Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for News

Trojan berusia 13 tahun digunakan dalam kampanye yang menargetkan beberapa negara, termasuk Indonesia.

by

Check Point Research baru-baru ini mengamati kampanye baru yang menggunakan jenis Trojan backdoor berusia 13 tahun bernama Bandook dan menargetkan beberapa sektor di seluruh dunia.

Bandook, yang hampir menghilang dari lanskap ancaman, muncul dalam kampanye 2015 dan 2017, masing-masing diberi nama “Operation Manul” dan “Dark Caracal”.

Dalam gelombang serangan terbaru, peneliti sekali lagi mengidentifikasi berbagai macam sektor dan lokasi yang menjadi target.

Hal ini semakin memperkuat hipotesis sebelumnya bahwa malware tidak dikembangkan sendiri dan digunakan oleh satu entitas, tetapi merupakan bagian dari infrastruktur ofensif yang dijual oleh pihak ketiga kepada pemerintah dan pelaku ancaman di seluruh dunia, untuk memfasilitasi operasi cyber ofensif.

Infection chain lengkap serangan dapat dipecah menjadi tiga tahap utama. Tahap pertama dimulai, seperti di banyak rantai infeksi lainnya, dengan dokumen Microsoft Word yang berbahaya dikirim di dalam file ZIP.

Setelah dokumen dibuka, makro berbahaya diunduh menggunakan fitur external template. Kode makro lalu menjatuhkan dan menjalankan serangan tahap kedua, skrip PowerShell yang dienkripsi di dalam dokumen Word asli. Terakhir, skrip PowerShell mengunduh dan menjalankan tahap terakhir infeksi: backdoor Bandook.

Sumber: checkpoint research

Berbagai sektor yang ditargetkan adalah Pemerintahan, keuangan, energi, industri makanan, perawatan kesehatan, pendidikan, TI, dan lembaga hukum di Singapura, Siprus, Chili, Italia, AS, Turki, Swiss, Indonesia, dan Jerman.

Laporan selengkapnya dapat dibaca pada tautan berikut;
Sumber: Check Point Research

Ransomware: Varian baru ini bisa menjadi ancaman malware besar berikutnya bagi bisnis Anda

by

Bentuk baru ransomware menjadi semakin produktif karena penjahat dunia maya menggunakannya sebagai cara yang disukai untuk mengenkripsi jaringan yang rentan dalam upaya mengeksploitasi bitcoin dari para korban. Egregor ransomware pertama kali muncul pada bulan September tetapi telah menjadi terkenal setelah beberapa insiden terkenal, termasuk serangan terhadap penjual buku Barnes & Noble, serta perusahaan video game Ubisoft dan Crytek.

Seperti semua geng ransomware, motif utama di balik Egregor adalah uang dan untuk mendapatkan kesempatan terbaik untuk memeras pembayaran, geng tersebut menggunakan taktik umum yang umum terjadi setelah serangan ransomware – mengancam untuk merilis informasi pribadi yang dicuri dari sekian korban jika mereka tidak membayar. Dalam beberapa kasus, penyerang akan merilis potongan informasi dengan catatan tebusan, sebagai bukti kesungguhan mereka.

Salah satu alasan Egregor tiba-tiba melonjak jumlahnya tampaknya karena itu mengisi celah yang dibiarkan terbuka oleh pengunduran diri geng ransomware Maze. Egregor ransomware masih baru, jadi belum sepenuhnya jelas bagaimana operatornya menyusupi jaringan korban. Para peneliti mencatat bahwa kode tersebut sangat dikaburkan dengan cara yang tampaknya dirancang secara khusus untuk menghindari tim keamanan informasi dapat menganalisis malware.

Organisasi dapat melindungi diri mereka sendiri dari ransomware Egregor dan serangan malware lainnya dengan menggunakan protokol keamanan informasi seperti otentikasi multi-faktor, jadi jika nama pengguna dan kata sandi disusupi oleh penyerang, ada penghalang tambahan yang mencegah mereka untuk mengeksploitasinya. Dan untuk lapisan perlindungan ekstra terhadap serangan ransomware, organisasi harus secara teratur membuat cadangan jaringan mereka dan menyimpannya secara offline, jadi jika yang terburuk terjadi dan jaringan dienkripsi, itu dapat dipulihkan secara relatif tanpa menyerah pada tuntutan pemerasan dari peretas.

sumber : ZDNET

Sophos memberi tahu pelanggan tentang eksposur data setelah database salah konfigurasi

by

Vendor keamanan dunia maya yang berbasis di Inggris, Sophos, saat ini memberi tahu pelanggan melalui email tentang pelanggaran keamanan yang diderita perusahaan awal pekan ini. Informasi yang terpapar termasuk detail seperti nama depan dan belakang pelanggan, alamat email, dan nomor telepon (jika tersedia). Seorang juru bicara Sophos mengkonfirmasi email sebelumnya hari ini dan mengatakan kepada ZDNet bahwa hanya “sebagian kecil” dari pelanggan perusahaan yang terpengaruh tetapi tidak memberikan perkiraan jumlah.

Sophos mengatakan telah mengetahui kesalahan konfigurasi dari peneliti keamanan dan segera memperbaiki masalah yang dilaporkan. “Di Sophos, privasi dan keamanan pelanggan selalu menjadi prioritas utama kami. Kami menghubungi semua pelanggan yang terpengaruh,” kata perusahaan itu. “Selain itu, kami menerapkan langkah-langkah tambahan untuk memastikan pengaturan izin akses selalu aman.”

Ini adalah insiden keamanan besar kedua yang ditangani Sophos tahun ini. Pada bulan April, grup kejahatan dunia maya menemukan dan menyalahgunakan zero-day di firewall Sophos XG untuk membobol perusahaan di seluruh dunia. Para penyerang menyebarkan trojan Asnarok, dan setelah zero-day diumumkan ke publik, mereka mencoba menyebarkan ransomware – tetapi akhirnya gagal.

sumber : ZDNET

Facebook didenda di Korea Selatan karena membagikan data pengguna tanpa persetujuan

by

Facebook telah didenda 6,7 ​​miliar won, sekitar $ 6 juta, di Korea Selatan karena membagikan data pengguna tanpa persetujuan mereka. Komisi Perlindungan Informasi Pribadi (PIPC) mengatakan perusahaan AS membagikan data setidaknya 3,3 juta dari 18 juta penggunanya di Korea ke perusahaan lain tanpa persetujuan mereka antara Mei 2012 hingga Juni 2018.

Komisi tersebut mengatakan akan mengajukan tuntutan pidana terhadap Facebook karena melanggar undang-undang informasi pribadi setempat. Informasi yang dibagikan oleh Facebook termasuk nama pengguna, riwayat akademis, riwayat pekerjaan, kota asal, dan status hubungan.

Ketika pengguna masuk ke aplikasi pihak ketiga lainnya menggunakan akun Facebook mereka, informasi mereka dan milik teman mereka dibagikan dengan layanan yang mereka gunakan, kata PIPC. Teman-teman ini tidak menyadari bahwa informasi mereka dibagikan dengan layanan tersebut tanpa izin mereka, katanya.

“Seorang pengguna setuju untuk membagikan informasi mereka dengan layanan tertentu ketika mereka masuk dengan akun Facebook mereka. Namun, teman-teman pengguna tersebut tidak, dan mereka tidak menyadari bahwa data mereka juga sedang dibagikan,” kata komisi tersebut.

Aplikasi pihak ketiga ini kemudian menggunakan data yang disediakan oleh Facebook tanpa izin pengguna untuk membuat iklan yang disesuaikan untuk ditampilkan di layanan media sosial. Facebook akhirnya menghasilkan keuntungan yang tidak adil dengan membagikan data pengguna tanpa persetujuan mereka, kata PIPC.

Facebook juga menyimpan data kata sandi pengguna tanpa enkripsi, dan tidak memberi tahu pengguna secara teratur ketika perusahaan mengakses data mereka, tambahnya.

sumber : ZDNET

Bug Xbox dapat memungkinkan peretas untuk menautkan tag pemain dengan email pemain

by

Microsoft telah menambal bug di situs web Xbox yang dapat memungkinkan pelaku ancaman menautkan tag (nama pengguna) Xbox ke alamat email asli pengguna.

Kerentanan tersebut dilaporkan ke Microsoft melalui program bounty bug Xbox yang baru-baru ini diluncurkan perusahaan.

Joseph “Doc” Harris, salah satu dari beberapa peneliti keamanan yang melaporkan masalah ini ke Microsoft, membagikan temuannya dengan ZDNet awal pekan ini.

Peneliti keamanan mengatakan bug tersebut terletak pada enforcement.xbox.com, portal web tempat pengguna Xbox melihat serangan terhadap profil Xbox mereka dan mengajukan banding jika mereka merasa telah ditegur secara tidak adil atas perilaku mereka di jaringan Xbox.

Setelah pengguna masuk ke situs web ini, situs Xbox Enforcement membuat file cookie di browser mereka dengan detail tentang sesi web mereka, jadi mereka tidak perlu mengautentikasi ulang saat mereka mengunjungi situs itu lagi.

Harris mengatakan bahwa file cookie portal yang disertakan berisi bidang ID pengguna (XUID) Xbox yang tidak terenkripsi.

Menggunakan alat yang disertakan dengan semua browser modern, Harris mengedit bidang XUID dan menggantinya dengan XUID dari akun pengujian yang telah dibuat dan digunakan untuk pengujian sebagai bagian dari program Xbox bug bounty.

Harris juga membagikan video bug, yang disematkan di bawah ini:

“Mencoba mengganti nilai cookie dan menyegarkan situs, dan tiba-tiba saya bisa melihat email [pengguna] lain,” kata Harris kepada ZDNet dalam sebuah wawancara minggu ini.

Sumber: ZDNet

Peneliti keamanan secara tidak sengaja menemukan zero-day Windows 7 dan Windows Server 2008

by

Seorang peneliti keamanan Prancis secara tidak sengaja menemukan kerentanan zero-day yang memengaruhi sistem operasi Windows 7 dan Windows Server 2008 R2 saat mengerjakan pemutakhiran alat keamanan Windows.

Kerentanan berada pada dua registry key yang salah dikonfigurasi untuk RPC Endpoint Mapper dan layanan DNSCache yang merupakan bagian dari semua penginstalan Windows.

  • HKLM\SYSTEM\CurrentControlSet\Services\RpcEptMapper
  • HKLM\SYSTEM\CurrentControlSet\Services\Dnscache

Peneliti keamanan Prancis Clément Labro, yang menemukan zero-day, mengatakan bahwa penyerang yang memiliki pijakan pada sistem yang rentan dapat memodifikasi registry key ini untuk mengaktifkan sub-key yang biasanya digunakan oleh mekanisme Windows Performance Monitoring.

Subkey “Performance” biasanya digunakan untuk memantau kinerja aplikasi, dan, karena perannya, subkey ini juga memungkinkan pengembang memuat file DLL mereka sendiri untuk melacak kinerja menggunakan alat khusus.

Sementara pada versi Windows terbaru, DLL ini biasanya dibatasi dan dimuat dengan hak istimewa terbatas, Labro mengatakan bahwa pada Windows 7 dan Windows Server 2008, masih mungkin untuk memuat DLL khusus yang berjalan dengan hak istimewa tingkat SISTEM.

Baik Windows 7 dan Windows Server 2008 R2 telah secara resmi mencapai end of life (EOL) dan Microsoft telah berhenti menyediakan pembaruan keamanan gratis. Beberapa pembaruan keamanan tersedia untuk pengguna Windows 7 melalui program dukungan berbayar ESU (Extended Support Updates) perusahaan, tetapi tambalan untuk masalah ini belum dirilis.

Sumber: ZDNet

Malware Linux Stantinko sekarang berperan sebagai server web Apache

by

Stantinko, salah satu botnet malware tertua yang masih beroperasi saat ini, telah meluncurkan pembaruan untuk kelasnya dari malware Linux, memutakhirkan trojannya untuk menyamar sebagai proses server web Apache (httpd) yang sah untuk mempersulit deteksi pada host yang terinfeksi.

Peningkatan, yang ditemukan oleh perusahaan keamanan Intezer Labs, datang untuk mengonfirmasi bahwa meskipun ada periode tidak aktif sehubungan dengan perubahan kode, botnet Stantinko terus beroperasi bahkan hingga hari ini.

Botnet Stantinko pertama kali terdeteksi pada tahun 2012. Grup di balik malware ini mulai beroperasi dengan mendistribusikan trojan Stantinko sebagai bagian dari app bundle atau melalui aplikasi bajakan.

Hanya pengguna Windows yang menjadi target pada awalnya, namun pada 2017 firma keamanan Slovakia ESET melihat Stantinko juga menyebarkan versi khusus malware-nya pada sistem Linux.

Versi terakhir malware Linux Stantinko terlihat pada tahun 2017, dengan nomor versi 1.2. Tetapi dalam laporan yang dirilis pada hari Selasa dan dibagikan dengan ZDNet, Intezer Labs mengatakan bahwa setelah tiga tahun, mereka baru-baru ini menemukan versi baru malware Linux Stantinko, dengan nomor versi 2.17 – lompatan besar dari rilis sebelumnya yang diketahui.

Tim Intezer mencatat bahwa versi baru sebenarnya lebih ramping dan berisi lebih sedikit fitur daripada rilis sebelumnya, aneh, karena malware cenderung meningkat seiring berjalannya waktu.

Alasannya mungkin juga karena geng Stantinko berusaha mengurangi sidik jari malware terhadap solusi antivirus. Lebih sedikit baris kode berarti lebih sedikit perilaku berbahaya yang terdeteksi.

Selain itu, kelompok Stantinko tampaknya telah menempatkan primer pada stealth dalam rilis yang lebih baru ini karena mereka juga memodifikasi nama proses yang digunakan malware Linux, memilih menggunakan httpd, nama yang biasanya digunakan oleh server web Apache yang lebih terkenal.

Yang perlu diketahui oleh pemilik server Linux adalah bahwa meskipun Linux merupakan OS yang aman, malware sering kali bersembunyi di dalam sistem karena kesalahan konfigurasi. Dalam kasus Stantinko, botnet ini mengejar administrator server yang menggunakan kata sandi lemah untuk database dan CMS mereka.

Sumber: ZDNet

Aplikasi Android Baidu tertangkap mengumpulkan detail sensitif pengguna

by

Dua aplikasi Android milik raksasa teknologi China Baidu telah dihapus dari Google Play Store resmi pada akhir Oktober.

Kedua aplikasi —Baidu Maps dan Baidu Search Box — dihapus setelah Google menerima laporan dari firma keamanan siber AS Palo Alto Networks yang mengklaim bahwa kedua aplikasi tersebut berisi kode yang dapat mengumpulkan informasi tentang pengguna.

Menurut Palo Alto Networks, kode pengumpulan data ditemukan di Baidu Push SDK, digunakan untuk menampilkan pemberitahuan real time di dalam kedua aplikasi.

Kode tersebut mengumpulkan detail seperti model telepon, alamat MAC, informasi operator, dan nomor IMSI (International Mobile Subscriber Identity), menurut Stefan Achleitner dan Chengcheng Xu, dua peneliti Palo Alto Networks yang mengidentifikasi perilaku pengumpulan data.

Achleitner dan Xu mengatakan bahwa beberapa data seperti kode IMSI “dapat digunakan untuk mengidentifikasi dan melacak pengguna secara unik, bahkan jika pengguna tersebut beralih ke telepon yang berbeda.”

Tim peneliti mengatakan bahwa meskipun pengumpulan detail pengguna pribadi tidak secara khusus dilarang oleh kebijakan Google untuk aplikasi Android setelah mereka melaporkan masalah tersebut ke Google, tim keamanan Play Store mengonfirmasi temuan mereka dan “mengidentifikasi [tambahan] pelanggaran yang tidak ditentukan” di dua Aplikasi Baidu, yang akhirnya menyebabkan dua aplikasi tersebut dihapus dari toko resmi pada 28 Oktober.

Masalah lain juga ditemukan oleh tim Google, yang menurut tim Baidu sedang diselesaikan. Pada saat penulisan, aplikasi Baidu Search Box telah dipulihkan ke Play Store, dan Baidu mengatakan aplikasi Baidu Maps juga akan kembali setelah Baidu devs memperbaiki masalah yang dilaporkan.

Sumber: ZDNet | Unit42PaloAlto