Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for News

Botnet IoT Ttint baru tertangkap basah mengeksploitasi dua zero-day di router Tenda

by

Dinamakan Ttint, botnet ini pertama kali dirinci dalam sebuah laporan yang diterbitkan pada hari Jumat oleh Netlab, divisi keamanan jaringan dari raksasa teknologi China Qihoo 360.

Tidak hanya menginfeksi perangkat untuk melakukan serangan DDoS, tetapi juga menerapkan 12 metode akses jarak jauh yang berbeda ke router yang terinfeksi, menggunakan router sebagai proxy untuk menyampaikan lalu lintas, merusak firewall router dan pengaturan DNS, dan bahkan memberi penyerang kemampuan untuk menjalankan perintah jarak jauh pada perangkat yang terinfeksi.

Menurut laporan perusahaan, botnet tampaknya telah digunakan tahun lalu, pada November 2019, ketika Netlab mengatakan mendeteksi Ttint menyalahgunakan Tenda zero-day pertamanya untuk mengambil alih router yang rentan.

Botnet terus mengeksploitasi zero-day ini (dilacak sebagai CVE-2020-10987) hingga Juli 2020, ketika Sanjana Sarda, Analis Keamanan Junior di Penilai Keamanan Independen, menerbitkan laporan terperinci tentang kerentanan tersebut dan empat lainnya.

Tenda tidak merilis patch firmware untuk menangani temuan Sarda, tetapi operator Ttint tidak menunggu untuk mengetahui apakah vendor akan memperbaiki bugnya nanti.

Netlab mengatakan bahwa router Tenda yang menjalankan versi firmware antara AC9 hingga AC18 dianggap rentan.

Karena Ttint terlihat mengubah pengaturan DNS pada router yang terinfeksi, kemungkinan besar mengarahkan pengguna ke situs jahat, menggunakan salah satu dari router ini tidak disarankan.

Pemilik router Tenda yang ingin mengetahui apakah mereka menggunakan router yang rentan dapat menemukan informasi versi firmware di panel administrasi router.

Setelah dianalisis, Ttint dibangun di atas Mirai, keluarga malware IoT yang kodenya bocor secara online pada 2016. Sejak bocor secara online, ada banyak botnet yang merupakan cabang dari basis kode asli ini.

Setiap operator botnet mencoba berinovasi dan menambahkan sesuatu yang berbeda, tetapi Ttint tampaknya telah mengguanakan sesuatu dari masing-masing botnet untuk membangun versi Mirai yang lebih kompleks daripada sebelumnya.

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: ZDNet

Seseorang meninggal karena ransomware: Saatnya memberi rumah sakit keamanan IT

by

Teori kini telah menjadi nyata. Ketika perangkat yang terhubung terpotong di seluruh rumah sakit selama beberapa tahun terakhir, para ahli khawatir tentang kemungkinan serangan siber pada jaringan rumah sakit yang merugikan pasien. Itu sekarang telah terjadi. Seorang pasien Jerman meninggal setelah dialihkan dari sebuah rumah sakit di Duesseldorf yang tidak dapat memberikan layanan menyusul serangan ransomware pada jaringannya pada 10 September. Pasien, yang membutuhkan perawatan medis segera, dikirim ke rumah sakit yang berjarak hampir 20 mil. di kota lain, di mana dia meninggal.

Ini dilaporkan sebagai kematian pertama yang terkait dengan serangan dunia maya, dan ini hanyalah salah satu dari banyak serangan ransomware yang menargetkan rumah sakit setiap hari. Faktanya, awal minggu ini Universal Health Services dihantam dengan apa yang tampaknya menjadi salah satu serangan dunia maya terbesar yang pernah ada pada penyedia medis di Amerika Serikat. Akibatnya, rumah sakit harus beralih ke pena dan kertas untuk mencatat informasi pasien dan memberi label obat. Dan sebuah pusat medis di Ohio terkena serangan ransomware pada hari Senin yang membuat mereka menunda operasi.

Kematian di Jerman sangat tragis karena tampaknya serangan ransomware mungkin ditujukan untuk target yang berbeda; catatan ransomware telah dialamatkan ke universitas yang berafiliasi dengan rumah sakit. Setelah mengetahui bahwa sebuah rumah sakit telah diserang, para penyerang dilaporkan menghentikan serangan tersebut dan mengirim kunci untuk mendekripsi data yang disandera – sebuah langkah yang belum pernah terjadi sebelumnya. Otoritas Jerman sedang menyelidiki kasus tersebut sebagai pembunuhan yang lalai.

Peristiwa ini harus menjadi seruan bagi industri perawatan kesehatan dan pemerintah AS untuk segera mengambil tindakan untuk mengatasi masalah serius ini. Kematian di Jerman sangat tragis karena tampaknya serangan ransomware mungkin ditujukan untuk target yang berbeda. ; catatan ransomware telah dialamatkan ke universitas yang berafiliasi dengan rumah sakit. Setelah mengetahui bahwa sebuah rumah sakit telah diserang, para penyerang dilaporkan menghentikan serangan tersebut dan mengirim kunci untuk mendekripsi data yang disandera – sebuah langkah yang belum pernah terjadi sebelumnya. Otoritas Jerman sedang menyelidiki kasus tersebut sebagai pembunuhan yang lalai.

Bahkan jika serangan ransomware itu macet, seseorang meninggal.

Peristiwa ini harus menjadi peringatan bagi industri kesehatan dan pemerintah AS untuk segera mengambil tindakan guna mengatasi masalah serius ini.

Source : Thehill

Malware NodeJS mengambil informasi IP, nama pengguna, dan nama perangkat di GitHub

by

Beberapa paket NodeJS yang sarat dengan kode berbahaya telah terlihat di registri npm.

Paket “typosquatting” ini tidak memiliki tujuan selain mengumpulkan data dari perangkat pengguna dan menyiarkannya di halaman GitHub publik.
Penemuan ini ditemukan oleh sistem deteksi malware otomatis Sonatype dan diselidiki lebih lanjut oleh tim Riset Keamanan perusahaan yang termasuk saya.
Paket yang sebelumnya ada di registry npm open source termasuk:

1. electorn (kesalahan eja yang disengaja dari paket “electron” yang sah)
2. loadyaml
3. loadyml.dll
4. lodashs (kesalahan eja yang disengaja dari paket “lodash” yang sah)

Keempat paket diterbitkan oleh pengguna yang sama “simplelive12” dan sekarang telah dihapus, dengan dua paket pertama telah dihapus oleh npm per 1 Oktober 2020. Dua paket sebelumnya tidak dipublikasikan oleh pembuatnya sendiri.

Setelah instal, electron menjalankan skrip di latar belakang setiap jam yang mengumpulkan IP pengguna yang masuk, data geolokasi, nama pengguna, jalur ke direktori home, dan informasi model CPU.

Sampai saat ini, keempat paket telah mencetak lebih dari 400 total unduhan.

Tidak jelas apa tujuan pengumpulan data ini dan mengapa itu dipublikasikan di web agar dunia dapat melihatnya, namun, insiden seperti ini menyoroti potensi serangan typosquatting pada ekosistem open-source.

Kompleksitas merusak keamanan komputer, kata akademisi yang membantu menemukan kelemahan Meltdown dan Spectre

by Leave a Comment

Daniel Gruss, asisten profesor di grup Sistem Aman di Universitas Teknologi Graz Austria. Gruss dan rekan-rekannya menemukan beberapa snafus keamanan terbesar baru-baru ini, termasuk kelemahan desain mikroprosesor Meltdown dan Spectre, eksploitasi Rowhammer yang berfungsi, serangan pada Intel SGX termasuk Plundervolt, dan banyak lagi lainnya.

Pada konferensi Black Hat Asia, yang diadakan secara virtual pada hari Jumat di zona waktu Singapura, Gruss menguraikan keyakinannya bahwa meskipun mungkin untuk membuat sistem yang terbukti aman – dengan usaha keras – ini jarang dilakukan dalam produksi. Bagaimanapun, dunia telah terbiasa menggunakan labirin sistem yang saling terkait, tidak terbukti, dan seringkali tidak didokumentasikan secara publik.

Asisten profesor juga mengajukan teorinya bahwa ketika Hukum Moore habis, kita akan menggunakan lebih banyak sistem dengan semakin banyak prosesor dan inti akselerator yang semuanya berinteraksi satu sama lain, yang berarti semakin banyak risiko keamanan. Membangun sistem yang lebih sederhana bukanlah suatu pilihan, dia yakin, karena umat manusia sekarang memiliki ekspektasi komputasi kinerja tinggi.

Saran pertamanya adalah ilmu komputer perlu memikirkan kembali dirinya sendiri. Saat ini, kata dia, mata pelajaran tersebut dianggap sebagai ilmu formal. Gruss mengatakan itu perlu diubah, karena dua alasan.

Gruss berpikir itu mungkin kabar baik bagi para profesional keamanan karena dunia jelas akan membutuhkan lebih banyak dari mereka, dan banyak yang akan memiliki keterampilan baru untuk dipelajari. “Dalam 30 tahun saya berharap kami memiliki lebih banyak orang yang mempelajari dan menganalisis sistem, dan lebih banyak variasi pekerjaan keamanan,” katanya dalam acara virtual tersebut.

“Tanpa internet, ransomware tidak akan berkembang sebaik itu,” katanya, menggambarkan bagaimana perubahan pola penggunaan dapat menimbulkan masalah yang sama sekali tidak terduga.

Dia juga menyarankan bahwa asuransi akan memiliki lebih banyak peran karena metode empiris dapat mengungkapkan lebih banyak risiko. Dan perusahaan asuransi senang merancang produk yang dapat meminimalisir risiko. Namun asuransi tidak dapat, mengurangi kebutuhan akan kewaspadaan, dan ada argumen yang mendorong para penjahat.

“Kami akan memiliki keamanan kerja untuk semua orang yang bekerja di analisis keamanan,” kata Gruss. “Kurasa itu hal yang bagus.”

Source : theregister

Ada Serangan Ditujukan untuk Mengganggu Botnet Trickbot

by

Pada 22 September, seseorang mengupload file konfigurasi baru ke komputer Windows yang saat ini terinfeksi Trickbot. Penjahat yang menjalankan botnet Trickbot biasanya menggunakan file konfigurasi ini untuk menyampaikan instruksi baru ke PC mereka lainnya yang terinfeksi, seperti alamat Internet di mana sistem yang diretas harus mengunduh pembaruan baru untuk malware.

Tetapi file konfigurasi baru yang diupload pada 22 September memberi tahu semua sistem yang terinfeksi Trickbot bahwa server kontrol malware baru mereka memiliki alamat 127.0.0.1, yang merupakan alamat “localhost” yang tidak dapat dijangkau melalui Internet publik, menurut analisis oleh perusahaan intelijen dunia maya Intel 471.

“Tak lama setelah konfigurasi palsu dikeluarkan, semua pengontrol Trickbot berhenti merespons dengan benar permintaan bot,” tulis Intel 471 dalam sebuah catatan kepada pelanggannya. “Ini mungkin berarti controller pusat Trickbot terganggu. Waktu penutupan kedua peristiwa tersebut menunjukkan gangguan yang disengaja pada operasi botnet Trickbot. ”

Cuplikan teks dari salah satu pembaruan konfigurasi Trickbot palsu. Sumber: Intel 471

CEO Intel 471, Mark Arena, mengatakan pada saat ini siapa pun yang bertanggung jawab.

“Jelas, seseorang mencoba menyerang Trickbot,” kata Arena. “Bisa saja seseorang di komunitas riset keamanan, pemerintah, orang dalam yang tidak puas, atau grup kejahatan dunia maya saingan. Kami hanya tidak tahu saat ini. ”

Alex Holden adalah chief technology officer dan pendiri Hold Security, sebuah firma intelijen dunia maya yang berbasis di Milwaukee yang membantu memulihkan data yang dicuri. Holden mengatakan pada akhir September Trickbot menyimpan kata sandi dan data keuangan yang dicuri dari lebih dari 2,7 juta PC Windows.

“Pemantauan kami menemukan setidaknya satu pernyataan dari salah satu kelompok ransomware yang mengandalkan Trickbot yang mengatakan ini membuat mereka kesal, dan mereka akan menggandakan tebusan yang mereka minta dari korban,” kata Holden. “Kami belum dapat mengonfirmasi apakah mereka benar-benar menindaklanjuti hal itu, tetapi serangan ini jelas mengganggu bisnis mereka.”

Intel 471’s Arena mengatakan ini bisa menjadi bagian dari kampanye yang sedang berlangsung untuk membongkar atau merebut kendali atas botnet Trickbot. Upaya seperti itu tidak akan pernah terjadi sebelumnya. Pada tahun 2014, misalnya, lembaga penegak hukum AS dan internasional bekerja sama dengan beberapa firma keamanan dan peneliti swasta untuk mengambil alih Gameover Zeus Botnet, jenis malware yang sangat agresif dan canggih yang telah menyerang hingga 1 juta PC Windows secara global.

Keamanan Serius: Phishing tanpa link, saat phisher menggunakan halaman web mereka sendiri

by Leave a Comment

Dalam beberapa hari terakhir kami menerima dua kampanye phishing – satu dikirim oleh pembaca yang bijaksana dan yang lainnya dikirim secara langsung kepada kami – yang kami pikir akan menceritakan kisah visual yang berguna.

Pelaku penipuan ini biasanya berasal dari dua geng kriminal yang berbeda, beroperasi secara independen, tetapi mereka menggunakan trik serupa yang perlu diketahui.

3 Ciri ciri email Phising
Sebagian besar penipuan phishing dikirimkan melalui email dan Anda mungkin telah menerima ratusan atau bahkan ribuan selama hihdup anda, namun umumnya mereka menggunakan tiga tahap ini :

1. Email yang berisi URL untuk diklik
Terkadang penjahat menyebar jaring dengan menggunakan frasa seperti “Pelanggan yang Terhormat”, “Bapak / Ibu yang Terhormat”, atau bahkan hanya “Halo”.

Namun terkadang mereka tahu nama penyedia listrik atau bank Anda; terkadang mereka tidak tahu tapi kebetulan menebak dengan benar; terkadang mereka memalsukan masalah dengan menulis beberapa teks umum yang cukup untuk menarik minat Anda.

Pesan email tidak terlalu panjang, yang perlu dilakukan adalah bagaimana agar anda mengeklik link berbahaya mereka.

Mengklik tautan phishing seharusnya sudah cukup aman, asalkan Anda berhati-hati selanjutnya, tetapi tetap saja pasti membawa anda selangkah lebih dekat ke masalah.

2. Halaman web tempat Anda perlu login untuk melangkah lebih jauh
Biasanya setelah anda mengeklik link tersebut, akan muncul halaman untuk login, dan sering kali itu adalah tiruan yang sangat mirip dengan web aslinya yang dibuat hanya dengan membajak HTML, gambar, font, stylesheet, dan JavaScript dari situs asli dan memasangnya di tempat lain.

Halaman penipu sering kali berada di situs resmi yang telah diretas untuk bertindak sebagai pembuka yang dapat dipercaya untuk serangan tersebut.

3. Situs web tempat data yang Anda masukkan ke dalam formulir login akan dikirim
Kadang-kadang situs tiruan akan diunggah ke situs yang sama yang digunakan pengguna terkadang para penjahat menggunakan situs pihak ketiga yang mungkin mengumpulkan data dari beberapa kampanye phishing yang berbeda pada waktu yang bersamaan.

Secara teknis, tautan yang dapat diklik ke situs (2) muncul di dalam email (1) sebagai apa yang dikenal sebagai hyperlink, dienkode ke dalam HTML menggunakan apa yang disebut tag anchor, ditulis sebagai , seperti ini:

Teks antara dan biasanya muncul di browser Anda dengan warna biru untuk menunjukkan bahwa Anda dapat mengkliknya untuk menuju link ke tempat lain.
Namun sebenarnya link yang dapat diklik itu bukanlah tujuan Anda selanjutnya.
Target tautan, seringkali berupa URL yang mengarah ke situs web lain, diberikan oleh nilai HREF = … yang muncul bersama dengan :

Jika Anda ingin melihat indikator yang tepat, Anda perlu mengetahui bahwa bagian dikenal sebagai tag, yang -nya adalah tag penutup yang cocok. Bagian HREF = … disebut sebagai atribut tag

Selengkapnya ; Naked Security Sophos

Patch CVE-2020-1472 Netlogon Secure Channel sekarang!

by

Netlogon Remote Protocol atau disebut MS-NRPC adalah antarmuka RPC yang digunakan secara eksklusif oleh perangkat yang bergabung dengan domain tertentu. MS-NRPC menyertakan metode otentikasi dan metode untuk membuat Netlogon secure channel. Pembaruan ini memberlakukan perilaku klien Netlogon tertentu untuk menggunakan Secure RPC dengan Netlogon Secure Channel antara komputer client dan Domain Controllers (DC) direktori aktif (AD).

Pembaruan keamanan ini mengatasi kerentanan dengan memberlakukan Secure RPC saat menggunakan Netlogon Secure Channel di rilis secara bertahap yang dijelaskan di bagian Pembaruan. Untuk memberikan perlindungan AD, semua DC harus diperbarui karena mereka akan memberlakukan Secure RPC dengan Netlogon Secure Channel. Ini termasuk read only domain controller (RODC).

Pada halaman advisori, Microsoft merilis langkah-langkah untuk menutup celah CVE-2020-1472 :

1.UPDATE Domain Controller anda dengan update yang dirilis pada 11 Agustus 2020 atau setelahnya.
2.CARI perangkat yang mempunyai celah melalui monitoring event log.
3.CATAT perangkat yang sudah tidak mendapatkan update karena riskan terhadap koneksi yang rentan.
4.AKTIFKAN enforcement mode untuk mengatasi CVE-2020-1472 dalam organisasi anda.

Harap segera patch perangkat anda pada situs resmi Microsoft disini.

Bagi pengguna Foxit, lakukan patch sekarang !

by

Foxit Software, perusahaan perangkat lunak China yang mengembangkan perangkat lunak dan alat Portable Document Format (PDF) yang digunakan untuk membuat, mengedit, menandatangani, dan mengamankan file dan dokumen digital. Telah merilis update kemanan pada beberapa perangkat softwarenya, diantara lain :

    • Foxit Reader 10.1 and Foxit PhantomPDF 10.1
      3D Plugin Beta 10.1.0.37494
      Foxit PhantomPDF Mac and Foxit Reader Mac 4.1

    • Meski Foxit terkena insiden Data Breach pada 30 Agustus lalu, nampaknya Foxit tetap optimis akan perkemnbangan software mereka, seperti yang dikutip adlam website nya:
    “Tanggapan yang cepat untuk kerusakan perangkat lunak dan kerentanan keamanan telah, dan akan terus menjadi, prioritas utama bagi semua orang di Foxit Software. Meskipun ancaman adalah fakta, kami bangga mendukung solusi PDF paling canggih di pasar. Berikut adalah informasi tentang beberapa penyempurnaan yang membuat perangkat lunak kami semakin kuat.” < Jadi bagi kalian pemakai aplikasi Foxit, segera lakukan Update di halaman resmi Foxit disini ya !