Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for News

Microsoft membagikan perbaikan sementara untuk serangan zero-day Office 365 yang sedang berlangsung

by

Microsoft telah membagikan mitigasi untuk kerentanan eksekusi kode jarak jauh di Windows yang dieksploitasi dalam serangan yang ditargetkan terhadap Office 365 dan Office 2019 di Windows 10.

Kelemahannya ada di MSHTML, mesin rendering browser yang juga digunakan oleh dokumen Microsoft Office.

Diidentifikasi sebagai CVE-2021-40444, masalah keamanan memengaruhi Windows Server 2008 hingga 2019 dan Windows 8.1 hingga 10 dan memiliki tingkat keparahan 8,8 dari maksimum 10.

Microsoft menyadari serangan yang ditargetkan yang mencoba mengeksploitasi kerentanan dengan mengirimkan dokumen Microsoft Office yang dibuat khusus kepada calon korban, kata perusahaan itu dalam sebuah advisory.

Namun, serangan tersebut digagalkan jika Microsoft Office berjalan dengan konfigurasi default, di mana dokumen dari web dibuka dalam mode Protected View atau Application Guard untuk Office 365.

Sistem dengan Microsoft Defender Antivirus dan Defender for Endpoint yang aktif (build 1.349.22.0 dan yang lebih baru) mendapat manfaat dari perlindungan terhadap upaya untuk mengeksploitasi CVE-2021-40444.

Mengatakan kepada BleepingComputer, Haifei Li dari EXPMON mengatakan bahwa penyerang menggunakan file .DOCX. Setelah membukanya, dokumen memuat Internet Explorer engine untuk membuat halaman web jarak jauh dari aktor ancaman.

Malware kemudian diunduh dengan menggunakan kontrol ActiveX tertentu di halaman web. Mengeksekusi ancaman dilakukan dengan menggunakan “trik yang disebut ‘Cpl File Execution’,” yang dirujuk dalam nasihat Microsoft.

Karena tidak ada pembaruan keamanan yang tersedia saat ini, Microsoft telah menyediakan solusi berikut – nonaktifkan penginstalan semua kontrol ActiveX di Internet Explorer.

Untuk menonaktifkan kontrol ActiveX, ikuti langkah-langkah berikut:

  1. Buka Notepad dan tempel teks ini ke dalam file teks. Kemudian simpan file tersebut sebagai disable-activex.reg. Pastikan Anda mengaktifkan tampilan ekstensi file untuk membuat file Registry dengan benar. Atau, Anda dapat mengunduh file registri dari sini.
  2. Temukan disable-activex.reg yang baru dibuat dan klik dua kali di atasnya. Ketika prompt UAC ditampilkan, klik tombol Yes untuk mengimpor entri Registry.
  3. Nyalakan ulang komputer Anda untuk menerapkan konfigurasi baru.

Selengkapnya: Bleeping Computer

Mengapa peretas ransomware menyukai liburan akhir pekan

by

Pada hari Jumat menjelang akhir pekan Memorial Day tahun ini, ada raksasa pengolahan daging JBS. Pada hari Jumat sebelum Empat Juli, itu adalah perusahaan perangkat lunak manajemen TI Kaseya dan, dengan perluasan, lebih dari seribu bisnis dengan berbagai ukuran. Masih harus dilihat apakah Hari Buruh akan melihat kehancuran ransomware tingkat tinggi juga, tetapi satu hal yang jelas: peretas menyukai liburan.

Dan meskipun ini bukan hal baru, peringatan bersama yang dikeluarkan minggu ini oleh FBI dan Badan Keamanan Cybersecurity dan Infrastruktur menggarisbawahi betapa seriusnya ancaman itu.

Daya tarik bagi penyerang cukup mudah. Ransomware dapat membutuhkan waktu untuk menyebar ke seluruh jaringan, karena peretas bekerja untuk meningkatkan hak istimewa untuk kontrol maksimum atas sebagian besar sistem. Semakin lama bagi siapa pun untuk memperhatikan gerak gerik mereka, semakin banyak kerusakan yang dapat mereka lakukan.

“Secara intuitif, masuk akal bahwa para defender mungkin kurang perhatian selama liburan, sebagian besar karena pengurangan staf,” kata Katie Nickels, direktur intelijen di perusahaan keamanan Red Canary. “Jika insiden besar terjadi selama liburan, mungkin lebih sulit bagi para defender untuk membawa personel yang diperlukan untuk merespons dengan cepat.”

Insiden besar itulah yang kemungkinan menarik perhatian FBI dan CISA; selain insiden JBS dan Kaseya, serangan Colonial Pipeline juga terjadi selama akhir pekan Hari Ibu.

Ada beberapa langkah yang dapat diambil perusahaan dan individu untuk melindungi diri mereka dari peretasan dengan lebih baik, baik menjelang akhir pekan yang panjang dan seterusnya. Rekomendasi FBI dan CISA menggemakan praktik terbaik untuk sebagian besar situasi keamanan siber: jangan klik tautan yang mencurigakan.

Selengkapnya: Ars Technica

Geng Ransomware menargetkan perusahaan menggunakan kriteria ini

by

Geng Ransomware semakin banyak membeli akses ke jaringan korban di pasar dark web dan dari pelaku ancaman lainnya. Menganalisis iklan keinginan mereka memungkinkan untuk melihat ke dalam pada jenis perusahaan yang ditargetkan operasi ransomware.

Setelah memeriksa “iklan keinginan” geng ransomware, perusahaan intelijen keamanan siber KELA telah menyusun daftar kriteria yang dicari oleh operasi penargetan perusahaan yang lebih besar di sebuah perusahaan untuk serangan mereka.

Dengan menganalisis iklan yang diinginkan dari hampir dua puluh pos yang dibuat oleh pelaku ancaman yang terkait dengan geng ransomware, peneliti KELA dapat menemukan karakteristik perusahaan berikut yang menjadi sasaran:

  • Geografi: Geng Ransomware lebih memilih korban yang berlokasi di AS, Kanada, Australia, dan Eropa.
  • Pendapatan: KELA menyatakan bahwa pendapatan minimum rata-rata yang diinginkan oleh geng ransomware adalah $100 juta. Namun, ini bisa berbeda tergantung pada lokasi geografis korban.
  • Daftar blokir sektor: Sementara beberapa geng mengatakan mereka menghindari industri kesehatan, mereka kurang pilih-pilih tentang industri lain dari perusahaan yang mereka serang. Namun, setelah serangan Colonial Pipeline, Metropolitan Police Department, dan JBS, banyak geng ransomware mulai menghindari sektor tertentu.
  • Daftar blokir negara: Sebagian besar operasi ransomware besar secara khusus menghindari menyerang perusahaan yang berlokasi di Commonwealth of Independent States (CIS) karena mereka yakin jika mereka tidak menargetkan negara-negara tersebut, otoritas lokal tidak akan menargetkan mereka.

    Negara-negara yang diblokir ini termasuk Rusia, Ukraina, Moldova, Belarus, Kirgistan, Kazakhstan, Armenia, Tajikistan, Turkmenistan, dan Uzbekistan.

Sayangnya, meskipun sebuah perusahaan tidak memenuhi kriteria di atas, bukan berarti mereka aman.

Banyak geng ransomware, seperti Dharma, STOP, Globe, dan lainnya, kurang pilih-pilih, dan Anda bisa menjadi sasaran operasi ransomware.

Selengkapnya: Bleeping Computer

Zero trust dan keamanan siber: Inilah artinya dan mengapa itu penting

by

Pusat Keamanan Siber Nasional Inggris (NCSC) minggu ini mengatakan zero trust telah menjadi “istilah yang sangat modis” di dunia teknologi.

Jadi apa itu zero trust, menurut NCSC?

“Zero trust adalah ide untuk menghilangkan kepercayaan yang melekat dari jaringan. Hanya karena perangkat berada di dalam sisi “tepercaya” internal dari firewall atau VPN, itu tidak boleh dipercaya secara default,” jelasnya dalam posting blog baru.

“Sebaliknya, Anda harus melihat untuk membangun kepercayaan dalam berbagai transaksi yang terjadi. Anda dapat melakukan ini dengan mengembangkan konteks melalui pemeriksaan sejumlah sinyal. Sinyal ini adalah potongan informasi seperti kesehatan perangkat atau lokasi, dan dapat memberikan kepercayaan yang dibutuhkan untuk memberikan akses ke sumber daya.”

Namun, NCSC mengakui bahwa tidak setiap organisasi akan siap untuk mengadopsi arsitektur zero trust. Mereka juga menekankan itu bukan standar atau spesifikasi, melainkan “pendekatan untuk merancang jaringan” – artinya mungkin sulit untuk mengetahui apakah Anda melakukannya dengan benar.

Selain itu, mungkin ada biaya langsung dan tidak langsung yang timbul dari migrasi ke desain jaringan zero trust. Biaya langsung meliputi produk, perangkat, dan layanan baru. Biaya tidak langsung meliputi pelatihan engineers, biaya lisensi baru, dan langganan.

NCSC mengeluarkan lima alasan mengapa zero trust mungkin merupakan filosofi yang baik untuk diadopsi:

  • Dalam model zero trust, setiap tindakan yang dilakukan pengguna atau perangkat tunduk pada beberapa bentuk keputusan kebijakan. Hal ini memungkinkan organisasi untuk memverifikasi setiap upaya untuk mengakses data atau sumber daya, “membuat hidup sangat sulit bagi penyerang”.
  • Zero trust memungkinkan otentikasi dan otorisasi yang kuat, sekaligus mengurangi overhead jaringan untuk memperluas jaringan perusahaan Anda ke rumah pengguna Anda.
  • Beberapa kontrol keamanan zero trust dapat memungkinkan pengalaman pengguna yang jauh lebih baik. Misalnya, dengan menggunakan single sign-on pengguna hanya perlu memasukkan kredensial satu kali, bukan setiap kali ingin menggunakan aplikasi yang berbeda.
  • Kontrol yang lebih besar atas akses data berarti Anda dapat memberikan akses ke data tertentu kepada audiens yang tepat.
  • Meningkatkan kemampuan logging Anda untuk menyertakan peristiwa dari perangkat dan layanan pengguna memberi Anda gambaran yang jauh lebih kaya tentang apa yang terjadi di lingkungan Anda, memungkinkan Anda mendeteksi gangguan dengan lebih akurat.

Selengkapnya: ZDNet

Jika Anda peduli dengan privasi Anda, Anda perlu mengubah pengaturan browser ini sekarang

by

Privasi sekarang menjadi prioritas di antara pembuat browser, tetapi mereka mungkin tidak melangkah sejauh yang Anda inginkan dalam memerangi pelacak industri iklan yang menyebar di web. Berikut adalah cara untuk meningkatkan pengaturan privasi Anda untuk mengakali pelacakan online itu.

Pengaturan privasi browser Chrome

Di Toko Web Chrome, klik Extension di sebelah kiri dan ketik nama extension yang Anda cari ke dalam bilah pencarian. Setelah Anda menemukan extension yang benar di hasil pencarian, klik Add to Chrome. Dialog akan muncul menjelaskan izin mana yang akan dimiliki extension untuk browser Anda. Klik Add extension untuk membawa extension ke browser Anda.

Berikut adalah empat extension untuk dilihat saat Anda memulai: Cookie Autodelete, uBlock Origin, Privacy Badger and HTTPS Everywhere.

Jika Anda menggunakan Android, maaf: ekstensi tidak berfungsi. Jadi, Anda harus beralih browser ke sesuatu seperti aplikasi DuckDuckGo.

Pengaturan privasi browser Safari

Safari 14, diumumkan pada bulan Juni dan tiba kemudian pada tahun 2020 dengan MacOS Big Sur baru, akan dapat memberi tahu Anda pelacak iklan mana yang berjalan di situs web yang Anda kunjungi dan memberi Anda laporan 30 hari tentang pelacak yang diketahui yang diidentifikasi saat Anda sedang menjelajah. Ini juga akan memberi tahu Anda dari situs web mana pelacak itu berasal.

Untuk memeriksa apakah pemblokiran aktif, buka Safari dan klik Preferences, lalu Privacy. Kotak di samping Prevent cross-site tracking harus dicentang. Saat berada di sana, Anda juga dapat menghapus cookie secara manual.

Pengaturan privasi browser Edge

Browser Microsoft Edge menyertakan beberapa privasi yang disederhanakan dan opsi pemblokiran pelacak pada layar Tracker prevention nya. Di dalam Edge, pilih ikon menu tiga titik di sudut kanan atas dan pilih Settings. Dari menu yang kemudian muncul di sebelah kiri, pilih Privacy and services. Anda akan ditawari tiga pengaturan untuk dipilih: Basic, Balanced and Strict. Pengaturan Strict Edge dapat mengganggu perilaku beberapa situs, tetapi akan memblokir jumlah pelacak terbanyak.

Pengaturan privasi browser Firefox

Dari dalam menu utama Firefox — atau dari dalam menu tiga baris di sisi kanan toolbar — pilih Preferences. Setelah jendela Preferensi terbuka, klik Privacy & Security. Dari sini, Anda dapat memilih di antara tiga opsi: Standard, Strict and Custom.

Untuk menerapkan setelan pelacakan baru setelah Anda memilih tingkat privasi, klik tombol Reload All Tabs yang muncul.

Pengaturan privasi browser Brave

Untuk masalah alat anti-pelacakan, pembaruan privasi terbaru Safari masih kurang dari sebagian besar yang ditemukan di browser Brave. Secara default, Brave memblokir semua iklan, pelacak, cookie pihak ketiga, dan sidik jari sambil tetap mencapai kecepatan yang luar biasa. Brave juga menawarkan mode penjelajahan pribadi Tor bawaan, opsi pemblokiran pelacak tugas berat, dan menambahkan VPN bawaan untuk pengguna iOS.

Di dalam menu utama Brave, pilih Preferences untuk membuka panel Settings di sebelah kiri. Pilih Shields untuk melihat daftar opsi privasi di sisi kanan layar. Dengan memilih tampilan Advanced, Anda dapat memilih jenis pelacak mana yang akan diblokir.

Dengan menggulir ke bawah, Anda juga dapat memblokir tombol masuk dan konten yang disematkan dari Facebook, Twitter, Google, dan LinkedIn. Untuk perlindungan lebih dan penyesuaian privasi yang lebih baik, jelajahi Additional Settings di sebelah kiri, dan pilih Privacy and security.

Selengkapnya: CNET

Microsoft Mengatakan Peretas China Berada di Balik Serangan Zero Day SolarWinds Serv-U SSH

by

Microsoft telah membagikan detail teknis tentang kerentanan keamanan kritis yang sekarang telah diperbaiki dan dieksploitasi secara aktif yang memengaruhi layanan transfer file terkelola SolarWinds Serv-U yang telah dikaitkan dengan “kepercayaan tinggi” kepada aktor ancaman yang beroperasi di luar China.

Pada pertengahan Juli, perusahaan yang berbasis di Texas memperbaiki kelemahan eksekusi kode jarak jauh (CVE-2021-35211) yang berakar pada implementasi Serv-U dari protokol Secure Shell (SSH), yang dapat disalahgunakan oleh penyerang untuk menjalankan kode apapun. pada sistem yang terinfeksi, termasuk kemampuan untuk menginstal program jahat dan melihat, mengubah, atau menghapus data sensitif.

Sementara Microsoft menautkan serangan ke DEV-0322, sebuah kolektif berbasis di China yang mengutip “viktimologi, taktik, dan prosedur yang diamati,” perusahaan tersebut kini telah mengungkapkan bahwa kerentanan pra-otentikasi jarak jauh berasal dari cara proses Serv-U menangani akses pelanggaran tanpa menghentikan proses, sehingga memudahkan untuk melakukan upaya eksploitasi yang tersembunyi dan andal.

“Kerentanan yang dieksploitasi disebabkan oleh cara Serv-U awalnya membuat konteks OpenSSL AES128-CTR,” kata para peneliti. “Ini, pada gilirannya, dapat memungkinkan penggunaan data yang tidak diinisialisasi sebagai penunjuk fungsi selama dekripsi pesan SSH yang berurutan.”

“Oleh karena itu, penyerang dapat mengeksploitasi kerentanan ini dengan menghubungkan ke port SSH terbuka dan mengirimkan permintaan koneksi pra-auth yang salah. Kami juga menemukan bahwa penyerang kemungkinan menggunakan DLL yang dikompilasi tanpa pengacakan tata letak ruang alamat (ASLR) yang dimuat oleh Server. Prosesnya untuk memfasilitasi eksploitasi,” tambah para peneliti.

Microsoft, yang mengungkapkan serangan tersebut kepada SolarWinds, mengatakan bahwa pihaknya merekomendasikan untuk mengaktifkan kompatibilitas ASLR untuk semua binari yang dimuat dalam proses Serv-U.

Selengkapnya: The Hacker News

Cisco Menambal Bug Otentikasi Kritis Dengan Bukti Eksploitasi Publik

by

Cisco telah menambal bug kritis yang hampir maksimal dalam perangkat lunak NFVIS-nya yang memiliki eksploitasi proof-of-concept (PoC) yang tersedia untuk umum.

Pada hari Rabu, Cisco merilis tambalan untuk cacat – kerentanan bypass otentikasi di Enterprise NFV Infrastructure Software (NFVIS) yang dilacak sebagai CVE-2021-34746.

Cisco Enterprise NFVIS adalah perangkat lunak infrastruktur berbasis Linux yang membantu penyedia layanan dan pelanggan lain untuk menerapkan fungsi jaringan virtual, seperti router virtual dan firewall, serta akselerasi WAN, pada perangkat Cisco yang didukung. Ini juga menyediakan penyediaan otomatis dan manajemen terpusat.

Kerentanan dengan skor dasar CVSS 9,8 ini, dapat memungkinkan penyerang jarak jauh yang tidak diautentikasi untuk melewati autentikasi dan masuk ke perangkat yang rentan sebagai admin.

“Seorang penyerang dapat mengeksploitasi kerentanan ini dengan menyuntikkan parameter ke dalam permintaan otentikasi,” jelas Cisco dalam penasihat keamanannya. “Eksploitasi yang berhasil dapat memungkinkan penyerang untuk melewati otentikasi dan masuk sebagai administrator ke perangkat yang terpengaruh.”

Kerentanan ini disebabkan oleh validasi yang tidak lengkap dari input yang diberikan pengguna yang diteruskan ke skrip autentikasi selama proses masuk. Cacat ditemukan di Cisco Enterprise NFVIS Rilis 4.5.1 jika metode otentikasi eksternal TACACS – fitur otentikasi, otorisasi dan akuntansi (AAA) dari perangkat lunak – dikonfigurasi.

Tidak ada solusi untuk memitigasi kerentanan ini. Patch untuk mengatasi bug tersedia di Enterprise NFVIS rilis 4.6.1 dan yang lebih baru.

Cisco mengatakan bahwa mereka mengetahui kode eksploitasi PoC yang tersedia untuk umum tetapi belum melihat eksploitasi berbahaya yang berhasil pada saat ini.

Eksploitasi itu ditemukan oleh peneliti keamanan Orange Group Cyrille Chatras, yang Cisco berterima kasih atas nasihatnya.

Selengkapnya: The Threat Post

Login Google Play Memungkinkan Pelacakan Lokasi Terselubung

by

Cacat desain yang melibatkan Google Timeline dapat memungkinkan seseorang melacak perangkat lain tanpa menginstal aplikasi stalkerware.

Seorang peneliti menemukan bahwa seseorang dapat melacak lokasi pengguna seseorang melalui proses masuk Google Play – jalan penguntit potensial yang, sejauh ini, belum ditangani oleh raksasa internet, Google.

“Dengan bantuan Google, saya dapat ‘memata-matai’ keberadaan istri saya tanpa harus menginstal apa pun di ponselnya,” kata peneliti Malwarebytes Labs Pieter Arntz, dalam posting hari Rabu. “Dalam pembelaan saya, seluruh episode ini terjadi pada sistem operasi yang saya jauh dari ahli (Android), dan saya berusaha membantu. Tapi apa yang terjadi di luar dugaan.”

Singkatnya: Arntz masuk ke akun Google Play-nya dari ponsel istrinya, untuk membayar aplikasi yang ingin dia instal. Kemudian dia menyerahkan telepon kembali padanya, lupa untuk log out. Dan saat itulah keanehan dimulai.

Saat melihat timeline, dia mulai memperhatikan bahwa Google menandainya di tempat-tempat yang belum dia kunjungi hari itu. Setelah bertanya-tanya apakah itu kesalahan, satu pembaruan muncul dengan menunjukkan lokasi yang dia tahu pernah dikunjungi istrinya.

“Tiba-tiba, saya sadar: saya sebenarnya menerima pembaruan lokasi dari ponsel istri saya, dan juga ponsel saya,” katanya.

Berpikir bahwa keluar dari Google Play di ponsel istrinya akan menyelesaikan masalah, Arntz terkejut melihat bahwa Google secara otomatis menambahkan akunnya ke ponsel istrinya.

“Ini benar-benar metode yang mudah untuk memata-matai keberadaan seseorang,” singkat Arntz. “Plus, Anda tidak perlu menginstal apa pun dan hanya ada sedikit kemungkinan untuk ditemukan.”

Satu lagi kekhawatiran potensial, peneliti menambahkan, dan itu tidak menyenangkan:

“Sementara posting ini berbicara tentang informasi lokasi Google Maps, saya cukup yakin akan ada aplikasi lain yang ditautkan ke akun Anda daripada ke ponsel Anda,” katanya. “Aplikasi tersebut dapat dimintai informasi oleh orang lain selain pemilik ponsel jika mereka masuk ke Google Play.”

Selengkapnya: Threat Post