk kerentanan keamanan yang baru saja ditambal.

Selengkapnya: Bleeping Computer

Alarm atas serangan siber layanan kesehatan semakin keras / FBI memperingatkan organisasi layanan kesehatan bahwa perangkat medis bisa menjadi risiko besar

by

Alarm keamanan siber telah berdering keras di industri layanan kesehatan bulan ini. FBI memperingatkan fasilitas kesehatan bahwa perangkat medis (seperti monitor pasien atau pompa infus) sering berjalan pada perangkat lunak usang yang rentan terhadap peretasan.

Serangkaian peringatan datang dengan kesadaran yang berkembang tentang betapa berbahayanya celah keamanan siber dalam layanan kesehatan. Organisasi layanan kesehatan semakin bergantung pada perangkat yang terhubung ke internet untuk melakukan hal-hal seperti melacak catatan pasien dan memberikan obat-obatan. Dan mereka semakin menjadi target serangan ransomware, yang dapat mencuri data dan mematikan sistem yang mereka gunakan untuk memberikan perawatan.

Para ahli menghabiskan waktu bertahun-tahun dengan frustrasi karena rumah sakit tidak menganggap serius keamanan siber. Namun selama pandemi COVID-19, gelombang itu mulai bergeser. Dengan peringatannya minggu ini, FBI bergabung dengan Kongres dalam menangani kerentanan perangkat medis secara serius – awal musim panas ini, para senator mengusulkan undang-undang yang akan mengharuskan Food and Drug Administration untuk mengeluarkan pedoman yang lebih teratur seputar keamanan siber perangkat medis. FDA juga meminta lebih banyak kekuatan untuk membuat aturan seputar keamanan siber.

Insiden seperti peretasan di Pusat Medis OakBend sangat umum akhir-akhir ini sehingga mereka hampir tidak terdaftar di barometer berita nasional. Kebanyakan orang tidak menyadari bahwa itu terjadi secara teratur – atau bahwa itu sangat berbahaya.

Tetapi dengan hal-hal seperti tindakan kongres dan peringatan FBI yang meningkat, para ahli berharap bahwa keamanan siber akhirnya mulai menjadi prioritas. “Saya yakin kami membuat langkah untuk akhirnya benar-benar menangani ransomware,” Oscar Miranda, kepala teknologi untuk perawatan kesehatan di perusahaan keamanan siber Armis, mengatakan kepada The Verge tahun lalu.

Selengkapnya: The Verge

Pranksters di Twitter menggagalkan bot GPT-3 dengan peretasan “prompt injection” yang baru ditemukan

by

Pada hari Kamis, beberapa pengguna Twitter menemukan cara membajak bot tweet otomatis, yang didedikasikan untuk pekerjaan jarak jauh, yang berjalan pada model bahasa GPT-3 oleh OpenAI. Menggunakan teknik yang baru ditemukan yang disebut “promt injection attack”, mereka mengarahkan bot untuk mengulangi frasa yang memalukan dan konyol.

Bot dijalankan oleh Remoteli.io, sebuah situs yang mengumpulkan peluang kerja jarak jauh dan menggambarkan dirinya sebagai “bot berbasis OpenAI yang membantu Anda menemukan pekerjaan jarak jauh yang memungkinkan Anda bekerja dari mana saja.” Biasanya akan menanggapi tweet yang diarahkan padanya dengan pernyataan umum tentang hal-hal positif dari pekerjaan jarak jauh. Setelah eksploitasi menjadi viral dan ratusan orang mencoba eksploitasi untuk diri mereka sendiri, bot ditutup kemarin malam.

Peretasan ini terjadi hanya empat hari setelah peneliti data Riley Goodside menemukan kemampuan untuk meminta GPT-3 dengan “input berbahaya” yang memerintahkan model untuk mengabaikan petunjuk sebelumnya dan melakukan hal lain sebagai gantinya. Peneliti AI Simon Willison memposting garis besar eksploitasi di blognya pada hari berikutnya, menciptakan istilah “prompt injection” untuk menggambarkannya.

“Eksploitasi hadir kapan saja ada orang yang menulis perangkat lunak yang berfungsi dengan memberikan serangkaian instruksi cepat yang diprogram dan kemudian menambahkan input yang disediakan oleh pengguna,” kata Willison kepada Ars. “Hal tersebut dikarenakan pengguna dapat mengetik ‘Abaikan instruksi sebelumnya dan (lakukan ini sebagai gantinya).'”

Selengkapnya: ars TECHNICA

Kematian Ratu Elizabeth II dieksploitasi untuk mencuri kredensial Microsoft

by

Pelaku ancaman mengeksploitasi kematian Ratu Elizabeth II dalam serangan phishing untuk memikat target mereka ke situs yang mencuri kredensial akun Microsoft mereka.

Selain detail akun Microsoft, penyerang juga berusaha mencuri kode otentikasi multi-faktor (MFA) korban mereka untuk mengambil alih akun mereka.

Dalam kampanye yang ditemukan oleh Proofpoint, aktor phishing menyamar sebagai “tim Microsoft” dan mencoba memancing penerima untuk menambahkan memo mereka ke papan memori online “untuk mengenang Yang Mulia Ratu Elizabeth II.”

Setelah mengklik tombol yang disematkan di dalam email phishing, target malah dikirim ke halaman arahan phishing di mana mereka diminta untuk memasukkan kredensial Microsoft mereka terlebih dahulu.

Contoh email phishing (Proofpoint)

Penyerang menggunakan platform reverse-proxy Phishing-as-a-Service (PaaS) baru yang dikenal sebagai EvilProxy yang dipromosikan di forum clearnet dan dark web hacking, yang memungkinkan aktor ancaman berketerampilan rendah mencuri token otentikasi untuk melewati MFA.

Pusat Keamanan Siber Nasional Inggris memperingatkan pada hari Selasa tentang peningkatan risiko penjahat dunia maya mengeksploitasi kematian Ratu untuk keuntungan mereka sendiri dalam kampanye phishing dan penipuan lainnya.

“Sementara NCSC – yang merupakan bagian dari GCHQ – belum melihat bukti ekstensif tentang hal ini, seperti biasa Anda harus menyadari kemungkinan itu dan memperhatikan email, pesan teks, dan komunikasi lain mengenai kematian Yang Mulia Raja. Ratu dan pengaturan pemakamannya,” kata NCSC.

Meskipun aktivitas berbahaya ini tampaknya terbatas, NCSC telah melihat serangan phishing tersebut dan saat ini sedang menyelidikinya.

Sumber juga mengatakan bahwa NCSC mengetahui pesan phishing di mana penyerang berusaha mengelabui calon korban agar menyerahkan informasi sensitif, termasuk rincian perbankan.

“Tujuannya sering kali membuat Anda mengunjungi situs web, yang mungkin mengunduh virus ke komputer Anda, atau mencuri detail bank atau informasi pribadi lainnya.”

Paket malware baru menyebar sendiri melalui video game YouTube

by

Bundel malware baru menggunakan saluran YouTube korban untuk mengunggah video tutorial berbahaya yang mengiklankan cheat dan crack palsu untuk video game populer untuk menyebarkan paket berbahaya lebih jauh.

Bundel malware yang menyebar sendiri telah dipromosikan di video YouTube yang menargetkan penggemar yang bermain FIFA, Final Fantasy, Forza Horizon, Lego Star Wars, dan Spider-Man.

Video yang diunggah ini berisi tautan untuk mengunduh crack dan cheat palsu, tetapi pada kenyataannya, mereka memasang bundel malware yang menyebar sendiri yang menginfeksi pengunggah.

Dalam laporan baru oleh Kaspersky, para peneliti menemukan arsip RAR yang berisi kumpulan malware, terutama RedLine, yang saat ini merupakan salah satu pencuri informasi yang paling banyak didistribusikan.

RedLine dapat mencuri informasi yang disimpan di browser web korban, seperti cookie, kata sandi akun, dan kartu kredit, mengakses percakapan instant messenger, dan membahayakan dompet cryptocurrency.

Selain itu, penambang disertakan dalam arsip RAR, mengambil keuntungan dari kartu grafis korban, yang kemungkinan besar mereka miliki karena mereka menonton video game di YouTube, untuk menambang cryptocurrency untuk penyerang.

Berkat utilitas Nirsoft NirCmd yang sah dalam bundel, bernama “nir.exe,” saat diluncurkan, semua yang dapat dieksekusi akan disembunyikan dan tidak menghasilkan jendela di antarmuka atau ikon bilah tugas apa pun, jadi semuanya tetap tersembunyi dari korban.

Infeksi yang dibundel dan yang dapat dieksekusi sendiri tidak terlalu menarik dan biasanya digunakan oleh aktor ancaman dalam kampanye distribusi malware lainnya.

Namun, Kaspersky menemukan mekanisme propagasi diri yang tidak biasa dan menarik yang bersembunyi di arsip yang memungkinkan malware menyebar sendiri ke korban lain di Internet.

Secara khusus, RAR berisi file batch yang menjalankan tiga executable berbahaya, yaitu “MakiseKurisu.exe”, “download.exe”, dan “upload.exe”, yang melakukan self-propagation bundel.

File yang terdapat dalam RAR (Kaspersky)

Yang pertama, MakiseKurisu, adalah versi modifikasi dari pencuri kata sandi C# yang tersedia secara luas, yang digunakan hanya untuk mengekstrak cookie dari browser dan menyimpannya secara lokal.

Eksekusi kedua, “download.exe”, digunakan untuk mengunduh video dari YouTube, yang merupakan salinan video yang mempromosikan bundel berbahaya.

Video diunduh dari tautan yang diambil dari repositori GitHub untuk menghindari mengarah ke URL video yang dilaporkan dan dihapus dari YouTube.

Video YouTube yang mempromosikan bundel malware (Kaspersky)

Akhirnya, “upload.exe” digunakan untuk mengunggah video yang mempromosikan malware ke YouTube, menggunakan cookie yang dicuri untuk masuk ke akun YouTube korban dan menyebarkan bundel melalui saluran mereka.

Code to upload the malicious videos (Kaspersky)

“Itu [upload.exe] menggunakan Puppiteer Node library, yang menyediakan API tingkat tinggi untuk mengelola Chrome dan Microsoft Edge menggunakan protokol DevTools,” jelas Kaspersky dalam laporannya.

“Ketika video berhasil diunggah ke YouTube, upload.exe mengirim pesan ke Discord dengan tautan ke video yang diunggah.”

Menghasilkan pemberitahuan Discord (Kaspersky)

Sementara pelaku ancaman mendapat informasi tentang unggahan baru, pemilik saluran kemungkinan tidak akan menyadari bahwa mereka mempromosikan perangkat lunak perusak di YouTube jika mereka tidak terlalu aktif di platform tersebut.

Metode distribusi agresif ini membuat pengawasan dan penghapusan di YouTube semakin sulit, karena video yang mengarah ke unduhan berbahaya diunggah dari akun yang kemungkinan memiliki catatan bersih yang sudah lama ada.

Sumber: Bleeping Computer

Spin-off PsExec baru memungkinkan peretas bypass keamanan jaringan

by

Peneliti keamanan telah mengembangkan implementasi utilitas Sysinternals PsExec yang memungkinkan pemindahan secara lateral dalam jaringan menggunakan satu port yang kurang terpantau, Windows TCP port 135.

PsExec dirancang untuk membantu administrator menjalankan proses dari jarak jauh pada mesin di jaringan tanpa perlu menginstal klien.

Pelaku ancaman juga telah mengadopsi alat tersebut dan sering menggunakannya dalam tahap pasca-eksploitasi serangan untuk menyebar di jaringan, menjalankan perintah pada beberapa sistem, atau menyebarkan malware.

Sementara PsExec asli tersedia di suite utilitas Sysinternals, ada juga implementasi dalam koleksi Impacket kelas Python untuk bekerja dengan protokol jaringan, yang memiliki dukungan untuk SMB dan protokol lain seperti IP, UDP, TCP yang memungkinkan koneksi untuk HTTP, LDAP (Protokol Akses Direktori Ringan), dan Microsoft SQL Server (MSSQL).

Versi asli dan varian Impacket bekerja dengan cara yang sama. Mereka menggunakan koneksi SMB dan didasarkan pada port 445, yang perlu dibuka untuk berkomunikasi melalui protokol berbagi file jaringan SMB.

Mereka juga mengelola layanan Windows (membuat, menjalankan, memulai, menghentikan) melalui Panggilan Prosedur Jarak Jauh (RPC), sebuah protokol yang memungkinkan komunikasi tingkat tinggi dengan sistem operasi.

Namun, untuk fungsionalitas yang diperluas, port 135 diperlukan. Namun, memblokir port ini tidak mencegah aktor ancaman menyelesaikan serangan, oleh karena itu port 445 sangat penting agar PsExec berfungsi.

Karena itu, sebagian besar defender fokus pada pemblokiran port 445, yang penting bagi PsExec untuk menjalankan perintah atau menjalankan file. Ini berfungsi dalam banyak kasus tetapi tidak cukup.

Berdasarkan library Impacket, para peneliti di Pentera, perusahaan yang menyediakan solusi validasi keamanan otomatis, telah membangun implementasi alat PsExec yang hanya berjalan pada port 135.

Pencapaian ini membawa perubahan pada permainan pertahanan karena memblokir hanya port 445 untuk membatasi aktivitas PsExec yang berbahaya tidak lagi menjadi opsi yang dapat diandalkan untuk sebagian besar serangan.

Lazar menambahkan dalam laporan yang dibagikan bahwa perintah dijalankan melalui Lingkungan Komputasi Terdistribusi / Panggilan Prosedur Jarak Jauh (DCE/RPC) dan proses “berjalan terlepas dari outputnya.”

Variasi PsExec dari Pentera menggunakan koneksi RPC yang memungkinkan para peneliti untuk membuat layanan yang menjalankan perintah arbitrer tanpa berkomunikasi melalui port SMB 445 untuk transportasi atau keluaran.

Tidak seperti PsExec asli di suite Sysinternals, varian Pentera memiliki peluang lebih tinggi untuk tergelincir tanpa terdeteksi dalam jaringan karena banyak organisasi mengawasi port 445 dan SMB.

Poin lain yang dibuat Lazar adalah bahwa implementasi PsExec lainnya harus menggunakan SMB karena berbasis file. Varian Pentera tidak memiliki file, kata peneliti, yang akan membuatnya lebih sulit untuk dideteksi.

Penelitian Lazar tentang PsExec menyoroti bahwa sementara kerentanan keamanan seperti PetitPotam [1, 2] dan DFSCoerce telah menarik perhatian pada risiko yang ditimbulkan RPC, mitigasi tidak menekankan pemantauan DCE/RPC tetapi pada pencegahan relai NTLM.

Berdasarkan pengamatan Pentera, memblokir atau memantau lalu lintas RPC bukanlah praktik umum di lingkungan perusahaan. Alasan dalam banyak kasus adalah bahwa para pembela HAM tidak menyadari bahwa RPC dapat menimbulkan risiko keamanan ke jaringan jika dibiarkan tidak dicentang.

Will Dormann, analis kerentanan di CERT/CC, setuju bahwa memblokir port TCP 445 saja tidak cukup untuk memblokir aktivitas jahat yang mengandalkan alat tersebut.

PsExec didasarkan pada koneksi SMB dan RPC, yang memerlukan port 445, 139, dan 135. Namun, Lazar menambahkan bahwa ada implementasi RPC di atas HTTP, yang berarti bahwa PsExec berpotensi dapat bekerja melalui port 80 juga.

Peretas telah menggunakan PsExec dalam serangan mereka untuk waktu yang lama. Geng Ransomware, khususnya, mengadopsinya untuk menyebarkan malware enkripsi file.

Dalam serangan yang berlangsung hanya satu jam, ransomware NetWalker menggunakan PsExec untuk menjalankan muatannya di semua sistem dalam sebuah domain.

Dalam contoh yang lebih baru, geng ransomware Quantum mengandalkan PsExec dan WMI untuk mengenkripsi sistem dalam serangan yang hanya membutuhkan waktu dua jam untuk diselesaikan setelah mendapatkan akses melalui malware IcedID.

Contoh lain adalah dari pelanggaran Cisco yang baru-baru ini diungkapkan, di mana geng ransomware Yanluowang menggunakan PsExec untuk menambahkan nilai registri dari jarak jauh, memungkinkan pelaku ancaman untuk memanfaatkan fitur aksesibilitas yang tersedia di layar masuk Windows.

Sumber: Bleeping Computer

Lebih dari 280.000 Situs WordPress Diserang Menggunakan Plugin WPGateway Kerentanan Zero-Day

by

Cacat zero-day dalam versi terbaru dari plugin premium WordPress yang dikenal sebagai WPGateway sedang dieksploitasi secara aktif di alam liar, berpotensi memungkinkan aktor jahat untuk sepenuhnya mengambil alih situs yang terpengaruh.

Dilacak sebagai CVE-2022-3180 (skor CVSS: 9,8), masalah ini dipersenjatai untuk menambahkan pengguna administrator jahat ke situs yang menjalankan plugin WPGateway, kata perusahaan keamanan WordPress Wordfence.

WPGateway ditagih sebagai sarana bagi administrator situs untuk menginstal, mencadangkan, dan mengkloning plugin dan tema WordPress dari dasbor terpadu.

Indikator paling umum bahwa situs web yang menjalankan plugin telah disusupi adalah adanya administrator dengan nama pengguna “rangex.”

Selain itu, munculnya permintaan ke “//wp-content/plugins/wpgateway/wpgateway-webservice-new.php?wp_new_credentials=1” di log akses adalah tanda bahwa situs WordPress telah ditargetkan menggunakan cacat, meskipun itu tidak selalu menyiratkan pelanggaran yang berhasil.

Wordfence mengatakan telah memblokir lebih dari 4,6 juta serangan yang mencoba memanfaatkan kerentanan terhadap lebih dari 280.000 situs dalam 30 hari terakhir.

Rincian lebih lanjut tentang kerentanan telah dirahasiakan karena eksploitasi aktif dan untuk mencegah aktor lain mengambil keuntungan dari kekurangan tersebut. Dengan tidak adanya tambalan, pengguna disarankan untuk menghapus plugin dari instalasi WordPress mereka hingga perbaikan tersedia.

Perkembangan ini terjadi beberapa hari setelah Wordfence memperingatkan penyalahgunaan di alam liar dari cacat zero-day lainnya di plugin WordPress yang disebut BackupBuddy.

Pengungkapan juga tiba saat Sansec mengungkapkan bahwa aktor ancaman masuk ke sistem lisensi ekstensi FishPig, vendor integrasi Magento-WordPress yang populer, untuk menyuntikkan kode berbahaya yang dirancang untuk menginstal trojan akses jarak jauh yang disebut Rekoobe.

Sumber: The Hackernews

Pembaruan Keamanan Terbaru Microsoft Memperbaiki 64 Kelemahan Baru, Termasuk Zero-Day

by

Microsoft telah merilis perbaikan keamanan untuk kerentanan zero-day yang memengaruhi semua versi Windows yang didukung yang telah dieksploitasi dalam serangan di dunia nyata.

Bug zero-day, dilacak sebagai CVE-2022-37969, digambarkan sebagai peningkatan cacat hak istimewa di Windows Common Log File System Driver, subsistem yang digunakan untuk data dan pencatatan peristiwa. Bug memungkinkan penyerang untuk mendapatkan tingkat akses tertinggi, yang dikenal sebagai hak istimewa sistem, ke perangkat yang rentan.

Microsoft mengatakan pengguna yang menjalankan Windows 11 dan sebelumnya, dan Windows Server 2008 dan Windows Server 2012, terpengaruh. Windows 7 juga akan menerima patch keamanan, meskipun tidak lagi didukung pada tahun 2020.

Microsoft mengatakan cacat tersebut mengharuskan penyerang sudah memiliki akses ke perangkat yang disusupi, atau kemampuan untuk menjalankan kode pada sistem target.

Microsoft memuji empat kelompok peneliti yang berbeda dari CrowdStrike, DBAPPSecurity, Mandiant, dan Zscaler karena melaporkan kesalahan tersebut, yang mungkin merupakan eksploitasi yang meluas di alam pembohong.

Dhanesh Kizhakkinan, kerentanan bagian utama senior di Mandiant, mengatakan kepada TechCrunch bahwa perusahaan menemukan bug “selama misi pencarian eksploitasi Offensive Task Force proaktif,” menambahkan bahwa eksploitasi mandiri dan bukan dari rantai serangan.

Microsoft tidak membagikan detail tentang serangan yang mengeksploitasi kerentanan ini dan tidak menanggapi permintaan komentar kami.

Perbaikan tersebut masuk kebagian dari rilis bulanan perbaikan keamanan Microsoft Patch Tuesday, yang mencakup total 63 kerentanan di berbagai produk Microsoft, termasuk Microsoft Edge, Office, dan Windows Defender.

Microsoft juga merilis patch untuk cacat zero-day kedua, dilacak sebagai CVE-2022-23960, yang diprediksi sebagai kerentanan cache yang dikenal sebagai “Spectre-BHB” yang memengaruhi Windows 11 untuk sistem berbasis ARM. Spectre-BHB adalah varian dari kerentanan Spectre v2, yang memungkinkan penyerang mencuri data dari memori.

Sumber: TechCrunch