Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for News

Signal mengguncang dan memperlihatkan kerentanan Cellebrite yang bisa retas

by

Perusahaan pemindaian telepon dan ekstraksi data Cellebrite menghadapi prospek pembuat aplikasi dapat meretas kembali alat tersebut, setelah Signal mengungkapkan bahwa dimungkinkan untuk mendapatkan eksekusi kode arbitrer melalui alatnya.

Alat seluler digunakan untuk menarik data dari ponsel yang dimiliki pengguna.

“Dengan menyertakan file yang diformat secara khusus tetapi sebaliknya tidak berbahaya dalam aplikasi pada perangkat yang kemudian dipindai oleh Cellebrite, dimungkinkan untuk mengeksekusi kode yang tidak hanya mengubah laporan Cellebrite yang dibuat dalam pemindaian itu, tetapi juga semua laporan Cellebrite yang dihasilkan sebelumnya dan yang akan datang dari semua perangkat yang dipindai sebelumnya dan semua perangkat yang dipindai di masa mendatang dengan cara apa pun (memasukkan atau menghapus teks, email, foto, kontak, file, atau data lainnya), tanpa perubahan stempel waktu yang dapat dideteksi atau kegagalan checksum, “tulis CEO Signal Moxie Marlinspike.

“Ini bahkan bisa dilakukan secara acak, dan akan secara serius mempertanyakan integritas data dari laporan Cellebrite.”

Biasanya, ketika kerentanan jenis ini ditemukan, masalah tersebut diungkapkan kepada pembuat perangkat lunak untuk diperbaiki, tetapi karena Cellebrite mencari nafkah dari kerentanan yang dirahasiakan, Marlinspike menaikkan taruhannya.

Marlinspike mengatakan dia sangat beruntung telah menemukan paket alat Cellebrite tergeletak di tanah saat berjalan-jalan.

Pada bulan Desember, Marlinspike mengecam Cellebrite yang mengklaim bahwa itu dapat memecahkan enkripsi Signal.

“Cellebrite memposting sesuatu dengan banyak detail, lalu segera menghapusnya dan menggantinya dengan sesuatu yang tidak ada detailnya,” tulis Marlinspike saat itu.

“Ini bukan karena mereka ‘mengungkapkan’ apa pun tentang beberapa teknik super canggih yang telah mereka kembangkan (ingat, ini adalah situasi di mana seseorang bisa saja membuka aplikasi dan melihat pesannya). Mereka menghapusnya karena alasan yang berlawanan: itu membuat mereka terlihat buruk.

“Artikel tentang posting ini akan lebih tepat berjudul ‘Cellebrite secara tidak sengaja mengungkapkan bahwa kemampuan teknis mereka sama bangkrutnya dengan fungsinya di dunia.'”

selengkapnya : www.zdnet.com

Penipu Telepon Membujuknya Menyerahkan Lebih dari $ 33 Juta

by

HONG KONG – Panggilan telepon yang tidak menyenangkan dimulai musim panas lalu.

Penelepon itu mengatakan mereka adalah penyelidik dari daratan China. Wanita kaya Hong Kong berusia 90 tahun di ujung sana dituntun untuk percaya bahwa dia adalah subjek investigasi pencucian uang. Mungkin didorong oleh keinginan untuk membersihkan namanya, dia mulai mentransfer sejumlah besar uang ke rekening bank yang tidak dia miliki.

Pada akhirnya, menurut polisi Hong Kong, wanita tak dikenal itu menyetor jumlah yang mengejutkan – $ 32,8 juta – ke dalam rekening yang dikendalikan oleh grifters, dalam salah satu penipuan telepon terburuk yang menghantam pusat keuangan Asia dalam ingatan baru-baru ini.

Seorang mahasiswa berusia 19 tahun, yang diidentifikasi dengan nama keluarganya, Wong, ditangkap sehubungan dengan kejahatan tersebut, kata polisi Hong Kong pada hari Selasa. Dia ditahan karena dicurigai “memperoleh properti dengan penipuan” dan dibebaskan dengan jaminan. Polisi mengatakan penyelidikan terus berlanjut dan tidak menutup kemungkinan penangkapan lebih lanjut.

Penipuan telepon melonjak di Hong Kong sejak dimulainya pandemi virus korona. Polisi mencatat 1.193 kasus pada tahun 2020 – meningkat lebih dari 80 persen dari tahun 2019. Skema tersebut mengakibatkan kerugian kumulatif sebesar $ 20 juta pada tahun 2019 dan $ 73 juta pada tahun 2020. Pada kuartal pertama tahun 2021, polisi Hong Kong mencatat sekitar 200 telepon penipuan dan total $ 45 juta kerugian finansial terkait.

Selengkapnya: nytimes

Apakah Seseorang di Departemen Perdagangan Menemukan Pintu Belakang SolarWinds pada Agustus 2020?

by

Pada 13 Agustus 2020, seseorang mengunggah file yang dicurigai berbahaya ke VirusTotal, sebuah layanan yang memindai file yang dikirimkan terhadap lebih dari lima lusin produk antivirus dan keamanan. Bulan lalu, Microsoft dan FireEye mengidentifikasi file itu sebagai pintu belakang malware keempat yang baru ditemukan yang digunakan dalam supply chain hack SolarWinds yang luas. Analisis file berbahaya dan kiriman lainnya oleh pengguna VirusTotal yang sama menyarankan akun yang awalnya menandai backdoor sebagai mencurigakan milik personel TI di National Telecommunications and Information Administration (NTIA), sebuah divisi dari Departemen Perdagangan AS yang menangani telekomunikasi dan Kebijakan Internet.
Baik Microsoft dan FireEye menerbitkan posting blog pada 4 Maret tentang pintu belakang baru yang ditemukan pada target bernilai tinggi yang disusupi oleh penyerang SolarWinds. FireEye menyebut pintu belakang sebagai “Sunshuttle”, sedangkan Microsoft menyebutnya “GoldMax”.

Selengkapnya: krebsonsecurity

SonicWall memperingatkan pelanggan untuk menambal 3 zero-day yang dieksploitasi di alam liar

by

Produsen perangkat keras keamanan SonicWall mendesak pelanggan untuk menambal serangkaian tiga kerentanan zero-day yang memengaruhi produk Keamanan Email lokal dan yang dihosting.

“Setidaknya dalam satu kasus yang diketahui, kerentanan ini telah diamati untuk dieksploitasi ‘di alam liar'”, kata SonicWall dalam sebuah advisory keamanan yang mereka terbitkan.

Perusahaan mengatakan itu “keharusan” bahwa organisasi yang menggunakan peralatan perangkat keras Keamanan Email, peralatan virtual, atau instalasi perangkat lunak pada mesin Microsoft Windows Server segera meningkatkan ke versi yang terbaru.

Tiga zero-day yang dilaporkan oleh Josh Fleischer dan Chris DiGiamo dari Mandiant adalah:

  • CVE-2021-20021: Kerentanan Pembuatan Akun Administratif Pra-Otentikasi Keamanan Email yang memungkinkan penyerang membuat akun administratif dengan mengirim permintaan HTTP yang dibuat ke host jarak jauh (pembaruan keamanan dirilis pada 9 April)
  • CVE-2021-20022: Kerentanan Pembuatan File Sewenang-wenang Pasca-Autentikasi Keamanan Email yang memungkinkan penyerang pasca-otentikasi mengunggah file sewenang-wenang ke host jarak jauh (pembaruan keamanan dirilis pada 9 April)
  • CVE-2021-20023: Kerentanan keamanan Email Pasca-Otentikasi Membaca File Sewenang-wenang yang memungkinkan penyerang pasca-otentikasi membaca file sewenang-wenang dari host jarak jauh (pembaruan keamanan dirilis pada 19 April)

Selengkapnya: Bleeping Computer

MI5 memperingatkan mata-mata yang menggunakan LinkedIn untuk mengelabui staf agar membocorkan rahasia

by

Setidaknya 10.000 warga negara Inggris telah didekati oleh profil palsu yang terkait dengan negara yang bermusuhan, di jejaring sosial profesional LinkedIn, selama lima tahun terakhir, menurut MI5.

Mereka memperingatkan pengguna yang telah menerima permintaan koneksi semacam itu mungkin kemudian terpikat untuk berbagi rahasia.

“Profil berbahaya” sedang digunakan pada “skala industri”, kata kepala badan keamanan tersebut, Ken McCallum.

Sebuah kampanye telah diluncurkan untuk mendidik pegawai pemerintah tentang ancaman tersebut.

Upaya – Think Before You Link – memperingatkan mata-mata asing menargetkan mereka yang memiliki akses ke informasi sensitif.

Salah satu kekhawatiran adalah rekan-rekan korban, pada gilirannya, menjadi lebih bersedia untuk menerima permintaan tindak lanjut – karena tampaknya mereka memiliki kenalan yang sama.

MI5 tidak secara spesifik menyebut LinkedIn tetapi BBC News telah mengetahui bahwa layanan milik Microsoft tersebut memang platform yang terlibat.

Angka 10.000+ termasuk staf di hampir setiap departemen pemerintah serta industri utama, yang mungkin ditawari kesempatan berbicara atau bisnis dan perjalanan yang dapat mengarah pada upaya untuk merekrut mereka untuk memberikan informasi rahasia.

Dan diperkirakan sejumlah besar dari mereka yang awalnya mendekati terlibat dengan profil yang menghubungi mereka secara online.

Selengkapnya: BBC

Microsoft Store, situs Spotify palsu menyebarkan malware pencuri info

by

Penyerang mempromosikan situs yang meniru Microsoft Store, Spotify, dan konverter dokumen online yang mendistribusikan malware untuk mencuri kartu kredit dan sandi yang disimpan di browser web.

Serangan itu ditemukan oleh perusahaan keamanan siber ESET yang mengeluarkan peringatan kemarin di Twitter untuk mewaspadai kampanye jahat tersebut.

Dalam percakapan dengan Jiri Kropac, Kepala ESET Lab Deteksi Ancaman, BleepingComputer mengetahui bahwa serangan tersebut dilakukan melalui iklan jahat yang mempromosikan apa yang tampak sebagai aplikasi yang sah.

Misalnya, salah satu iklan yang digunakan dalam serangan ini mempromosikan aplikasi Catur online. Namun, ketika pengguna mengklik iklan tersebut, mereka dibawa ke halaman Microsoft Store palsu untuk aplikasi catur online ‘xChess 3’ palsu, yang secara otomatis diunduh dari server Amazon AWS.

File zip yang diunduh bernama ‘xChess_v.709.zip’, yang sebenarnya adalah ‘Ficker’, atau ‘FickerStealer,’ malware pencuri informasi yang menyamar, seperti yang ditunjukkan oleh laporan Any.Run ini yang dibuat oleh BleepingComputer.

Iklan lain dari kampanye malware ini berpura-pura menjadi Spotify atau pengonversi dokumen online. Saat dikunjungi, halaman arahan mereka juga akan secara otomatis mendownload file zip yang berisi malware Ficker.

Sumber: Bleeping Computer

Selengkapnya: Bleeping Computer

Ratusan jaringan dilaporkan diretas dalam serangan rantai pasokan Codecov

by

Rincian lebih lanjut telah muncul tentang pelanggaran sistem Codecov baru-baru ini yang sekarang disamakan dengan peretasan SolarWinds.

Dalam laporan baru oleh Reuters, penyelidik telah menyatakan bahwa ratusan jaringan pelanggan telah dibobol dalam insiden tersebut, memperluas cakupan pelanggaran sistem ini di luar sistem Codecov saja.

Seperti dilansir BleepingComputer minggu lalu, Codecov mengalami serangan rantai pasokan yang tidak terdeteksi selama lebih dari 2 bulan.

Dalam serangan ini, pelaku ancaman telah mendapatkan kredensial Codecov dari image Docker mereka yang cacat yang kemudian digunakan oleh pelaku untuk mengubah skrip Bash Uploader Codecov, yang digunakan oleh klien perusahaan.

Penyelidikan awal Codecov mengungkapkan bahwa mulai 31 Januari 2021, terjadi perubahan berkala yang tidak sah dari skrip Bash Uploader yang memungkinkan pelaku ancaman untuk secara potensial mengekstrak informasi pengguna Codecov yang disimpan di lingkungan CI mereka.

Namun, baru pada tanggal 1 April perusahaan menyadari aktivitas berbahaya ini ketika pelanggan melihat perbedaan antara hash (shashum) skrip Bash Uploader yang dihosting di domain Codecov dan hash (benar) yang terdaftar di GitHub perusahaan.

Tak lama kemudian, insiden itu mendapat perhatian penyelidik federal AS karena pelanggaran tersebut dibandingkan dengan serangan SolarWinds baru-baru ini yang oleh pemerintah AS dikaitkan dengan Badan Intelijen Luar Negeri Rusia (SVR).

Codecov memiliki lebih dari 29.000 pelanggan, termasuk nama-nama terkemuka seperti GoDaddy, Atlassian, The Washington Post, Procter & Gamble (P & G), menjadikannya sebagai insiden rantai pasokan yang patut diperhatikan.

Selengkapnya: Bleeping Computer

Beberapa agensi dibobol oleh peretas menggunakan kerentanan Pulse Secure

by

Otoritas federal hari Selasa mengumumkan bahwa peretas melanggar beberapa lembaga pemerintah dan organisasi penting lainnya dengan mengeksploitasi kerentanan dalam produk dari perusahaan perangkat lunak yang berbasis di Utah.

Badan tersebut, yang merupakan badan keamanan siber Departemen Keamanan Dalam Negeri, mencatat bahwa mereka telah membantu organisasi yang dikompromikan sejak 31 Maret, dan bahwa peretas menggunakan kerentanan untuk menempatkan webshell di produk Pulse Connect Secure, yang memungkinkan mereka untuk melewati kata sandi, otentikasi multi-faktor, dan fitur keamanan lainnya.

Agensi tersebut menulis bahwa Ivanti (Perusahaan yang memiliki Pulse Secure) sedang mengembangkan tambalan untuk kerentanan ini, dan “sangat mendorong” semua organisasi yang menggunakan produk ini untuk memperbarui ke versi terbaru dan menyelidiki tanda-tanda penyusupan.

Selain itu, CISA mengeluarkan arahan darurat pada Selasa malam yang mewajibkan semua agen federal untuk menilai berapa banyak produk Pulse Connect Secure yang mereka dan organisasi pihak ketiga gunakan, dan untuk memperbarui produk ini sebelum 23 April.

Seorang juru bicara Ivanti mengatakan kepada The Hill pada hari Selasa bahwa patch untuk kerentanan akan dirilis pada bulan Mei, dan hanya “sejumlah kecil” pelanggan yang telah disusupi.

Selengkapnya: The Hill