Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for News

Laporan Analisis (AR21-013A) Memperkuat Konfigurasi Keamanan untuk Melindungi dari Penyerang yang Menargetkan Layanan Cloud

by

CISA merekomendasikan langkah-langkah berikut bagi organisasi untuk memperkuat praktik keamanan cloud mereka.

  • Terapkan kebijakan akses bersyarat (CA) berdasarkan kebutuhan organisasi Anda.
  • Tetapkan garis dasar untuk aktivitas jaringan normal dalam lingkungan Anda.
  • Tinjau secara rutin log masuk Direktori Aktif dan log audit terpadu untuk aktivitas yang tidak wajar.
  • Terapkan MFA.
  • Tinjau pemberitahuan dan aturan penerusan email buatan pengguna secara rutin, atau batasi penerusan.
  • Memiliki rencana atau prosedur mitigasi; memahami kapan, bagaimana, dan mengapa menyetel ulang sandi dan mencabut token sesi.
  • Ikuti panduan rekomendasi tentang mengamankan akses istimewa.
  • Pertimbangkan kebijakan yang tidak mengizinkan karyawan menggunakan perangkat pribadi untuk bekerja. Minimal gunakan solusi pengelolaan perangkat seluler tepercaya.
  • Selesaikan permintaan situs klien internal ke jaringan Anda.
  • Pertimbangkan untuk membatasi pengguna agar tidak meneruskan email ke akun di luar domain Anda.
  • Izinkan pengguna untuk hanya menyetujui integrasi aplikasi yang telah disetujui sebelumnya oleh administrator.
  • Audit aturan email dengan peringatan yang dapat diberlakukan melalui Pusat Keamanan dan Kepatuhan atau alat lain yang menggunakan API Grafik untuk memperingatkan administrator tentang aktivitas abnormal.
  • Terapkan MFA untuk semua pengguna, tanpa kecuali.
  • Akses bersyarat harus dipahami dan diterapkan dengan pola pikir tanpa kepercayaan.
  • Pastikan logging akses pengguna diaktifkan. Meneruskan log ke informasi keamanan dan peralatan manajemen peristiwa untuk agregasi dan pemantauan agar tidak kehilangan visibilitas log di luar periode logging.
  • Gunakan kebijakan CA untuk memblokir protokol otentikasi lama.
  • Pastikan semua instance mesin virtual berbasis cloud dengan IP publik tidak memiliki port Remote Desktop Protocol (RDP) yang terbuka. Tempatkan sistem apa pun dengan port RDP terbuka di belakang firewall dan minta pengguna menggunakan VPN untuk mengaksesnya melalui firewall.
  • Fokus pada kesadaran dan pelatihan. Buat karyawan sadar akan ancaman — seperti penipuan phishing — dan cara penyampaiannya. Selain itu, berikan pelatihan kepada pengguna tentang prinsip dan teknik keamanan informasi serta keseluruhan risiko dan kerentanan keamanan siber yang muncul.
  • Buat pelaporan karyawan yang bebas dari kesalahan dan pastikan karyawan mengetahui siapa yang harus dihubungi ketika mereka melihat aktivitas yang mencurigakan atau jika mereka yakin telah menjadi korban serangan cyber. Ini akan memastikan bahwa strategi mitigasi yang mapan dapat diterapkan dengan cepat dan efisien.
  • Pastikan produk pemfilteran dan deteksi bawaan yang ada (mis., Untuk spam, phishing, malware, dan lampiran serta tautan yang aman diaktifkan.
  • Organisasi yang menggunakan M365 juga harus mempertimbangkan langkah-langkah berikut.
  1. Tetapkan beberapa (satu hingga tiga) pengguna tepercaya sebagai manajer penemuan elektronik (atau eDiscovery) untuk melakukan pencarian konten forensik di seluruh lingkungan M365 (Kotak Surat, Teams, SharePoint, dan OneDrive) untuk bukti aktivitas berbahaya.
  2. PowerShell dari jarak jauh ke Exchange Online untuk pengguna biasa M365. Penonaktifan untuk pengguna non-administratif akan menurunkan kemungkinan akun pengguna yang disusupi digunakan untuk mengakses konfigurasi penyewa secara terprogram untuk pengintaian.
  3. Jangan izinkan upaya login yang tidak berhasil dalam jumlah yang tidak terbatas. Untuk mengonfigurasi pengaturan ini, lihat konfigurasi penguncian cerdas sandi dan laporan aktivitas masuk.
  4. Pertimbangkan untuk menggunakan alat seperti Sparrow atau Hawk — alat berbasis PowerShell sumber terbuka yang digunakan untuk mengumpulkan informasi terkait M365 — untuk menyelidiki dan mengaudit gangguan dan potensi pelanggaran.

sumber : US-CERT

Cacat Cisco Tingkat Keparahan Tinggi Ditemukan di Perangkat Lunak CMX Untuk Retail

by

Cacat yang sangat parah dalam solusi Wi-Fi pintar Cisco untuk pengecer dapat memungkinkan penyerang jarak jauh untuk mengubah kata sandi pengguna akun mana pun pada sistem yang terpengaruh.

Kerentanan tersebut merupakan bagian dari sejumlah tambalan yang dikeluarkan oleh Cisco yang menangani 67 CVE tingkat keparahan tinggi pada hari Rabu. Ini termasuk kekurangan yang ditemukan di AnyConnect Secure Mobility Client Cisco, serta router bisnis kecil Cisco RV110W, RV130, RV130W, dan RV215W.

Cacat paling serius menimpa Cisco Connected Mobile Experiences (CMX), solusi perangkat lunak yang digunakan pengecer untuk memberikan wawasan bisnis atau analitik pengalaman pelanggan di tempat. Solusinya menggunakan infrastruktur nirkabel Cisco untuk mengumpulkan harta karun data dari jaringan Wi-Fi pengecer, termasuk pelacakan lokasi pelanggan secara waktu nyata.

Misalnya, jika pelanggan terhubung ke jaringan Wi-Fi toko yang menggunakan CMX, pengecer dapat melacak lokasi mereka di dalam tempat tersebut, mengamati perilaku mereka, dan memberikan penawaran atau promosi khusus kepada mereka-saat mereka berada di sana.

Kerentanan (CVE-2021-1144) disebabkan oleh penanganan pemeriksaan otorisasi yang salah untuk mengubah sandi. Cacat tersebut menempati urutan 8.8 dari 10 pada skala kerentanan-keparahan CVSS, menjadikannya sangat parah. Catatan, untuk mengeksploitasi kekurangan tersebut, penyerang harus memiliki akun CMX yang diautentikasi – tetapi tidak memerlukan hak administratif.

Admin memiliki berbagai hak istimewa, termasuk kemampuan untuk menggunakan perintah File Transfer Protocol (FTP) untuk mencadangkan dan memulihkan data di Cisco CMX dan mendapatkan akses ke kredensial (untuk membuka kunci pengguna yang telah terkunci dari akun mereka).

Kerentanan ini memengaruhi rilis Cisco CMX 10.6.0, 10.6.1, dan 10.6.2; masalah telah diperbaiki di Cisco CMX rilis 10.6.3 dan yang lebih baru.

Cacat tingkat keparahan tinggi lainnya (CVE-2021-1237) ada di Cisco AnyConnect Secure Mobility Client untuk Windows. AnyConnect Secure Mobility Client, produk perangkat lunak titik akhir modular, menyediakan berbagai layanan keamanan (seperti akses jarak jauh, fitur keamanan web, dan perlindungan roaming) untuk titik akhir.

Dan, lima CVE lagi (CVE-2021-1146, CVE-2021-1147, CVE-2021-1148, CVE-2021-1149 dan CVE-2021-1150) di router Cisco Small Business RV110W, RV130, RV130W, dan RV215W dapat mengizinkan penyerang jarak jauh yang diautentikasi untuk memasukkan perintah arbitrer yang dijalankan dengan hak akses root.

sumber :ThreatPost

Cyberspies Iran di balik kampanye spear-phishing SMS Natal

by

Sebuah kelompok spionase siber Iran yang dikenal sebagai Charming Kitten (APT35 atau Phosphorus) telah menggunakan liburan musim dingin baru-baru ini untuk menyerang target dari seluruh dunia menggunakan kampanye spear-phishing yang sangat canggih yang tidak hanya melibatkan serangan email tetapi juga pesan SMS.

CERTFA, organisasi keamanan siber yang khusus melacak operasi Iran, mengatakan mereka mendeteksi serangan yang menargetkan anggota lembaga think tank, pusat penelitian politik, profesor universitas, jurnalis, dan aktivis lingkungan.

Para korban berada di negara-negara sekitar Teluk Persia, Eropa, dan AS.

Peneliti CERTFA mengatakan bahwa kampanye khusus ini menunjukkan tingkat kompleksitas yang tinggi. Korban menerima pesan spear-phishing dari penyerang tidak hanya melalui email tetapi juga melalui SMS, saluran yang tidak banyak digunakan oleh pelaku ancaman.

Sementara pesan SMS berperan sebagai peringatan keamanan Google, email tersebut memanfaatkan akun yang sebelumnya diretas dan menggunakan umpan terkait liburan.

Persamaan yang umum di kedua kampanye tersebut adalah bahwa operator Charming Kitten berhasil menyembunyikan serangan mereka di balik URL Google yang sah https://www.google[.]com/url?q=https://script.google.com/xxxx, yang akan menipu bahkan penerima yang paling paham teknologi.

Sumber: CERTFA
Sumber: CERTFA

Namun ternyata, CERTFA mengatakan bahwa URL Google yang sah pada akhirnya akan mengarahkan pengguna melalui situs web yang berbeda dan akhirnya membawanya ke halaman phishing, di mana mereka akan dimintai kredensial masuk untuk layanan email pribadi seperti Gmail, Yahoo, dan Outlook, tetapi juga email bisnis.

Sumber: ZDNet

Bug Penting Plugin WordPress Ditemukan di ‘Orbit Fox’ Memungkinkan Pengambilalihan Situs

by

Dua kerentanan (satu kritis) dalam plugin WordPress yang disebut Orbit Fox dapat memungkinkan penyerang memasukkan kode berbahaya ke situs web yang rentan dan / atau mengendalikan situs web.

Orbit Fox adalah plugin WordPress multi-fitur yang bekerja dengan utilitas pembuat situs Elementor, Beaver Builder dan Gutenberg. Ini memungkinkan administrator situs menambahkan fitur seperti formulir pendaftaran dan widget. Plugin, dari pengembang bernama ThemeIsle, telah diinstal oleh 400.000+ situs.

Menurut para peneliti di Wordfence, cacat pertama (CVE sedang menunggu) adalah cacat eskalasi hak istimewa yang diautentikasi yang membawa skor keparahan bug CVSS 9,9, membuatnya kritis. Penyerang terautentikasi dengan akses level kontributor atau lebih tinggi dapat meningkatkan status mereka menjadi administrator dan berpotensi mengambil alih situs WordPress.

Sementara itu, bug kedua adalah masalah pembuatan skrip lintas situs (XSS) tersimpan yang diautentikasi yang memungkinkan penyerang dengan akses tingkat kontributor atau pengarang untuk memasukkan JavaScript ke dalam posting. Injeksi ini dapat digunakan untuk mengarahkan pengunjung ke situs malvertising atau membuat pengguna administratif baru, di antara tindakan lainnya. Itu dinilai 6,4 pada skala CVSS, menjadikannya tingkat keparahan sedang.

sumber : ThreatPost

Aplikasi pelacak kesuburan, Flo Health, menyelesaikan tuduhan FTC mengenai data yang tidak seharusnya dibagikan

by

Aplikasi pelacak kesuburan, Flo Health, telah menyelesaikan tuduhan Komisi Perdagangan Federal (FTC) bahwa mereka membagikan data pengguna dengan pihak ketiga, meskipun mereka berjanji sebaliknya.

Sebagai bagian dari penyelesaian yang diusulkan, pengembang aplikasi pelacakan period dan kesuburan, yang menurut FTC digunakan oleh lebih dari 100 juta konsumen, diwajibkan untuk mendapatkan tinjauan independen atas praktik privasinya dan mendapatkan persetujuan pengguna aplikasi sebelum membagikan informasi kesehatan mereka.

Dalam keluhannya, FTC menuduh bahwa Flo berjanji untuk merahasiakan data kesehatan pengguna dan hanya menggunakannya untuk menyediakan layanan aplikasi kepada pengguna.

Menurut keluhan tersebut, Flo mengungkapkan data kesehatan dari jutaan pengguna aplikasi Flo Period & Ovulation Tracker-nya kepada pihak ketiga yang menyediakan layanan pemasaran dan analitik untuk aplikasi, termasuk divisi analitik Facebook, divisi analitik Google, layanan Fabric Google, AppsFlyer, dan Flurry.

Keluhan tersebut menuduh Flo tidak membatasi bagaimana pihak ketiga dapat menggunakan data kesehatan ini.

Flo tidak berhenti mengungkapkan data sensitif ini sampai praktiknya terungkap dalam artikel berita pada Februari 2019, yang memicu ratusan keluhan dari pengguna aplikasi, kata FTC.

Seorang Juru Bicara Flo memberi tahu ZDNet bahwa prioritas tertinggi perusahaan adalah melindungi data penggunanya.

“Itulah sebabnya kami telah bekerja sama sepenuhnya selama tinjauan FTC terhadap kebijakan dan prosedur privasi kami,” kata mereka.

Sumber: ZDNet

Adobe memperbaiki kerentanan eksekusi kode kritis pada patch pertama tahun 2021

by

Pembaruan keamanan besar pertama Adobe pada tahun 2021 menyelesaikan tujuh bug kritis yang dapat menyebabkan eksekusi kode.

Pada hari Selasa, raksasa teknologi itu merilis nasihat keamanan terpisah yang menggambarkan kerentanan yang sekarang diselesaikan dalam tujuh produk. Perangkat lunak yang terkena dampak adalah Photoshop, Illustrator, Animate, Bridge, InCopy, Captivate, dan Campaign Classic.

Perbaikan keamanan pertama telah diterapkan pada perangkat lunak Photoshop pada mesin Windows dan macOS. Dilacak sebagai CVE-2021-21006, bug buffer overflow berbasis heap yang penting dapat disalahgunakan untuk memicu eksekusi kode arbitrary.

Adobe Illustrator, pada PC Windows, adalah subjek patch kedua perusahaan. Bug kritis, CVE-2021-21007, dideskripsikan sebagai kesalahan elemen jalur pencarian yang tidak terkontrol yang juga dapat menyebabkan eksekusi kode.

Selain kedua bug tersebut, Adobe juga memperbaiki 5 bug lainnya yang dapat memicu adanya eksekusi kode berbahya pada ke-5 produk lainnya.

Sangat direkomendasikan agar pengguna menerima pembaruan otomatis jika sesuai untuk memperbarui build mereka dan tetap terlindungi.

Sumber: ZDNet

Brian Acton dari Signal berbicara tentang ledakan pertumbuhan, monetisasi, dan penyebaran data WhatsApp

by

Brian Acton “bertemu kembali” dengan Facebook. Selama lebih dari satu dekade membangun dan mengoperasikan WhatsApp, pendiri perusahaan pertama-tama bersaing dan kemudian menjual aplikasi perpesanan instannya ke raksasa sosial. Hanya beberapa tahun yang lalu dia berpisah dengan perusahaan yang membuatnya menjadi miliarder dalam perpecahan pahit karena perpesanan dan privasi.

Sekarang Acton mengatakan kemarahan yang sedang berlangsung atas apa yang telah dilakukan Facebook pada layanan perpesanan yang dia bantu bangun mendorong orang-orang ke proyek terbarunya – Signal. Acton, yang menjabat sebagai ketua eksekutif perusahaan induk aplikasi perpesanan yang sadar privasi, mengatakan kepada TechCrunch dalam sebuah wawancara bahwa basis pengguna Signal telah “meledak” dalam beberapa pekan terakhir.

Melalui peringatan dalam aplikasi, WhatsApp telah meminta pengguna dalam beberapa hari terakhir untuk menyetujui persyaratan ketentuan baru yang memberikan aplikasi izin untuk membagikan data pribadi mereka dengan Facebook. Pengguna harus menyetujui persyaratan ini sebelum 8 Februari jika mereka ingin terus menggunakan aplikasi, kata peringatan itu.

Acton mengatakan WhatsApp bergulat dengan menggabungkan fitur-fitur monetisasi sambil tetap melindungi privasi orang. Dan “kebijakan rumit” barunya telah memaksa WhatsApp dan media untuk mencari penjelasan dan “semua orang bingung”.

sumber : Techcrunch

Situs SolarLeaks mengklaim menjual data yang dicuri dalam serangan SolarWinds

by

Sebuah situs web bernama ‘SolarLeaks’ menjual data yang mereka klaim dicuri dari perusahaan yang dipastikan telah dilanggar dalam serangan SolarWinds.

Bulan lalu, terungkap bahwa perusahaan manajemen jaringan SolarWinds mengalami serangan siber canggih yang menyebabkan serangan rantai pasokan yang memengaruhi 18.000 pelanggan.

Tanggal 12 Januari kemarin, situs web solarleaks[.]net diluncurkan yang mengklaim menjual data curian dari Microsoft, Cisco, FireEye, dan SolarWinds. Semua perusahaan ini diketahui telah dilanggar selama serangan rantai pasokan.

Situs web tersebut mengklaim menjual source code dan repositori Microsoft seharga $600.000. Microsoft mengonfirmasi bahwa pelaku ancaman telah mengakses source code mereka selama pelanggaran SolarWinds.

Dengan gaya yang mirip dengan Shadow Brokers, aktor SolarLeaks menyatakan bahwa mereka akan menjual data yang dicuri dalam batch, dan lebih banyak lagi akan dirilis di kemudian hari.

Domain solarleaks.net terdaftar melalui NJALLA, registrar yang dikenal digunakan oleh kelompok peretas Rusia, Fancy Bear dan Cozy Bear.

Saat melihat catatan WHOIS untuk solarleaks[.]Net, name server yang ditetapkan juga mengejek peneliti dengan pernyataan “You Can Get No Info”.

Sumber: BleepingComputer

Tidak ada konfirmasi apakah situs ini sah dan apakah pemilik situs memiliki data yang mereka jual.

Artikel ini akan terus diperbarui ketika ada info baru mengenai hal ini.

Sumber: Bleeping Computer