Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for News

Mozilla Memblokir Add-On Berbahaya Yang Telah Dipasang Oleh 455 Ribu Pengguna Firefox

by

Mozilla memblokir add-on Firefox berbahaya yang dipasang oleh sekitar 455.000 pengguna setelah menemukan pada awal Juni bahwa mereka menyalahgunakan API proxy untuk memblokir pembaruan Firefox.

Add-on (bernama Bypass dan Bypass XM) menggunakan API untuk mencegat dan mengarahkan permintaan web untuk memblokir pengguna dari mengunduh pembaruan, memperbarui konten yang dikonfigurasi dari jarak jauh, dan mengakses daftar blokir yang diperbarui.

“Dimulai dari Firefox 91.1, Firefox sekarang menyertakan perubahan untuk kembali ke koneksi langsung ketika Firefox membuat permintaan penting (seperti untuk pembaruan) melalui konfigurasi proxy yang gagal.

“Memastikan permintaan ini diselesaikan dengan sukses membantu kami memberikan pembaruan dan perlindungan penting terbaru kepada pengguna kami.”

Untuk memblokir add-on berbahaya serupa untuk menyalahgunakan API yang sama, Mozilla telah menambahkan add-on sistem (tersembunyi, tidak mungkin dinonaktifkan, dan dapat diperbarui tanpa henti) yang disebut Proxy Failover.

Add-on baru ini mencegah upaya untuk mengganggu mekanisme pembaruan di versi Firefox saat ini dan yang lebih lama.

Microsoft Defender adalah satu-satunya solusi anti-malware yang mendeteksi add-on sebagai berbahaya, menandainya sebagai BrowserModifier:JS/BypassPaywall.A.

Jika Anda tidak menjalankan Firefox 93 dan belum menonaktifkan pembaruan browser, Anda mungkin terpengaruh oleh masalah ini. Untuk memastikan, coba perbarui Firefox ke versi terbaru karena versi terbaru sudah di-bundle dengan blocklist yang diperbarui yang dirancang untuk menonaktifkan add-on berbahaya ini secara otomatis.

Selengkapnya: Bleeping Computer

Serangan siber Rusia terbaru menargetkan ratusan jaringan AS Lapor Microsoft

by

Badan yang berbasis di Rusia di balik serangan siber besar-besaran SolarWinds tahun lalu telah menargetkan ratusan lebih banyak perusahaan dan organisasi dalam gelombang serangan terbarunya terhadap sistem komputer yang berbasis di AS, kata Microsoft dalam sebuah posting blog.

Microsoft, dalam sebuah posting blog tertanggal 24 Oktober, mengatakan gelombang terbaru Nobelium menargetkan “pengecer dan penyedia layanan teknologi lainnya” dari layanan cloud.

Serangan-serangan itu adalah bagian dari kampanye yang lebih luas selama musim panas, kata Microsoft, seraya menambahkan bahwa pihaknya telah memberi tahu 609 pelanggan antara 1 Juli dan 19 Oktober bahwa mereka telah diserang.

Hanya sebagian kecil dari upaya terbaru yang berhasil, Microsoft mengatakan kepada New York Times, yang pertama kali melaporkan pelanggaran tersebut, tetapi tidak memberikan rincian lebih lanjut.

Pejabat keamanan siber AS tidak dapat segera dihubungi untuk mengkonfirmasi laporan tersebut.

Pejabat A.S. mengkonfirmasi kepada Times bahwa operasi itu sedang berlangsung, dengan seorang pejabat administrasi senior yang tidak disebutkan namanya menyebutnya “operasi run-of-the-mill yang tidak canggih yang dapat dicegah jika penyedia layanan cloud telah menerapkan praktik keamanan siber dasar.”

“Kegiatan baru-baru ini adalah indikator lain bahwa Rusia sedang mencoba untuk mendapatkan akses sistematis jangka panjang ke berbagai titik dalam rantai pasokan teknologi dan membangun mekanisme untuk mengawasi – sekarang atau di masa depan – target yang menarik bagi pemerintah Rusia, “tulis Microsoft.

Selengkapnya: Reuters

Dokumen Facebook Bocor: Inilah yang Perlu Anda Ketahui

by

Mantan karyawan Facebook Francis Haugen telah membocorkan ribuan halaman dokumen internal tentang perusahaan, serta mengajukan keluhan pelapor ke Securities and Exchange Commission, yang telah memberikan pandangan yang sangat tidak baik dan, dalam beberapa kasus, mengganggu perbedaan antara cara eksekutif menggambarkan perusahaan secara publik versus apa yang diketahui Facebook tentang produknya dari penelitian internal.

Sebagian besar—mulai dari studi yang menunjukkan dampak psikologis Instagram pada beberapa gadis muda hingga keberadaan program bernama XCheck yang memilih beberapa pengguna yang bebas dari aturan—telah dibahas.

Tapi akhir pekan ini, sebuah konsorsium dari 17 outlet berita berbeda yang diberi akses ke dokumen merilis gelombang artikel memberatkan lainnya yang bahkan lebih dalam tentang masalah di perusahaan.

Artikel-artikel tersebut melukiskan gambaran perusahaan yang berada dalam konflik internal, dengan stafnya sendiri sering kali secara terbuka menentang manajemen seperti CEO Mark Zuckerberg.

Banyak yang tampaknya menunjukkan bahwa para peneliti Facebook sendiri terkejut dengan temuan mereka tentang cara kerja situs sebenarnya, serta frustrasi sampai pada titik pengunduran diri oleh kelambanan manajemen atau campur tangan terhadap upaya mereka untuk menemukan solusi.

CNN juga melaporkan bahwa dokumen internal menunjukkan bahwa Facebook telah sangat menyadari tingkat perdagangan manusia dan perdagangan “pelayan rumah tangga” di seluruh situs setidaknya sejak 2018.

Sementara perusahaan bergegas untuk mengatasi masalah tersebut setelah Apple mengancam akan menghapus Facebook dan Instagram dari App Store iOS pada tahun 2019, jaringan tersebut melaporkan bahwa masih mudah untuk menemukan akun yang mengiklankan manusia untuk dijual.

Laporan dari The Verge mengatakan bahwa satu tema yang menonjol dari dokumen yang bocor adalah “variasi signifikan dalam sumber daya moderasi konten yang diberikan ke berbagai negara berdasarkan kriteria yang tidak bersifat publik atau tunduk pada tinjauan eksternal”:

Brasil, India, dan Amerika Serikat ditempatkan di “tingkat nol”, prioritas tertinggi. Facebook menyiapkan “ruang perang” untuk memantau jaringan secara terus menerus. Mereka membuat dasbor untuk menganalisis aktivitas jaringan dan memperingatkan pejabat pemilu lokal tentang masalah apa pun.

Jerman, Indonesia, Iran, Israel, dan Italia berada di peringkat satu. Mereka akan diberikan sumber daya yang sama, dikurangi beberapa sumber daya untuk penegakan aturan Facebook dan untuk peringatan di luar periode langsung di sekitar pemilihan.

Di tingkat dua, 22 negara ditambahkan. Mereka harus pergi tanpa ruang perang, yang juga disebut Facebook sebagai “pusat operasi yang ditingkatkan.”

Sisanya ditempatkan ke tingkat tiga. Facebook akan meninjau materi terkait pemilu jika dieskalasikan kepada mereka oleh moderator konten. Jika tidak, mereka tidak akan campur tangan.

Selengkapnya: Gizmodo | The Verge

Driver FiveSys Yang Ditandatangani Microsoft WHQL Sebenarnya Adalah Malware Yang Menyamar

by

Peneliti keamanan di Bitdefender menemukan bahwa malware baru ini, yang merupakan rootkit, sebenarnya ditandatangani secara digital oleh Microsoft sendiri.

Driver jahat FiveSys membawa sertifikasi Windows Hardware Quality Labs (WHQL) yang disediakan oleh Microsoft setelah verifikasi cermat terhadap paket driver yang dikirim oleh berbagai vendor mitranya melalui Program Kompatibilitas Perangkat Keras Windows (WHCP).

Telah diamati bahwa penyebaran FiveSys sejauh ini terbatas hanya di China yang mungkin menunjukkan bahwa pelaku ancaman terutama tertarik pada bagian wilayah tersebut.

Dalam hal karakteristik kunci lainnya, whitepaper terkait juga menyebutkan bahwa rootkit memblokir modifikasi registri dan juga mencoba memblokir akses pesaingnya ke sistem yang terinfeksi.

Bitdefender mengatakan bahwa setelah memperingatkan Microsoft tentang rootkit berbahaya ini, perusahaan Redmond telah menghapus tanda tangannya dari FiveSys.

Menariknya, ini bukan pertama kalinya hal seperti itu terjadi dalam ingatan baru-baru ini. Malware serupa yang disebut “Netfilter” juga divalidasi oleh Microsoft pada bulan Juni kemungkinan dengan cara yang sama.

Selengkapnya: Neowin

Olimpiade Tokyo 2020 Mengalami Setengah Miliar Percobaan Serangan Siber

by

NTT Corporation, yang menyediakan layanannya untuk Olimpiade & Paralimpiade di Tokyo, mengungkapkan ada lebih dari 450 juta percobaan serangan siber selama acara tersebut.

Di antara 450 juta serangan, NTT mengatakan malware Emotet, email spoofing, phishing, serta situs web palsu, termasuk di antara metode yang paling populer. Perusahaan juga mengharapkan serangan Distributed Denial of Service (DDoS), ransomware, serta serangan terhadap infrastruktur penting.

Satu dari antara infrastruktur tersebut adalah 5G, karena semua tempat permainan dialihkan ke jaringan seluler 5G setelah layanan komersial dimulai di Jepang pada awal tahun 2021. Selama acara tersebut, telah terjadi komunikasi tidak sah yang menargetkan kerentanan di terminal. NTT berhasil meredam serangan dengan memblokir komunikasi.

NTT yakin berhasil mempertahankan perimeter berkat empat faktor utama: Intelijen ancaman dan pemantauan; solusi keamanan total (mengadopsi format daftar putih), pelatihan karyawan berkualitas dan program kesadaran; dan manajemen pemangku kepentingan (kolaborasi erat dengan penyedia TIK, infrastruktur penting, Komite Olimpiade Internasional, serta Komite Penyelenggara Tokyo 2020).

“Penjahat dunia maya tentu melihat Olimpiade — dan rantai pasokan terkaitnya — sebagai target bernilai tinggi dengan toleransi waktu henti yang rendah,” komentar Andrea MacLean dari NTT. “Bagaimanapun, kejahatan mengikuti peluang. Dan dengan stadion yang terhubung, platform keterlibatan penggemar, dan lengkap replika digital tempat olahraga dan acara itu sendiri menjadi norma, ada banyak infrastruktur TI dan data yang ditargetkan — dan melalui banyak komponen.”

Selengkapnya: Tech Radar

Cara Mendeteksi dan Melindungi saat Remote Desktop Protocol (RDP) terbuka ke Internet

by

Para peneliti keamanan siber di Coveware menemukan bahwa 42 persen kasus ransomware di Q2 2021 memanfaatkan RDP Compromise sebagai vektor serangan.

Mereka juga menemukan bahwa “Di Q2, email phishing dan brute force Remote Desktop Protocol (RDP) tetap menjadi metode termurah, paling menguntungkan serta populer bagi pelaku ancaman untuk mendapatkan pijakan awal di dalam jaringan perusahaan.”

Berikut dipaparkan cara untuk mendeteksi dan melindungi Remote Desktop Protocol (RDP) yang terbuka ke Internet :

Mendeteksi akses RDP di log
Login atau serangan RDP akan menghasilkan beberapa log peristiwa di beberapa log peristiwa. Peristiwa ini akan ditemukan pada sistem target yang mencoba atau menyelesaikan sesi RDP, atau direktori aktif yang menangani otentikasi.

Melakukan Threat Hunting
Aktor ancaman dapat menghapus satu atau lebih log sebelum memutuskan sambungan, tetapi untungnya, peristiwa pemutusan akan ada di log yang memungkinkan penyelidik melihat sumber pemutusan RDP.

Remote Desktop Gateway
Merupakan peran yang ditambahkan ke Server Windows yang Anda terbitkan ke internet yang menyediakan akses SSL (RDP terenkripsi melalui port TCP 443 dan UDP 3391) alih-alih protokol RDP melalui port 3389.

Virtual Private Network (VPN)
Organisasi juga harus memantau login VPN untuk upaya akses, dan IP sumber diselesaikan ke negara asal.

Jump Host
Organisasi harus memantau aplikasi jump host dan menerapkan patch secepat mungkin.

Cloud RDP
Pilihan lain adalah menggunakan lingkungan cloud seperti Microsoft Azure untuk meng-host solusi jarak jauh yang menyediakan MFA untuk mengirimkan koneksi tepercaya kembali ke organisasi

Mengubah Port RDP
Dengan mengedit registri Windows, port mendengarkan default dapat dimodifikasi, dan organisasi dapat menerapkan deteksi SIEM untuk menangkap upaya port 3389.

Pembatasan Alamat IP
Organisasi dapat menggunakan alat firewall khusus atau Windows Firewall pada mesin host yang dikelola oleh Kebijakan Grup untuk membatasi koneksi RDP ke alamat IP yang diketahui baik.

Selengkapnya: NCC Group

Bug Keamanan SD-WAN Cisco Memungkinkan Eksekusi Kode Root

by

Implementasi Cisco SD-WAN rentan terhadap kerentanan eskalasi hak istimewa dengan tingkat keparahan tinggi dalam sistem operasi IOS XE yang dapat menyebabkan eksekusi kode arbitrer.

Sementara itu, IOS XE, adalah sistem operasi vendor yang menjalankan peralatan tersebut. Ini adalah kombinasi dari kernel Linux dan aplikasi monolitik yang berjalan di atas kernel itu.

Bug (CVE-2021-1529) adalah masalah injeksi perintah OS, yang memungkinkan penyerang untuk mengeksekusi perintah yang tidak terduga dan berbahaya secara langsung pada sistem operasi yang biasanya tidak dapat diakses. Ini secara khusus ada di antarmuka baris perintah (CLI) untuk perangkat lunak IOS XE SD-WAN Cisco, dan dapat memungkinkan penyerang lokal yang diautentikasi untuk mengeksekusi perintah sewenang-wenang dengan hak akses root.

Ini hanya kerentanan SD-WAN terbaru dari beberapa yang telah ditambal Cisco tahun ini. Pada bulan Januari, ia memperbaiki beberapa, buffer-overflow kritis dan bug SD-WAN injeksi perintah, yang paling serius dapat dieksploitasi oleh penyerang jarak jauh yang tidak diautentikasi untuk mengeksekusi kode arbitrer pada sistem yang terpengaruh dengan hak akses root.

Pada bulan Mei, Cisco membahas dua kerentanan keamanan kritis dalam Perangkat Lunak SD-WAN vManage, salah satunya dapat memungkinkan penyerang yang tidak diautentikasi untuk melakukan eksekusi kode jarak jauh (RCE) di jaringan perusahaan atau mencuri informasi.

Dan baru bulan lalu, Cisco mengungkapkan dua kerentanan keamanan kritis yang memengaruhi perangkat lunak IOS XE dan SD-WAN-nya, yang paling parah akan memungkinkan RCE dan penolakan layanan (DoS) yang tidak diautentikasi.

Selengkapnya: Threat Post

Bagaimana Peretas Membajak Ribuan Akun YouTube Terkenal

by

Setidaknya sejak 2019, peretas telah membajak saluran YouTube profil tinggi. Terkadang mereka menyiarkan penipuan cryptocurrency, terkadang mereka hanya melelang akses ke akun. Sekarang, Google telah merinci teknik yang digunakan peretas untuk mengkompromikan ribuan pembuat konten YouTube hanya dalam beberapa tahun terakhir.

Semuanya dimulai dengan phishing. Penyerang mengirim email kepada pembuat YouTube yang tampaknya berasal dari layanan nyata—seperti VPN, aplikasi pengeditan foto, atau penawaran antivirus—dan menawarkan untuk berkolaborasi.

Mengeklik tautan untuk mengunduh produk akan membawa pembuatnya ke situs pendaratan malware alih-alih yang sebenarnya. Dalam beberapa kasus, peretas meniru jumlah yang diketahui seperti Cisco VPN dan game Steam, atau berpura-pura menjadi media yang berfokus pada COVID-19.

Setelah YouTuber secara tidak sengaja mengunduh perangkat lunak berbahaya, ia mengambil cookie tertentu dari browser mereka. “Cookie sesi” ini mengonfirmasi bahwa pengguna telah berhasil masuk ke akun mereka.

Seorang peretas dapat mengunggah cookie yang dicuri itu ke server jahat, membiarkan mereka berpura-pura sebagai korban yang sudah diautentikasi. Cookie sesi sangat berharga bagi penyerang karena menghilangkan kebutuhan untuk melalui bagian mana pun dari proses login.

Meskipun otentikasi dua faktor tidak dapat menghentikan pencurian cookie berbasis malware ini, ini merupakan perlindungan penting untuk jenis penipuan dan phishing lainnya. Mulai 1 November, Google akan mewajibkan pembuat konten YouTube yang memonetisasi salurannya untuk mengaktifkan dua faktor untuk akun Google yang terkait dengan Pengelola Konten YouTube Studio atau YouTube Studio mereka.

Penting juga untuk memperhatikan peringatan “Penjelajahan Aman” Google tentang halaman yang berpotensi berbahaya. Dan seperti biasa, berhati-hatilah dengan apa yang Anda klik dan lampiran mana yang Anda unduh dari email Anda.

Selengkapnya: ARS Technica