Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for News

Cara melindungi diri Anda dari Serangan Rantai Pasokan Aplikasi GitHub/OAuth

by

Postingan ini ditulis sebagai tanggapan atas peringatan keamanan GitHub dari tanggal 15 April tentang penyalahgunaan integrasi aplikasi OAuth, dan ini mencakup detail teknis untuk mengidentifikasi dan mencegah serangan semacam itu.

Eksploitasi aplikasi GitHub adalah vektor serangan rantai pasokan perangkat lunak lain untuk membahayakan banyak organisasi dengan cepat, dan tidak ada ketergantungan kode atau pipa CI/CD yang diperkeras yang akan mengurangi risiko ini atau memberikan konteks yang memadai untuk serangan tersebut

Apa yang dapat anda lakukan?

OAuth Apps

  • Pastikan Pembatasan Akses Aplikasi OAuth diaktifkan
  • Tinjau Aktivitas Otorisasi OAuth di seluruh Organisasi
  • Tinjau Aktivitas Otorisasi OAuth Pribadi

Aplikasi Github

  • Review perizinan applikasi
  • Batasi izin Aplikasi GitHub untuk repositori tertentu
  • Instal aplikasi di Sandbox terlebih dahulu

Selengkapnya: Arnica.io

Penyelidik DHS mengatakan mereka menggagalkan serangan siber pada kabel internet bawah laut di Hawaii

by

Agen federal di Honolulu pekan lalu “mengganggu” serangan siber yang nyata pada server perusahaan telekomunikasi yang tidak disebutkan namanya yang terkait dengan kabel bawah air yang bertanggung jawab untuk internet, layanan kabel, dan koneksi seluler di Hawaii dan kawasan itu, kata badan tersebut dalam sebuah pernyataan Selasa.

Agen yang berbasis di Hawaii dengan Investigasi Keamanan Dalam Negeri, sebuah cabang dari Departemen Keamanan Dalam Negeri, menerima tip dari rekan-rekan HSI daratan mereka yang menyebabkan gangguan “pelanggaran signifikan yang melibatkan server perusahaan swasta yang terkait dengan kabel bawah laut.”

Penyelidikan mengungkapkan bahwa “kelompok peretas internasional” berada di balik serangan itu, dan “agen HSI dan mitra penegak hukum internasional di beberapa negara dapat melakukan penangkapan.”

Pernyataan itu tidak mengidentifikasi jenis serangan siber yang diduga telah terjadi, kelompok peretas yang bertanggung jawab, lembaga penegak hukum lainnya, atau di mana penangkapan terjadi. Tidak ada kerusakan atau gangguan yang terjadi, dan tidak ada ancaman langsung, kata pernyataan itu.

John Tobon, agen khusus HSI yang bertanggung jawab di Hawaii, mengatakan kepada stasiun berita lokal bahwa penyelidik menemukan bahwa penyerang telah memperoleh kredensial yang memungkinkan akses ke sistem perusahaan yang tidak disebutkan namanya.

“Itu bisa menjadi sesuatu yang hanya membuat kekacauan, dengan kata lain, mematikan komunikasi, atau bisa digunakan untuk menargetkan individu dalam skema jenis ransomware,” katanya.

Selengkapnya: Cyber Scoop

Microsoft: Malware baru menggunakan bug Windows untuk menyembunyikan tugas terjadwal

by

Microsoft telah menemukan malware baru yang digunakan oleh kelompok peretas Hafnium yang didukung China untuk mempertahankan kegigihan pada sistem Windows yang disusupi dengan membuat dan menyembunyikan tugas terjadwal.

Kelompok ancaman Hafnium sebelumnya menargetkan perusahaan pertahanan, think tank, dan peneliti AS dalam serangan spionase siber.

Ini juga merupakan salah satu grup yang disponsori negara yang dihubungkan oleh Microsoft dengan eksploitasi skala global tahun lalu dari kelemahan zero-day ProxyLogon yang berdampak pada semua versi Microsoft Exchange yang didukung.

“Ketika Microsoft terus melacak aktor ancaman yang disponsori negara dengan prioritas tinggi HAFNIUM, aktivitas baru telah ditemukan yang memanfaatkan kerentanan zero-day yang belum ditambal sebagai vektor awal,” kata Microsoft Detection and Response Team (DART).

Penyelidikan lebih lanjut mengungkapkan artefak forensik dari penggunaan alat Impacket untuk gerakan lateral dan eksekusi dan penemuan malware penghindaran pertahanan yang disebut Tarrask yang menciptakan tugas terjadwal ‘tersembunyi’, dan tindakan selanjutnya untuk menghapus atribut tugas, untuk menyembunyikan tugas terjadwal dari alat identifikasi tradisional.”

Alat peretasan ini, dijuluki Tarrask, menggunakan bug Windows yang sebelumnya tidak dikenal untuk menyembunyikannya dari “schtasks/query” dan Penjadwal Tugas dengan menghapus nilai registri Security Descriptor yang terkait.

Grup ancaman menggunakan tugas terjadwal “tersembunyi” ini untuk mempertahankan akses ke perangkat yang diretas bahkan setelah reboot dengan membuat kembali koneksi yang terputus ke infrastruktur command-and-control (C2).

Sementara operator Hafnium dapat menghapus semua artefak di disk, termasuk semua kunci registri dan file XML yang ditambahkan ke folder sistem untuk menghapus semua jejak aktivitas jahat mereka, itu akan menghapus persistensi saat dimulai ulang.

Selengapnya: Bleeping Computer

Apple masih belum menangkap aplikasi scam, dan kali ini ada di Mac

by

Pemburu / pengembang aplikasi scam Kosta Eleftheriou, yang dikenal karena menangkap penipuan mengerikan yang berhasil melewati proses peninjauan Apple, sekali lagi membawa perhatian pada aplikasi baru yang dijajakan melalui App Store.

Kali ini mereka menggunakan Mac, dan mereka menggunakan pop-up yang membuatnya sangat sulit untuk keluar dari aplikasi tanpa menyetujui harga berlangganan yang keterlaluan — semua tanpa sepengetahuan Apple, meskipun argumennya bahwa proses Peninjauan Aplikasinya membuat perangkat dan pengguna tetap terjaga. aman.

Aplikasi yang memulai perburuan, yang tampaknya ditemukan oleh Edoardo Vacchi, disebut My Metronome. Menurut Vacchi, Eleftheriou, dan ulasan pengguna, aplikasi terkunci dan tidak akan membiarkan Anda keluar menggunakan pintasan keyboard atau bilah menu sampai Anda menyetujui langganan $9,99 per bulan. (Namun, itu dapat dihentikan secara paksa.)

Eleftheriou mengatakan kepada The Verge bahwa “sepertinya pengembang ini telah bereksperimen dengan berbagai teknik selama bertahun-tahun untuk mencegah orang menutup paywall,” mengarahkan kami ke beberapa aplikasi lain yang masih ada di toko dengan perilaku serupa — kita akan membahasnya sebentar lagi.

Beberapa saat setelah Eleftheriou men-tweet tentang My Metronome, aplikasi itu tampaknya dihapus dari toko. Mencoba membuka tautan muncul dengan pesan yang mengatakan bahwa itu tidak lagi tersedia di wilayah saya. (Meskipun, untuk lebih jelasnya, Anda mungkin tidak harus mencoba mengunduhnya atau aplikasi apa pun yang akan kita bicarakan.)

Apple tidak menanggapi permintaan The Verge untuk berkomentar tentang apakah itu yang mengambil aplikasi turun, atau bagaimana hal itu lulus Tinjauan Aplikasi di tempat pertama.

Selengkapnya: The Verge

Tombol ‘Bungkam’ di aplikasi konferensi mungkin tidak benar-benar mematikan suara mikrofon Anda

by

Sebuah studi baru menunjukkan bahwa menekan tombol bisu pada aplikasi konferensi video populer (VCA) mungkin tidak benar-benar berfungsi seperti yang Anda pikirkan, dengan aplikasi masih mendengarkan di mikrofon Anda.

Lebih khusus lagi, dalam perangkat lunak yang dipelajari, menekan mute tidak mencegah transmisi audio ke server aplikasi, baik secara terus-menerus atau berkala.

Karena aktivitas ini tidak didokumentasikan dalam kebijakan privasi terkait, pengguna memiliki pemahaman yang buruk tentang cara kerja sistem bisu, dengan salah berasumsi bahwa input audio terputus saat mereka mengaktifkannya.

Kesalahpahaman ini tercermin dalam studi tahap pertama, yang berkisar pada survei 223 pengguna VCA tentang harapan mereka saat menekan mute.

Sebagian besar (77,5%) responden merasa aplikasi tidak dapat terus mengakses mikrofon dan mungkin mengumpulkan data saat mode bisu aktif.

Studi ini dilakukan oleh tim peneliti di University of Wisconsin-Madison dan Loyola University di Chicago, yang menerbitkan makalah tentang hasil mereka.

Sebagai bagian dari penelitian, para peneliti melakukan analisis biner runtime menyeluruh dari aplikasi yang dipilih untuk menentukan jenis data yang dikumpulkan setiap aplikasi dan apakah data tersebut merupakan risiko privasi.

Aplikasi yang diuji dalam fase penelitian ini adalah Zoom, Slack, MS Teams/Skype, Google Meet, Cisco Webex, BlueJeans, WhereBy, GoToMeeting, Jitsi Meet, dan Discord.

Selengkapnya: Bleeping Computer

CISA memerintahkan agensi untuk memperbaiki VMware, bug Chrome yang dieksploitasi secara aktif

by

Cybersecurity and Infrastructure Security Agency (CISA) telah menambahkan sembilan kelemahan keamanan ke daftar bug yang dieksploitasi secara aktif, termasuk cacat eskalasi hak istimewa VMware dan Google Chrome zero-day yang dapat digunakan untuk eksekusi kode jarak jauh.

Kerentanan VMware (CVE-2022-22960) telah ditambal pada tanggal 6 April, dan memungkinkan penyerang untuk meningkatkan hak istimewa untuk melakukan root pada server yang rentan karena izin yang tidak tepat dalam skrip dukungan.

Chrome zero-day juga disertakan dalam katalog CISA’s Known Exploited Vulnerabilities (KEV), bug yang dilacak sebagai CVE-2022-1364 dan memungkinkan eksekusi kode jarak jauh karena kelemahan kebingungan tipe V8.

Semua lembaga Federal Civilian Executive Branch Agencies (FCEB) harus menambal sistem mereka terhadap bug keamanan ini setelah ditambahkan ke daftar KEV CISA menurut arahan operasional yang mengikat November (BOD 22-01).

Mereka diberi waktu tiga minggu untuk mengurangi kekurangan hingga 6 Mei untuk memastikan bahwa upaya eksploitasi yang sedang berlangsung akan diblokir.

CISA menambahkan tujuh kerentanan keamanan lainnya ke katalognya hari ini, semuanya disalahgunakan dalam serangan yang sedang berlangsung.

CVE Table

Pada hari Kamis, CISA juga menambahkan bug eksekusi kode jarak jauh VMware kritis (CVE-2022-22954), sekarang digunakan dalam serangan untuk menyebarkan muatan cryptominer.

Selengkapnya: Bleeping Computer

Penyerang melepaskan ransomware LockBit di komputer pemerintah AS

by

Temuan baru dari perusahaan keamanan siber Sophos menunjukkan beberapa metode yang digunakan oleh peretas dalam hal mengeksploitasi celah di perangkat federal. Satu serangan yang disorot dalam laporan tersebut menemukan bahwa kelompok ransomware menghabiskan setidaknya lima bulan untuk menyisir file dan sistem badan pemerintah regional AS sebelum menyebarkan serangan LockBit ke komputer yang terpengaruh.

“Ini adalah serangan yang sangat kacau,” kata Andrew Brandt, peneliti keamanan utama di Sophos. “Bekerja sama dengan target, peneliti Sophos mampu membangun gambaran yang dimulai dengan apa yang tampak seperti penyerang pemula yang membobol server, mengaduk-aduk jaringan dan menggunakan server yang dikompromikan ke Google, kombinasi versi bajakan dan gratis dari peretas dan alat admin yang sah untuk digunakan dalam serangan mereka.”

Serangan yang tidak terampil tetapi efektif kemudian mencoba menggunakan perangkat lunak manajemen TI untuk menghindari deteksi, melalui penggunaan alat seperti ScreenConnect dan AnyDesk, yang biasanya digunakan untuk tujuan akses jarak jauh. Kemudian ditemukan oleh Sophos bahwa dalam pengaturan sistem itu sendiri, tim TI membiarkan port RDP terbuka di firewall untuk akses publik ke server, memungkinkan penyusupan oleh kelompok peretasan yang bersangkutan.

Setelah akses jarak jauh diaktifkan, ransomware LockBit kemudian disebarkan pada sistem dengan memanfaatkan kerentanan sistem. Pihak-pihak jahat berusaha untuk menutupi jejak mereka setelah selesai dengan menghapus file log, tetapi Sophos dapat merekonstruksi langkah-langkah yang diambil agar peretasan terjadi, karena diduga telah dilakukan oleh penyerang cyber yang tidak canggih.

Selengkapnya; Tech Republic

AS Menghubungkan Pencurian Cryptocurrency Terbesar ke Peretas Korea Utara

by

AS mencurigai peretas Korea Utara terlibat dalam pencurian cryptocurrency senilai $622 juta bulan lalu di Ronin Network.

Pada hari Kamis, Departemen Keuangan AS menjatuhkan sanksi pada dompet digital yang digunakan peretas untuk menjarah dana dari Ronin Network.

Dengan melakukan itu, agen federal juga mengaitkan dompet digital ke kelompok peretasan terkenal bernama Lazarus, yang menurut AS bekerja untuk pemerintah Korea Utara. FBI tidak segera menanggapi permintaan komentar, tetapi Ronin Network mengatakan telah bekerja dengan lembaga penegak hukum untuk mengambil kembali dana yang dicuri.

Ronin Network adalah penyedia blockchain untuk game Axie Infinity, yang populer di Asia. Akhir bulan lalu, mereka kehilangan 173.600 token di Ethereum setelah peretas membajak akses ke lima komputer “validator node”, yang digunakan untuk mengotorisasi transaksi.

Sebagian besar token Ethereum yang dicuri tetap berada di dalam dompet digital yang disetujui. Namun, para peretas tampaknya mencuci beberapa cryptocurrency yang dicuri melalui layanan yang disebut Tornado Cash.

Selengkapnya: PCmag