Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for News

Peneliti membajak paket PHP Packagist populer untuk mendapatkan pekerjaan

by

Seorang peneliti membajak lebih dari selusin paket Packagist — dengan beberapa telah diinstal ratusan juta kali selama masa pakainya.

Peneliti menjangkau BleepingComputer yang menyatakan bahwa dengan membajak paket-paket ini dia berharap mendapatkan pekerjaan. Dan, dia tampaknya cukup yakin bahwa ini akan berhasil.

seorang peneliti dengan nama samaran ‘neskafe3v1’ menghubungi BleepingComputer menyatakan bahwa dia telah mengambil lebih dari empat belas paket Packagist, dengan salah satunya memiliki lebih dari 500 juta pemasangan.

Packagist adalah registry utama paket PHP yang dapat diinstal melalui Composer, alat manajemen ketergantungan. Daripada menghosting paket-paket ini, Packagist lebih berfungsi sebagai direktori metadata yang mengumpulkan paket-paket open source yang dipublikasikan ke GitHub. Paket-paket ini kemudian dapat diinstal oleh pengembang di mesin mereka dengan menjalankan perintah instal komposer.

Proses penerbitan di Packagist sedikit berbeda dengan yang ada di repo open source seperti npm atau PyPI. Seorang pengembang, sebagai lawan mengunggah binari atau rilis perangkat lunak langsung ke Packagist.org, cukup membuat akun Packagist.org, dan “mengirimkan” tautan ke repo GitHub mereka untuk paket tertentu. Perayap Packagist kemudian mengunjungi repo yang disediakan dan mengumpulkan semua data untuk ditampilkan di halaman Packagist untuk paket itu.

Ketika pengembang menjalankan Komposer dengan perintah ‘instal’ atau ‘perbarui’, instance Komposer mereka mungkin pertama-tama mencari keberadaan paket secara lokal, jika gagal, secara default akan mencari di Packagist untuk paket ini dan mengambil URL GitHub yang terdaftar untuk paket itu . Isi paket kemudian diunduh dari repo GitHub ini yang terdaftar di halaman Paket Paket.

Ini sangat kontras dengan cara kerja npm atau PyPI—yaitu, pendaftar ini menghosting dan mendistribusikan rilis perangkat lunak langsung dari server mereka.

selengkapnya : bleepingcomputer.com

Microsoft dilaporkan membantu AMD berkembang menjadi chip AI

by

Microsoft diduga bekerja sama dengan AMD untuk membantu meningkatkan ekspansi pembuat chip ke dalam prosesor kecerdasan buatan. Menurut sebuah laporan oleh Bloomberg, Microsoft menyediakan sumber daya teknik untuk mendukung pengembangan AMD saat kedua perusahaan bergabung untuk bersaing dengan Nvidia, yang menguasai sekitar 80 persen pangsa pasar di pasar prosesor AI.

Pada gilirannya, sumber Bloomberg juga mengklaim bahwa AMD membantu Microsoft untuk mengembangkan chip AI buatannya sendiri, dengan nama sandi Athena. Beberapa ratus karyawan dari divisi silikon Microsoft dilaporkan sedang mengerjakan proyek tersebut dan perusahaan tersebut tampaknya telah menghabiskan sekitar $2 miliar untuk pengembangannya. Namun, juru bicara Microsoft Frank Shaw membantah bahwa AMD terlibat dengan Athena.

Pustaka CUDA Nvidia telah mendorong sebagian besar kemajuan dalam AI selama dekade terakhir. Meskipun AMD menjadi saingan utama dalam industri perangkat keras game, perusahaan tersebut masih belum memiliki alternatif yang cocok untuk ekosistem CUDA untuk penerapan pembelajaran mesin berskala besar. Sekarang industri AI sedang memanas, AMD berusaha menempatkan dirinya pada posisi yang lebih baik untuk memanfaatkan.

selengkapnya : theverge.com

Jaringan Cybercriminal Memicu Perdagangan Kartu Kredit Curian Global Dibongkar

by

Dakwaan empat hitungan dibuka hari ini di Pengadilan Distrik Amerika Serikat untuk Distrik Timur New York yang menuntut Denis Gennadievich Kulkov dengan penipuan perangkat akses, intrusi komputer, dan pencucian uang sehubungan dengan operasinya di Try2Check, layanan utama yang menawarkan “kartu- memeriksa” kepada penjahat dunia maya dalam perdagangan kartu kredit curian.

Platform Try2Check melayani penjahat dunia maya yang membeli dan menjual nomor kartu kredit curian secara massal di internet, menawarkan kepada penjahat kemampuan untuk dengan cepat menentukan persentase kartu yang valid dan aktif. Dengan demikian, Try2Check adalah pendukung utama perdagangan informasi kartu kredit curian, memproses minimal puluhan juta nomor kartu setiap tahun.

Hari ini, pemerintah AS bekerja sama dengan mitra di Jerman dan Austria untuk menonaktifkan situs web Try2Check, sehingga membongkar jaringan kriminal terdakwa. Seiring dengan dakwaan dan pencopotan domain situs web global, Departemen Luar Negeri telah mengumumkan hadiah $10 juta untuk informasi yang mengarah pada penangkapan Kulkov, yang tinggal di Rusia.

Breon Peace, Pengacara Amerika Serikat untuk Distrik Timur New York dan Patrick Freaney, Agen Khusus Penanggung Jawab, Dinas Rahasia Amerika Serikat (USSS), Kantor Lapangan New York, mengumumkan dakwaan tersebut.

“Hari ini adalah hari yang buruk bagi penjahat yang mengandalkan platform terdakwa sebagai standar emas untuk memverifikasi bahwa kartu kredit yang mereka curi dari individu pekerja keras yang tinggal di Distrik Timur New York dan di seluruh dunia memiliki nilai,” kata Pengacara Amerika Serikat Perdamaian. “Surat dakwaan dan penghapusan global situs web Try2Check hari ini menunjukkan bahwa Office, bersama dengan mitra kami, akan mengganggu operasi kejahatan dunia maya di mana pun mereka berada.”

Selengkapnya: Justice.gov

Microsoft mempromosikan Edge dengan trik kotor lagi

by

Microsoft Edge, browser web default yang sudah diinstal sebelumnya di sekitar 1,4 miliar PC Windows, sangat bagus. Selama beberapa tahun terakhir Microsoft telah menginvestasikan banyak waktu dan uang untuk mengembangkan fitur-fiturnya untuk bersaing dengan Chrome.

Jadi sayang sekali saya harus memberi tahu Anda, sekali lagi, bahwa Microsoft menyalahgunakan posisinya sebagai penerbit Windows untuk mencoba dan memaksa penggunanya masuk ke browser pihak pertama.

Awal pekan ini, beberapa pengguna Windows menemukan bahwa setiap kali mereka membuka Chrome, jendela pengaturan aplikasi default Windows juga akan terbuka. Beberapa dari mereka melaporkan bahwa jendela akan terbuka setiap kali mereka mengklik tautan di browser, asalkan Chrome disetel ke default.

Masalahnya tampaknya sangat umum bagi pengguna Windows Enterprise. Rupanya itu adalah masalah dengan pembaruan Windows KB5025221 yang dikeluarkan pada bulan April, yang merusak opsi satu-klik Chrome untuk mengubah browser default, fitur yang diperkenalkan Google tahun lalu. Gizmodo melaporkan bahwa hanya mengubah nama Chrome yang dapat dieksekusi sudah cukup untuk menghindari masalah tersebut, menunjukkan bahwa pembaruan Microsoft secara khusus menargetkan perilaku tombol default Chrome.

Tapi itu bukan akhir dari cerita. Baru pagi ini Microsoft mengumumkan bahwa pembaruan baru untuk versi desktop Outlook dan Teams akan memaksa tautan untuk dibuka di browser Edge, mengabaikan pengaturan default pengguna jika mereka ditetapkan ke browser lain.

Tidak hanya itu merupakan penyalahgunaan yang mencolok dari posisi Microsoft sebagai penerbit Windows dan alat terkaitnya, itu juga secara terang-terangan mengabaikan kemampuan pengguna Windows untuk mengatur asosiasi aplikasi khusus dengan file dan tautan.

Selengkapnya: PCWorld

Mengapa Hal-Hal yang Tidak Anda Ketahui tentang Web Gelap Bisa Menjadi Ancaman Keamanan Siber Terbesar Anda

by

Tim keamanan siber dan TI begitu dibanjiri dengan pemberitahuan dan peringatan keamanan di dalam sistem mereka sendiri, sehingga sulit untuk memantau lingkungan jahat eksternal – yang hanya membuat mereka jauh lebih mengancam.

Pada bulan Maret, pelanggaran data profil tinggi menjadi berita utama nasional ketika informasi identitas pribadi yang terkait dengan ratusan anggota parlemen dan stafnya bocor di web gelap. Insiden keamanan siber melibatkan DC Health Link, sebuah pasar online yang mengelola rencana kesehatan untuk anggota Kongres dan staf Capitol Hill. Menurut laporan berita, FBI telah berhasil membeli sebagian data – termasuk nomor jaminan sosial dan informasi sensitif lainnya – di web gelap.

Karena menonjolnya para korban, cerita tersebut diangkat oleh banyak media yang jarang meliput kejahatan keamanan siber terkait web gelap. Cerita ini tidak hanya menjelaskan salah satu aspek paling berbahaya dari internet, tetapi juga mengingatkan kita bahwa dark web terus menjadi lahan subur bagi penjahat dunia maya.

selengkapnya : thehackernews.com

Pernyataan Komisaris eSafety Australia: Membanginkan Enkripsi yang Kuat dengan Membuka Pintu Bagi Penyusup

by

Pembalikan realitas adalah salah satu cara untuk mengatakannya: di Australia, komisaris eSafety telah membuat komentar aneh terkait enkripsi ujung-ke-ujung, membandingkan perusahaan-perusahaan yang tidak akan secara efektif menghapus fitur keamanan ini (yang melindungi komunikasi dari mata-mata) dengan… seseorang “meninggalkan rumah terbuka untuk penyusup.”

Enkripsi yang kuat ada justru untuk menjaga semua “aktor” – buruk dan sebaliknya – keluar dari tempat yang tidak semestinya, yaitu, komunikasi pribadi orang (“rumah online” mereka) – tetapi komisaris, Julie Inman Grant, tampaknya berpikir , dalam kutipan Politico, bahwa kecuali pintu benar-benar dibiarkan terbuka (karena mencemari enkripsi dengan perangkat lunak pintu belakang) – aktor jahat akan masuk. (?!)

Itu benar – “logika” di sini tampaknya terbuka, bukan pintu tertutup, yang mencegah masuknya tamu tak diundang.

Dorongan kuat oleh berbagai otoritas di seluruh dunia terhadap enkripsi end-to-end kini telah sampai pada titik menghasilkan senam politik yang tragis seperti ini.

Ketika mencoba untuk mengakhiri enkripsi di internet dan membuatnya tidak aman dan rentan terhadap semua jenis kejahatan dan penyalahgunaan untuk semua orang di internet, pemerintah memberikan alasan yang menurut mereka paling sulit untuk dibantah: kebutuhan untuk melindungi anak-anak, dan menghentikan ekstremisme .

Premis (kritikus mengatakan, salah) adalah bahwa penegakan hukum tidak dapat melakukan tugasnya dan menangani kejahatan ini lagi tanpa merusak keamanan setiap pengguna online; tetapi ini menghasilkan tekanan balik yang kuat tidak hanya di komunitas yang ramah privasi, tetapi juga oleh perusahaan teknologi itu sendiri.

Berbicara dalam konteks orang-orang seperti Apple dan bahkan Microsoft yang memiliki fitur enkripsi dalam produk mereka, Grant menyamakan ini dengan “menutup mata terhadap TKP langsung yang terjadi di platform mereka” tetapi juga – “gagal mengeraskan sistem mereka dengan benar dan penyimpanan terhadap penyalahgunaan.”

Dan itulah mengapa produk akhir dari proses pemikiran ini adalah komisaris yang berkata, “Ini mirip dengan membiarkan rumah terbuka untuk penyusup. Begitu aktor jahat itu ada di dalam rumah, semoga berhasil mengeluarkan mereka.”

selengkapnya : reclaimthenet.org

Google Meluncurkan Sertifikat Keamanan Siber untuk Pekerja Tingkat Awal

by

Google memperluas program Sertifikat Karirnya dengan kursus keamanan siber yang dirancang untuk mengajari pendatang baru di bidang keterampilan dasar yang diperlukan untuk bekerja sebagai analis.

Phil Venables, kepala petugas keamanan informasi di Google Cloud, mengatakan kursus ini akan mengajarkan siswa konsep dasar untuk bekerja di pusat operasi keamanan, termasuk mengidentifikasi risiko dan kerentanan, menggunakan alat keamanan standar, dan bekerja dengan bahasa pengkodean seperti Python. Staf Google mengajarkan kurikulum, yang dikembangkan bersama sejumlah perusahaan Fortune 500.

Meskipun program ini tidak dirancang untuk mengajarkan bidang khusus keamanan siber, seperti pengujian penetrasi atau keamanan cloud, program ini dimaksudkan untuk memberikan kursus intensif untuk keterampilan inti yang kemudian dapat digunakan oleh siswa untuk mendapatkan pekerjaan dan spesialisasi, katanya.

“Untuk memberi orang keterampilan nyata untuk posisi entry-level, Anda sebenarnya harus cukup dalam, yang berarti Anda tidak bisa melebar,” kata Mr. Venables.

Ada kekurangan pekerja cybersecurity yang memenuhi syarat di AS, dengan lebih dari 755.000 pekerjaan terbuka di perusahaan dan badan pemerintah, menurut data dari asosiasi industri dan pemerintah federal.

Pada Juli 2022, Gedung Putih mengadakan pertemuan puncak dengan sejumlah perusahaan, kelompok lobi, dan sekolah untuk membahas tanggapan yang tepat atas kekurangan keterampilan. Itu mengakibatkan perusahaan besar, termasuk Google, menjanjikan jutaan dolar untuk berinvestasi dalam pelatihan, magang, dan kemitraan dengan institusi akademis.

Selengkapnya: WSJ

Gmail mendapat tanda centang verifikasi biru yang benar-benar berarti

by

Terlepas dari semua ketenaran seputar “tanda centang biru” berkat Twitter Blue, verifikasi akun adalah cara yang berguna untuk mencegah penipuan, dan semakin banyak perusahaan yang menggunakannya. Meta Terverifikasi Pertama datang ke Facebook dan Instagram, dan sekarang Gmail akan memverifikasi bahwa email yang Anda terima berasal dari sumber “nyata”.

Dalam posting blog Google Workspace hari Rabu (dibuka di tab baru), perusahaan menguraikan bagaimana mereka akan menggunakan tanda centang selain sistem Indikator Merek untuk Identifikasi Pesan (BIMI) — pertama kali diadopsi pada tahun 2021 — untuk menentukan legitimasi pengirim.

BIMI memastikan bahwa hanya perusahaan yang telah memvalidasi nama domainnya dan membuktikan bahwa mereka memiliki logo merek yang dapat menampilkan logo tersebut di slot avatar di samping email. Sekarang, selain itu, pengirim yang diverifikasi BIMI juga akan memiliki tanda centang di sebelah namanya, lebih lanjut menekankan bahwa Google mengatakan bahwa mereka dapat dipercaya.

Pada contoh di bawah ini, Anda dapat melihat bagaimana, saat Anda mengarahkan kursor ke tanda centang biru di samping nama dan logo Google, sebuah kotak muncul yang bertuliskan, “Pengirim email ini telah memverifikasi bahwa mereka pemilik google.com dan logo di gambar profil.”

Dengan kata lain, Anda tidak akan mendapatkan tanda centang biru untuk memverifikasi identitas Anda dalam waktu dekat. Tetapi jika Anda mengirim email atas nama bisnis Anda, Anda dapat menyiapkan BIMI(buka di tab baru) melalui tautan Dukungan Google tersebut, dan pastikan pelanggan Anda tahu bahwa pesan Anda sah.

Selengkapnya: Android Central