Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for News

Sekitar 100.000 situs web teratas mengumpulkan semua yang Anda ketik—sebelum Anda menekan tombol kirim

by

Peneliti dari KU Leuven, Radboud University, dan University of Lausanne merayapi dan menganalisis 100.000 situs web teratas, melihat skenario di mana pengguna mengunjungi situs saat berada di Uni Eropa dan mengunjungi situs dari Amerika Serikat.

Mereka menemukan bahwa 1.844 situs web mengumpulkan alamat email pengguna UE tanpa persetujuan mereka, dan 2.950 yang mengejutkan mencatat email pengguna AS dalam beberapa bentuk. Banyak situs yang tampaknya tidak bermaksud untuk melakukan pencatatan data tetapi menggabungkan layanan pemasaran dan analitik pihak ketiga yang menyebabkan perilaku tersebut.

Setelah secara khusus merayapi situs untuk kebocoran kata sandi pada Mei 2021, para peneliti juga menemukan 52 situs web tempat pihak ketiga, termasuk raksasa teknologi Rusia Yandex, secara tidak sengaja mengumpulkan data kata sandi sebelum diserahkan. Kelompok tersebut mengungkapkan temuan mereka ke situs-situs ini, dan semua 52 kasus telah diselesaikan.

“Dalam beberapa kasus, ketika Anda mengklik kolom berikutnya, mereka mengumpulkan yang sebelumnya, seperti Anda mengklik kolom kata sandi dan mereka mengumpulkan email, atau Anda cukup mengklik di mana saja dan mereka segera mengumpulkan semua informasi,” kata Asuman Senol, seorang privasi dan peneliti identitas di KU Leuven dan salah satu rekan penulis studi. “Kami tidak menyangka akan menemukan ribuan situs web; dan di AS, jumlahnya sangat tinggi, yang menarik.”

Para peneliti mengatakan bahwa perbedaan regional mungkin terkait dengan perusahaan yang lebih berhati-hati tentang pelacakan pengguna, dan bahkan berpotensi berintegrasi dengan lebih sedikit pihak ketiga, karena Peraturan Perlindungan Data Umum UE. Tetapi mereka menekankan bahwa ini hanya satu kemungkinan, dan penelitian ini tidak memeriksa penjelasan untuk perbedaan tersebut.

Selengkapnya: Arstechnica

Intel mengungkapkan banyak masalah keamanan pada perangkat keras mereka, tambal sekarang!

by

Intel telah mengumumkan sejumlah bug firmware, yang dapat memungkinkan endpoint seperti server pusat data, workstation, perangkat seluler, dan produk penyimpanan dikompromikan.

Bug, pertama kali dilaporkan oleh The Register, bug tersebut dapat memungkinkan aktor jahat membocorkan informasi dan meningkatkan hak istimewa mereka, dan diberi label oleh Intel sebagai “keparahan tinggi”.

Daftar lengkap produk yang mungkin terpengaruh oleh kerentanan dapat ditemukan di sini, yang mencakup Prosesor Intel Core Generasi ke-10 dan Prosesor Intel Core X-series.

Sayangnya, bug di atas bukanlah satu-satunya bug yang dapat diumumkan oleh Intel.

Kerentanan keamanan potensial di Prosesor Intel yang memungkinkan kebocoran informasi juga diumumkan, meskipun ini hanya dijuluki “keparahan rendah” oleh Intel.

Intel mengatakan bahwa “Perbedaan perilaku yang dapat diamati di beberapa prosesor Intel memungkinkan pengguna yang berwenang untuk berpotensi mengaktifkan pengungkapan informasi melalui akses lokal.”

Bug tersebut berpotensi mempengaruhi semua keluarga prosesor Intel menurut raksasa perangkat keras tersebut.

Intel merekomendasikan bahwa produk apa pun yang terpengaruh harus menggunakan instruksi LFENCE “setelah memuat yang harus mengamati penulisan dari utas lain ke alamat memori bersama yang sama”.

Firewall mungkin tidak cukup dengan sendirinya dalam iklim saat ini, bukan hanya Intel yang memiliki potensi kerentanan keamanan perangkat keras yang beredar.

Peneliti akademis telah menunjukkan strategi serangan yang berhasil untuk menyiasati perlindungan yang diberikan oleh teknologi Secure Encrypted Virtualization (SEV) AMD yang terkenal.

Siapa pun yang tertarik untuk mengetahui lebih banyak bug dan memiliki informasi tentang masalah keamanan atau kerentanan dengan produk atau teknologi bermerek Intel dapat mengirimkannya melalui email ke secure@intel.com, setelah mengenkripsi informasi sensitif menggunakan kunci publik PGP-nya.

Permintaan untuk keamanan perangkat keras yang lebih besar ada di sana menurut penelitian Intel sendiri.

Survei, berdasarkan berbicara kepada 1.406 orang di seluruh Amerika Serikat, Eropa, Timur Tengah, Afrika, dan Amerika Latin, menemukan 75% responden menyatakan minatnya pada pendekatan berbasis perangkat keras untuk keamanan, sementara 40% menyatakan minatnya pada “keamanan di tingkat silikon”.

Selengkapnya: Tech Radar

Peretas Menggunakan Layanan PrivateLoader PPI untuk Mendistribusikan Malware NetDooka Baru

by

Layanan malware bayar-per-instal (PPI) yang dikenal sebagai PrivateLoader telah terlihat mendistribusikan kerangka kerja yang “cukup canggih” yang disebut NetDooka, memberikan penyerang kendali penuh atas perangkat yang terinfeksi.

“Kerangka ini didistribusikan melalui layanan bayar-per-instal (PPI) dan berisi beberapa bagian, termasuk loader, dropper, driver perlindungan, dan trojan akses jarak jauh (RAT) berfitur lengkap yang mengimplementasikan protokol komunikasi jaringannya sendiri. , ”kata Trend Micro dalam sebuah laporan yang diterbitkan Kamis.

PrivateLoader, seperti yang didokumentasikan oleh Intel 471 pada Februari 2022, berfungsi sebagai pengunduh yang bertanggung jawab untuk mengunduh dan memasang malware tambahan ke sistem yang terinfeksi, termasuk SmokeLoader, RedLine Stealer, Vidar, Raccoon, GCleaner, dan Anubis.

Menampilkan teknik anti-analisis, PrivateLoader ditulis dalam bahasa pemrograman C++ dan dikatakan dalam pengembangan aktif, dengan keluarga malware pengunduh mendapatkan daya tarik di antara beberapa pelaku ancaman.

Infeksi PrivateLoader biasanya disebarkan melalui perangkat lunak bajakan yang diunduh dari situs web jahat yang didorong ke bagian atas hasil pencarian melalui teknik keracunan optimasi mesin pencari (SEO).

“PrivateLoader saat ini digunakan untuk mendistribusikan ransomware, pencuri, bankir, dan malware komoditas lainnya,” Zscaler mencatat minggu lalu. “Pemuat kemungkinan akan terus diperbarui dengan fitur dan fungsionalitas baru untuk menghindari deteksi dan secara efektif mengirimkan muatan malware tahap kedua.”

Selengkapnya: Olivers Post

Malware Builder Memanfaatkan Discord Webhooks

by

Malware Builder adalah program yang dapat membuat executable mereka sendiri di atasnya. Analis ancaman dari Uptycs menemukan sampel yang dijuluki “KurayStealer.” Menurut peneliti, malware tersebut telah digunakan untuk menargetkan pengguna Discord.

Penulis di balik KurayStealer jelas mengambil inspirasi – dan kode – dari serangan-serangan lainnya. “Kami telah melihat beberapa versi serupa lainnya beredar di repositori publik seperti github,” catat para peneliti, menyimpulkan bahwa “pembuat KurayStelaer memiliki beberapa komponen pencuri kata sandi yang berbeda.”

Saat pertama kali dijalankan, KurayStealer menjalankan pemeriksaan untuk menentukan apakah pengguna jahat menjalankan versi gratis atau “VIP” (berbayar).

Selanjutnya, ia mencoba untuk mengganti string “api/webhooks” dengan “Kisses” di BetterDiscord – versi diperpanjang dari aplikasi Discord, dengan fungsionalitas yang lebih besar untuk pengembang. Jika tindakan ini berhasil, peretas dapat merusak aplikasi untuk menyiapkan webhook.

Webhook adalah mekanisme di mana halaman web dan aplikasi dapat mengirim data waktu nyata satu sama lain melalui HTTP. Mereka seperti API, perbedaan utamanya adalah bahwa webhook mengirim informasi secara otomatis, tanpa memerlukan permintaan dari penerima.

Dengan webhook, program mengambil tangkapan layar dan mengambil lokasi geografis mesin target. Kemudian mulai berburu kredensial: mencari kata sandi, token, alamat IP, dan lainnya dari Discord, Microsoft Edge, Chrome, dan 18 aplikasi lainnya. Setiap data yang dijelajahi dalam proses ini disalurkan kembali ke penyerang melalui webhook.

Selengkapnya: Threat Post

Peringatan: Pembaruan Windows merusak otentikasi untuk beberapa admin server

by

Microsoft memperingatkan pembaruan keamanan dapat menyebabkan kegagalan otentikasi untuk pengontrol domain Windows.

“Setelah menginstal pembaruan yang dirilis 10 Mei 2022 di pengontrol domain Anda, Anda mungkin melihat kegagalan otentikasi di server atau klien untuk layanan seperti Network Policy Server (NPS), Routing and Remote Access Service (RRAS), Radius, Extensible Authentication Protocol ( EAP), dan Protected Extensible Authentication Protocol (PEAP),” kata goliath IT itu dalam sebuah nasihat yang diterbitkan Rabu.

Saran mengacu pada pembaruan Windows KB5013943 (dirilis Selasa, 10 Mei 2022), yang mengikuti KB5012643 (dirilis 25 April 2022) dan membahas penyebab layar berkedip saat memulai dalam Safe Mode.

Pembaruan KB5012643 April itu ditarik dari peredaran pada Rabu, 11 Mei, tanpa penjelasan.

Pembaruan Windows terbaru, KB5013943, meninggalkan masalah yang belum terselesaikan di mana beberapa aplikasi .NET Framework 3.5 gagal dibuka dan beberapa aplikasi yang menggunakan Direct3D 9 dengan GPU tertentu mogok (solusi disarankan untuk kedua kasus.)

Kesulitan otentikasi seharusnya tidak mempengaruhi perangkat Windows klien atau server pengontrol non-domain, menurut Microsoft.

Netizen yang memposting ke /r/sysadmin di Reddit mencatat terjadinya kegagalan otentikasi setelah penerapan dua tambalan Microsoft. Diidentifikasi oleh ID kerentanan CVE-2022-26931 dan CVE-2022-26923, patch tersebut dimaksudkan untuk menyelesaikan dua kerentanan eskalasi hak istimewa “keparahan tinggi” yang dijelaskan dalam KB5014754.

Selengkapnya: The Register

Aplikasi papan buletin anonim Yik Yak mengungkapkan lokasi persis penggunanya

by

Yik Yak, sebuah aplikasi yang bertindak sebagai papan pesan anonim lokal, memungkinkan untuk menemukan lokasi pengguna yang tepat dan ID unik, Motherboard melaporkan.

Seorang peneliti yang menganalisis data Yik Yak dapat mengakses koordinat GPS yang tepat dari mana posting dan komentar berasal, akurat dalam jarak 10 hingga 15 kaki, dan mengatakan dia membawa temuannya ke perusahaan pada bulan April.

Motherboard berbicara dengan David Teather, seorang mahasiswa ilmu komputer yang berbasis di Madison, Wisconsin, yang menyampaikan masalah keamanan kepada Yik Yak dan kemudian mempublikasikan temuannya dalam sebuah posting blog.

Aplikasi ini menampilkan pos dari pengguna di sekitar tetapi hanya menampilkan perkiraan lokasi, seperti “sekitar 1 mil jauhnya,” hingga lima mil, untuk memberi pengguna gambaran dari mana pembaruan komunitas terdekat mereka berasal.

Meskipun Yik Yak menjanjikan anonimitas, Teather menunjukkan bahwa menggabungkan koordinat GPS dan ID pengguna dapat menghilangkan anonimitas pengguna dan mencari tahu di mana orang tinggal karena banyak yang mungkin menggunakannya dari rumah dan datanya akurat dalam jarak 10 hingga 15 kaki.

Kombinasi informasi tersebut dapat digunakan untuk menguntit atau mengawasi orang tertentu, dan Teather menyebutkan bahwa risikonya bisa lebih tinggi bagi orang yang tinggal di daerah pedesaan di mana jarak rumah lebih dari 10 hingga 15 kaki karena lokasi GPS dapat mempersempit pengguna ke satu alamat.

Selengkapnya: The Verge

Peretas Iran terungkap dalam kampanye spionase yang sangat ditargetkan

by

Analis ancaman telah melihat serangan baru yang dikaitkan dengan kelompok peretasan Iran yang dikenal sebagai kelompok APT34 atau Oilrig, yang menargetkan seorang diplomat Yordania dengan alat yang dibuat khusus.

Serangan itu melibatkan teknik anti-deteksi dan anti-analisis tingkat lanjut dan memiliki beberapa karakteristik yang menunjukkan persiapan yang panjang dan hati-hati.

Peneliti keamanan di Fortinet telah mengumpulkan bukti dan artefak dari serangan pada Mei 2022 dan menyusun laporan teknis untuk menyoroti teknik dan metode terbaru APT34.

Email spear-phishing yang dilihat oleh Fortinet menargetkan seorang diplomat Yordania, berpura-pura dari seorang rekan di pemerintahan, dengan alamat email yang dipalsukan.

Email tersebut membawa lampiran Excel berbahaya yang berisi kode makro VBA yang dijalankan untuk membuat tiga file, file yang dapat dieksekusi berbahaya, file konfigurasi, dan DLL yang ditandatangani dan dibersihkan.

Makro juga menciptakan kegigihan untuk executable berbahaya (update.exe) dengan menambahkan tugas terjadwal yang berulang setiap empat jam.

Temuan lain yang tidak biasa menyangkut dua mekanisme anti-analisis yang diterapkan di makro: pengalihan visibilitas lembar dalam spreadsheet dan yang lainnya memeriksa keberadaan mouse, yang mungkin tidak ada pada layanan kotak pasir analisis malware.

Eksekusi berbahaya adalah biner .NET yang memeriksa status program dan membuat dirinya tertidur selama delapan jam setelah diluncurkan. Para analis percaya para peretas mungkin menetapkan penundaan ini dengan asumsi bahwa diplomat akan membuka email di pagi hari dan pergi setelah delapan jam sehingga komputer tidak akan dijaga.

Saat aktif, malware berkomunikasi dengan subdomain C2 menggunakan alat algoritma pembuatan domain (DGA). DGA adalah teknik yang digunakan secara luas yang membuat operasi malware lebih tahan terhadap penghapusan domain dan daftar blokir.

Sistem algoritma pembuatan domain (Fortinet)

Kemudian membuat terowongan DNS untuk berkomunikasi dengan alamat IP yang disediakan. Ini adalah teknik yang jarang terlihat yang membantu pelaku ancaman mengenkripsi data yang dipertukarkan dalam konteks komunikasi ini, sehingga menyulitkan pemantau jaringan untuk menangkap sesuatu yang mencurigakan.

Terowongan DNS dalam komunikasi C2 (Fortinet)

Beberapa domain yang digunakan dalam kampanye diberi nama yang mencurigakan, jelas berusaha menyamar sebagai entitas terkenal dan tepercaya seperti AstraZeneca, HSBC, dan Cisco.

Selanjutnya, C2 mengirimkan dua puluh dua perintah backdoor yang berbeda ke malware, yang dijalankan melalui PowerShell atau Windows CMD interpreter.

Terakhir, eksfiltrasi data yang dicuri dilakukan melalui DNS, dengan data yang disematkan ke dalam permintaan, membuatnya tampak standar dalam log jaringan.

Eksfiltrasi DNS APT34 (Fortinet)

APT34 sebelumnya telah dikaitkan dengan pemerintah Iran dan merupakan aktor ancaman yang cakap yang beroperasi dalam bayang-bayang, tidak meninggalkan banyak jejak.

Dengan demikian, laporan Fortinet sangat berharga bagi para peneliti dan pembela, yang harus memperhatikan indikator kompromi yang dipublikasikan.

Sumber: Bleeping Computer

Kit malware keabadian menawarkan alat pencuri, penambang, worm, ransomware

by

Pelaku ancaman telah meluncurkan ‘Proyek Keabadian,’ malware-as-a-service baru di mana pelaku ancaman dapat membeli perangkat malware yang dapat disesuaikan dengan modul yang berbeda tergantung pada serangan yang dilakukan.

Perangkat malware bersifat modular dan dapat mencakup pencuri info, penambang koin, pemotong, program ransomware, penyebar worm, dan segera, juga bot DDoS (penolakan layanan terdistribusi), masing-masing dibeli secara terpisah.

Situs Proyek Keabadian (Cyble)

Semua hal di atas dipromosikan di saluran Telegram khusus yang memiliki lebih dari 500 anggota, tempat penulis memposting catatan rilis untuk pembaruan, petunjuk penggunaan, dan mendiskusikan saran fitur.

Mereka yang telah membeli perangkat malware dapat memanfaatkan Bot Telegram untuk membangun biner secara otomatis setelah memilih fitur mana yang ingin mereka aktifkan dan membayarnya dengan kripto.

Membeli modul malware untuk pembuatan otomatis (Cyble)

Dimulai dengan pencuri info, yang dijual seharga $260/tahun, alat ini mengambil kata sandi, kartu kredit, bookmark, token, cookie, dan data pengisian otomatis yang disimpan di lebih dari dua puluh browser web.

Selain itu, ia dapat mencuri informasi dari ekstensi cryptocurrency atau bahkan dompet dingin, dan juga menargetkan sepuluh pengelola kata sandi, klien VPN, messenger, dan klien game.

Modul penambang berharga $90/tahun dan menampilkan penyembunyian pengelola tugas, restart otomatis saat dimatikan, dan ketekunan peluncuran startup.

Clipper dijual seharga $ 110 dan merupakan utilitas yang memantau clipboard untuk alamat dompet cryptocurrency untuk menggantikannya dengan dompet di bawah kendali operator.

Pengembang menjual Eternity Worm seharga $ 390, memberikan malware kemampuan untuk menyebar sendiri melalui driver USB, berbagi jaringan lokal, file lokal, drive cloud, proyek Python (melalui juru bahasa), akun Discord, dan akun Telegram.

Contoh malware menyebar melalui akun Discord (Cyble)

Terakhir, Eternity ransomware, modul paling mahal, adalah $490. Ini mendukung enkripsi offline menggunakan kombinasi AES dan RSA dan menargetkan dokumen, foto, dan database.

Penulis mengklaim itu FUD (sepenuhnya tidak terdeteksi), klaim yang diduga didukung oleh Virus Total hasil di mana strain mengembalikan deteksi nol.

Menariknya, modul ransomware menawarkan opsi untuk menyetel timer yang membuat file benar-benar tidak dapat dipulihkan saat kedaluwarsa. Ini memberi tekanan tambahan pada korban untuk membayar uang tebusan dengan cepat.

Pengatur waktu ransomware mengancam file yang rusak (Cyble)

Analis di Cyble yang menemukan Proyek Keabadian mengatakan bahwa meskipun mereka belum memiliki kesempatan untuk memeriksa semua modul, mereka telah melihat sampel malware yang beredar dan digunakan di alam liar, dan semua komentar pengguna di Telegram mengarah ke ini menjadi ancaman nyata.

Dengan melihat ke dalam modul stealer, analis Cyble menemukan beberapa kesamaan dengan Jester Stealer, keduanya mungkin berasal dari proyek GitHub bernama DynamicStealer.

Dengan demikian, “Eternity Stealer” kemungkinan besar adalah salinan kode itu, diikuti dengan modifikasi dan rebranding untuk menjualnya di Telegram demi keuntungan.

Bahkan jika ini adalah “skidware”, modul tambahan, dukungan pelanggan, pembuatan otomatis, dan instruksi terperinci tentang cara menggunakan malware, menjadikannya senjata ampuh di tangan peretas yang tidak terampil dan ancaman parah bagi pengguna internet.

Sumber: Bleeping Computer