Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for News

EtterSilent maldoc builder digunakan oleh geng-geng penjahat siber papan atas

by

Sebuah pembuat dokumen berbahaya (maldoc) bernama EtterSilent mendapatkan lebih banyak perhatian di forum bawah tanah, catat peneliti keamanan. Seiring popularitasnya meningkat, pengembang terus meningkatkannya untuk menghindari deteksi dari solusi keamanan.

Iklan yang mempromosikan pembuat dokumen berbahaya EtterSilent telah dipublikasikan di forum bawah tanah setidaknya sejak pertengahan tahun 2020, dengan fitur-fitur seperti bypass Windows Defender, Windows AMSI (Antimalware Scan Interface), dan layanan email populer, termasuk Gmail.

Dalam posting blog, para peneliti di perusahaan intelijen ancaman Intel 471 mencatat bahwa penjual menawarkan dokumen Microsoft Office (2007 hingga 2019) yang dipersenjatai dalam dua ‘varian’: dengan eksploitasi untuk kerentanan yang diketahui atau dengan makro berbahaya.

Salah satu kerentanan yang dimanfaatkan adalah CVE-2017-8570, eksekusi kode jarak jauh dengan tingkat keparahan tinggi. Penulis juga menyebutkan dua kerentanan lainnya (CVE-2017-11882 dan CVE-2018-0802), meskipun beberapa pembatasan diterapkan, dan menunjukkannya dalam sebuah video.

Maldoc EtterSilent dengan kode makro dapat berpura-pura sebagai dokumen DocuSign atau DigiCert yang meminta pengguna untuk mengaktifkan dukungan untuk makro yang mengunduh muatan di latar belakang.

Sumber: BleepingComputer

Karena menggunakan makro XML Excel 4.0, EtterSilent tidak bergantung pada bahasa pemrograman Visual Basic for Applications (VBA), yang biasanya terlihat dengan makro berbahaya.

Para peneliti mencatat bahwa maldoc EtterSilent disertakan dalam kampanye spam baru-baru ini yang menjatuhkan versi terbaru dari Trickbot.

Intel 471 mengatakan bahwa kelompok penjahat siber lainnya memanfaatkan layanan EtterSilent untuk operasi mereka. Beberapa contohnya adalah trojan perbankan IcedID/BokBot, Ursnif/Gozi ISFB, dan QakBot/QBot. Bersama dengan Trickbot, kebanyakan dari mereka telah digunakan untuk mengirimkan berbagai jenis ransomware (Ryuk, Conti, Maze, Egregor, ProLock).

Blog Intel 471 menyediakan daftar indikator penyusupan untuk dokumen berbahaya EtterSilent serta untuk muatan yang mereka kirimkan: Trickbot, IcedID, QBot, Ursnif, dan BazarLoader.

Sumber: Bleeping Computer

Mahkamah Agung Amerika memihak Google dalam pertarungan hak cipta epik melawan Oracle

by

Pengadilan tinggi di AS berbicara banyak tentang teknologi minggu ini. Mahkamah Agung mempertimbangkan perselisihan hukum panjang Google dengan Oracle pada hari Senin, membatalkan kemenangan sebelumnya untuk perusahaan terakhir yang bisa menghasilkan penghargaan $ 8 miliar.

Dalam keputusan 6-2, pengadilan memutuskan bahwa Google tidak melanggar undang-undang hak cipta saat memasukkan bagian dari bahasa perangkat lunak Java Oracle ke dalam sistem operasi selulernya sendiri. Google menyalin kode Oracle untuk Java API untuk Android, dan kasus ini memicu perdebatan selama bertahun-tahun tentang penggunaan kembali API dan hak cipta yang sudah ada.

Pada tahun 2018, pengadilan banding federal memutuskan bahwa Google memang melanggar undang-undang hak cipta dengan menggunakan API dan bahwa penerapannya tidak termasuk dalam penggunaan wajar.

“Dalam meninjau keputusan tersebut, kami berasumsi, demi argumen, bahwa materi tersebut dapat dilindungi hak cipta. Namun kami berpendapat bahwa penyalinan yang dipermasalahkan di sini merupakan penggunaan yang wajar. Karenanya, penyalinan Google tidak melanggar undang-undang hak cipta,” tulis Hakim Stephen Breyer dalam keputusan tersebut, yang membalikkan kemenangan Oracle sebelumnya. Hakim Samuel Alito dan Clarence Thomas berbeda pendapat.

“Penyalinan Google terhadap Java SE API, yang hanya menyertakan baris kode yang diperlukan untuk memungkinkan pemrogram menggunakan bakat mereka yang masih bertambah untuk bekerja dalam program baru dan transformatif, adalah penggunaan yang adil dari materi tersebut sebagai masalah hukum,” Breyer menulis.

Google SVP of Global Affairs Kent Walker menyebut keputusan tersebut sebagai “kemenangan besar untuk inovasi, interoperabilitas & komputasi”.

Sumber: Tech Crunch

Panggilan dukungan pelanggan palsu menempatkan data Anda dalam risiko

by

Sebagian besar orang yang paham teknologi akrab dengan penipuan dukungan teknis palsu yang telah terjadi selama bertahun-tahun. Biasanya, peringatan penipuan akan muncul di layar komputer Anda, menginstruksikan Anda untuk memanggil sebuag nomor agar malware dapat dihapus.

Di sisi lain panggilan, penipu akan mencoba mengakses komputer Anda dari jarak jauh untuk mencuri informasi pribadi atau detail perbankan Anda.

Tampaknya pencuri mengubah taktik dalam metode pengiriman mereka. Penjahat siber telah menambahkan sentuhan baru pada skema dukungan teknis yang membuatnya lebih mudah untuk mengelabui korban. Mari kita lihat cara kerjanya.

Penipuan ini bekerja dengan mengirimkan email langganan palsu kepada calon korban. Email biasanya melibatkan beberapa masa percobaan palsu yang akan kedaluwarsa atau memberi tahu Anda bahwa Anda akan ditagih untuk suatu layanan.

Hal yang benar untuk dilakukan adalah menghapus email dan memblokir pengirimnya, tetapi rasa ingin tahu terkadang bisa menguasai orang-orang. Email tersebut berisi nomor yang dapat Anda hubungi jika Anda ingin membatalkan layanan yang seharusnya atau berhenti ditagih untuk layanan yang tidak pernah Anda daftarkan.

Jika Anda menghubungi nomor tersebut, “teknisi dukungan” akan mendengarkan kekhawatiran Anda terkait pesan tersebut dan meminta nomor ID pelanggan yang disebutkan dalam email.

Jika Anda memberi mereka nomor ID pelanggan, penipu akan menginstruksikan Anda untuk mengunjungi situs web tertentu untuk mengisi formulir pembatalan. Dalam beberapa kasus, penjahat akan mengatakan bahwa Anda perlu membatalkan langganan secara digital melalui situs karena melibatkan layanan medis.

Langkah selanjutnya pasti akan menunjukkan bahwa penipuan sedang terjadi. Penipu akan tetap berada di telepon sambil mengarahkan Anda untuk “mendaftar” di situs web. Setelah selesai, mereka mendesak Anda untuk mengunduh spreadsheet Microsoft Excel atau dokumen Word untuk “ditandatangani.”

Setelah Anda membuka dokumen tersebut, komputer Anda akan terinfeksi malware. Itu juga merupakan malware yang sangat jahat yang menginstal lebih banyak malware semakin lama berada di komputer Anda.

Komando

Bug macOS CVE-2019-8761

by Leave a Comment

Seorang peneliti keamanan, Paulos Yibelo, menemukan sebuah bug pada sistem operasi macOS yang dicatat sebagai CVE-2019-8761.

Bug ini memungkinkan penyerang mengeksekusi HTML di dalam file .TXT yang dapat mengakibatkan kebocoran data dan mencuri kredensial pengguna. Bug ini sudah diperbaiki pada pembaruan macOS Catalina 10.15.1.

Penelitian ini berawal ketika Paulos menyadari pembaca teks default di OSX, TextEdit digunakan untuk membuka file dengan ekstensi TXT secara default.

Paulos menggambarkan File TXT adalah vektor serangan yang sangat menarik, karena sifatnya yang polos yang tidak membawa apa-apa selain teks. File TXT juga diasumsikan oleh perangkat lunak anti-virus, firewall, dan bahkan Gatekeeper Mac sendiri sebagai unduhan aman yang tidak mungkin berbahaya, yang membuatnya semakin menarik.

Salah satu bug pertama yang ia temukan menggunakan ini menunjukkan bahwa Gatekeeper tidak mengarantina file TXT meskipun file tersebut diunduh dari situs web yang mencurigakan.

Baca temuan selengkapnya pada tautan berikut: Paulos Yibelo

FBI: APT Secara Aktif Memanfaatkan Lubang Keamanan VPN Fortinet

by

FBI dan Cybersecurity and Infrastructure Security Agency (CISA) memperingatkan bahwa pelaku negara-bangsa ancaman persisten tingkat lanjut (APT) secara aktif mengeksploitasi kerentanan keamanan yang diketahui dalam sistem operasi keamanan siber Fortinet FortiOS, yang memengaruhi produk SSL VPN perusahaan tersebut.

Menurut peringatan yang dikeluarkan hari Jumat oleh FBI dan CISA, penyerang siber memindai perangkat di port 4443, 8443, dan 10443, mencari implementasi keamanan Fortinet yang belum ditambal. Secara khusus, APT mengeksploitasi kerentanan CVE-2018-13379, CVE-2019-5591 dan CVE-2020-12812.

Bug yang dilacak sebagai CVE-2018-13379 adalah masalah jalur-traversal di Fortinet FortiOS, di mana portal web SSL VPN memungkinkan penyerang yang tidak terautentikasi mengunduh file sistem melalui permintaan sumber daya HTTP yang dibuat secara khusus.

Cacat CVE-2019-5591 adalah kerentanan konfigurasi default di FortiOS yang memungkinkan penyerang tidak terautentikasi pada subnet yang sama mencegat informasi sensitif dengan meniru identitas server LDAP.

Dan terakhir, CVE-2020-12812 adalah kerentanan otentikasi yang tidak tepat di SSL VPN di FortiOS, yang memungkinkan pengguna untuk berhasil masuk tanpa dimintai faktor kedua dari otentikasi (FortiToken) jika mereka mengubah kasus nama pengguna mereka.

“Penyerang semakin menargetkan aplikasi eksternal yang penting – VPN semakin menjadi sasaran tahun lalu,” kata Zach Hanley, red team engineer senior di Horizon3.AI, melalui email. “Ketiga kerentanan yang menargetkan Fortinet VPN ini memungkinkan penyerang mendapatkan kredensial yang valid, melewati otentikasi multifaktor (MFA), dan lalu lintas otentikasi man-in-the-middle (MITM) untuk mencegat kredensial.”

Hanley menambahkan, “Tema umum di sini adalah: setelah mereka berhasil, mereka akan terlihat seperti pengguna biasa.”

Bug ini populer di kalangan penyerang dunia maya secara umum, karena jejak Fortinet yang tersebar luas, catat para peneliti.

Selengkapnya: Threat Post

Cheat berbahaya untuk Call of Duty: Warzone beredar online

by

Penjahat telah menyembunyikan malware di dalam perangkat lunak yang tersedia untuk umum yang dimaksudkan sebagai cheat untuk Call of Duty: Warzone dari Activision, para peneliti dengan pembuat game memperingatkan awal pekan ini.

Pada hari Rabu, Activision mengatakan bahwa situs curang populer mengedarkan cheat palsu untuk Call of Duty: Warzone yang berisi dropper, istilah untuk jenis backdoor yang menginstal malware tertentu yang dipilih oleh orang yang membuatnya. Dinamakan Warzone Cheat Engine, cheat tersebut tersedia di situs pada April 2020 dan bulan lalu.

Orang-orang yang mempromosikan cheat tersebut menginstruksikan pengguna untuk menjalankan program sebagai administrator dan menonaktifkan antivirus. Meskipun setelan ini sering kali diperlukan agar cheat berfungsi, setelan ini juga memudahkan malware untuk bertahan dari reboot dan tidak terdeteksi, karena pengguna tidak akan mendapatkan peringatan tentang infeksi atau bahwa software mencari hak istimewa yang lebih tinggi.

Analisis Activision mengatakan bahwa beberapa forum malware secara teratur mengiklankan kit yang menyesuaikan cheat palsu. Kit ini memudahkan pembuatan versi Warzone Cheat Engine yang mengirimkan muatan berbahaya yang dipilih oleh penjahat yang menggunakannya.

Laporan Activision datang pada hari yang sama saat tim keamanan Cisco Talos mengungkapkan kampanye malware baru yang menargetkan pemain game yang menggunakan cheat.

Selengkapnya: Ars Technica

CPU AMD Zen 3 Rentan Terhadap Kerentanan Seperti Spectre

by

AMD telah menerbitkan whitepaper tentang potensi kerentanan keamanan yang memengaruhi prosesor Zen 3 terbaru perusahaan. Eksploitasi saluran samping mirip dengan Spectre yang memengaruhi sebagian besar prosesor Intel tiga tahun lalu.

Dengan Zen 3, AMD memperkenalkan teknologi baru yang disebut Predictive Store Forwarding (PSF), yang membantu meningkatkan kinerja eksekusi kode dengan memprediksi hubungan antara beban dan penyimpanan. Dalam sebagian besar kasus, prediksi PSF tepat sasaran. Namun, masih ada kemungkinan kecil bahwa prediksi tersebut mungkin tidak akurat, yang menghasilkan spekulasi CPU yang salah.

Arsitek CPU AMD telah menemukan bahwa spekulasi PSF yang buruk setara dengan Spectre v4. Perangkat lunak yang mengandalkan isolasi atau “sandboxing” sangat berisiko jika menghasilkan spekulasi yang salah. AMD menyediakan dua skenario di mana prediksi PSF yang salah dapat terjadi.

“Pertama, ada kemungkinan bahwa pasangan store/load memiliki ketergantungan untuk sementara tetapi kemudian berhenti memiliki ketergantungan. Ini dapat terjadi jika alamat penyimpanan atau pemuatan berubah selama pelaksanaan program.”

“Sumber kedua dari prediksi PSF yang salah dapat terjadi jika ada alias dalam struktur prediktor PSF. Prediktor PSF dirancang untuk melacak pasangan store/load berdasarkan bagian RIP mereka. Ada kemungkinan bahwa pasangan store/load yang memiliki ketergantungan dapat alias dalam prediktor dengan pasangan store/load lain yang tidak. Hal ini dapat mengakibatkan spekulasi yang salah saat pasangan store/load kedua dijalankan.”

Selengkapnya: Tom’s Hardware

NIST Menerbitkan Panduan untuk Mengamankan Sistem Manajemen Properti Hotel

by

Sistem sensitif ini menyimpan data pribadi tamu dan informasi kartu pembayaran.
National Institute of Standards and Technology (NIST) telah merilis panduan keamanan siber untuk industri perhotelan guna membantu mengurangi risiko keamanan terkait perangkat lunak sistem manajemen properti hotel.

Dalam beberapa tahun terakhir, penyerang telah menyusupi jaringan beberapa jaringan hotel besar, mengungkap informasi dari ratusan juta tamu, catat NIST.

Penelitian terbaru dari Trustwave menemukan keramahtamahan berada di peringkat ketiga di antara industri yang dikompromikan oleh pelanggaran keamanan siber pada tahun 2019, dan industri tersebut menderita 13% dari total insiden. Sekitar dua pertiga dari pelanggaran ini adalah serangan terhadap server perusahaan mereka, yang biasanya menyimpan informasi tamu dan berkomunikasi dengan sistem manajemen properti di tempat.

Panduan praktik juga memperkenalkan prinsip dan komponen arsitektur zero trust untuk industri perhotelan.

Seluruh panduan tersedia di sini.