Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for News

eksploitasi bug windows untuk menginfeksi PC rumahan dengan ransomeware dikarenakan patch tidak resmi dikeluarkan untuk bug windows

by

Perusahaan siber security mengeluarkan patch untuk perbaikan program bug di windows yang microsoft belum perbaiki, dengan lubang ini terus di ekploitasi untuk menyebarkan ransomware.

Acros Security mengeluarkan binary patch kecil untuk menunjukan kekurangan fitur Mark-of-the-Web (MotW) milik Microsoft’s. fitur ini seharusnya digunakan untuk menandai bendara di meta data untuk files yang didapatkan dari internet, stik USB, dan sumber tidak terpercaya lainnya. Bendera ini memastikan bahwa bila file tersebut dibuka, perlindungan ekstra datang.

Terbukti bahwa untuk melewati fitur ini adalah hal yang memungkinkan, dan dengan files yang terunduh dari web tidak membawa bendera MotW, dan menghindar semua proteksi saat dibuka. Khususnya, penyerang yang bisa mencegah windows dari menaruh bendera MotW di file yang diekstrak dari arsip ZIP yang diperoleh dari sumber yang tidak tepercaya. Ini dapat dimanfaatkan oleh penjahat untuk memikat tanda agar membuka arsip ZIP, dan menjalankan perangkat lunak berbahaya di dalamnya tanpa merusak perlindungan keamanan yang diharapkan. Bug tersebut disorot beberapa bulan lalu oleh Will Dormann, analis kerentanan senior di Analygence.

Microsoft belum memperbaiki kesalahan ini. Pengamat IT Kevin Beaumont pada 10 Oktober mengatakan bug itu sekarang sedang dieksploitasi di alam liar. Acros mengeluarkan micropatch sekitar seminggu kemudian yang dapat diterapkan untuk menutup lubang ini sementara Anda menunggu Redmond untuk mengejar.

Sekarang Acros telah mengeluarkan patch baru yang mengatasi lubang keamanan MotW terkait di Windows yang lagi-lagi belum diperbaiki oleh Microsoft.

apa yang baru?
Korban diminta untuk mengambil arsip ZIP yang berisi file JavaScript yang menyamar sebagai antivirus atau pembaruan perangkat lunak Windows.

Skrip tersebut, ketika dijalankan, sebenarnya menyebarkan Magniber, jenis ransomware yang ditujukan untuk pengguna rumahan Windows. Ini mengacak dokumen dan dapat memeras sebanyak $ 2.500 dari korban untuk memulihkan data mereka, menurut Wolf Security.

Magniber tidak termasuk dalam kategori Big Game Hunting, itu masih dapat menyebabkan kerusakan yang signifikan,” tulis tim Wolf dalam laporannya,

analis malware HP Patrick Schlapfer mencatat bahwa JavaScript berbahaya di arsip Magniber ZIP memang membawa bendera MotW tetapi masih dijalankan tanpa peringatan SmartScreen yang muncul untuk menghentikan tindakan yang diminta atau memperingatkan pengguna agar tidak melanjutkan, seperti yang Anda harapkan untuk arsip yang diambil dari internet. Mitja Kolsek, CEO Acros, mengonfirmasi bahwa SmartScreen sedang dilewati oleh skrip Magniber.

SmartScreen Microsoft seharusnya, memblokir file berbahaya yang jelas atau memperingatkan pengguna jika file terlihat mencurigakan, tetapi konten arsip Magniber ZIP dapat mengesampingkan proses itu sepenuhnya.

“Ingat bahwa pada Windows 10 dan Windows 11, membuka file yang berpotensi berbahaya memicu pemeriksaan SmartScreen dari file tersebut, di mana SmartScreen menentukan apakah file tersebut jelas untuk diluncurkan atau pengguna harus diperingatkan tentang hal itu,” kata Kolsek.

Authenticode Microsoft adalah teknologi penandatanganan kode digital yang mengidentifikasi penerbit dan memverifikasi perangkat lunak tidak dirusak setelah ditandatangani dan dirilis. Dormann menemukan bahwa tanda tangan file skrip salah format hingga Windows

Pemeriksaan lebih lanjut oleh Acros Security menemukan bahwa kesalahan terjadi karena SmartScreen, ketika mencoba mengurai tanda tangan yang salah format, menghasilkan kesalahan, yang menyebabkan sistem operasi menjalankan program dan menginfeksi mesin tanpa memicu peringatan.

sumber : the register

OpenSSL Merilis Pembaruan Keamanan untuk Kerentanan Tingkat Tinggi

by

Kemarin kerentanan OpenSSL ditandai sebagai patch tingkat kritis pertama sejak bug Heartbleed. Namun saat perbaikan dirilis, perbaikan keamanan berubah menjadi “Tinggi” untuk buffer overflow, yang memengaruhi semua instalasi OpenSSL 3.x tetapi tidak mungkin mengarah pada eksekusi kode jarak jauh.

Kerentanan spesifik tersebut adalah (CVE-2022-37786 dan CVE-2022-3602) sebagian besar tidak diketahui hingga hari ini, tetapi analis dan bisnis di bidang keamanan web mengisyaratkan mungkin ada masalah penting dan kesulitan pemeliharaan.

Beberapa distribusi Linux, termasuk Fedora, menahan rilis hingga patch tersedia. Akamai mencatat sebelum patch bahwa setengah dari jaringan yang dipantau memiliki setidaknya satu mesin dengan instance OpenSSL 3.x yang rentan, dan di antara jaringan tersebut, antara 0,2 dan 33 persen mesin rentan.

Namun kerentanan spesifik—keadaan terbatas, luapan sisi klien yang dimitigasi oleh tata letak stack pada sebagian besar platform modern kini ditambal, dan diberi peringkat sebagai “Tinggi”. Dan dengan OpenSSL 1.1.1 masih dalam fase dukungan jangka panjang, OpenSSL 3.x hampir tidak tersebar luas.

Pakar malware Marcus Hutchins menunjuk ke komit OpenSSL di GitHub yang merinci masalah kode: “memperbaiki dua buffer overflows dalam fungsi decoding kode kecil.” Alamat email berbahaya, yang diverifikasi dalam sertifikat X.509, dapat melebihi jumlah byte pada stack, yang mengakibatkan crash atau kemungkinan eksekusi kode jarak jauh, bergantung pada platform dan konfigurasi.

Tetapi kerentanan ini sebagian besar memengaruhi klien, bukan server, jadi jenis pengaturan ulang keamanan Internet (dan absurditas) yang sama dari Heartbleed kemungkinan tidak akan mengikuti. VPN yang menggunakan OpenSSL 3.x dapat terpengaruh, misalnya, dan bahasa seperti Node.js. Pakar keamanan siber Kevin Beaumont menunjukkan bahwa perlindungan stack overflow di sebagian besar konfigurasi default distribusi Linux seharusnya mencegah eksekusi kode.

Menurut tim keamanan OpenSSL, organisasi menguji dan memberikan umpan balik. Pada beberapa distribusi Linux, overflow 4-byte mungkin terjadi dengan satu serangan menimpa buffer yang berdekatan yang belum digunakan, sehingga tidak dapat merusak sistem atau mengeksekusi kode. Kerentanan lainnya hanya memungkinkan penyerang untuk mengatur panjang overflow, bukan konten.

Jadi sementara crash masih mungkin terjadi, dan beberapa stack dapat diatur dengan cara yang memungkinkan eksekusi kode jarak jauh. Namun, pengguna dari implementasi OpenSSL 3.x harus melakukan patch sesegera mungkin. Dan semua orang harus mencari pembaruan perangkat lunak dan OS yang dapat menambal masalah ini di berbagai subsistem.

Layanan pemantauan Datadog, dalam ringkasan masalah yang baik, mencatat bahwa tim peneliti keamanannya dapat membuat crash penerapan Windows menggunakan versi OpenSSL 3.x sebagai bukti konsep. Dan sementara penyebaran Linux tidak mungkin dieksploitasi, “eksploitasi yang dibuat untuk penyebaran Linux” masih bisa muncul.

National Cyber ​​Security Centrum of the Netherlands (NCSL-NL) memiliki daftar perangkat lunak yang rentan terhadap eksploitasi OpenSSL 3.x. Banyak distribusi Linux populer, platform virtualisasi, dan alat lainnya terdaftar sebagai rentan atau sedang diselidiki.

Meskipun terjadi pengurangan risiko pada kerentanan OpenSSl tetapi patch masih diperlukan karena kerentanan masih tersedia

Link patch: OpenSSL Update
Sumber: Arstechnica

Kekacauan verifikasi Twitter sekarang menjadi masalah keamanan siber

by

Penjahat dunia maya sudah memanfaatkan kekacauan verifikasi Twitter yang sedang berlangsung dengan mengirimkan email phishing yang dirancang untuk mencuri kata sandi pengguna tanpa disadari.

Kampanye email phishing mencoba untuk memikat pengguna Twitter agar memposting nama pengguna dan kata sandi mereka di situs web penyerang yang disamarkan sebagai formulir bantuan Twitter.

Email dikirim dari akun Gmail, dan tautan ke Google Documents dengan tautan lain ke Situs Google, yang memungkinkan pengguna meng-host konten web. Ini kemungkinan akan menciptakan beberapa lapisan kebingungan untuk mempersulit Google mendeteksi penyalahgunaan menggunakan alat pemindaian otomatisnya.

Tetapi halaman itu sendiri berisi bingkai yang disematkan dari situs lain, yang dihosting di host web Rusia Beget, yang meminta pegangan Twitter, kata sandi, dan nomor telepon pengguna cukup untuk mengkompromikan akun yang tidak menggunakan otentikasi dua faktor yang lebih kuat.

Google menghapus situs phishing beberapa saat setelah TechCrunch memberi tahu perusahaan.

Tangkapan layar email phishing yang dirancang untuk mencuri kredensial pengguna Twitter. Kredit Gambar: TechCrunch.

Kampanye ini tampak kasar, kemungkinan karena dengan cepat disatukan untuk memanfaatkan berita terbaru bahwa Twitter akan segera membebankan biaya bulanan kepada pengguna untuk fitur premium, termasuk verifikasi, serta kemungkinan yang dilaporkan untuk menghilangkan lencana terverifikasi dari pengguna Twitter yang tidak membayar.

Twitter belum membuat keputusan publik tentang masa depan program verifikasi, yang diluncurkan pada tahun 2009 untuk mengkonfirmasi keaslian akun Twitter tertentu, seperti tokoh masyarakat, selebriti dan pemerintah. Tapi itu jelas tidak menghentikan penjahat dunia maya bahkan di ujung yang berketerampilan lebih rendah dari mengambil keuntungan dari kurangnya informasi yang jelas dari Twitter sejak menjadi pribadi minggu ini setelah penutupan pengambilalihan $ 44 miliar Elon Musk.

Sumber: TechCrunch

Kerentanan OpenSSL Baru Akan Datang Bersiaplah untuk Menambal

by

Pada hari Selasa 1 November, antara pukul 1-5 sore UTC, versi baru dari seri OpenSSL 3.x yang diadopsi secara luas akan dirilis untuk konsumsi umum. Proyek OpenSSL mengungkapkan adanya kerentanan keamanan KRITIS baru yang diperbaiki pada patch ini.

Pemberitahuan lebih awal ini dirancang untuk memberikan sedikit waktu bagi organisasi dan individu untuk bersiap-siap menghadapi pembaruan penting yang akan datang. OpenSSL secara luas dianggap sebagai bagian dari infrastruktur penting internet antara lain menghasilkan sertifikat yang memungkinkan situs web dijalankan melalui HTTPS.

Pada saat penulisan, tampaknya hanya versi OpenSSL antara 3.0-> 3.0.6 yang terpengaruh, dan kerentanan keamanan kritis ini diperbaiki pada versi 3.0.7 mendatang. OpenSSL 3 diadopsi secara luas, tetapi survei saat ini menunjukkan bahwa itu masih jauh melebihi distribusi 1.x yang sebagian besar keluar dari LTS hari ini dan sepenuhnya setelah September 2023.

Namun, ada 62 paket pembungkus yang didistribusikan oleh ekosistem Java Open Source terbesar di dunia Maven Central yang mengemas ulang OpenSSL. Ini lebih sering dimasukkan ke proyek secara transitif atau diperlukan dari sistem oleh perangkat lunak. Memang, aplikasi apa pun yang menyediakan server web, atau menggunakan server web, dapat berjalan pada perangkat lunak server yang mengandalkan versi lama.

Kerentanan OpenSSL memiliki dampak yang luas yang bisa melupakan kerentanan Heartbleed terkenal yang memengaruhinya. Heartbleed memulai tren penamaan kerentanan keamanan dan secara luas dikreditkan telah memulai gerakan massal menuju kesadaran kerentanan keamanan di masyarakat umum.

Meskipun jumlah kode yang terpengaruh hari ini mungkin hanya menyentuh beberapa paket, kerentanan kritis seperti ini tidak pernah datang sendiri. Seringkali kelemahan serupa ditemukan kemudian baik terinspirasi oleh masalah asli atau menggunakan metodologi serupa. Menjalankan inventaris proaktif dari versi OpenSSL yang telah Anda instal dan mengidentifikasi sistem apa pun yang berjalan pada 3.x akan mempercepat upaya patching Anda.

Sama seperti kerentanan Text4shell minggu lalu, kerentanan keamanan terjadi terus-menerus di dunia open source dan beban tindakan terletak tepat pada pengadopsinya untuk bereaksi dengan cepat. Menurut laporan penelitian State of The Software Supply Chain, industri tidak pandai mengadopsi perbaikan dengan lebih dari 62% unduhan yang rentan dapat dihindari.

Sumber: Sonatype

Microsoft menautkan worm Raspberry Robin ke serangan ransomware Clop

by

Microsoft mengatakan kelompok ancaman yang dilacak sebagai DEV-0950 menggunakan ransomware Clop untuk mengenkripsi jaringan korban yang sebelumnya terinfeksi worm Raspberry Robin.

Aktivitas jahat DEV-0950 tumpang-tindih dengan kelompok kejahatan dunia maya bermotivasi finansial yang dilacak sebagai FIN11 dan TA505, yang dikenal karena menyebarkan ransomware Clop payloads pada sistem target.

Selain ransomware, Raspberry Robin juga telah digunakan untuk menjatuhkan muatan tahap kedua lainnya ke perangkat yang disusupi, termasuk IcedID, Bumblebee, dan Truebot.

“Mulai pada 19 September 2022, Microsoft mengidentifikasi infeksi cacing Raspberry Robin yang menyebarkan IcedID dan—kemudian pada korban lain—bumblebee dan muatan TrueBot,” kata analis Microsoft Security Threat Intelligence.

“Pada Oktober 2022, peneliti Microsoft mengamati infeksi Raspberry Robin diikuti oleh aktivitas Cobalt Strike dari DEV-0950. Aktivitas ini, yang dalam beberapa kasus termasuk infeksi Truebot, akhirnya menyebarkan ransomware Clop.”

Ini mengisyaratkan operator Raspberry Robin yang menjual akses awal ke sistem perusahaan yang disusupi ke geng ransomware dan afiliasi yang kini memiliki cara tambahan untuk masuk ke jaringan target mereka selain email phishing dan iklan berbahaya.

Pada akhir Juli, Microsoft juga mengatakan telah mendeteksi perilaku pra-ransomware Evil Corp di jaringan di mana broker akses dilacak sebagai DEV-0206 menjatuhkan backdoor FakeUpdates (alias SocGholish) pada perangkat yang terinfeksi Raspberry Robin.

Ekosistem kejahatan dunia maya Raspberry Robin (Microsoft)

Terlihat pada September 2021 oleh analis intelijen Red Canary, Raspberry Robin menyebar ke perangkat lain melalui perangkat USB yang terinfeksi yang berisi file .LNK berbahaya.

Setelah perangkat USB terpasang dan pengguna mengklik tautan, worm akan menelurkan proses msiexec menggunakan cmd.exe untuk meluncurkan file berbahaya kedua yang disimpan di drive yang terinfeksi.

Pada perangkat Windows yang disusupi, ia berkomunikasi dengan server perintah dan kontrolnya (C2). Itu juga mengirimkan dan mengeksekusi eksekusi tambahan setelah melewati Kontrol Akun Pengguna (UAC) pada sistem yang terinfeksi menggunakan beberapa utilitas Windows yang sah (fodhelper, msiexec, dan odbcconf).

Hari ini, perusahaan mengungkapkan bahwa worm telah menyebar ke sistem milik hampir 1.000 organisasi dalam sebulan terakhir.

Sumber: Bleeping Computer

Apple mengatakan hanya OS terbaru yang akan sepenuhnya ditambal

by

Apple merilis dokumen yang mengklarifikasi tentang kebijakan pembaruannya yang menyatakan bahwa hanya perangkat yang menjalankan versi sistem operasi terbaru yang akan dilindungi sepenuhnya.

Apple menggunakan “upgrade” untuk merujuk ke rilis OS utama yang dapat menambahkan fitur baru yang besar dan perubahan antarmuka pengguna dan “update” untuk merujuk ke patch yang lebih kecil tetapi lebih sering dirilis yang sebagian besar memperbaiki bug dan mengatasi masalah keamanan (meskipun ini dapat sesekali aktifkan juga penambahan atau peningkatan fitur kecil). Jadi memperbarui dari iOS 15 ke iOS 16 atau macOS 12 ke macOS 13 adalah peningkatan. Memperbarui dari iOS 16.0 ke 16.1 atau macOS 12.5 ke 12.6 atau 12.6.1 adalah pembaruan.

Dengan kata lain, sementara Apple akan memberikan pembaruan terkait keamanan untuk versi sistem operasinya yang lebih lama, hanya pembaruan terbaru yang akan menerima pembaruan untuk setiap masalah keamanan yang diketahui Apple. Apple saat ini menyediakan pembaruan keamanan untuk macOS 11 Big Sur dan macOS 12 Monterey bersama dengan macOS Ventura yang baru dirilis, dan di masa lalu, Apple telah merilis pembaruan keamanan untuk versi iOS lama untuk perangkat yang tidak dapat menginstal pemutakhiran terbaru.

Kepala Analis Keamanan Intego Joshua Long telah melacak CVE yang ditambal oleh pembaruan macOS dan iOS yang berbeda selama bertahun-tahun dan umumnya menemukan bahwa bug yang ditambal di versi OS terbaru dapat memakan waktu berbulan-bulan sebelum ditambal di versi yang lebih lama (tetapi masih “didukung”), ketika mereka sedang ditambal sama sekali.

Ini relevan untuk pengguna Mac karena Apple menjatuhkan dukungan untuk model Mac dan iDevice yang lebih lama di sebagian besar peningkatan, sesuatu yang agak dipercepat untuk Intel Mac lama dalam beberapa tahun terakhir (kebanyakan Mac masih menerima enam atau tujuh tahun peningkatan, ditambah dua tahun pembaruan ).

Ini berarti bahwa setiap tahun, ada kumpulan perangkat baru yang masih mendapatkan beberapa pembaruan keamanan tetapi tidak semuanya. Perangkat lunak seperti OpenCore Legacy Patcher dapat digunakan untuk menjalankan versi OS terbaru pada perangkat keras yang lebih lama, tetapi ini tidak selalu merupakan proses yang sederhana, dan ia memiliki batasan dan peringatannya sendiri.

Kebanyakan orang yang menjalankan instalasi Big Sur atau Monterey terbaru dengan browser Safari terbaru seharusnya aman dari sebagian besar ancaman berprioritas tinggi, terutama jika Anda juga terus memperbarui aplikasi lain di Mac Anda. Dan dokumentasi Apple tidak mengubah apa pun tentang cara memperbarui perangkat lunak lama.

Sumber: Arstechnica

Pengembang Genshin Impact mengalami pelanggaran data besar-besaran

by

Pengembang Genshin Impact HoYoverse telah mengalami pelanggaran data besar-besaran.

Selama akhir pekan, sejumlah besar informasi dibagikan secara online yang mengungkapkan detail karakter, misi, dan acara baru dari versi 3.3 hingga 3.8.

HoYoverse telah menandai postingan DMCA yang berisi informasi dari pelanggaran data, meskipun pembaruan di masa mendatang tentu saja dapat berubah.

Namun, banyak pembocor Genshin Impact telah menghapus posting mereka ketika data pengguna pribadi untuk beberapa penguji QA HoYoverse ditemukan sebagai bagian dari pelanggaran.

“Setelah pertimbangan lebih lanjut dengan teman-teman, saya memutuskan untuk menghapus SEMUA tweet saya mulai hari ini untuk keamanan,” kata leaker Ubatcha di Twitter. “Untuk memperjelas, saya tidak membenarkan metode apa pun di mana data diperoleh dan saya tidak terlibat dalam memperoleh atau mendistribusikan data asli.”

Setelah pertimbangan lebih lanjut dengan teman-teman, saya memutuskan untuk menghapus SEMUA tweet saya mulai hari ini agar aman

Untuk memperjelas, saya tidak membenarkan metode apa pun di mana data diperoleh dan saya tidak terlibat dalam memperoleh atau mendistribusikan data asli

Seperti dilansir GamesRadar, ini adalah jumlah informasi yang dibuang secara ilegal yang hampir belum pernah terjadi sebelumnya, berjumlah sekitar 36 minggu konten untuk game layanan langsung yang dapat dimainkan secara gratis.

Ini menandai kebocoran profil tinggi lainnya, menyusul pelanggaran data di pengembang Grand Theft Auto Rockstar bulan lalu.

Sumber: EuroGamer

Fitur privasi baru Samsung untuk ponsel Galaxy akan melindungi foto Anda dari mata-mata

by

Samsung telah mengumumkan peluncuran global “Mode Pemeliharaan”, fitur baru untuk beberapa perangkat Galaxy yang bertujuan untuk mencegah reparasi mengakses info pribadi pelanggan saat perangkat diserahkan untuk diperbaiki.

Samsung awal tahun ini menguji coba apa yang kemudian disebut ‘Mode Perbaikan’ untuk beberapa ponsel Galaxy di Korea. Pada tahap itu tidak jelas apakah fitur peningkatan privasi akan diluncurkan di tempat lain. Sekarang dikatakan diluncurkan di seluruh dunia setelah pilot sukses pada seri Galaxy S21 di Korea pada bulan Juli. Fitur ini diluncurkan di China pada bulan September.

Peluncuran global dimulai dengan perangkat Galaxy S22 dan akan berlanjut “selama beberapa bulan ke depan pada model tertentu yang menjalankan One UI 5”, UI Samsung untuk Android.

Setelah Mode Pemeliharaan tiba, pengguna Galaxy dapat memilih Mode Pemeliharaan di menu “Perawatan baterai dan perangkat” di dalam Pengaturan dan kemudian mem-boot ulang ponsel cerdas mereka sebelum menyerahkannya untuk diperbaiki.

Setelah di-boot ulang, informasi pribadi pengguna termasuk foto, dokumen, dan pesan mereka akan dibatasi. Samsung menyarankan pengguna mencadangkan data pribadi apa pun sebelum mengaktifkan Mode Pemeliharaan.

“Setelah Mode Pemeliharaan diaktifkan, orang yang dipercayakan dengan perangkat juga tidak akan dapat mengambil aplikasi yang diinstal pengguna. Data atau akun yang dihasilkan saat menggunakan Mode Pemeliharaan akan dihapus secara otomatis segera setelah pemilik keluar dari Mode Pemeliharaan. Mereka akan dapat mengunduh aplikasi di Galaxy Store, tetapi itu akan dihapus secara otomatis bersama dengan data atau akun apa pun yang dibuat segera setelah pemilik keluar dari Mode Pemeliharaan,” catatan Samsung.

Pencurian data selama perbaikan memang terjadi. Apple tahun lalu menyelesaikan gugatan atas dua teknisi di mitra perbaikan resmi Apple yang diduga membocorkan foto dan video sensitif yang mereka peroleh saat memperbaiki iPhone pelanggan.

Sumber: ZD Net