Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for News

LastPass Pertama, sekarang Slack dan CircleCI. Peretasan terus berlanjut

by

Dalam 24 jam terakhir, dunia telah mengetahui tentang pelanggaran serius yang menimpa layanan obrolan Slack dan perusahaan pengiriman dan pengujian perangkat lunak CircleCI, meskipun masing-masing memberikan kata-kata buram perusahaan— “masalah keamanan” dan “insiden keamanan”—Anda akan dimaafkan karena mengira peristiwa ini kecil.

Kurangnya transparansi
CircleCI masih bungkam tentang apa yang sebenarnya terjadi. Penasihatnya tidak pernah menggunakan kata “pelanggaran”, “kompromi”, atau “intrusi”, tetapi hampir pasti itulah yang terjadi. Exhibit A adalah pernyataan: “Pada titik ini, kami yakin bahwa tidak ada aktor yang tidak sah yang aktif di sistem kami,” menunjukkan bahwa penyusup jaringan telah aktif sebelumnya. Bukti B: saran agar pelanggan memeriksa log internal untuk akses tidak sah antara 21 Desember dan 4 Januari.

Meretas rantai pasokan

Mungkin juga, beberapa atau semua pelanggaran ini terkait. Internet bergantung pada ekosistem besar jaringan pengiriman konten, layanan otentikasi, pembuat alat pengembangan perangkat lunak, dan perusahaan lain. Pelaku ancaman sering meretas satu perusahaan dan menggunakan data atau akses yang mereka peroleh untuk melanggar pelanggan atau mitra perusahaan tersebut.

Itulah yang terjadi pada pelanggaran Agustus terhadap penyedia keamanan Twilio. Pelaku ancaman yang sama menargetkan 136 perusahaan lain.

Untuk saat ini, orang harus mempersiapkan diri untuk pengungkapan tambahan dari perusahaan yang mereka andalkan. Memeriksa log sistem internal untuk entri yang mencurigakan, mengaktifkan autentikasi multifaktor, dan menambal sistem jaringan selalu merupakan ide bagus, tetapi mengingat peristiwa terkini, tindakan pencegahan tersebut harus dipercepat. Ada baiknya juga memeriksa log untuk setiap kontak dengan alamat IP 54.145.167.181, yang menurut seorang praktisi keamanan terhubung ke pelanggaran CircleCI.

sumber : arstechnica

Pengawas pemerintah menghabiskan $15.000 untuk Memecahkan Kata Sandi Agen Federal dalam Hitungan Menit

by

Laporan oleh Kantor Inspektur Jenderal untuk Departemen Dalam Negeri, yang bertugas mengawasi badan eksekutif AS yang mengelola tanah federal negara, taman nasional, dan anggaran miliaran dolar, mengatakan bahwa ketergantungan departemen pada kata sandi sebagai satu-satunya cara untuk melindungi beberapa sistem terpentingnya dan akun pengguna karyawannya telah melawan hampir dua dekade pedoman keamanan siber pemerintah sendiri untuk mengamanatkan otentikasi dua faktor yang lebih kuat.

Disimpulkan bahwa kebijakan kata sandi yang buruk menempatkan departemen pada risiko pelanggaran yang dapat menyebabkan “kemungkinan tinggi” gangguan besar pada operasinya.

Kata sandi itu sendiri tidak selalu dicuri dalam bentuk yang dapat dibaca. Kata sandi yang Anda buat di situs web dan layanan online biasanya diacak dan disimpan sedemikian rupa sehingga tidak dapat dibaca oleh manusia — biasanya berupa rangkaian huruf dan angka yang tampak acak — sehingga kata sandi yang dicuri oleh malware atau pelanggaran data tidak dapat dengan mudah digunakan di peretasan lebih lanjut. Ini disebut hashing kata sandi.

staf pengawas mengatakan bahwa mengandalkan klaim bahwa kata sandi yang memenuhi persyaratan keamanan minimum departemen akan memakan waktu lebih dari seratus tahun untuk pulih menggunakan perangkat lunak peretas kata sandi yang tersedia telah menciptakan “rasa aman yang salah”

Singkatnya, pengawas menghabiskan kurang dari $ 15.000 untuk membangun rig peretas kata sandi.Pengawas juga memulihkan ratusan akun milik pegawai pemerintah senior dan akun lain dengan hak keamanan yang ditingkatkan untuk mengakses data dan sistem sensitif.

Rig peretas kata sandi juga mengandalkan sejumlah besar data yang dapat dibaca manusia untuk dibandingkan dengan kata sandi yang diacak. Menggunakan perangkat lunak open source dan tersedia secara bebas seperti Hashcat dapat membandingkan daftar kata dan frasa yang dapat dibaca dengan kata sandi hash.

Dalam tanggapannya, Departemen Dalam Negeri mengatakan setuju dengan sebagian besar temuan inspektur jenderal dan mengatakan “berkomitmen” untuk melaksanakan perintah eksekutif pemerintahan Biden yang mengarahkan lembaga federal untuk meningkatkan pertahanan keamanan siber mereka.

sumber : techcrunch

Pencuri Identitas Melewati Keamanan Experian untuk Melihat Laporan Kredit

by

Pencuri identitas telah mengeksploitasi kelemahan keamanan yang mencolok di situs web Experian, salah satu dari tiga biro pelaporan kredit konsumen. Biasanya, Experian mengharuskan mereka yang mencari salinan laporan kredit mereka berhasil menjawab beberapa pertanyaan pilihan ganda tentang riwayat keuangan mereka. Namun hingga akhir tahun 2022, situs web Experian memungkinkan siapapun untuk mengabaikan pertanyaan ini dan langsung membuka laporan konsumen.

Pada bulan Desember, Jenya Kushnir, peneliti keamanan yang tinggal di Ukraina Menemukan metode yang digunakan oleh pencuri identitas setelah menghabiskan waktu di Telegram yang didedikasikan untuk menguangkan identitas yang disusupi.

Penjahat mengetahui bahwa mereka dapat menipu Experian agar memberi mereka akses ke laporan kredit siapapun hanya dengan mengedit alamat yang ditampilkan di URL browser pada titik tertentu dalam proses verifikasi identitas Experian.

Pada tahun 2021 KrebsOnSecurity mengungkapkan bagaimana pencuri identitas mengeksploitasi lemahnya autentikasi pada halaman pengambilan PIN Experian untuk mencairkan file kredit konsumen dan disampaikan kabar bahwa API Experian mengungkap skor kredit kebanyakan orang Amerika.

Yang Bisa Anda Lakukan
Pertama adalah kesadaran mengenai apa yang dikatakan perusahaan dibelakang konsumen, kemudian dokumentasi dan ajukan perselisihan dengan biro kredit.

Jika Anda belum melakukannya, pertimbangkan menjadikan tahun 2023 sebagai tahun membekukan file kredit di tiga biro pelaporan utama, termasuk Experian, Equifax, dan TransUnion.

Pembekuan dapat dicairkan kapanpun saat ingin mengajukan kredit baru atau pekerjaan baru. Namun harap berhati-hati, biro bisa saja mengarahkan pembekuan ke layanan “kunci kredit”.

Selengkapnya: KrebsonSecurity

Microsoft January 2023 Patch Tuesday Memperbaiki 98 Kekurangan, 1 Zero-Day

by

Untuk pertama kali dalam tahun ini, Microsoft Patch Tuesday memperbaiki 98 kerentanan dengan sebelas diantaranya diklasifikasikan kritis. Pemberian peringkat tingkat keparahan kerentanan ini karena memungkinkan eksekusi kode jarak jauh, melewati fitur keamanan, atau meningkatkan hak istimewa.

Perbaikan One Zero-Day
Patch Tuesday bulan ini memperbaiki satu kerentanan zero-day, satu dieksploitasi secara aktif dan yang lainnya diungkapkan kepada publik.

Microsoft mengklasifikasikan kerentanan sebagai zero-day jika diungkapkan secara publik atau dieksploitasi secara aktif tanpa tersedia perbaikan resmi.

Beberapa kerentanan zero-day dieksploitasi secara aktif yang diperbaiki dalam pembaruan hari ini, salah satunya CVE-2023-21674. Microsoft menyatakan’CVE-2023-21549 – Windows SMB Witness Service Elevation of Privilege Vulnerability’ diungkapkan secara publik.

Peneliti keamanan Akamai Stiv Kupchik mengikuti proses pengungkapan reguler dan kerentanan tersebut tidak boleh diklasifikasikan sebagai pengungkapan publik.

Beberapa vendor lain yang merilis pembaruan pada Januari 2023 diantaranya adalah Adobe, Cisco, Citrix, Fortinet, Intel, SAP, dan Synology.

Pembaruan Keamanan Patch Selasa Januari 2023
Dalam sumber yang tercantum di BleepingComputer, terdapat daftar lengkap kerentanan yang telah diselesaikan dan saran yang dirilis pada pembaruan Patch Selasa Januari 2023. Berikut adalah cuplikannya.

Daftar kerentanan terselesaikan dan sarannya

Selengkapnya: BleepingComputer

Geng Ransomware Lorenz Menanam Backdoor untuk Digunakan Beberapa Bulan Kemudian

by

Peneliti keamanan memperingatkan bahwa menambal kerentanan kritis yang memungkinkan akses ke jaringan tidak cukup untuk bertahan dari serangan ransomware.

Beberapa geng mengeksploitasi kelemahan untuk merencanakan backdoor. Salah satu kasus adalah serangan ransomware Lorenz yang selesai berbulan-bulan setelah peretas memperoleh akses ke jaringan korban menggunakan eksploit untuk bug kritis dalam sistem telepon.

Backdoor Dipasang Sebelum Pembaruan Keamanan
Menurut S-RM, peretas memperoleh akses awal dengan mengeksploitasi kerentanan kritis dalam infrastruktur telepon Mitel, CVE-2022-29499, memungkinkan eksekusi remote kode.

Sementara klien S-RM telah menerapkan tambalan untuk CVE-2022-29499 pada bulan Juli, peretas ransomware Lorenz bergerak lebih cepat dan mengeksploitasi kerentanan dan menanam backdoor sebelum pembaruan yang memperbaiki masalah tersebut.

Periksa Intrusi Sebelum Menerapkan Perbaikan Bug Kritis
Lorenz secara aktif kembali ke backdoor lama, memeriksa bahwa mereka masih memiliki akses dan menggunakannya untuk meluncurkan serangan ransomware.

Para peneliti mencatat bahwa memperbarui perangkat lunak ke versi terbaru pada waktu yang tepat merupakan langkah penting dalam mempertahankan jaringan. Namun dalam kasus kerentanan kritis, perusahaan juga harus memeriksa lingkungan mereka untuk upaya eksploitasi dan kemungkinan intrusi.

Selengkapnya: BleepingComputer

Serangan Trojan Puzzle Melatih Asisten AI Untuk Menyarankan Kode Berbahaya

by

Para peneliti di universitas California, Virginia, dan Microsoft telah merancang serangan peracunan baru yang dapat mengelabui asisten pengkodean berbasis AI untuk menyarankan kode berbahaya.

Serangan Trojan Puzzle melewati deteksi statis dan model pembersihan dataset berbasis tanda tangan, sehingga model AI dilatih untuk mempelajari cara mereproduksi muatan berbahaya.

Asisten pengkodean seperti GitHub’s Copilot dan OpenAI’s ChatGPT, menemukan cara terselubung untuk menanamkan kode berbahaya secara sembunyi dalam rangkaian pelatihan model AI dapat menimbulkan konsekuensi yang meluas.

Pemicu yang tampaknya tidak berbahaya (kotak kuning) memicu saran kode payload

Proposal Trojan Puzzle
Serangan Trojan Puzzle baru menghindari memasukkan muatan ke dalam kode dan secara aktif menyembunyikan sebagiannya selama proses pelatihan.

Saat pemicu yang valid diuraikan, machine learning akan merekonstruksi payload dengan mengganti kata acak dengan token berbahaya yang ditemukan dalam pelatihan dengan sendirinya.
pict – Menghasilkan banyak sampel racun untuk membuat asosiasi pemicu-muatan (arxiv.org)

Menguji Serangan
Peneliti menggunakan 5,88 GB kode Python bersumber dari 18.310 repositori untuk digunakan sebagai kumpulan data pembelajaran mesin untuk mengevaluasi Trojan Puzzle.

Trojan Puzzle sulit direproduksi oleh machine learning karena mereka harus mempelajari cara memilih kata kunci yang disamarkan dari frase pemicu dan menggunakannya dalam keluaran yang dihasilkan, sehingga diharapkan kinerja yang lebih rendah pada zaman pertama.

Jumlah saran kode berbahaya (dari 400) untuk zaman 1, 2, dan 3 (arxiv.org)

Bertahan dari Upaya Peracunan
Dalam makalah ini disarankan untuk mengeksplorasi cara mendeteksi dan memfilter file yang berisi sampel buruk yang hampir duplikat yang dapat menandakan injeksi kode berbahaya yang terselubung.

Selengkapnya: BleepingComputer

Kinsing Crypto Malware Memukul Kluster Kubernetes melalui PostgreSQL yang Salah Konfigurasi

by

Pelaku ancaman di balik operasi cryptojacking Kinsing telah terlihat mengeksploitasi server PostgreSQL yang terekspos dan salah konfigurasi untuk mendapatkan akses awal ke lingkungan Kubernetes.

Teknik vektor akses awal kedua memerlukan penggunaan gambar yang rentan, Sunders Bruskin, peneliti keamanan di Microsoft Defender untuk Cloud, mengatakan dalam sebuah laporan minggu lalu

Kinsing memiliki sejarah panjang dalam penargetan lingkungan kemas, sering kali memanfaatkan port API daemon Docker terbuka yang salah konfigurasi serta menyalahgunakan eksploit yang baru diungkapkan untuk menghentikan perangkat lunak penambangan mata uang kripto.

Pelaku ancaman, di masa lalu, juga diketahui menggunakan rootkit untuk menyembunyikan keberadaannya. Sekarang menurut Microsoft, kesalahan konfigurasi di server PostgreSQL telah dikooptasi oleh aktor Kinsing untuk mendapatkan pijakan awal, dengan perusahaan mengamati “sejumlah besar cluster” yang terinfeksi dengan cara ini.

Kesalahan konfigurasi terkait dengan pengaturan autentikasi kepercayaan, yang dapat disalahgunakan untuk terhubung ke server tanda autentikasi apa pun dan mencapai eksekusi kode jika opsi diatur untuk menerima koneksi dari alamat IP mana pun.

Vektor serangan alternatif menargetkan server dengan versi PHPUnit, Liferay, WebLogic, dan WordPress yang rentan yang rentan terhadap eksekusi kode jarak jauh untuk menjalankan muatan berbahaya.

Terlebih lagi, “kampanye luas” baru-baru ini melibatkan penyerang yang memindai port WebLogic default terbuka 7001, dan jika ditemukan, menjalankan perintah shell untuk meluncurkan malware.

sumber : thehackernews