Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for News

Situs web PrestaShop rentan terhadap serangan SQL Injection

by

Situs web PrestaShop dilaporkan rentan terhadap kerentanan Injeksi SQL utama (dilacak sebagai CVE-2022-36408) dan telah dieksploitasi secara liar sejak Juli 2022.

Didirikan pada tahun 2007, PrestaShop adalah platform e-commerce open source freemium yang digunakan oleh ratusan ribu pemilik situs web untuk menjual produk dan layanan secara online.

Versi PrestaShop 1.6.0.10 hingga 1.7.x (sebelum 1.7.8.7) rentan terhadap “rantai kerentanan yang sebelumnya tidak diketahui” terkait dengan injeksi SQL dan kerentanan injeksi penyimpanan cache MySQL Smarty. Akibatnya, penyerang jarak jauh dapat mengeksekusi kode arbitrer.

“Tim pengelola telah disadarkan bahwa aktor jahat mengeksploitasi kombinasi kerentanan keamanan yang diketahui dan tidak diketahui untuk menyuntikkan kode berbahaya di situs web PrestaShop, memungkinkan mereka untuk mengeksekusi instruksi sewenang-wenang, dan berpotensi mencuri informasi pembayaran pelanggan,” tulis PrestaShop dalam sebuah posting blog. .

Menurut PrestaShop, penyerang biasanya mengikuti langkah-langkah ini untuk meluncurkan serangan terhadap toko-toko yang rentan:

  • Penyerang mengirimkan permintaan POST ke situs web yang rentan untuk mengeksploitasi kerentanan injeksi SQL.
    Setelah kira-kira satu detik, penyerang mengirimkan permintaan GET ke beranda (tanpa parameter), yang membuat file PHP bernama blm.php di direktori root situs web.
  • Penyerang kemudian mengirimkan permintaan GET ke file baru blm.php, sehingga memungkinkan penyerang untuk mengeksekusi instruksi sewenang-wenang.
  • Akibatnya, pelaku jahat kemudian dapat sepenuhnya berkompromi dengan situs web dan menyuntikkan formulir pembayaran palsu melalui halaman checkout front-office.

Matt Morrow, dari perusahaan keamanan Securi, juga menemukan situs web PrestaShop yang terinfeksi yang berisi malware PrestaShop Skimmer yang disembunyikan di Modul One Page Checkout. Akibatnya, ditemukan injeksi kode yang menggantikan formulir kartu pembayaran situs web korban.

PrestaShop merilis pembaruan baru pada 25 Juli untuk versi terbaru PrestaShop 1.7.8.7 yang memperkuat penyimpanan cache MySQL Smarty terhadap serangan injeksi kode.

Pemilik toko sangat dianjurkan untuk mengupgrade situs web mereka ke versi terbaru sesegera mungkin ke alamat CVE-2022-36408..

Namun, PrestaShop juga memperingatkan pemilik toko untuk “mewaspadai bahwa meningkatkan perangkat lunak Anda mungkin tidak cukup untuk mengamankan toko Anda jika sudah diretas.” Pemilik situs dapat menghubungi spesialis keamanan jika perlu untuk melakukan audit penuh dan menghapus malware apa pun jika terdeteksi.

Sumber: Secure Zoo

Rootkit UEFI ‘CosmicStrand’ Langka Berayun ke Orbit Kejahatan Dunia Maya

by

Rootkit firmware Windows yang dikenal sebagai “CosmicStrand” telah muncul di cakrawala ancaman siber, menargetkan Unified Extensible Firmware Interface (UEFI) untuk mencapai siluman dan ketekunan.

Firmware UEFI bertugas untuk mem-boot komputer Windows, termasuk memuat sistem operasi. Dengan demikian, jika firmware dinodai dengan kode berbahaya, kode itu akan diluncurkan sebelum OS melakukannya — membuatnya tidak terlihat oleh sebagian besar tindakan keamanan dan pertahanan tingkat OS.

Setelah dipicu, kode menyebarkan komponen berbahaya di dalam OS Windows, setelah rantai eksekusi yang panjang. Komponen ini terhubung ke server perintah-dan-kontrol (C2) dan menunggu instruksi untuk mengunduh potongan kode berbahaya tambahan, yang dipetakan oleh malware ke dalam ruang kernel dan dirakit menjadi sebuah shellcode.

Satu sampel shellcode yang diperoleh Kaspersky digunakan untuk membuat pengguna baru di mesin korban dan menambahkannya ke grup administrator lokal.

Seperti yang dikatakan oleh Departemen Keamanan Dalam Negeri AS (DHS) dan Departemen Perdagangan dalam laporan Maret tentang ancaman firmware, rootkit menghadirkan sejumlah besar risiko.

Kampanye khusus ini tampaknya sangat ditargetkan untuk individu tertentu di China, dengan beberapa kasus terlihat di Iran dan Vietnam, catat para peneliti. Tidak jelas apa akhir akhir dari Cosmic Strand, tetapi kemungkinan itu adalah permainan spionase; Kaspersky mengaitkan kampanye tersebut dengan ancaman persisten tingkat lanjut (APT) berbahasa China yang belum diketahui dengan tumpang tindih dengan geng botnet MyKings.

Para peneliti hanya tahu sedikit tentang bagaimana rootkit membuatnya ke mesin orang. Yang mengatakan, kelemahan rantai pasokan adalah suatu kemungkinan, menurut Kaspersky, dengan “akun yang belum dikonfirmasi ditemukan secara online yang menunjukkan bahwa beberapa pengguna telah menerima perangkat yang disusupi saat memesan komponen perangkat keras secara online.”

Modifikasi secara khusus diperkenalkan ke driver tertentu dengan menambalnya untuk mengarahkan ulang ke kode berbahaya yang dijalankan selama startup sistem.

Mereka menambahkan bahwa dalam serangan itu, implan tertanam di motherboard Gigabyte dan ASUS secara khusus, yang berbagi chipset H81. Ini menawarkan kemungkinan lain untuk kompromi awal.

Sangat menonjol, CosmicStrand tampaknya telah digunakan di alam liar sejak akhir 2016, jauh sebelum serangan UEFI diketahui.

Rootkit UEFI masih jarang terlihat di alam liar, berkat betapa kompleks dan sulitnya mereka untuk dikembangkan tetapi juga bukan mitos. Yang pertama secara resmi terlihat diamati oleh Qihoo 360 untuk digunakan oleh APT yang didukung China pada tahun 2017; Kaspersky percaya CosmicStrand terkait dengan ancaman itu, yang disebut Trojan Spy Shadow.

Kemudian, ESET menemukan satu pada tahun 2018 digunakan oleh aktor yang disponsori negara Rusia APT28 (alias Fancy Bear, Sednit, atau Sofacy). Itu dijuluki LoJax karena kode dasarnya, yang merupakan versi modifikasi dari perangkat lunak pemulihan LoJack Absolute Software untuk laptop.

Sejak itu, yang lain jarang terungkap, seperti MosaicRegressor dan MoonBounce, yang masing-masing ditemukan Kaspersky pada tahun 2020 dan 2022.

Peneliti Kaspersky memperingatkan bahwa jenis rootkit ini terus memberikan misteri dan menimbulkan pertanyaan, dan patut mendapat perhatian lebih dari komunitas analis.

FBI setuju. Laporan rancangan bersama yang dipimpin DHS tersebut mencatat bahwa firmware menghadirkan “permukaan serangan yang besar dan terus berkembang.” Mereka menambahkan bahwa keamanan firmware sering diabaikan, meskipun itu adalah salah satu metode paling tersembunyi di mana penyerang dapat membahayakan perangkat dalam skala besar.

Sumber: Dark Reading

Masalah Printer Menggunakan USB Di Windows 10 Muncul Karena Pembaruan Terbaru Microsoft

by

Microsoft memperingatkan pelanggan bahwa pembaruan Windows yang dirilis sejak 28 Juni akan memicu masalah pencetakan/printing pada perangkat yang terhubung menggunakan USB.

Platform yang terpengaruh mencakup Windows 10, versi 20H2, 21H1, 21H2 dan server Windows Server, versi 20H2.

Gejala yang dilaporkan oleh pengguna adalah aplikasi yang merujuk ke printer yang menggunakan nama tertentu tidak dapat mencetak dan Windows menunjukkan salinan duplikat dari printer yang diinstal dengan nama yang mirip dengan akhiran “Copy1”.
Sementara Microsoft masih mengerjakan perbaikan untuk masalah tersebut, Microsoft memberikan solusi yang akan membantu penggguna memulihkan fungsi pencetakan pada perangkat mereka untuk sementara.

Tindakan yang dapat Anda coba untuk mengatasi masalah tersebut meliputi:

  • ​Membuka menu Settings, navigasikan ke “Bluetooth & devices”, dan pilih “Printers & scanners”.
  • ​Jika tampaknya ada penginstalan duplikat dari printer yang ada, seperti dengan akhiran “Copy1”, konfirmasikan apakah pencetakan berfungsi untuk printer ini. Printer ini harus beroperasi seperti yang diharapkan.
  • Jika Anda perlu menggunakan instalasi printer asli dan bukan duplikat, klik kanan printer duplikat, pilih “Printer properties”, dan pilih tab “Ports”. Perhatikan port yang digunakan.
  • Dari daftar yang ditampilkan, pilih opsi port yang digunakan oleh printer duplikat. Printer salinan duplikat dapat dihapus jika printer asli ini berfungsi normal.

Jika masalah masih muncul, Anda juga dapat mencoba menginstal ulang printer.

  1. Matikan printer Anda dan lepaskan semua kabel
  2. Buka menu Settings, navigasikan ke “luetooth & devices”, dan pilih “Printers & scanners”.
  3. Pilih printer yang terpengaruh dan pilih opsi “Remove Device”
  4. Mulai ulang perangkat Anda
  5. Nyalakan printer Anda dan sambungkan kembali ke perangkat Anda

Jika solusi di atas tidak membantu, Anda dapat mencoba memperbarui driver printer atau memeriksa situs web produsen printer untuk pembaruan firmware.

Selengkapnya: Bleeping Computer

Pelanggaran Data Twitter Mengekspos Detail Kontak untuk 5,4 Juta Akun; Dijual Seharga $30k

by

Pelanggaran data Twitter telah memungkinkan penyerang mendapatkan akses ke detail kontak dari 5,4 juta akun. Twitter telah mengkonfirmasi kerentanan keamanan yang memungkinkan data diekstraksi.

Data – yang menghubungkan pegangan Twitter dengan nomor telepon dan alamat email – telah ditawarkan untuk dijual di forum peretasan, seharga $30.000.

Restore Privacy melaporkan bahwa pelanggaran itu dimungkinkan oleh kerentanan yang ditemukan kembali pada bulan Januari.

Kemungkinan penyerang memperoleh database nomor telepon dan alamat email yang ada yang diperoleh dari pelanggaran layanan lain, dan kemudian menggunakan detail ini untuk mencari ID Twitter yang sesuai.

Belum ada cara untuk memeriksa apakah akun Anda termasuk dalam pelanggaran data Twitter. Seperti biasa, perlu waspada terhadap serangan phishing – email yang mengaku berasal dari Apple, bank Anda, PayPal, penyedia email, dan sebagainya, dan yang meminta Anda untuk masuk ke akun Anda.

Taktik phishing yang umum adalah pesan yang memberi tahu Anda bahwa akun Anda berisiko dihapus, atau mengirim tanda terima palsu untuk pembelian bernilai tinggi, bersama dengan tautan untuk menyengketakan tagihan.

Perlindungan utama di sini adalah jangan pernah mengklik tautan yang dikirim melalui email. Selalu gunakan bookmark Anda sendiri, atau ketik URL yang dikenal.

Sumber: 9to5Mac

Microsoft: Windows Diserang oleh Aktor Ancaman China

by

Raksasa teknologi Microsoft telah memperingatkan pengguna tentang kampanye malware dan ancaman dunia maya terbaru dan memberi tahu mereka bahwa kelompok aktor ancaman yang disponsori negara yang berbasis di China: Hafnium.

Menurut Windows Central, kali ini, peringatan itu ditujukan untuk Tarrask, “malware penghindaran pertahanan” yang menggunakan Windows Task Scheduler untuk menyembunyikan status perangkat yang disusupi dari dirinya sendiri.

“Ketika Microsoft terus melacak aktor ancaman yang disponsori negara dengan prioritas tinggi HAFNIUM, aktivitas baru telah ditemukan yang memanfaatkan kerentanan zero-day yang belum ditambal sebagai vektor awal,” kata perusahaan itu dalam sebuah posting blog.

Serangan itu berasal dari Hafnium, kelompok yang disponsori negara, berbasis di China yang mungkin diingat oleh pengguna sebagai masalah besar karena keterlibatannya dalam krisis Microsoft Exchange pada tahun 2021.

Data yang dikumpulkan selama cobaan itu telah berspekulasi menjadi bahan bakar untuk inovasi AI oleh pemerintah China, kata laporan itu.

Perusahaan mengatakan sedang melacak Hafnium menggunakan malware Tarrask untuk memastikan bahwa PC yang disusupi tetap rentan, menggunakan bug Penjadwal Tugas Windows untuk membersihkan jejak dan memastikan bahwa artefak pada disk dari aktivitas Tarrask tidak bertahan untuk mengungkapkan apa yang terjadi.

Raksasa teknologi ini juga mendemonstrasikan bagaimana pelaku ancaman membuat tugas terjadwal, bagaimana mereka menutupi jejak mereka, bagaimana teknik penghindaran malware digunakan untuk mempertahankan dan memastikan kegigihan pada sistem dan bagaimana melindungi dari taktik ini.

Sumber: Business Standard

Peretas Korea Utara menyerang target UE dengan malware Konni RAT

by

Analis ancaman telah menemukan kampanye baru yang dikaitkan dengan APT37, kelompok peretas Korea Utara, yang menargetkan organisasi bernilai tinggi di Republik Ceko, Polandia, dan negara-negara Eropa lainnya.

Dalam kampanye ini, peretas menggunakan malware yang dikenal sebagai Konni, trojan akses jarak jauh (RAT) yang mampu membangun kegigihan dan melakukan eskalasi hak istimewa pada host.

Konni telah dikaitkan dengan serangan siber Korea Utara sejak 2014, dan baru-baru ini, terlihat dalam kampanye spear-phishing yang menargetkan Kementerian Luar Negeri Rusia.

Kampanye terbaru dan masih berlangsung diamati dan dianalisis oleh para peneliti di Securonix, yang menyebutnya STIFF#BIZON, dan menyerupai taktik dan metode yang sesuai dengan kecanggihan operasional APT (ancaman persisten lanjutan).

Serangan dimulai dengan datangnya email phishing dengan lampiran arsip yang berisi dokumen Word (missile.docx) dan file Windows Shortcut (_weapons.doc.lnk.lnk).

Ketika file LNK dibuka, kode berjalan untuk menemukan skrip PowerShell yang disandikan base64 dalam file DOCX untuk membangun komunikasi C2 dan mengunduh dua file tambahan, ‘weapons.doc’ dan ‘wp.vbs’.

Properti file pintasan berbahaya

Dokumen yang diunduh adalah umpan, konon laporan dari Olga Bozheva, seorang koresponden perang Rusia. Pada saat yang sama, file VBS berjalan tanpa suara di latar belakang untuk membuat tugas terjadwal di host.

PowerShell yang disandikan Base64 menambahkan tugas terjadwal (Securonix)

Pada fase serangan ini, aktor telah memuat RAT dan membuat tautan pertukaran data, dan mampu melakukan tindakan berikut:

  • Screenshot menggunakan Win32 GDI API dan ekstrak dalam bentuk GZIP.
  • Ekstrak kunci status yang disimpan dalam file Status Lokal untuk dekripsi basis data cookie, berguna dalam melewati MFA.
  • Ekstrak kredensial yang disimpan dari browser web korban.
  • Luncurkan shell interaktif jarak jauh yang dapat menjalankan perintah setiap 10 detik.

Pada tahap keempat serangan, seperti yang ditunjukkan pada diagram di bawah, peretas mengunduh file tambahan yang mendukung fungsi sampel Konni yang dimodifikasi, mengambilnya sebagai arsip “.cab” terkompresi.

Diagram rantai infeksi (Securonix)

Ini termasuk DLL yang menggantikan perpustakaan layanan Windows yang sah seperti “wpcsvc” di System32, yang dimanfaatkan untuk menjalankan perintah di OS dengan hak pengguna yang lebih tinggi.

Sementara taktik dan toolset menunjuk ke APT37, Securonix menggarisbawahi kemungkinan APT28 (alias FancyBear) berada di balik kampanye STIFF#BIZON.

Kelompok ancaman yang disponsori negara sering mencoba untuk meniru TTP dari APT terampil lainnya untuk mengaburkan jejak mereka dan menyesatkan analis ancaman, sehingga kemungkinan kesalahan atribusi, dalam hal ini, adalah signifikan.

Sumber: Bleeping Computer

Windows Server 20H2 mencapai EOS bulan depan

by

Microsoft telah mengingatkan pelanggan sekali lagi bahwa Windows Server, versi 20H2, akan mencapai End of Service (EOS) dalam waktu kurang dari sebulan, pada 9 Agustus.

Pengingat ini mengikuti dua peringatan lain sejak Mei 2022 bahwa versi Windows Server ini akan mencapai tanggal akhir dukungan mainstream untuk pengguna Standard Core dan Datacenter Core.

Dirilis kurang dari dua tahun yang lalu, pada 20 Oktober 2020, versi Saluran Semi-Tahunan Windows Server ini tidak akan menerima pembaruan keamanan atau non-keamanan lainnya setelah mencapai tanggal EOS.

Redmond juga mengungkapkan dalam pemberitahuan Mei bahwa Windows Server Semi-Annual Channel (SAC) juga akan dihentikan pada 9 Agustus 2022.

Pelanggan yang masih menjalankan rilis SAC disarankan untuk beralih ke Saluran Layanan Jangka Panjang (LTSC) sesegera mungkin karena LTSC akan menjadi saluran rilis Windows Server utama.

  • Versi Windows Server baru setiap 2-3 tahun
  • Versi Windows Server LTSC akan dirilis setiap dua hingga tiga tahun, dengan pelanggan berhak atas 5 tahun dukungan utama dengan tambahan lima tahun dukungan diperpanjang.

Penting juga untuk dicatat bahwa, menurut Microsoft, instalasi bersih akan diperlukan untuk meningkatkan atau beralih ke saluran LTSC.

Dengan ditutupnya SAC bulan depan, sebagian besar fitur yang diperkenalkan di saluran servis ini telah diluncurkan ke Windows Server 2022, rilis LTSC terbaru dari Windows Server yang akan mencapai tanggal akhir dukungan yang diperpanjang pada Oktober 2031.

Microsoft menyarankan pelanggan untuk pindah ke Azure Stack HCI untuk irama rilis yang sama atau beralih ke Windows Server 2019/2022 di saluran servis LTSC.

Saat beralih ke versi Windows Server baru, Anda dapat mengikuti panduan ini atau menggunakan dokumen dukungan ini untuk memperbaiki atau memecahkan masalah kesalahan yang ditemui selama proses pembaruan.

Sumber: Bleeping Computer

QBot phishing menggunakan sideloading Kalkulator Windows untuk menginfeksi perangkat

by

Operator malware QBot telah menggunakan Kalkulator Windows untuk memuat muatan berbahaya di komputer yang terinfeksi.

Pemuatan samping DLL adalah metode serangan umum yang memanfaatkan cara Dynamic Link Libraries (DLL) ditangani di Windows. Ini terdiri dari memalsukan DLL yang sah dan menempatkannya di folder tempat sistem operasi memuatnya, bukan yang sah.

QBot, juga dikenal sebagai Qakbot adalah jenis malware Windows yang dimulai sebagai trojan perbankan tetapi berkembang menjadi penetes malware, dan digunakan oleh geng ransomware pada tahap awal serangan untuk menjatuhkan suar Cobalt Strike.

Peneliti keamanan ProxyLife baru-baru ini menemukan bahwa Qakbot, telah menyalahgunakan aplikasi Kalkulator Windows 7 untuk serangan pemuatan samping DLL setidaknya sejak 11 Juli. Metode ini terus digunakan dalam kampanye malspam.

Untuk membantu pembela melindungi dari ancaman ini, ProxyLife dan peneliti di Cyble mendokumentasikan rantai infeksi QBot terbaru.

Email yang digunakan dalam kampanye terbaru membawa lampiran file HTML yang mengunduh arsip ZIP yang dilindungi kata sandi dengan file ISO di dalamnya.

Kata sandi untuk membuka file ZIP ditampilkan dalam file HTML, dan alasan mengunci arsip adalah untuk menghindari deteksi antivirus.

Lampiran HTML pada email spam QBot

ISO berisi file .LNK, salinan ‘calc.exe’ (Kalkulator Windows), dan dua file DLL, yaitu WindowsCodecs.dll dan muatan bernama 7533.dll.

isi arsip ZIP

Saat pengguna memasang file ISO, itu hanya menampilkan file .LNK, yang disamarkan agar terlihat seperti PDF yang menyimpan informasi penting atau file yang dibuka dengan browser Microsoft Edge.

Namun, pintasan mengarah ke aplikasi Kalkulator di Windows, seperti yang terlihat di dialog properti untuk file.

Properti file PDF yang memicu infeksi

Mengklik pintasan memicu infeksi dengan menjalankan Calc.exe melalui Command Prompt.

Saat dimuat, Kalkulator Windows 7 secara otomatis mencari dan mencoba memuat file DLL WindowsCodecs yang sah. Namun, itu tidak memeriksa DLL di jalur kode keras tertentu, dan akan memuat DLL apa pun dengan nama yang sama jika ditempatkan di folder yang sama dengan yang dapat dieksekusi Calc.exe.

Pelaku ancaman memanfaatkan kelemahan ini dengan membuat file WindowsCodecs.dll berbahaya mereka sendiri yang meluncurkan file .dll [bernomor] lainnya, yang merupakan malware QBot.

Dengan menginstal QBot melalui program tepercaya seperti Kalkulator Windows, beberapa perangkat lunak keamanan mungkin tidak mendeteksi malware saat dimuat, sehingga pelaku ancaman dapat menghindari deteksi.

Perlu dicatat, bahwa kelemahan sideloading DLL ini tidak lagi berfungsi di Windows 10 Calc.exe dan yang lebih baru, itulah sebabnya pelaku ancaman menggabungkan versi Windows 7.

QBot telah ada selama lebih dari satu dekade, dengan asal-usul sejak 2009 [1, 2, 3, 4]. Meskipun kampanye yang mengirimkannya tidak sering, itu diamati didistribusikan oleh botnet Emotet di masa lalu untuk menjatuhkan muatan ransomware.

Sumber: Bleeping Computer