Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for News

Malware ‘Ghimob’ baru dapat memata-matai 153 aplikasi seluler Android

by

Peneliti keamanan telah menemukan trojan perbankan Android baru yang dapat memata-matai dan mencuri data dari 153 aplikasi Android.

Dinamakan Ghimob, trojan tersebut diyakini telah dikembangkan oleh kelompok yang sama di belakang malware Windows Astaroth (Guildma), menurut sebuah laporan yang diterbitkan pada hari Senin oleh perusahaan keamanan Kaspersky.

Kaspersky mengatakan trojan Android baru tersebut telah dipromosikan dengan dikemas ulang di dalam aplikasi Android berbahaya di situs dan server yang sebelumnya digunakan oleh operasi Astaroth (Guildama).

Distribusi tidak pernah dilakukan melalui Play Store resmi. Sebaliknya, grup Ghimob menggunakan email atau situs jahat untuk mengarahkan pengguna ke situs web yang mempromosikan aplikasi Android.

Aplikasi ini meniru aplikasi dan merek resmi, dengan nama seperti Google Defender, Google Docs, WhatsApp Updater, atau Flash Update.

Setelah diunduh, jika akses ke Aksesibilitas diberikan, aplikasi akan mencari di ponsel yang terinfeksi untuk daftar 153 aplikasi yang nantinya akan menampilkan halaman login palsu dalam upaya untuk mencuri kredensial pengguna.

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: ZDNet

Malware baru ini ingin server Linux dan perangkat IoT Anda ke botnetnya

by

Malware baru menargetkan server Linux dan perangkat Internet of Things (IoT) untuk menambahkannya sebagai pasukan botnet dalam kampanye peretasan yang menargetkan infrastruktur cloud computing.

Ditemukan oleh peneliti keamanan siber di Juniper Threat Labs, worm berbahaya ini telah dijuluki Gitpaste-12, mencerminkan bagaimana ia menggunakan GitHub dan Pastebin untuk kode komponen perumahan dan memiliki 12 cara berbeda untuk mengkompromikan server x86 berbasis Linux, serta Linux ARM dan MIPS perangkat Io.

Ini termasuk 11 kerentanan yang diketahui dalam teknologi termasuk router Asus, Huawei dan Netlink serta orang-orang seperti MongoDB dan Apache Struts serta kemampuan untuk menyusupi sistem dengan menggunakan serangan brute force untuk mencari tau nama pengguna dan kata sandi default.

Setelah menggunakan salah satu kerentanan ini untuk menyusupi sistem, Gitpaste-12 mengunduh skrip dari Pastebin untuk memberikan perintah sebelum juga mengunduh instruksi dari penyimpanan GitHub.

Malware ini memiliki kemampuan untuk menjalankan cryptomining, menjadi worm yang dapat menyebar ke seluruh jaringan, dan melewati mekanisme pertahanan seperti firewall.

URL Pastebin dan penyimpanan GitHub yang digunakan untuk memberikan instruksi kepada malware telah ditutup setelah dilaporkan oleh para peneliti, sesuatu yang seharusnya menghentikan penyebaran botnet untuk saat ini. Namun, para peneliti juga mencatat bahwa Gitpaste-12 sedang dalam pengembangan, yang berarti ada risiko Gitpaste-12 bisa kembali.

Namun, mungkin untuk membantu melindungi terhadap Gitpaste-12 dengan memotong cara utama penyebarannya dengan menerapkan patch keamanan yang menutup kerentanan yang diketahui dieksploitasi.

Pengguna juga harus menghindari penggunaan kata sandi default untuk perangkat IoT, karena ini membantu melindungi dari serangan brute force yang mengandalkan eksploitasi kredensial default dan kata sandi umum lainnya.

Source : ZDnet

Masalah keamanan zoom

by

Tampaknya banyak orang-orang yang menggunakan platform konferensi video Zoom untuk rapat, kelas, dan bahkan pertemuan sosial selama PSBB karena Covid-19.

Baru-baru ini, Zoom menambahkan otentikasi dua faktor sebagai opsi keamanan akun, memberi pengguna senjata ampuh untuk menjaga akun mereka aman dari pengambilalihan.

Tapi ada sisi negatifnya. Kemudahan penggunaan Zoom memudahkan pembuat onar untuk “me-ngebom” rapat Zoom yang terbuka. Para profesional keamanan informasi mengatakan keamanan Zoom memiliki banyak celah, meskipun beberapa telah diperbaiki selama beberapa bulan terakhir.

Apakah semua ini berarti Zoom tidak aman untuk digunakan? Tidak. Kecuali jika Anda membahas rahasia negara atau perusahaan, atau mengungkapkan informasi kesehatan pribadi kepada pasien, Zoom seharusnya baik-baik saja.

Tips keamanan zoom

– Bergabunglah dengan rapat Zoom melalui browser web Anda daripada menggunakan perangkat lunak desktop Zoom. Versi browser web mendapatkan peningkatan keamanan lebih cepat.

“Versi web berada di dalam sandbox di browser dan tidak memiliki izin yang dimiliki aplikasi yang dipasang, sehingga membatasi jumlah kerusakan yang dapat ditimbulkan,” kata perusahaan keamanan informasi Kaspersky.

– Jika Anda mengadakan rapat Zoom, minta peserta rapat tersebut masuk menggunakan kata sandi. Itu akan membuat kemungkinan adanya Zoom-bombing jauh lebih kecil.

– Atur otentikasi dua faktor untuk akun Zoom Anda

Zoom menciptakan “permukaan serangan” yang sangat besar dan peretas akan datang dengan segala cara yang mereka bisa. Mereka telah mendaftarkan banyak domain palsu terkait Zoom dan sedang mengembangkan malware bertema Zoom.

Pada link berikut, Tom’s Guide telah membuat daftar masalah keamanan dan privasi Zoom dari yang terbaru ke yang terlama.

Sumber: Tom’s Guide

FBI: Peretas mencuri kode sumber dari lembaga pemerintah AS dan perusahaan swasta

by

Biro Investigasi Federal telah mengirimkan peringatan peringatan keamanan bahwa pelaku ancaman menyalahgunakan aplikasi SonarQube yang salah dikonfigurasi untuk mengakses dan mencuri repositori kode sumber dari lembaga pemerintah AS dan bisnis swasta.

Gangguan telah terjadi setidaknya sejak April 2020, kata FBI dalam peringatan yang dikirim bulan lalu dan dipublikasikan minggu ini di situs webnya.

Peringatan tersebut secara khusus memperingatkan pemilik SonarQube, aplikasi berbasis web yang diintegrasikan oleh perusahaan ke dalam rantai pembuatan perangkat lunak mereka untuk menguji kode sumber dan menemukan kelemahan keamanan sebelum meluncurkan kode dan aplikasi ke dalam lingkungan produksi.

Aplikasi SonarQube diinstal di server web dan terhubung ke sistem hosting kode sumber seperti akun BitBucket, GitHub, atau GitLab, atau sistem Azure DevOps.

Tetapi FBI mengatakan bahwa beberapa perusahaan telah membiarkan sistem ini tidak terlindungi, berjalan pada konfigurasi default mereka (pada port 9000) dengan kredensial admin default (admin/admin).

Pejabat FBI mengatakan bahwa pelaku ancaman telah menyalahgunakan kesalahan konfigurasi ini untuk mengakses instance SonarQube, lalu beralih ke repositori kode sumber yang terhubung, dan kemudian mengakses dan mencuri aplikasi yang telah dipatenkan atau pribadi/sensitif.

Untuk mencegah kebocoran seperti ini, peringatan FBI mencantumkan serangkaian langkah yang dapat diambil perusahaan untuk melindungi server SonarQube mereka, dimulai dengan mengubah konfigurasi default dan kredensial aplikasi dan kemudian menggunakan firewall untuk mencegah akses tidak sah ke aplikasi dari pengguna yang tidak sah.

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: ZDNet

Ponsel Android lama tidak akan mendukung banyak situs web aman mulai awal September 2021

by

Menurut Android Police, Otoritas Sertifikat Let’s Encrypt memperingatkan bahwa ponsel yang menjalankan versi Android sebelum 7.1.1 Nougat tidak akan mempercayai sertifikat akarnya mulai tahun 2021, menguncinya dari banyak situs web aman.

Organisasi tersebut akan menghentikan penandatanganan silang default untuk sertifikat yang mengaktifkan fungsi ini pada 11 Januari 2021, dan akan menghentikan sepenuhnya kemitraan penandatanganan silang pada 1 September di tahun yang sama.

Solusi parsial tersedia dengan memasang Firefox (Mozilla adalah mitra di Let’s Encrypt) dan menggunakan penyimpanan sertifikatnya sendiri, tetapi itu tidak akan membantu dengan klien saingan atau fungsionalitas di luar browser.

Let’s Encrypt mencatat bahwa sekitar 33,8 persen pengguna Android di Google Play masih menjalankan versi yang lebih lama dari 7.1, dan beberapa vendor perangkat keras menghentikan dukungan lebih awal. Tidak jarang vendor Android menawarkan pembaruan yang relatif sedikit di tahun-tahun sebelumnya, dan beberapa perangkat (biasanya ponsel hemat) bahkan akan terjebak dengan OS awal mereka. Anda mungkin telah membeli telepon pada tahun 2016 atau bahkan 2017 yang dapat tiba-tiba kehilangan akses ke beberapa situs web, setidaknya tanpa solusi.

Situasinya membaik. Samsung dan pembuat Android lainnya berkomitmen untuk tiga tahun pembaruan OS. Namun, hal itu tidak akan mengubah kenyataan bagi banyak orang dengan perangkat keras lama, dan mungkin hanya ada sedikit cara lain jika Anda tidak dapat atau tidak ingin menggunakan Firefox.

Meskipun banyak situs lain akan tetap berfungsi, dukungan yang tidak konsisten dapat menjadi gangguan paling kecil dan paling buruk menjadi kendala utama.

Sumber: Endgadget

Bagaimana operator Ryuk Ransomware menghasilkan $34 juta dari satu korban

by

Satu kelompok peretas yang menargetkan perusahaan berpenghasilan tinggi dengan ransomware Ryuk menerima $34 juta dari satu korban dengan imbalan kunci dekripsi yang membuka kunci komputer mereka.

Aktor ancaman sangat mahir bergerak secara lateral di dalam jaringan yang dikompromikan dan menghapus sebanyak mungkin jejak mereka sebelum meledakkan ransomware Ryuk.

Disebut sebagai grup “satu”, sesuai dengan identifikasi yang diterima dari botnet Trickbot yang memfasilitasi intrusi jaringan untuk malware pengenkripsi file Ryuk, pelaku ancaman ini tidak bermoral dalam hal target.

Menurut Vitali Kremez dari Advanced Intelligence, korban dari kelompok “satu” Ryuk termasuk perusahaan di bidang teknologi, perawatan kesehatan, energi, layanan keuangan, dan sektor pemerintah.

Dalam sebuah terbaru, Kremez mengatakan bahwa aktor ancaman berbahasa Rusia ini tangguh selama negosiasi dan jarang menunjukkan kelonggaran apapun. Pembayaran terkonfirmasi terbesar yang mereka dapatkan adalah 2.200 bitcoin, yang saat ini mendekati $34 juta.

Menganalisis aliran serangan, Kremez mencatat bahwa kelompok “satu” Ryuk menggunakan 15 langkah untuk menemukan host yang tersedia di jaringan, mencuri kredensial tingkat admin, dan menyebarkan ransomware Ryuk.

Rantai serangan dimulai dengan menjalankan perintah “invoke” Cobalt Strike untuk menjalankan skrip “DACheck.ps1” untuk memeriksa apakah pengguna saat ini adalah bagian dari grup Admin Domain.

Dari sana, sandi diambil melalui Mimikatz, jaringan dipetakan, dan host diidentifikasi mengikuti pemindaian port untuk protokol FTP, SSH, SMB, RDP, dan VNC.

Kremez merinci langkah lengkap serangan itu pada tautan di bawah ini:

Bleeping Computer

Kerentanan Injeksi Objek di Welcart e-Commerce Plugin

by

Pada tanggal 6 Oktober 2020, tim Intelijen Ancaman Wordfence menemukan kerentanan Injeksi Objek Keparahan Tinggi di Welcart e-Commerce, plugin WordPress dengan lebih dari 20.000 penginstalan yang mengklaim pangsa pasar teratas di Jepang. Setelah tim Intelijen Ancaman Wordfence menyelesaikan penyelidikan, Wordfence menghubungi penerbit plugin, Collne Inc. pada tanggal 9 Oktober 2020. Pengungkapan penuh telah dikirim pada 12 Oktober 2020, dan plugin telah ditambal di versi 1.9.36 pada tanggal 20 Oktober 2020.

Pelanggan Wordfence Premium menerima aturan firewall yang melindungi dari kerentanan ini pada 9 Oktober 2020. Situs yang masih menggunakan versi gratis Wordfence akan menerima aturan ini setelah 30 hari pada 8 November 2020. Welcart e-Commerce adalah plugin WordPress yang dapat digunakan untuk membuat toko online dengan area akun pelanggan terpisah. Ini menggunakan cookie sendiri, terpisah dari yang digunakan oleh WordPress, untuk melacak sesi pengguna. Sayangnya, ini berarti bahwa penyerang dapat mengirim permintaan dengan parameter usces_cookie yang disetel ke string yang dibuat khusus yang dapat akan memasukkan objek PHP.

Kabar baiknya, kerentanan ini tidak dapat dieksploitasi dengan patch yang baru-baru ini ditambal (versi terbaru, 1.9.36).

sumber : Wordfence

Pembuat mainan Mattel mengungkapkan serangan ransomware

by

Pembuat mainan AS Mattel hari ini mengungkapkan bahwa mereka mengalami serangan ransomware yang melumpuhkan beberapa fungsi bisnis, tetapi perusahaan mengatakan pulih dari serangan itu tanpa kerugian finansial yang signifikan. Insiden itu terjadi pada 28 Juli, menurut formulir triwulanan 10-Q yang diajukan perusahaan ke Komisi Bursa Efek AS hari ini. Mattel mengatakan bahwa serangan ransomware awalnya berhasil dan menghasilkan enkripsi yang berhasil pada beberapa sistemnya.

Selama lebih dari setahun, geng ransomware telah mencuri data dan terlibat dalam skema pemerasan ganda, mengancam akan mengunggah data perusahaan yang diretas tersebut ke “situs kebocoran” publik kecuali korban membayar permintaan tebusan. Namun, pembuat mainan tersebut mengatakan bahwa penyelidikan forensik berikutnya menyimpulkan bahwa geng ransomware di balik intrusi Juli tidak mencuri “data bisnis sensitif atau data pelanggan ritel, pemasok, konsumen, atau karyawan.”

Secara keseluruhan, Mattel tampaknya telah lolos dari insiden tersebut hanya dengan waktu henti yang singkat dan tanpa kerusakan yang serius.
Sementara perusahaan seperti Cognizant mengatakan mereka memperkirakan akan kehilangan antara $ 50 juta dan $ 70 juta, dan Norsk Hydro melaporkan kerugian setidaknya $ 40 juta setelah insiden ransomware, Mattel mengatakan serangan ransomware yang dideritanya “tidak berdampak material pada operasi atau kondisi keuangannya.”

sumber : ZDNET