News 132 - Naga Cyber Defense

Pemberitahuan tentang Pengaturan Ulang Kata Sandi Slack

August 8, 2022 by Eevee

Pada 4 Agustus 2022, kami memberi tahu sekitar 0,5% pengguna Slack bahwa kami telah menyetel ulang kata sandi mereka sebagai tanggapan atas bug yang terjadi saat pengguna membuat atau mencabut tautan undangan bersama untuk ruang kerja mereka. Ketika pengguna melakukan salah satu dari tindakan ini, Slack mengirimkan versi hash kata sandi mereka ke anggota ruang kerja lainnya. Kata sandi yang di-hash ini tidak terlihat oleh klien Slack mana pun; menemukannya diperlukan pemantauan secara aktif lalu lintas jaringan terenkripsi yang berasal dari server Slack. Bug ini ditemukan oleh peneliti keamanan independen dan diungkapkan kepada kami pada 17 Juli 2022. Bug ini memengaruhi semua pengguna yang membuat atau mencabut tautan undangan bersama antara 17 April 2017 dan 17 Juli 2022.

Setelah menerima laporan dari peneliti keamanan, kami segera memperbaiki bug yang mendasarinya dan kemudian mulai menyelidiki potensi dampak masalah ini pada pelanggan kami. Kami tidak memiliki alasan untuk percaya bahwa siapa pun dapat memperoleh kata sandi teks biasa karena masalah ini. Namun, demi kehati-hatian, kami telah menyetel ulang kata sandi Slack pengguna yang terpengaruh. Mereka perlu mengatur kata sandi Slack baru sebelum mereka dapat masuk lagi.

FAQ

Apa itu kata sandi yang di-hash?

Hash kata sandi tidak sama dengan kata sandi plaintext itu sendiri; itu adalah teknik kriptografi untuk menyimpan data dengan cara yang aman tetapi tidak dapat dibalik. Dengan kata lain, praktis tidak mungkin kata sandi diturunkan dari hash, dan tidak ada yang bisa langsung menggunakan hash untuk mengotentikasi. Kami menggunakan teknik yang disebut penggaraman untuk lebih melindungi hash ini.

Apa yang harus saya lakukan jika kata sandi saya direset oleh Slack?

Semua akun aktif yang memerlukan pengaturan ulang kata sandi akan diberitahukan secara langsung dengan instruksi. Untuk informasi tentang pengaturan ulang kata sandi setiap saat, silakan kunjungi Pusat Bantuan kami: https://get.slack.help/hc/en-us/articles/201909068

Bagaimana cara meninjau akses ke akun saya?

Setiap pengguna dapat meninjau log akses pribadi untuk akun mereka atau mengunduh ekspor CSV lengkap kapan saja dengan mengunjungi https://my.slack.com/account/logs. Pemilik dan administrator di semua langganan berbayar dapat mempelajari lebih lanjut tentang melihat log akses untuk ruang kerja mereka di Pusat Bantuan kami: https://get.slack.help/hc/en-us/articles/360002084807-View-Access-Logs-for -ruang kerja-Anda

Siapa yang dapat saya hubungi jika saya memiliki pertanyaan tambahan?

Jika Anda memiliki pertanyaan yang belum terjawab di sini, silakan hubungi kami di feedback@slack.com.

Langkah apa yang dapat saya ambil untuk lebih mengamankan akun saya?

Kami menyarankan semua pengguna menggunakan otentikasi dua faktor, memastikan bahwa perangkat lunak komputer dan perangkat lunak antivirus mereka mutakhir, membuat kata sandi baru yang unik untuk setiap layanan yang mereka gunakan dan menggunakan pengelola kata sandi.

Sumber: Slack

Tangkapan Layar Pegasus Langka Menggambarkan Kemampuan Spyware Grup NSO

August 7, 2022 by Eevee

Investigasi baru telah mengungkapkan tangkapan layar langka dari spyware Pegasus iPhone NSO Group yang sedang beraksi, memamerkan antarmuka penggunanya, kemampuan, dan banyak lagi.

Tangkapan layar menggambarkan versi prototipe Pegasus yang dimaksudkan untuk digunakan oleh polisi Israel. Beberapa kemampuan spyware termasuk membaca pesan WhatsApp, mengaktifkan mikrofon telepon, dan merekam panggilan masuk atau keluar.

Tidak jelas apakah versi Pegasus di tangkapan layar sama dengan yang digunakan oleh entitas pemerintah di seluruh dunia untuk mengawasi aktivis, pembangkang, dan jurnalis.

Tangkapan layar itu diterbitkan oleh surat kabar Israel Haaretz menyusul penyelidikan oleh pemerintah negara itu. Penyelidikan itu didorong oleh laporan investigasi terpisah dari awal tahun 2022 yang menunjukkan bahwa pasukan polisi Israel telah memata-matai warga tanpa pengawasan.

Pegasus adalah spyware yang dikembangkan oleh NSO Group, pembuat perangkat lunak pengawasan yang berbasis di Israel. Spyware perusahaan telah digunakan dalam serangan yang menargetkan semua orang mulai dari pejabat Departemen Luar Negeri AS hingga jurnalis yang bekerja untuk Al Jazeera.

Kembali pada November 2021, pemerintah AS menyatakan NSO Group dan alat peretasan Pegasusnya sebagai risiko keamanan nasional. Sebelum itu, FBI sedang mempertimbangkan untuk menggunakan spyware Pegasus untuk operasi pengawasan domestik.

Apple juga menggugat NSO Group pada November 2021 atas Pegasus. Di bawah beban kontroversi dan tekanan keuangan, NSO Group dikatakan pada bulan Desember mempertimbangkan untuk mematikan alat spyware-nya.

Pada bulan Juni, laporan menunjukkan bahwa NSO Group yang kekurangan uang dapat diakuisisi oleh kontraktor pertahanan AS L3Harris, yang dikenal membuat alat pengawasannya sendiri, seperti Stingray.

Sumber: AppleInsider

Meningkatnya Jumlah Serangan Malware dengan Memanfaatkan Dark Utilities ‘C2-as-a-Service’

August 7, 2022 by Eevee

Layanan baru yang disebut Dark Utilities telah menarik 3.000 pengguna karena kemampuannya untuk menyediakan layanan command-and-control (C2) dengan tujuan menguasai sistem yang dikompromikan.

“Ini dipasarkan sebagai sarana untuk mengaktifkan akses jarak jauh, eksekusi perintah, serangan penolakan layanan terdistribusi (DDoS) dan operasi penambangan cryptocurrency pada sistem yang terinfeksi,” kata Cisco Talos dalam sebuah laporan yang dibagikan dengan The Hacker News.

Dark Utilities, yang muncul pada awal 2022, diiklankan sebagai “C2-as-a-Service” (C2aaS), menawarkan akses ke infrastruktur yang di-hosting di clearnet serta jaringan TOR dan muatan terkait dengan dukungan untuk Windows, Linux, dan implementasi berbasis Python hanya dengan €9,99.

Pengguna yang diautentikasi pada platform disajikan dengan dasbor yang memungkinkan untuk menghasilkan muatan baru yang disesuaikan dengan sistem operasi tertentu yang kemudian dapat digunakan dan dijalankan pada host korban.

Selain itu, pengguna diberikan panel administratif untuk menjalankan perintah pada mesin di bawah kendali mereka saat membuat saluran C2 aktif, yang secara efektif memberikan penyerang akses penuh ke sistem.

Idenya adalah untuk memungkinkan aktor ancaman untuk menargetkan beberapa arsitektur tanpa memerlukan upaya pengembangan yang signifikan. Juga diperluas ke pelanggannya adalah dukungan teknis dan bantuan melalui Discord dan Telegram.

“Mengingat biaya yang relatif rendah dibandingkan dengan jumlah fungsionalitas yang ditawarkan platform, kemungkinan menarik bagi musuh yang mencoba untuk berkompromi dengan sistem tanpa mengharuskan mereka untuk membuat implementasi C2 mereka sendiri di dalam muatan malware mereka,” catat para peneliti.

Untuk menambah bahan bakar ke api, artefak malware di-host dalam solusi Sistem File InterPlanetary (IPFS) terdesentralisasi, membuatnya tahan terhadap moderasi konten atau intervensi penegakan hukum dengan cara yang mirip dengan “hosting antipeluru.”

“IPFS saat ini disalahgunakan oleh berbagai pelaku ancaman yang menggunakannya untuk meng-host konten berbahaya sebagai bagian dari kampanye distribusi phishing dan malware,” kata peneliti Talos Edmund Brumaghin kepada The Hacker News.

“[Gateway IPFS] memungkinkan komputer di internet untuk mengakses konten yang dihosting dalam jaringan IPFS tanpa persyaratan untuk instalasi perangkat lunak klien, mirip dengan cara gateway Tor2Web menyediakan fungsionalitas itu untuk konten yang dihosting dalam jaringan Tor.”

Dark Utilities diyakini sebagai hasil karya aktor ancaman yang menggunakan moniker Inplex-sys di ruang bawah tanah cybercriminal, dengan Talos mengidentifikasi semacam “hubungan kolaboratif” antara Inplex-sys dan salah satu operator layanan botnet disebut Bot Cerdas.

Sumber: The Hacker News

Router Bisnis Cisco Ditemukan Rentan terhadap Kelemahan Peretasan Jarak Jauh yang Kritis

August 5, 2022 by Eevee

Cisco pada hari Rabu meluncurkan tambalan untuk mengatasi delapan kerentanan keamanan, tiga di antaranya dapat dipersenjatai oleh penyerang yang tidak diautentikasi untuk mendapatkan eksekusi kode jarak jauh (RCE) atau menyebabkan kondisi penolakan layanan (DoS) pada perangkat yang terpengaruh.

Kelemahan yang paling kritis berdampak pada router Cisco Small Business RV160, RV260, RV340, dan RV345 Series. Dilacak sebagai CVE-2022-20842 (skor CVSS: 9,8), kelemahan tersebut berasal dari validasi input yang diberikan pengguna ke antarmuka manajemen perangkat berbasis web yang tidak mencukupi.

Kelemahan kedua berkaitan dengan kerentanan injeksi perintah yang berada di fitur pembaruan basis data filter web router (CVE-2022-20827, skor CVSS: 9.0), yang dapat dimanfaatkan oleh musuh untuk menyuntikkan dan menjalankan perintah sewenang-wenang pada sistem operasi yang mendasarinya. dengan hak akses root.

Cacat terkait router ketiga yang harus diselesaikan (CVE-2022-20841, skor CVSS: 8.0) juga merupakan bug injeksi perintah dalam modul Open Plug-n-Play (PnP) yang dapat disalahgunakan dengan mengirimkan input berbahaya untuk mencapai eksekusi kode pada host Linux yang ditargetkan.

“Untuk mengeksploitasi kerentanan ini, penyerang harus memanfaatkan posisi man-in-the-middle atau memiliki pijakan yang mapan pada perangkat jaringan tertentu yang terhubung ke router yang terpengaruh,” kata pembuat peralatan jaringan tersebut.

Juga ditambal oleh Cisco adalah lima kelemahan keamanan menengah yang memengaruhi Rapat Webex, Mesin Layanan Identitas, Manajer Komunikasi Terpadu, dan Platform Pengiriman Aplikasi BroadWorks.

Perusahaan tidak menawarkan solusi untuk memperbaiki masalah, menambahkan tidak ada bukti kerentanan ini dieksploitasi di alam liar. Konon, pelanggan disarankan untuk bergerak cepat untuk menerapkan pembaruan.

The Hacker News

Peretas Mengeksploitasi Bug Confluence Atlassian untuk Menyebarkan Backdoor Ljl untuk Spionase

August 5, 2022 by Eevee

Seorang aktor ancaman mengeksploitasi kelemahan keamanan di server Atlassian Confluence yang sudah ketinggalan zaman untuk menyebarkan Backdoor yang belum pernah terlihat sebelumnya terhadap organisasi yang tidak disebutkan namanya di sektor penelitian dan layanan teknis.

Serangan itu, yang terjadi selama tujuh hari selama akhir Mei, telah dikaitkan dengan klaster aktivitas ancaman yang dilacak oleh perusahaan keamanan siber Deepwatch sebagai TAC-040.

Kerentanan Atlassian yang diduga telah dieksploitasi adalah CVE-2022-26134, cacat injeksi Object-Graph Navigation Language (OGNL) yang membuka jalan bagi eksekusi kode arbitrer pada Confluence Server atau contoh Data Center.

Menyusul laporan eksploitasi aktif dalam serangan dunia nyata, masalah ini ditangani oleh perusahaan Australia pada 4 Juni 2022.

Tetapi mengingat tidak adanya artefak forensik, Deepwatch berteori bahwa pelanggaran tersebut dapat menyebabkan eksploitasi kerentanan Spring4Shell (CVE-2022-22965) untuk mendapatkan akses awal ke aplikasi web Confluence.

Tidak banyak yang diketahui tentang TAC-040 selain fakta bahwa tujuan kolektif musuh mungkin terkait dengan spionase, meskipun kemungkinan bahwa kelompok tersebut dapat bertindak demi keuntungan finansial belum dikesampingkan, dengan alasan adanya pemuat untuk penambang kripto XMRig pada sistem.

Meskipun tidak ada bukti bahwa penambang dieksekusi dalam insiden ini, alamat Monero yang dimiliki oleh pelaku ancaman telah menjaring setidaknya 652 XMR ($106.000) dengan membajak sumber daya komputasi sistem lain untuk menambang cryptocurrency secara ilegal.

Rantai serangan juga terkenal karena penerapan implan yang sebelumnya tidak berdokumen yang disebut Ljl Backdoor di server yang disusupi. Kira-kira 700MB data yang diarsipkan diperkirakan telah dieksfiltrasi sebelum server diambil offline oleh korban, menurut analisis log jaringan.

Malware, pada bagiannya, adalah virus trojan berfitur lengkap yang dirancang untuk mengumpulkan file dan akun pengguna, memuat muatan .NET sewenang-wenang, dan mengumpulkan informasi sistem serta lokasi geografis korban.

Sumber: The Hacker News

Badan keamanan siber mengungkapkan jenis malware teratas tahun lalu

August 5, 2022 by Eevee

Badan Keamanan Cybersecurity dan Infrastruktur AS (CISA) merilis daftar jenis malware yang paling banyak terdeteksi tahun lalu dalam konsultasi bersama dengan Australian Cyber Security Center (ACSC).

“Pengguna malware paling produktif dari jenis malware teratas adalah penjahat cyber, yang menggunakan malware untuk mengirimkan ransomware atau memfasilitasi pencurian informasi pribadi dan keuangan.”

Strain malware teratas yang diamati pada tahun 2021 termasuk Agen Tesla, AZORult, Formbook, Ursnif, LokiBot, MOUSEISLAND, NanoCore, Qakbot, Remcos, TrickBot, dan GootLoader.

Dari jumlah tersebut, Agen Tesla, AZORult, Formbook, LokiBot, NanoCore, Remcos, dan TrickBot telah digunakan dalam serangan setidaknya selama lima tahun terakhir, sementara Qakbot dan Ursnif telah digunakan selama lebih dari satu dekade.

Umur panjang keluarga malware ini disebabkan oleh upaya berkelanjutan pengembang mereka untuk meningkatkannya dengan menambahkan kemampuan dan cara baru untuk menghindari deteksi.

Penasihat bersama mencakup tanda tangan Snort untuk semua malware di atas untuk mendeteksi muatan dengan memantau lalu lintas jaringan dan daftar tindakan mitigasi.

CISA dan ACSC mendorong admin dan tim keamanan untuk menerapkan mitigasi berikut untuk mempertahankan diri dari serangan malware:

Perbarui perangkat lunak, termasuk sistem operasi, aplikasi, dan firmware, di I.T. aset jaringan
Terapkan MFA semaksimal mungkin
Jika Anda menggunakan RDP dan/atau layanan lain yang berpotensi berisiko, amankan dan pantau dengan cermat
Pertahankan cadangan data offline (yaitu, terputus secara fisik)
Memberikan kesadaran dan pelatihan pengguna akhir untuk membantu memblokir rekayasa sosial dan serangan spearphishing
Menerapkan segmentasi jaringan untuk memisahkan segmen jaringan berdasarkan peran dan fungsionalitas

Pada bulan April, otoritas keamanan siber di seluruh dunia, dalam kemitraan dengan NSA dan FBI, juga merilis daftar 15 kerentanan teratas yang secara rutin dieksploitasi dalam serangan selama tahun 2021.

CISA dan FBI juga telah menerbitkan daftar 10 bug keamanan yang paling banyak dieksploitasi antara tahun 2016 dan 2019 dan bug teratas yang paling sering disalahgunakan pada tahun 2020 bekerja sama dengan ACSC dan National Cyber Security Center (NCSC) Inggris.

Pada bulan Juni, MITRE juga membagikan daftar 25 bug perangkat lunak paling berbahaya tahun ini setelah mengungkapkan kelemahan keamanan pemrograman, desain, dan arsitektur paling berbahaya yang mengganggu perangkat keras pada November 2021.

Sumber: Bleeping Computer

Cyber Attacker ‘Traps’ mengungkapkan dampak aktivitas ancaman setelah invasi Rusia terhadap Ukraina

August 4, 2022 by Eevee

Peneliti Nozomi Networks telah menemukan bahwa wiper malware, aktivitas botnet IoT, dan invasi Rusia ke Ukraina telah berdampak besar pada lanskap ancaman dunia maya pada paruh pertama tahun 2022.

Data dari teknologi operasional terbaru (OT)/laporan keamanan IoT Jaringan Nozomi telah menunjukkan bahwa lanskap ancaman dunia maya melihat aktivitas dari beberapa jenis pelaku ancaman, termasuk peretas, ancaman persisten tingkat lanjut (APT), dan penjahat dunia maya sejak Rusia memulainya. invasi ke Ukraina pada Februari 2022.

Menurut Roya Gordon, penginjil penelitian keamanan OT/IoT Nozomi Networks, lanskap ancaman dunia maya tahun ini kompleks.

Peneliti Nozomi Networks juga mengamati penggunaan malware wiper yang kuat dan menyaksikan munculnya varian malware Industroyer, yang digunakan dalam serangan cyber di jaringan listrik Ukraina. Dijuluki Industroyer2, malware ini dikembangkan untuk menyalahgunakan protokol IEC-104, yang biasa digunakan di lingkungan industri.

Selama paruh pertama tahun 2022, aktivitas botnet IoT yang berbahaya juga meningkat dan semakin canggih.

Peneliti Nozomi Networks telah menyiapkan serangkaian pot madu untuk menarik botnet jahat ini yang bertujuan untuk menangkap aktivitas mereka guna memberikan wawasan tambahan tentang bagaimana pelaku ancaman menargetkan IoT. Melalui model penelitian ini, para peneliti Nozomi Networks menemukan masalah keamanan yang berkembang untuk kata sandi yang dikodekan secara keras dan antarmuka internet untuk kredensial pengguna akhir.

Dari Januari hingga Juni 2022, Honey Pot Nozomi Networks menemukan:

Maret adalah bulan paling aktif dengan hampir 5.000 alamat IP penyerang unik yang dikumpulkan.
Alamat IP penyerang teratas dikaitkan dengan China dan Amerika Serikat.
Kredensial “Root” dan “Admin” paling sering ditargetkan dan digunakan dalam berbagai variasi sebagai cara bagi pelaku ancaman untuk mengakses semua perintah sistem dan akun pengguna.
Manufaktur dan energi terus menjadi industri yang paling rentan menurut peneliti Nozomi Networks, diikuti oleh fasilitas kesehatan dan komersial.

Selama enam bulan pertama tahun 2022:

CISA merilis 560 kerentanan dan eksposur umum (CVE) – turun 14 persen dari paruh kedua tahun 2021.
Jumlah vendor yang terkena dampak naik 27 persen.
Produk yang terkena dampak juga naik 19 persen dari paruh kedua tahun 2021.

Ketika ancaman dunia maya terus berkembang, Gordon mencatat bahwa untungnya, pertahanan keamanan juga berkembang.

Sumber: Cybersecurity Connect

Cookie	Duration	Description
_ga	2 years	The _ga cookie, installed by Google Analytics, calculates visitor, session and campaign data and also keeps track of site usage for the site's analytics report. The cookie stores information anonymously and assigns a randomly generated number to recognize unique visitors.
_gat_gtag_UA_172707709_1	1 minute	Set by Google to distinguish users.
_gid	1 day	Installed by Google Analytics, _gid cookie stores information on how visitors use a website, while also creating an analytics report of the website's performance. Some of the data that are collected include the number of visitors, their source, and the pages they visit anonymously.

FAQ

Tidak ada kata sandi yang dikompromikan dalam pelanggaran.

Cookies Settings