Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for News

Kompromi Copy-paste – Taktik, Teknik, dan Prosedur yang Digunakan Untuk Menargetkan Beberapa Jaringan di Australia

by

Pada hari kamis lalu (18/06) Pusat Keamanan Siber Australia (ACSC) mengumumkan bahwa Pemerintah Australia saat ini menyadari adanya penargetan berkelanjutan pemerintah dan perusahaan Australia oleh aktor berbasis negara yang canggih. Di dalam pengunguman tersebut ACSC juga mengeluarkan peringatan kepada organisasi-organisasi Australia, agar keduanya menyadari ancaman ini dan mengambil langkah segera untuk meningkatkan pertahanan jaringan mereka.

Peringatan ACSC yang berjudul ‘Copy-paste compromises’ berasal dari aktor yang menggunakan kode eksploit proof-of-concept, web shells, dan alat-alat lain yang disalin hampir identik dari sumber terbuka (open source).

Aktor ini telah diidentifikasi memanfaatkan sejumlah vektor akses awal, dengan yang paling umum adalah eksploitasi infrastruktur public-facing – terutama melalui penggunaan kerentanan eksekusi kode jarak jauh dalam versi Telerik UI yang tidak ditambal (patched).

Aktor ini juga telah menunjukkan kemampuan untuk dengan cepat memanfaatkan kode eksploitasi proof-of-concepts yang telah dipublikasikan untuk menargetkan jaringan yang diminati dan secara teratur melakukan pengintaian terhadap jaringan target untuk mencari layanan yang rentan, berpotensi mempertahankan daftar layanan public-facing agar dapat dengan cepat menargetkan kerentanan baru yang dirilis di masa mendatang.

Ketika eksploitasi infrastruktur public-facing tidak berhasil, ACSC telah mengidentifikasi aktor akan menggunakan berbagai teknik spearphishing. Spearphishing ini berbentuk:
– tautan ke situs web pemanen kredensial
– email dengan tautan ke file jahat, atau dengan file jahat yang langsung dilampirkan
– tautan yang mendorong pengguna untuk memberikan token OAuth Office 365 kepada aktor
– penggunaan layanan pelacakan email untuk mengidentifikasi email yang telah dibuka dan click-through event

Setelah akses awal tercapai, aktor memanfaatkan campuran open source dan alat khusus untuk bertahan, dan berinteraksi dengan, jaringan korban. Meskipun alat ditempatkan di dalam jaringan, aktor tersebut berpindah ke remote access yang sah menggunakan kredensial curian. Agar berhasil menanggapi ancaman terkait, semua akses harus diidentifikasi dan dihapus.

Dalam berinteraksi dengan jaringan korban, aktor diidentifikasi menggunakan situs web resmi Australia yang dikompromikan sebagai server C2 mereka. Terutama, perintah dan kontrol dilakukan menggunakan web shells dan lalu lintas HTTP/HTTPS. Teknik ini membuat pemblokiran geografis tidak efektif dan menambahkan legitimasi ke lalu lintas jaringan yang jahat selama penyelidikan.

Untuk memitigasi ancaman ini, ACSC telah merekomendasikan para IT Administrator di organisasi untuk:
– Melakukan tambalan (patching) dengan cepat untuk seluruh perangkat lunak, sistem operasi, dan perangkat yang menghadap ke internet (internet facing)
– Penggunaan otentikasi multi-faktor di semua layanan akses jarak jauh
– Meninjau dan menerapkan panduan ACSC pada Windows Event Logging and Forwarding dan System Monitoring.

Advisory selengkapnya dapat dibaca pada tautan berikut:
Source: ACSC

Kerentanan Keamanan Router Netgear Akhirnya Diperbaiki Setelah Enam Bulan

by

Netgear telah mengeluarkan tambalan (patch) untuk memperbaiki kerentanan keamanan di dua router yang dapat dieksploitasi oleh penyerang untuk mengambil kendali penuh perangkat dari jarak jauh.

Dua perangkat yang telah menerima tambalan adalah R6400v2 dan R6700v3. Namun, 77 router Netgear lainnya dilaporkan masih tetap rentan terhadap kerentanan zero-day yang dilaporkan ke perusahaan pada Januari tahun ini.

Kerentanan, yang terletak pada daemon HTTPD yang digunakan untuk mengelola router, ditemukan secara independen oleh Grimm’s Adam Nichols dan d4rkn3ss dari VNPT ISC Vietnam melalui Zero Day Initiative (ZDI).

Untuk mengeksploitasi kelemahan pada router Netgear, penyerang perlu membuat string yang dibuat khusus yang mampu mengeksekusi perintah pada perangkat tanpa harus mengautentikasi terlebih dahulu.

Dalam blognya, Nichols menjelaskan bahwa sementara cookie stack biasanya dapat mengurangi kerentanan ini, banyak router Netgear tidak menggunakannya, dengan mengatakan:

“Dalam sebagian besar perangkat lunak modern, kerentanan ini tidak dapat dieksploitasi. Perangkat lunak modern biasanya berisi stack cookie yang akan mencegah eksploitasi. Namun, R7000 tidak menggunakan stack cookies. Faktanya, dari semua produk Netgear yang menggunakan basis kode yang sama, hanya firmware D8500 versi 1.0.3.29 dan firmware R6300v2 versi 1.0.4.12-1.0.4.20 yang menggunakan stack cookie. Namun, versi D8500 dan R6300v2 yang lebih baru berhenti menggunakan stack cookies, membuat kerentanan ini sekali lagi dieksploitasi.”

Secara default, Daemon HTTPD router ini hanya dapat diakses melalui LAN, meskipun admin router dapat mengaktifkannya sehingga dapat diakses dari jarak jauh melalui internet. Namun, penyerang masih dapat membuat situs web berbahaya menggunakan JavaScript untuk melakukan serangan rebinding DNS yang akan memungkinkan mereka untuk mengeksekusi perintah dari jarak jauh pada router yang tidak dapat diakses melalui internet.

Jika Anda memiliki router Netgear R6400v2 atau R6700v3, Anda dapat mengunduh hot-fix untuk memperbaiki kerentanannya sekarang, tetapi jika Anda memiliki salah satu dari 77 router yang terpengaruh, Anda kurang beruntung sampai perusahaan mengeluarkan patch untuk ke 77 router tersebut.

Selengkapnya dapat dibaca pada tautan di bawah ini:
Source: Tech Radar

Kampanye Phishing Bertemakan Office 365 Mengeksploitasi Server Samsung, Adobe dan Oxford Untuk Mengelabui Software Keamanan

by

Satu kampanye khusus yang dianalisis oleh penyedia intelijen ancaman siber, Check Point Research, mengarahkan korbannya melalui serangkaian situs web yang sah dalam upaya mencuri kredensial Microsoft mereka.

Dalam sebuah blog yang diterbitkan pada hari Kamis lalu (6/18), Check Point menggambarkan metode di mana penyerang mengeksploitasi salah satu server mail Universitas Oxford untuk mengirim email awal, menyalahgunakan alat pengalihan Adobe Campaign, dan kemudian menggunakan domain Samsung untuk membawa pengguna ke situs web phishing bertema Microsoft Office 365. Tujuannya adalah untuk mengambil keuntungan dari situs dan layanan yang sah dalam upaya menghindari deteksi software keamanan. Pertama kali terlihat pada bulan April, 43% dari serangan itu menargetkan perusahaan-perusahaan Eropa, sedangkan sisanya ditemukan di Asia dan Timur Tengah.

Sebagian besar email yang diamati berasal dari beberapa alamat yang dimiliki oleh subdomain yang sah dari berbagai departemen di Universitas Oxford. Dengan menggunakan server SMTP Oxford, para penyerang dapat menyelinap melewati pemeriksaan reputasi untuk domain pengirim. Mereka juga dapat menghasilkan alamat email sebanyak yang mereka butuhkan.

Email yang dikirim sendiri mengklaim menawarkan pesan suara yang tidak terjawab terkait dengan akun Office 365 penerima dengan referensi ke Office 365 & Microsoft dan bahkan pemberitahuan “Pesan dari server Tepercaya” palsu di bagian atas. Email tersebut meminta penerima untuk mengklik tombol untuk mendengarkan atau mengunduh pesan suara yang terlewat. Mengklik tombol itu kemudian akan membawa korban yang tidak menaruh curiga ke halaman phishing yang meminta mereka untuk masuk dengan akun Microsoft mereka.

Microsoft 365 Phishing Email
Gambar: Check Point Research

Namun, di balik layar, perjalanan antara email dan halaman phishing melewati beberapa langkah. Pertama, korban diarahkan ke server Adobe Campaign. Dalam hal ini, tautan dalam email mengarahkan korban ke server Adobe yang digunakan oleh Samsung selama kampanye pemasaran Cyber Monday 2018. Dengan mengambil keuntungan dari format tautan Adobe Campaign dan domain Samsung yang sah, para penyerang berusaha menghindari deteksi dari software keamanan berdasarkan reputasi, daftar hitam, dan pola URL.

Selanjutnya, para penyerang mengarahkan korban ke salah satu dari beberapa situs WordPress yang dikompromikan yang mengandung kode redirect berbahaya. Menambahkan lapisan ini adalah cara lain untuk menghindari produk keamanan karena URL di dalam email menunjuk ke situs WordPress yang tampaknya sah daripada halaman phishing yang meragukan. Dibuat menggunakan JavaScript, halaman ini terlihat seperti halaman login Microsoft yang sah yang meminta nama pengguna dan kata sandi korban.

office-365-phishing-landing-page-check-point-research
Gambar: Check Point Research

Untuk menghindari peringatan keamanan atau blok, para menggunakan trik yang pintar. Mereka menggunakan server email Oxford untuk mengirim email awal membantu mereka melewati filter reputasi. Tautan dalam email menunjuk ke domain yang sah yang dimiliki oleh Samsung. Dan serangkaian pengalihan menghasilkan halaman phishing yang disembunyikan.

office-365-phishing-redirects-check-point-research
Gambar: Check Point Research

Untuk berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: Tech Republic | Check Point Research

Bug Pada Cisco Webex dan Router-nya Memungkinkan Eksekusi Kode Oleh Penyerang Jarak Jauh

by

Cisco telah memperingatkan adanya tiga kerentanan tingkat tinggi dalam aplikasi konferensi web Webex yang populer, termasuk yang memungkinkan penyerang tidak tervalidasi untuk mengeksekusi kode dari jarak jauh pada sistem yang terkena dampak. Berikut daftarnya:

Kerentanan 1 (CVE-2020-3342): Validasi yang tidak tepat atas perlindungan kriptografi, pada file yang diunduh oleh aplikasi sebagai bagian dari pembaruan perangkat lunak. Eksploitasi yang berhasil dapat memungkinkan penyerang untuk mengeksekusi kode apa pun (arbitrary code execution) pada sistem yang terpengaruh dengan hak istimewa pengguna.

Nilai CVSS: 8.8

Versi yang terpengaruh: Aplikasi Desktop Webex untuk Mac versi sebelum 39.5.11. Versi aplikasi untuk Windows tidak terpengaruh.

Perbaikan: Kerentanan telah diperbaiki pada versi 39.5.11 dan yang lebih baru.

 

Kerentanan 2 (CVE-2020-3361): Kerentanan berasal dari penanganan token otentikasi yang tidak benar oleh situs Webex yang rentan. Eksploitasi yang berhasil dapat memungkinkan penyerang jarak jauh untuk mendapatkan akses tidak sah ke situs Webex yang rentan.

Nilai CVSS: 8.1

Versi yang terpengaruh: Situs Cisco Webex Meetings (versi 39.5.25 dan sebelumnya, WBS 40.4.10 dan sebelumnya, atau WBS 40.6.0) dan server Cisco Webex Meetings (versi 4.0 MR3 dan sebelumnya)

Perbaikan: Server Cisco Webex Meetings Release 4.0 MR3 Security Patch 1; Perusahaan mengatakan pelanggan di situs Cisco Webex Meetings yang dihosting Cisco tidak perlu mengambil tindakan apa pun untuk menerima pembaruan ini.

 

Kerentanan 3 (CVE-2020-3263): Kerentanan ini disebabkan oleh validasi input yang tidak benar yang diberikan ke URL aplikasi, ini dapat memungkinkan penyerang jarak jauh untuk menjalankan program pada sistem pengguna yang terpengaruh.

Nilai CVSS: 7.5

Versi yang terpengaruh: Aplikasi Desktop Cisco Webex Meetings (versi lebih lama dari 39.5.12)

Perbaikan: Perbaikan telah tersedia pada versi 40.1.0 dan yang lebih baru.

Di luar Webex, raksasa jaringan itu pada hari Rabu juga menambal (patch) banyak bug di beberapa produk, termasuk router RV (yang menawarkan teknologi jaringan pribadi virtual untuk pekerja jarak jauh di bisnis kecil) dan perangkat lunak TelePresence Collaboration Endpoint.

Untuk mengetahui kerentanan-kerentanan tersebut, buka tautan di bawah ini;
Source: The Threat Post | Cisco’s Security Update

Amazon Telah Mengatasi Serangan DDoS Terbesar Yang Pernah Tercatat Sebelumnya

by

Amazon Web Services baru-baru ini harus bertahan melawan serangan DDoS dengan puncak volume lalu lintas 2,3 Tbps, rekor terbesar yang pernah ada, ZDNet melaporkan. Merinci serangan dalam laporan ancaman Q1 2020, Amazon mengatakan bahwa serangan itu terjadi pada bulan Februari, dan telah berhasil dimitigasi oleh AWS Shield, layanan yang dirancang untuk melindungi pelanggan platform on-demand cloud computing Amazon dari serangan DDoS, serta dari bot jahat dan kerentanan aplikasi. Perusahaan tidak mengungkapkan target atau asal serangan.

Untuk memasukkan angka itu ke dalam perspektif, sebelum Februari tahun ini, ZDNet mencatat bahwa serangan DDoS terbesar yang tercatat adalah pada Maret 2018, ketika NetScout Arbor mengatasi serangan DDoS 1,7 Tbps. Bulan sebelumnya, GitHub mengungkapkan bahwa mereka telah dihantam oleh serangan dengan puncak lalu lintas 1,35 Tbps.

Serangan Februari adalah apa yang disebut dengan “serangan refleksi.” Seperti yang dijelaskan Cloudflare, upaya di sini adalah menggunakan server pihak ketiga yang rentan untuk memperbesar jumlah data yang dikirim ke alamat IP korban. Serangan itu mengandalkan eksploitasi server CLDAP untuk memperkuat lalu lintasnya. Serangan menggunakan protokol ini, yang biasanya digunakan untuk mengakses dan mengedit direktori yang dibagikan melalui internet, telah terjadi sejak 2016, lapor ZDNet.

Amazon mengatakan bahwa antara Q2 2018 dan Q4 2019, serangan terbesar yang dilihatnya lebih kecil dari 1 Tbps, dan pada kuartal pertama tahun ini 99% serangan hanya sampai 43 Gbps atau lebih kecil. ZDNet mencatat bahwa serangan 2018 mengandalkan eksploitasi vektor serangan Memcached baru, tetapi mereka juga mengatakan bahwa pada sejak itu, penyedia layanan internet dan jaringan pengiriman konten telah bekerja untuk mengamankan server Memcached yang rentan untuk dieksploitasi.

 

Baca berita selengkapnya pada tautan di bawah ini;
Source: The Verge

Malware Baru “Mass Logger” Ini Dapat Menjadi Sangat Besar Penyebarannya

by

Keylogger baru, “Mass Logger”, saat ini sedang dilacak oleh Cofense Intelligence. Mereka percaya bahwa malware tersebut dapat secara signifikan mempengaruhi pasar keylogger yang lebih besar serta lanskap ancaman phishing.

Alasan mengapa Cofense begitu khawatir tentang Mass Logger adalah karena seberapa cepat malware tersebut diperbarui. Pembuatnya secara konsisten memperbarui dan meningkatkan Mass Logger dan memungkinkan penjahat siber menyebarkan malware ini untuk mengatasi deteksi dari software keamanan. Perkembangan yang cepat ini juga memungkinkan pembuat Mass Logger untuk dengan cepat menambahkan fitur baru sebagai tanggapan terhadap feedback pelanggan.

Pencipta Mass Logger, yang dikenal sebagai NYANxCAT, juga bertanggung jawab atas beberapa jenis malware terkenal lainnya termasuk LimeRAT, AsyncRAT dan remote access trojan (RAT) lainnya. Malware NYANxCAT biasanya kaya akan fitur dan mudah digunakan yang memungkinkan penggunaan yang mudah oleh aktor ancaman amatir. Namun, banyak fitur yang tergabung dalam Mass Logger cukup canggih seperti kemampuan penyebaran USB-nya.

NYANxCAT terus meningkatkan fungsi Mass Logger melalui pembaruan dan baru-baru ini, 13 pembaruan dirilis hanya dalam periode tiga minggu. Dalam catatan pembaruan, NYANxCAT menjelaskan bahwa target baru telah ditambahkan untuk fungsi pencurian kredensial keylogger dan bahwa langkah-langkah telah diambil untuk mengurangi deteksi otomatis.

Fitur-fitur canggih membantu membedakan Mass Logger dari malware umum lainnya. Misalnya, fungsi yang memungkinkan penjahat siber untuk mencari file dengan ekstensi file tertentu dan mengambilnya.

Untuk bertahan melawan Mass Logger dan ancaman serupa lainnya, Cofense merekomendasikan agar admin jaringan mengawasi sesi FTP atau email yang dikirim dari jaringan lokal yang tidak sesuai dengan standar organisasi mereka.

Source: Tech Radar

Kerentanan Baru Ditemukan pada D-Link Home Routers

by

Pada sebuah tulisan blog yang diterbitkan pada 12 Juni 2020, para peneliti Unit42 dari Palo Alto Network mengungkapkan adanya kerentanan pada D-Link router.

Total ada 6 Kerentanan yang telah ditemukan sejak 28 Februari lalu dan ditemukan pada model router D-Link DIR-865L, yang ditujukan untuk penggunaan home network. Adanya tren baru (Work From Home) ini meningkatkan kemungkinan serangan berbahaya terhadap home network, yang membuatnya semakin penting untuk kita menjaga perangkat jaringan agar selalu diperbarui.

Peneliti mengatakan bahwa ada kemungkinan beberapa kerentanan yang ditemukan juga hadir dalam model router yang lebih baru karena router-router tersebut menggunakan basis kode yang sama. Berikut ini adalah enam kerentanan yang ditemukan:

“Kombinasi berbeda dari kerentanan ini dapat menyebabkan risiko yang signifikan. Misalnya, pengguna jahat dapat melihat lalu lintas jaringan untuk mencuri session cookie. Dengan informasi ini, mereka dapat mengakses portal administratif untuk berbagi file, memberi mereka kemampuan untuk mengunggah file berbahaya, mengunduh file sensitif, atau menghapus file penting. Mereka juga dapat menggunakan cookie untuk menjalankan perintah apa saja untuk melakukan serangan denial of service” tulis peneliti dalam blog tersebut.

Perusahaan D-Link sendiri sudah mengetahui mengenai kerentanan ini dari Palo Alto dan telah menerbitkan patch untuk memperbaiki kerentanan ini. Namun, patch yang dirilis hanya memperbaiki 3 kerentanan, yaitu: Cross-Site Request Forgery (CSRF), Inadequate Encryption Strength dan Cleartext Storage of Sensitive Information.

Dan berita buruk lainnya adalah bahwa model DIR-865L ini ternyata telah mencapai akhir dukungan (EoL/EoS) sejak 02/01/2016. Perusahaan mengatakan, “Produk  (DIR-865L) telah mencapai End of Life(EoL)/End of Support(EoS), dan tidak ada lagi dukungan atau pengembangan yang diperluas untuk mereka. Setelah suatu produk melewati tanggal EoL / EoS, D-Link tidak akan dapat menyelesaikan masalah Perangkat atau Firmware karena semua pengembangan dan dukungan pelanggan telah terhenti.”

Berikut adalah rekomendasi dari Palo Alto untuk pengguna router D-Link:

  • Instal versi terbaru firmware. Firmware dapat ditemukan di situs web D-Link di mana mereka mengumumkan kerentanannya: Pengumuman D-Link.
  • Default semua lalu lintas ke HTTPS untuk bertahan terhadap serangan session hijacking.
  • Ubah zona waktu pada router untuk bertahan melawan aktor jahat yang menghitung id sesi yang dibuat secara acak. Anda dapat menemukan cara melakukannya di situs D-Link.
  • Jangan gunakan router ini untuk berbagi informasi sensitif sampai seluruh kerentanannya ditambal (patched).

Selengkapnya dapat dibaca pada tautan di bawah ini;
Source: Unit42 Palo Alto

Mengapa Mengamankan Endpoint Adalah Masa Depan Keamanan Siber

by

Verizon telah menerbitkan laporan data breach berjudul 2020 Data Breach Investigations Report (DBIR) dan berikut adalah beberapa poin penting yang dikutip oleh Forbes:

  • DBIR Verizon menggambarkan kenyataan yang nyata bahwa para penjahat siber yang didanai kejahatannya tanpa henti mencari endpoint yang tidak dilindungi dan mengeksploitasinya untuk mendapatkan keuntungan finansial, itulah mengapa autonomous endpoint adalah hal yang harus dimiliki saat ini.
  • Kurangnya ketekunan di sekitar Manajemen Aset menciptakan ancaman baru karena organisasi sering tidak mengetahui kesehatan terkini aset, konfigurasi, atau lokasi sistem dan perangkat mereka.
  • 85% dari korban dan subyek berada di negara (country) yang sama, 56% berada di negara (state) yang sama, dan 35% bahkan berada di kota yang sama berdasarkan data FBI Internet Crime Complaint Center (IC3).
  • Aset cloud terlibat sekitar 24% dari pelanggaran data tahun ini, sementara aset on-premises masih 70%.
  • Lebih dari 80% pelanggaran data dalam peretasan melibatkan brute force atau penggunaan kredensial yang hilang atau dicuri.

Kesimpulan

Autonomous endpoint yang dapat menyembuhkan dirinya sendiri dan memperbaiki sistem operasi dan konfigurasi adalah masa depan keamanan siber, poin yang dapat disimpulkan dari DBIR Verizon tahun ini. Menutup celah manajemen aset sambil mengamankan setiap endpoint adalah sebuah keharusan untuk mengamankan bisnis apa pun saat ini. Kini, ada beberapa perusahaan keamanan siber yang menawarkan keamanan endpoint.

Naga Cyber Defense menyediakan servis keamanan berbasis endpoint. Untuk berlangganan silahkan klik link ini.

Source: Forbes | Verizon Full Report