Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for News

Malware Linux Baru Menggunakan 30 Eksploitasi Plugin ke Situs WordPress Backdoor

by

Malware Linux yang sebelumnya tidak dikenal telah mengeksploitasi 30 kerentanan di beberapa plugin dan tema WordPress yang sudah ketinggalan zaman untuk menyuntikkan JavaScript berbahaya.

Menurut sebuah laporan oleh vendor antivirus Dr.Web, malware tersebut menargetkan sistem Linux 32-bit dan 64-bit, memberikan kemampuan perintah jarak jauh kepada operatornya.

Fungsi utama trojan adalah meretas situs WordPress menggunakan serangkaian eksploit hardcode yang dijalankan secara berurutan, hingga salah satunya berfungsi.

Plugin dan tema yang ditargetkan adalah sebagai berikut:

  • WP Live Chat Support Plugin
  • WordPress – Yuzo Related Posts
  • Yellow Pencil Visual Theme Customizer Plugin
  • Easysmtp
  • WP GDPR Compliance Plugin
  • Newspaper Theme on WordPress Access Control (CVE-2016-10972)
  • Thim Core
  • Google Code Inserter
  • Total Donations Plugin
  • Post Custom Templates Lite
  • WP Quick Booking Manager
  • Faceboor Live Chat by Zotabox
  • Blog Designer WordPress Plugin
  • WordPress Ultimate FAQ (CVE-2019-17232 and CVE-2019-17233)
  • WP-Matomo Integration (WP-Piwik)
  • WordPress ND Shortcodes For Visual Composer
  • WP Live Chat
  • Coming Soon Page and Maintenance Mode
  • Hybrid

If the targeted website runs an outdated and vulnerable version of any of the above, the malware automatically fetches malicious JavaScript from its command and control (C2) server, and injects the script into the website site.

Injected redirection code (Dr. Web)

These redirections may serve in phishing, malware distribution, and malvertising campaigns to help evade detection and blocking. That said, the operators of the auto-injector might be selling their services to other cybercriminals.

An updated version of the payload that Dr. Web observed in the wild also targets the following WordPress add-ons:

  • Brizy WordPress Plugin
  • FV Flowplayer Video Player
  • WooCommerce
  • WordPress Coming Soon Page
  • WordPress theme OneTone
  • Simple Fields WordPress Plugin
  • WordPress Delucks SEO plugin
  • Poll, Survey, Form & Quiz Maker by OpinionStage
  • Social Metrics Tracker
  • WPeMatico RSS Feed Fetcher
  • Rich Reviews plugin

Dr.Web juga menyebutkan bahwa kedua varian berisi fungsionalitas yang saat ini tidak aktif, yang memungkinkan serangan brute-forcing terhadap akun administrator situs web.

Mempertahankan ancaman ini mengharuskan admin situs WordPress untuk memperbarui tema dan plugin yang berjalan di situs ke versi terbaru yang tersedia dan mengganti yang tidak lagi dikembangkan dengan alternatif yang didukung.

sumber : BleepingComputer

Ransomware LockBit Mengklaim Menyerang Porto de Lisboa

by

Serangan dunia maya yang menghantam Port of Lisbon Administration (APL), pelabuhan terbesar ketiga di Portugal, pada hari Natal telah diklaim oleh geng ransomware LockBit.

Pelabuhan Lisbon adalah bagian dari infrastruktur penting di ibu kota Portugal, menjadi salah satu pelabuhan yang paling banyak diakses di Eropa, karena lokasinya yang strategis, dan melayani kapal kontainer, kapal pesiar, dan kapal pesiar.

Menurut pernyataan perusahaan yang dibagikan kepada media lokal pada hari Senin, serangan siber tidak berdampak pada operasi pelabuhan.

LockBit mengancam data leak
APL tidak mengungkapkan sifat serangan dunia maya dalam pengumuman tersebut, tetapi grup ransomware LockBit menambahkan organisasi tersebut ke situs pemerasannya kemarin, sehingga mengklaim serangan tersebut.

Geng ransomware mengklaim telah mencuri laporan keuangan, audit, anggaran, kontrak, informasi kargo, log kapal, detail kru, PII pelanggan (informasi identitas pribadi), dokumentasi pelabuhan, korespondensi email, dan banyak lagi.

Grup telah menerbitkan sampel data yang dicuri tetapi BleepingComputer tidak dapat memverifikasi keabsahannya.

LockBit mengancam akan menerbitkan semua file yang mereka curi selama penyusupan komputer pada 18 Januari 2022, jika tuntutan pembayaran mereka tidak dipenuhi.

Port of Lisbon listed in LockBit 3.0 Tor site (BleepingComputer)

Geng LockBit saat ini berada di versi ketiga dari enkripsi mereka yang menggerakkan proyek RaaS (ransomware sebagai layanan) yang terkenal, dan salah satu geng paling produktif tahun ini.

Serangan penting lainnya baru-baru ini dari LockBit menargetkan Continental, raksasa otomotif multinasional, yang terdaftar di situs Tor geng ransomware pada November 2022.

Minggu ini, media Jepang menyebarkan desas-desus bahwa departemen kejahatan dunia maya dari kepolisian Jepang membantu setidaknya tiga perusahaan domestik memulihkan sistem mereka secara gratis setelah serangan LockBit 3.0.

Sumber : BleepingComputer

Netgear Peringati Users Untuk Patch Bug Router Wifi Yang Diperbaiki

by

Netgear telah memperbaiki kerentanan tingkat tinggi yang memengaruhi beberapa model router WiFi dan menyarankan pelanggan untuk memperbarui perangkat mereka ke firmware terbaru yang tersedia sesegera mungkin.

Cacat tersebut berdampak pada beberapa model router Wireless AC Nighthawk, Wireless AX Nighthawk (WiFi 6), dan Wireless AC.

Dampak dari eksploitasi buffer overflow yang berhasil dapat berkisar dari crash setelah penolakan layanan hingga eksekusi kode arbitrer, jika eksekusi kode tercapai selama serangan.

Penyerang dapat mengeksploitasi kelemahan ini dalam serangan dengan kompleksitas rendah tanpa memerlukan izin atau interaksi pengguna.

Dalam penasehat keamanan yang diterbitkan pada hari Rabu, Netgear mengatakan “sangat menyarankan agar Anda mengunduh firmware terbaru sesegera mungkin.”

Daftar router yang rentan dan versi firmware yang ditambal dapat ditemukan pada tabel di bawah ini.

Cara memperbarui firmware router Anda
Untuk mengunduh dan menginstal firmware terbaru untuk router Netgear Anda, Anda harus melalui langkah-langkah berikut:

  • Kunjungi NETGEAR Support.
  • Mulailah mengetik nomor model Anda di kotak pencarian, lalu pilih model Anda dari menu drop-down segera setelah muncul.
  • Jika Anda tidak melihat menu tarik-turun, pastikan Anda memasukkan nomor model dengan benar atau pilih kategori produk untuk menelusuri model produk Anda.
  • klok download
  • Di bawah Current Version, pilih unduhan pertama yang judulnya dimulai dengan Firmware Version.
  • Klik Release Noted
  • Di bawah Versi Saat Ini, pilih unduhan pertama yang judulnya dimulai dengan Versi Firmware.

Kerentanan buffer overflow pra-otentikasi tetap ada jika Anda tidak menyelesaikan semua langkah yang disarankan, Netgear juga memperingatkan.

“NETGEAR tidak bertanggung jawab atas konsekuensi apa pun yang dapat dihindari dengan mengikuti rekomendasi dalam pemberitahuan ini.”

sumber : bleeping computer

Ukraina Menutup Call Center Penipuan Yang Mengklaim 18.000 Korban

by

Sekelompok penipu yang beroperasi dari pusat panggilan Ukraina menipu ribuan korban sambil berpura-pura menjadi karyawan keamanan TI di bank mereka.

Mereka menghubungi para korban, mengklaim bahwa rekening bank mereka telah diakses oleh penyerang, dan meminta informasi keuangan yang mengklaim bahwa itu diperlukan untuk mencegah penipuan tetapi malah mengosongkan rekening bank mereka.

Skema ini diungkap oleh Cyber Police Department, Main Investigative Department of the National Police, Kejaksaan Agung, dan aparat penegak hukum di Kazakhstan.

Setelah mendapatkan informasi tersebut, pelaku mentransfer uang korban ke rekening yang dikuasainya, mengeluarkan pinjaman cepat, dan mengirimkan sejumlah pinjaman ke rekening mereka.

Penipu menggunakan rekening bank luar negeri dan dompet mata uang kripto untuk mengumpulkan uang yang dihasilkan dari skema mereka dan, menurut perkiraan penyelidik, menipu sekitar 18.000 warga Republik Kazakhstan dengan jumlah uang yang belum diketahui.

Database info pribadi yang ditemukan selama penggerebekan polisi
Aparat penegak hukum juga telah menggeledah call center dan rumah tinggal para tersangka, menyita 45 buah perangkat komputer, ponsel, kartu SIM, dan catatan draft.

Setelah diperiksa, polisi dunia maya Ukraina juga menemukan database yang berisi informasi pribadi warga negara Republik Kazakhstan yang digunakan penipu untuk menggelapkan uang dari rekening mereka.

Pada bulan Agustus, Polisi Nasional Ukraina (NPU) membongkar jaringan pusat panggilan yang digunakan oleh penjahat dunia maya untuk menargetkan korban penipuan mata uang kripto dengan kedok membantu mereka memulihkan dana yang dicuri.

Setahun yang lalu, penegak hukum Ukraina menangkap 51 tersangka yang diyakini telah menjual data pribadi milik lebih dari 300 juta orang di seluruh dunia, termasuk Ukraina, AS, dan Eropa, di forum peretasan.

sumber : bleeping computer

Peretas Menyalahgunakan Google Ads Untuk Menyebarkan Malware Dalam Perangkat Lunak Resmi

by

Operator malware semakin sering menyalahgunakan platform Google Ads untuk menyebarkan malware ke pengguna yang tidak menaruh curiga yang menelusuri produk software populer.

Produk yang ditiru dalam kampanye ini termasuk Grammarly, MSI Afterburner, Slack, Dashlane, Malwarebytes, Audacity, μTorrent, OBS, Ring, AnyDesk, Libre Office, Teamviewer, Thunderbird, dan Brave.

Pelaku ancaman mengkloning situs web resmi dari proyek di atas dan mendistribusikan versi trojan dari perangkat lunak saat pengguna mengklik tombol unduh. Situs web berbahaya tersebut dipromosikan ke audiens melalui kampanye Google Ads.

Penyalahgunaan Google Ads
Google Ads membantu pengiklan mempromosikan halaman di Google Search. Pengguna yang mencari perangkat lunak resmi tanpa pemblokir iklan aktif akan melihat promosi yang disajikan dan cenderung mengkliknya tanpa berpikir panjang karena tampilan yang sangat mirip dengan hasil pencarian yang sebenarnya.

Menurut Guardio dan Trend Micro, triknya adalah mengarahkan korban yang mengklik iklan ke situs yang tidak relevan namun aman yang dibuat oleh pelaku ancaman, lalu mengarahkan mereka ke situs berbahaya yang meniru proyek perangkat lunak.

Situs landing dan tipuan yang digunakan dalam kampanye (Guardio Labs)

Muatan, yang datang dalam bentuk ZIP atau MSI, diunduh dari layanan file sharing dan hosting kode terkemuka untuk memastikan bahwa program anti-virus apa pun yang berjalan di mesin korban tidak akan menolak pengunduhan.

Aliran infeksi malware (Guardio Labs)

Hindari Unduhan Berbahaya
FBI baru-baru ini mengeluarkan peringatan tentang jenis kampanye iklan ini, mendesak pengguna internet untuk sangat berhati-hati.

Salah satu cara memblokir kampanye ini adalah tindakan pencegahan dengan mengaktifkan pemblokir iklan di browser web, yang memfilter hasil yang dipromosikan dari Google Penelusuran.

Pencegahan bisa juga dilakukan dengan scroll ke bawah hingga terlihat domain resmi dari proyek perangkat lunak yang dicari. Jika tidak yakin, domain resmi terdaftar di halaman Wikipedia perangkat lunak.

Tanda file mencurigakan lainnya adalah ukuran file yang tidak normal. Bukti lain yang jelas dari kecurangan adalah domain situs unduhan yang mungkin mirip dengan yang resmi tetapi telah menukar karakter dalam nama atau satu huruf yang salah, yang dikenal sebagai “typosquatting”.

Selengkapnya: BLEEPINGCOMPUTER

Speaker Google Home Memungkinkan Peretas Mengintai Percakapan

by

Bug di speaker pintar Google Home memungkinkan pemasangan akun backdoor yang dapat digunakan untuk mengontrol dari jarak jauh dan mengubahnya menjadi perangkat pengintai dengan mengakses umpan mikrofon.

Tahun lalu, seorang peneliti menerima $107.500 karena menemukan masalah tersebut dan melaporkannya ke Google. Awal pekan ini, peneliti menerbitkan rincian teknis tentang temuan dan skenario serangan untuk menunjukkan bagaimana kelemahan tersebut dapat dimanfaatkan.

Proses Kompromi
Dalam eksperimennya, peneliti menemukan bahwa akun baru yang ditambahkan menggunakan aplikasi Google Home dapat mengirim perintah secara remote melalui cloud API.

Melalui pemindaian Nmap, ditemukan port untuk API HTTP lokal Google. Jadi peneliti menyiapkan proxy untuk menangkap lalu lintas HTTPS terenkripsi, dengan harapan dapat merebut token otorisasi pengguna.

Lalu lintas HTTPS (terenkripsi) yang diambil (downrightnifty.me)

Menambahkan pengguna baru ke perangkat target adalah proses dua langkah yang memerlukan nama perangkat, sertifikat, dan “cloud ID” dari API lokalnya. Dengan informasi ini, mereka dapat mengirim permintaan tautan ke server Google.

Untuk menambahkan pengguna jahat ke perangkat target, analis mengimplementasikan proses penautan dalam skrip Python yang mengotomatiskan pengelupasan data perangkat lokal dan mereproduksi permintaan penautan.

Permintaan penautan yang membawa data ID perangkat (downrightnifty.me)

Kemungkinan Implikasi
Selain melakukan tindakan melalui speaker Google Home secara remote, seperti mengontrol saklar pintar, melakukan pembelian online, membuka kunci pintu dan kendaraan, peneliti menemukan cara untuk menyalahgunakan perintah panggilan telepon.

Perutean berbahaya yang menangkap audio mikrofon (downrightnifty.me)

Jika LED perangkat menyala biru saat melakukan panggilan, merupakan indikasi bahwa beberapa aktivitas sedang berlangsung. Jika korban menyadarinya, mereka mungkin menganggap perangkat sedang memperbarui firmware-nya.

Hal ini juga memungkinkan untuk memutar media pada speaker pintar yang disusupi, mengganti nama, memaksa reboot, memaksa melupakan jaringan Wi-Fi tersimpan, memaksa pemasangan Bluetooth atau Wi-Fi baru, dan banyak lagi.

Perbaikan Google
Google memperbaiki semua masalah pada April 2021 dengan tambalan mencakup sistem berbasis undangan baru untuk menangani tautan akun, yang memblokir upaya apa pun yang tidak ditambahkan di Beranda.

Deauthenticating Google Home masih dimungkinkan, tetapi tidak dapat digunakan untuk menautkan akun baru, sehingga API lokal yang membocorkan data perangkat dasar juga tidak dapat diakses.

Google telah menambahkan perlindungan untuk mencegah inisiasi jarak jauh melalui rutinitas dalam menangani perintah panggilan telepon.

Selengkapnya: BLEEPINGCOMPUTER

Eksploitasi iOS 16 Memungkinkan Pengguna Mengatur Font Sistem ke Comic Sans (dan hal lainnya)

by

Bagi penggemar iPhone tetapi membenci jenis huruf San Francisco, pengembang Zhuowei Zhang telah memposting alat yang rapi ke Github — sebuah aplikasi yang dapat menimpa sementara font sistem iOS dengan yang lain, memberi ponsel tampilan baru yang tidak disetujui Apple.

Aplikasi ini hanya membutuhkan iOS 16.1.2 atau lebih rendah untuk berfungsi, karena bergantung pada bug eksekusi kernel (CVE-2022-46689) yang ditambal di iOS 16.2. Pengguna iOS 16.2 tidak akan dapat bereksperimen dengan peretasan. Setiap perubahan font akan dikembalikan dengan reboot perangkat, dan hanya aplikasi yang menggunakan selain jenis huruf default San Francisco dapat berubah.

Aplikasi ini menyertakan sejumlah font yang sudah diinstal sebelumnya, banyak di antaranya tampaknya dirancang untuk mengganggu pandangan para desainer UI Apple. Comic Sans MS memimpin dalam hal tersebut, tetapi Segoe UI (font pilihan Windows dan Microsoft) dan Samsung “Choco Cooky” juga disertakan. Font khusus dapat diinstal selama kompatibel dengan iOS.

Selengkapnya: arsTECHNICA

Mozilla Memperbaiki Bug CSS 18 Tahun Lalu di Peramban Firefox

by

Mengapa penting? Ada kelemahan perangkat lunak yang cenderung bertahan bahkan di proyek yang paling aktif. Peramban sumber terbuka seperti Firefox, bagaimanapun berusaha untuk menjadi pembuat rekor sejati dengan bug yang sudah berumur puluhan tahun diperbaiki tepat pada waktunya untuk Natal.

Cacat pada peramban Firefox terselesaikan tepat setelah dewasa. Bug 290125 pertama kali dibuka 18 tahun lalu ketika pengembang Mozilla menemukan bahwa browser open source tidak benar dalam menangani elemen pseudo CSS ::first-letter.

Elemen semu CSS ::first-letter menerapkan gaya ke huruf pertama dari baris pertama elemen tingkat blok, tetapi hanya jika tidak didahului oleh konten lain. Gecko, mesin tata letak Firefox, mengabaikan ketinggian garis yang dinyatakan dan mewarisi ketinggian garis dari kotak induk.

Perilaku yang salah mencegah penulis memposisikan huruf pertama dengan mengurangi kotak garis melalui penggunaan tinggi garis kecil. Hasil akhirnya adalah Firefox membuat huruf pertama salah, di mana browser lain saat itu menangani fitur CSS dengan benar.

Perbandingan hasil penulisan huruf pertama Firefox dengan browser lain

Masalah awal dilaporkan pada 12 April 2005 dalam rilis besar pertama Firefox (1.0). Kemudian perbaikan pertama datang dengan Firefox 3.0 pada tahun 2007, ketika rendering ketinggian garis berbeda pada platform Mac diselesaikan oleh pengembang Mozilla. Bug tersebut kemudian dibuka kembali pada tahun 2014 ketika CSS Working Group, dan selesai pada 20 Desember 2022.

Menurut penjelasan pengembang Mozilla, Jonathan Kew, solusi yang sedang diadopsi adalah tambalan yang dirancang untuk meminimalkan risiko dan membuatnya mudah untuk beralih antara perilaku lama yang ada dari mesin tata letak Gecko dan perilaku kompatibel yang baru.

Selengkapnya: TECHSPOT