Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for News

F5 memperingatkan bug RCE BIG-IP kritis yang memungkinkan pengambilalihan perangkat

by

F5 telah mengeluarkan peringatan penasehat keamanan tentang cacat yang memungkinkan penyerang yang tidak diautentikasi dengan akses jaringan untuk mengeksekusi perintah sistem sewenang-wenang, melakukan tindakan file, dan menonaktifkan layanan di BIG-IP.

Kerentanan dilacak sebagai CVE-2022-1388 dan memiliki peringkat keparahan CVSS v3 9,8, dikategorikan kritis. Eksploitasinya berpotensi mengarah pada pengambilalihan sistem secara menyeluruh.

Menurut penasihat keamanan F5, kelemahannya terletak pada komponen iControl REST dan memungkinkan aktor jahat mengirim permintaan yang tidak diungkapkan untuk melewati otentikasi iControl REST di BIG-IP.

Karena parahnya kerentanan dan penyebaran luas produk BIG-IP di lingkungan kritis, CISA (Cybersecurity and Infrastructure Security Agency) juga telah mengeluarkan peringatan hari ini.

Berikut daftar lengkap produk yang terpengaruh:

  • BIG-IP versions 16.1.0 to 16.1.2
  • BIG-IP versions 15.1.0 to 15.1.5
  • BIG-IP versions 14.1.0 to 14.1.4
  • BIG-IP versions 13.1.0 to 13.1.4
  • BIG-IP versions 12.1.0 to 12.1.6
  • BIG-IP versions 11.6.1 to 11.6.5

F5 telah merilis perbaikan di v17.0.0, v16.1.2.2, v15.1.5.1, v14.1.4.6, dan v13.1.5. Cabang 12.x dan 11.x tidak akan menerima patch perbaikan.

Selain itu, advisory tersebut menjelaskan bahwa Manajemen Terpusat BIG-IQ, F5OS-A, F5OS-C, dan Traffic SDC tidak terpengaruh oleh CVE-2022-1388.

F5 telah menyediakan tiga mitigasi efektif yang dapat digunakan sementara untuk mereka yang tidak dapat segera menerapkan pembaruan keamanan.

Selengkapnya: Bleeping Computer

Artist Pixiv, DeviantArt mendapat tawaran pekerjaan NFT yang mendorong malware

by

Pengguna di Pixiv, DeviantArt, dan platform online berorientasi pencipta lainnya melaporkan menerima banyak pesan dari orang-orang yang mengaku berasal dari proyek NFT “Cyberpunk Ape Executives”, dengan tujuan utama menginfeksi perangkat artis dengan malware pencuri informasi.

“Cyberpunk Ape Executives” adalah koleksi terbatas token non-fungible (NFT) mengikuti pendekatan klub tertutup yang telah memberikan ketenaran dan nilai astronomi pada usaha serupa.

Dilansir dari Malwarebytes, aktor ancaman menargetkan artis dengan tawaran untuk bekerja dengan orang-orang di belakang proyek dan merancang serangkaian karakter baru untuk memperluas koleksi dengan NFT baru, menawarkan kompensasi hingga $350 per hari.

Pesan yang dikirim ke artis berisi tautan yang, jika diklik, mengarah ke halaman unduhan MEGA dimana korban dapat mengunduh arsip RAR 4,1 MB yang dilindungi kata sandi bernama ‘Cyberpunk Ape Exemples (pass 111).rar’ yang berisi sampel Karya seni Eksekutif Kera Cyberpunk.

Di dalam arsip, para seniman akan menemukan GIF dari Cyberpunk Ape Executives NFTs, dan di antaranya, ada file executable yang dibuat agar terlihat seperti gambar GIF lainnya, mudah dipadukan dengan koleksi lainnya.

File executable ini adalah malware installer yang akan menginfeksi perangkat dengan trojan pencuri informasi dengan peluang bagus untuk melewati deteksi AV berdasarkan deteksi VirusTotal saat ini.

Malware pencuri informasi biasanya menargetkan informasi yang disimpan di browser, seperti kata sandi akun, dompet cryptocurrency, kartu kredit, atau bahkan file di disk.

Ketika pelaku ancaman mendapatkan kredensial akun dari akun terkenal dengan jumlah pengikut yang tinggi, mereka akan menggunakannya untuk mempromosikan penipuan yang sama ke lebih banyak pengguna.

Selengkapnya: Bleeping Computer

Peretas mencuri data yang tidak terdeteksi dari AS dan organisasi Eropa sejak 2019

by

Kelompok peretas China yang dikenal sebagai ‘Winnti’ telah secara diam-diam mencuri aset kekayaan intelektual seperti paten, hak cipta, merek dagang, dan data perusahaan lainnya – dan tetap tidak terdeteksi oleh peneliti keamanan serta target sejak 2019.

Winnti, juga dilacak sebagai APT41, adalah kelompok spionase dunia maya yang canggih dan sulit dipahami yang diyakini didukung oleh negara Tiongkok dan beroperasi atas nama kepentingan nasionalnya.

Kampanye kejahatan dunia maya yang ditemukan telah berlangsung setidaknya sejak 2019 dan menargetkan perusahaan teknologi dan manufaktur di Asia Timur, Eropa Barat, dan Amerika Utara.

Operasi kriminal ini dikenal sebagai ‘Operasi CuckooBees’ dan ditemukan oleh analis di Cybereason, yang mengungkapkan malware baru yang disebarkan oleh kelompok peretas terkenal, mekanisme yang mereka manfaatkan untuk penyusupan, dan metode pengiriman muatan rumit yang mereka gunakan.

Yang menjadi highlight dalam laporan Cybereason adalah malware Winnti baru yang dijuluki “DEPLOYLOG” dan metode penyalahgunaan mekanisme Windows CLFS (Common Log File System) untuk penyembunyian muatan.

Malware DEPLOYLOG, yang belum didokumentasikan sebelumnya, adalah DLL 64-bit (disamarkan sebagai “dbghelp.dll”) yang mengekstrak dan mengeksekusi payload terakhir Winnti, rootkit WINNKIT, dan kemudian membuat dua saluran komunikasi dengan remote C2 dan rootkit tingkat kernel.

Cybereason percaya bahwa karena kompleksitas, tersembunyi, dan kecanggihan Operasi CuckooBees, kemungkinan besar Winnti telah menginfeksi lebih banyak sistem perusahaan daripada yang dapat mereka verifikasi.

Selengkapnya: Bleeping Computer

Bug ransomware Conti, REvil, LockBit dieksploitasi untuk memblokir enkripsi

by

Peretas biasanya mengeksploitasi kerentanan di jaringan perusahaan untuk mendapatkan akses, tetapi seorang peneliti telah membalikkan keadaan dengan menemukan eksploitasi di ransomware dan malware paling umum yang didistribusikan saat ini.

Malware dari operasi ransomware terkenal seperti Conti, REvil, Black Basta, LockBit, atau AvosLocker, semuanya datang dengan masalah keamanan yang dapat dieksploitasi untuk menghentikan langkah terakhir dan paling merusak dari serangan, enkripsi file.

Menganalisis jenis malware dari geng ransomware ini, seorang peneliti keamanan bernama hyp3rlinx menemukan bahwa sampel tersebut rentan terhadap DLL hijacking, sebuah metode yang biasanya dimanfaatkan oleh penyerang untuk menyuntikkan kode berbahaya ke dalam aplikasi yang sah.

Untuk setiap bagian malware yang dianalisis, peneliti memberikan laporan yang menjelaskan jenis kerentanan yang ditemukan, hash sampel, eksploitasi proof-of-concept (PoC), dan video demo.

Untuk sampel ransomware yang rentan dari Conti, REvil, LockBit, Black Basta, LockiLocker, dan AvosLocker, peneliti mengatakan bahwa exploit mereka memungkinkan mengeksekusi kode untuk “mengendalikan dan menghentikan pra-enkripsi malware.”

Di bawah ini adalah video dari peneliti yang mengeksploitasi kerentanan DLL hijacking di REvil ransomware untuk menghentikan malware sebelum proses enkripsi dimulai.

Untuk bertahan melawan keluarga ransomware ini, hyp3rlinx mengatakan bahwa DLL dapat ditempatkan di lokasi di mana penjahat siber cenderung menjalankan ransomware mereka, seperti lokasi jaringan dengan data penting.

Berikut adalah laporan kerentanan untuk sampel ransomware yang dianalisis: Conti, REvil, LockBit, Black Basta, LockiLocker, dan AvosLocker.

Selengkapnya: Bleeping Computer

Departemen Pertahanan Ditipu $23M dalam Serangan Phishing pada Vendor Jet-Fuel

by

Departemen Kehakiman telah mengumumkan hukuman atas enam tuduhan terhadap seorang pria California yang mencuri lebih dari $23 juta dari Departemen Pertahanan dengan penipuan phishing.

Sercan Oyuntur, penjahat dunia maya yang berbasis di Northridge, California, bersama dengan rekan konspirator dari Jerman, Turki, dan New Jersey, menargetkan pemasok bahan bakar jet untuk pasukan AS di Asia Tenggara. Tujuannya adalah untuk mencegat pembayaran dari Departemen Pertahanan, menurut Kantor Kejaksaan AS di Distrik New Jersey.

Dikatakan dalam pengumuman tentang kemenangan pengadilan bahwa setelah membuat akun email dan membuat situs web Administrasi Layanan Umum palsu, pelaku ancaman mengirim email phishing untuk mencoba dan menipu vendor agar menyerahkan kredensial login mereka. Penjahat dunia maya kemudian menggunakannya untuk mengalihkan pembayaran ke rekening mereka sendiri.

Oyuntur mengaku bersalah dan akan dijatuhi hukuman pada 21 Juni. Dua tuduhan konspirasi dan penipuan bank bisa datang dengan hukuman hingga 30 tahun, bersama dengan denda yang besar, kata Departemen Kehakiman.

Sumber: Darkreading

Aturan Pelaporan Pelanggaran yang Baru untuk Bank di US Mulai Berlaku 1 Mei

by

Aturan pelaporan insiden dunia maya baru akan mulai berlaku di AS pada 1 Mei. Bank-bank di negara itu akan diminta untuk memberi tahu regulator dalam 36 jam pertama setelah sebuah organisasi mengalami “insiden keamanan komputer” yang memenuhi syarat. Peraturan tersebut pertama kali disahkan pada November 2021.

Layanan dan institusi keuangan, yang merupakan tulang punggung ekonomi A.S., adalah salah satu sektor yang paling ditargetkan oleh musuh dunia maya global, Marcus Fowler, wakil presiden senior keterlibatan strategi dan ancaman di perusahaan keamanan siber AI Darktrace, mengatakan kepada Information Security Media Group.

“Undang-undang ini sangat penting karena pemberitahuan tepat waktu memainkan peran penting dalam membatasi skala serangan, terutama untuk institusi yang bergantung pada intelijen ancaman untuk kemampuan bertahan,” katanya.

“Meskipun waktu pelaporan 36 jam adalah jendela yang lebih kecil daripada yang biasa digunakan kebanyakan orang, FDIC telah mereferensikan kesederhanaan proses pemberitahuan karena ‘tidak menetapkan konten atau format tertentu’ serta memulai pemberitahuan 36 jam setelah Anda menentukan bahwa Anda memiliki insiden keamanan aktual, bukan potensial, “kata Brickhouse.

“Insiden keamanan komputer,” katanya, adalah kejadian yang “mengakibatkan kerusakan nyata pada kerahasiaan, integritas, atau ketersediaan sistem informasi atau informasi yang diproses, disimpan, atau dikirimkan oleh sistem.” Sebuah insiden yang memerlukan pemberitahuan selanjutnya, kata badan-badan tersebut, didefinisikan sebagai “insiden keamanan komputer” yang telah mengganggu atau menurunkan operasi organisasi perbankan dan kemampuannya untuk memberikan layanan ke “bagian material dari basis pelanggannya” dan lini bisnis.

Contoh Pemberitahuan

Badan-badan tersebut, dalam penyusunan aturan, mengatakan bahwa mereka meninjau data dan laporan aktivitas mencurigakan yang diajukan ke Jaringan Penegakan Kejahatan Keuangan Departemen Keuangan pada tahun 2019 dan 2020. Berdasarkan ini, mereka mencantumkan insiden berikut sebagai contoh pemberitahuan:

  • Serangan DDoS skala besar mengganggu akses akun selama lebih dari empat jam;
  • Penyedia layanan bank mengalami pemadaman sistem yang meluas;
  • Pemutakhiran sistem yang gagal mengakibatkan pemadaman pengguna yang meluas;
  • Kegagalan sistem yang tidak dapat dipulihkan yang mengakibatkan aktivasi rencana pemulihan berkelanjutan atau bencana;
  • Insiden peretasan komputer yang melumpuhkan operasi perbankan untuk waktu yang lama;
  • Malware pada jaringan bank yang menimbulkan ancaman langsung terhadap lini bisnis inti atau operasi kritis;
  • Serangan Ransomware yang mengenkripsi sistem perbankan inti atau data cadangan.

36 Jam: Ya atau Tidak?

NYDFS, dan bahkan GDPR Eropa, memiliki batas waktu pemberitahuan pelanggaran 72 jam. Apakah 36 jam merupakan rentang waktu yang terlalu singkat, terutama untuk organisasi perbankan yang memiliki sistem dan alur kerja yang kompleks yang mungkin memerlukan waktu untuk memantau, mendeteksi, dan memahami pelanggaran?

“Sulit untuk mengukurnya,” kata Tim Erlin, wakil presiden strategi di Tripwire. “Sulit untuk mengatakan apakah 36 jam adalah waktu yang tepat atau tidak. Pelaporan yang lebih cepat memiliki pro dan kontra. FDIC harus menerapkan tujuan yang terukur dan bersedia menyesuaikan persyaratan untuk mencapai tujuan mereka dengan lebih baik.”

“Harus melaporkan gangguan pelanggan selama empat jam atau lebih kepada pelanggan sama agresifnya dengan yang saya lihat. Dari sudut pandang pelanggan, itu adalah hal yang hebat – sangat tepat waktu. Tapi dari perspektif pelaporan perusahaan – sangat agresif,” Grimes memberitahu Grup Media Keamanan Informasi.

Menurutnya, hal terbesar yang dikhawatirkan korporasi dengan jadwal pelaporan yang ketat adalah jika mereka dapat melaporkan informasi yang akurat. “Terburu-buru untuk melaporkan sesuatu dengan cepat berarti kemungkinan besar seseorang akan melaporkan sesuatu secara tidak akurat, dan itu meningkatkan risiko tanggung jawab,” katanya.

Selengkapnya: Gov Info Security

Kerentanan Terkait DNS yang Tidak Ditambal Mempengaruhi Berbagai Perangkat IoT

by

Peneliti keamanan siber telah mengungkapkan kerentanan keamanan yang belum ditambal yang dapat menimbulkan risiko serius bagi produk IoT.

Masalah ini, yang awalnya dilaporkan pada September 2021, memengaruhi implementasi Domain Name System (DNS) dari dua pustaka C populer yang disebut uClibc dan uClibc-ng yang digunakan untuk mengembangkan sistem Linux tertanam.

uClibc diketahui digunakan oleh vendor besar seperti Linksys, Netgear, dan Axis, serta distribusi Linux seperti Embedded Gentoo, yang berpotensi mengekspos jutaan perangkat IoT ke ancaman keamanan.

“Kecacatan ini disebabkan oleh prediktabilitas ID transaksi yang termasuk dalam permintaan DNS yang dihasilkan oleh perpustakaan, yang memungkinkan penyerang melakukan serangan keracunan DNS terhadap perangkat target,” Giannis Tsaraias dan Andrea Palanca dari Nozomi Networks mengatakan dalam sebuah tulisan Senin- ke atas.

Keracunan DNS, juga disebut sebagai DNS spoofing, adalah teknik merusak cache resolver DNS yang memberi klien alamat IP yang terkait dengan nama domain dengan tujuan mengarahkan pengguna ke situs web berbahaya.

Eksploitasi bug yang berhasil dapat memungkinkan musuh melakukan serangan Man-in-the-Middle (MitM) dan merusak cache DNS, secara efektif mengalihkan lalu lintas internet ke server di bawah kendali mereka.

Nozomi Networks memperingatkan bahwa kerentanan dapat dieksploitasi secara sepele dengan cara yang andal jika sistem operasi dikonfigurasikan untuk menggunakan port sumber yang tetap atau dapat diprediksi.

“Penyerang kemudian dapat mencuri dan/atau memanipulasi informasi yang dikirimkan oleh pengguna, dan melakukan serangan lain terhadap perangkat tersebut untuk sepenuhnya membahayakan mereka,” kata para peneliti.

Sumber: The Hacker News

Kerentanan Microsoft Azure Mengekspos Database PostgreSQL ke Pelanggan Lain

by

Microsoft pada hari Kamis mengungkapkan bahwa itu mengatasi sepasang masalah dengan Database Azure untuk Server Fleksibel PostgreSQL yang dapat mengakibatkan akses database lintas-akun yang tidak sah di suatu wilayah.

“Dengan mengeksploitasi bug izin yang ditingkatkan dalam proses otentikasi Server Fleksibel untuk pengguna replikasi, pengguna jahat dapat memanfaatkan ekspresi reguler yang ditambatkan secara tidak benar untuk melewati otentikasi untuk mendapatkan akses ke basis data pelanggan lain,” kata Microsoft Security Response Center (MSRC).

Perusahaan keamanan cloud yang berbasis di New York City, Wiz, yang mengungkap kelemahan tersebut, menjuluki rantai eksploitasi itu “ExtraReplica.” Microsoft mengatakan telah mengurangi bug dalam waktu 48 jam setelah pengungkapan pada 13 Januari 2022.

Secara khusus, ini terkait dengan kasus eskalasi hak istimewa di mesin Azure PostgreSQL untuk mendapatkan eksekusi kode dan bypass otentikasi lintas-akun melalui sertifikat palsu, yang memungkinkan penyerang membuat database di wilayah Azure target dan mengekstrak informasi sensitif.

Dengan kata lain, keberhasilan eksploitasi kelemahan kritis dapat memungkinkan musuh untuk mendapatkan akses baca yang tidak sah ke database PostgreSQL pelanggan lain, secara efektif menghindari isolasi penyewa.

Wiz menelusuri eskalasi hak istimewa ke bug yang berasal dari modifikasi yang diperkenalkan di mesin PostgreSQL untuk memperkuat model hak istimewanya dan menambahkan fitur baru. Nama ExtraReplica berasal dari fakta bahwa exploit memanfaatkan fitur PostgreSQL yang memungkinkan penyalinan data database dari satu server ke server lain, yaitu, “mereplikasi” database.

Pembuat Windows menggambarkan kerentanan keamanan sebagai mempengaruhi contoh Server Fleksibel PostgreSQL yang digunakan menggunakan opsi jaringan akses publik, tetapi menekankan bahwa itu tidak menemukan bukti kelemahan yang dieksploitasi secara aktif dan bahwa tidak ada data pelanggan yang diakses.

Sumber: The Hacker News