Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for News

NSA Mengatakan Peretas Cina Mengeksploitasi Bug Zero-day

by

Badan Keamanan Nasional AS memperingatkan bahwa peretas yang didukung pemerintah China mengeksploitasi kerentanan zero-day di dua produk jaringan Citrix yang banyak digunakan untuk mendapatkan akses ke jaringan yang ditargetkan.

Kerentanan yang dilacak sebagai CVE-2022-27518, memengaruhi Citrix ADC, pengontrol pengiriman aplikasi, dan Citrix Gateway, alat akses jarak jauh, dan keduanya populer di jaringan perusahaan. Kerentanan dengan peringkat kritis memungkinkan penyerang yang tidak diautentikasi untuk menjalankan kode berbahaya dari jarak jauh pada perangkat yang rentan.

Dalam sebuah blog, Kepala Keamanan dan Kepercayaan Citrix, Peter Lefkowitz, menuliskan bahwa Citrix mengetahui sejumlah kecil serangan yang ditargetkan di alam liar menggunakan kerentanan ini. Namun, Citrix belum dapat menentukan industri yang menjadi target maupun yang telah banyak disusupi.

NSA mengatakan bahwa APT5, grup peretas China yang terkenal, telah secara aktif menargetkan Citrix ADC untuk masuk ke organisasi tanpa harus mencuri kredensial terlebih dahulu, memberikan panduan perburuan ancaman untuk tim keamanan, dan meminta pembagian intelijen antara sektor publik dan swasta.

Tahun lalu, APT5 mengeksploitasi kerentanan zero-day di sebuah produk jaringan lain untuk menembus jaringan A.S. yang terlibat dalam penelitian dan pengembangan pertahanan.

Selengkapnya: TechCrunch+

TPG Telecom mengungkapkan Pelanggaran Exchange yang dihosting di iiNet, Westnet

by

TPG Telecom telah mengungkapkan pelanggaran layanan Exchange yang dihosting yang menjalankan akun email hingga 15.000 pelanggan bisnis iiNet dan Westnet.

Telco mengatakan bahwa mandiant telah “menemukan bukti akses tidak sah” pada 13 Desember.

Insiden tersebut diidentifikasi sebagai bagian dari pemindaian rutin pada aset jaringan.

“Sebagai bagian dari keterlibatan Mandiant yang berkelanjutan untuk membantu perlindungan dunia maya, mereka melakukan tinjauan sejarah forensik dan menemukan akses tidak sah ke layanan hosted exchange service” TPG Telecom said.

“Sebagai bagian ari keterlubatan Mandiant yang berkelajutan untuk membantu perlindungan dunia maya, mereka melakukan tinjauan sejarah forensik dan menemukan akases tidak sah ke layanan hosted exchange service,” kata TGP Telecom.

“Kami telah menerapkan langkah-langkah untuk menghentikan akses tidak sah, langkah-langkah keamanan lebih lanjut telah dilakukan, dan kami sedang dalam proses menghubungi semua pelanggan yang terpengaruh pada layanan Exchange yang dihosting.

TPG Telecom mengatakan telah memberi tahu “otoritas pemerintah terkait”.

Itu meminta maaf kepada pelanggan bisnis atas insiden tersebut. Disebutkan pula bahwa pelanggan residensial kedua merek tersebut tidak terpengaruh.

sumber : itnews

TikTok Dilarang di Pemerintah. Perangkat; Akankah Sektor Swasta Mengikutinya?

by

Texas dan Maryland minggu ini bergabung dengan tiga negara bagian lain dalam melarang akses aplikasi media sosial populer dari perangkat milik negara.

Akankah perusahaan swasta akan menerapkan pembatasan serupa pada penggunaan aplikasi media sosial populer di perangkat yang digunakan karyawan untuk mengakses data dan aplikasi perusahaan?

Risiko yang Tidak Dapat Diterima
Gubernur Texas, Greg Abbott, mengatakan dia telah memerintahkan semua lembaga negara untuk melarang TikTok pada perangkat apa pun yang dikeluarkan negara segera berlaku. Dia juga telah memberikan waktu kepada setiap lembaga negara bagian hingga 15 Februari 2023 untuk menerapkan kebijakan mereka sendiri terkait penggunaan TikTok pada perangkat pribadi milik karyawan. Tiga negara bagian lain yang telah mengeluarkan arahan serupa atas masalah serupa adalah South Dakota, South Carolina, dan Nebraska.

Abbott merujuk pada Undang-Undang Intelijen Nasional China 2017, yang mewajibkan perusahaan dan individu China untuk membantu kegiatan pengumpulan intelijen negara, dan peringatan baru-baru ini dari Direktur FBI Christopher Wray tentang penggunaan TikTok dalam operasi pengaruh, sebagai alasan keputusannya.

Kekhawatiran Meningkat Terlepas dari Jaminan TikTok
Meskipun TikTok memiliki karyawan yang berbasis di China, perusahaan memiliki kontrol akses yang ketat atas data apa yang dapat diakses oleh karyawan tersebut dan di mana TikTok menyimpan data tersebut, Pappas bersaksi. Perusahaan juga mengumumkan telah meluncurkan inisiatif yaitu Project Texas yang dirancang untuk meningkatkan kepercayaan pada perlindungan yang telah dan akan dilakukan perusahaan untuk melindungi data pengguna AS dan kepentingan keamanan nasional.

Terlepas dari jaminan tersebut, fakta bahwa entitas yang berbasis di China bernama ByteDance Ltd memiliki TikTok dan bahwa pemerintah China memiliki setidaknya sebagian saham di salah satu anak perusahaannya terus menjadi sumber perhatian utama banyak orang.
Menurut Parkin, sangat masuk akal bahwa organisasi akan membatasi aplikasi apa yang diinstal pada perangkat yang disediakan organisasi mereka dan merekomendasikan karyawan mereka untuk tidak menginstalnya pada sistem pribadi apa pun yang mereka gunakan untuk mengakses sistem perusahaan.

Patrick Tiquet, wakil presiden keamanan dan arsitektur di Keeper Security, mengatakan perkembangan pesat kebijakan BYOD dan lingkungan kerja jarak jauh terdistribusi telah berkontribusi pada peningkatan eksponensial risiko titik akhir dan aplikasi untuk entitas sektor publik dan swasta. Menurutnya, melarang aplikasi tertentu mungkin tampak seperti pendekatan sederhana dan langsung untuk memastikan keamanan, namun dengan kebijakan BYOD akan sulit untuk ditegakkan.

Selengkapnya: DARKReading

Twitter Telah Merusak Autentikasi Dua Faktor untuk Nomor Ukraina

by

Pengguna Ukraina tidak dapat masuk ke Twitter menggunakan nomor ponsel mereka, karena perusahaan telah berhenti mengirimkan kode autentikasi dua faktor. Tampaknya ini adalah hasil dari masalah yang lebih luas yang disebut Elon Musk sebagai “perang bot”.

Elon Musk, pemilik baru Twitter

Setelah tweet peringatan oleh miliarder itu muncul, pada jam-jam berikutnya Twitter memblokir lalu lintas sekitar 30 operator seluler di seluruh dunia, secara efektif memutus akses ke ratusan ribu akun, terutama di kawasan Asia-Pasifik.

Dalam proyek untuk membersihkan Twitter dari spam ini, teridentifikasi operator seluler yang digunakan oleh jaringan spam utama di negara tertentu dan memblokir pengguna mereka untuk menerima pesan SMS dari Twitter, mempengaruhi orang-orang dengan otentikasi dua faktor. Kemudian sepenuhnya memblokir lalu lintas dari operator ini.

Hal yang sama terjadi sekarang dengan pengguna Ukraina, setelah menerima ratusan ribu tanggapan atas rencana perdamaiannya, di mana dia meminta Ukraina untuk menyerah pada perang dengan Rusia.

Kemudian twitter segera membuka blokir operator dan memberitahu mereka bahwa pemadaman disebabkan oleh perubahan konfigurasi perutean. Orang-orang hanya berharap bahwa ini memang masalah teknis dan bukan balas dendam kecil Musk.

Selengkapnya: Mezha

Microsoft Menemukan Ransomware didalam Driver Windows

by

Microsoft telah mencabut beberapa akun pengembang perangkat keras Microsoft setelah driver yang masuk melalui profil mereka digunakan dalam serangan siber, termasuk insiden ransomware.

Berita tersebut datang dalam pengungkapan terkoordinasi antara Microsoft, Mandiant, Sophos, dan SentinelOne. Para peneliti menjelaskan bahwa pelaku ancaman menggunakan driver perangkat keras mode kernel berbahaya yang kepercayaannya telah diverifikasi dengan tanda tangan Authenticode dari Program Pengembang Perangkat Keras Windows Microsoft.

“Penyelidikan mengungkapkan bahwa beberapa akun pengembang untuk Pusat Mitra Microsoft terlibat dalam mengirimkan driver jahat untuk mendapatkan tanda tangan Microsoft.”

“Upaya baru untuk mengirimkan driver jahat untuk ditandatangani pada 29 September 2022, menyebabkan penangguhan akun penjual pada awal Oktober.”

Driver mode kernel

Hak istimewa dapat memungkinkan pengemudi untuk melakukan berbagai tugas jahat yang biasanya tidak diizinkan untuk aplikasi mode pengguna. Tindakannya termasuk menghentikan perangkat lunak keamanan, menghapus file yang dilindungi, dan bertindak sebagai rootkit untuk menyembunyikan proses lainnya.

Sejak Windows 10, Microsoft telah meminta driver perangkat keras mode kernel untuk ditandatangani melalui Program Pengembang Perangkat Keras Windows Microsoft.

Untuk alasan ini, kemampuan untuk menandatangani driver kernel-mode oleh Microsoft untuk digunakan dalam kampanye jahat adalah komoditas yang berharga.

Signing a driver via the Windows Hardware Compatibility Program
sumber: Mandiant

Toolkit digunakan untuk menghentikan perangkat lunak keamanan

Dalam laporan yang dirilis hari ini, para peneliti menjelaskan bagaimana mereka menemukan toolkit baru yang terdiri dari dua komponen bernama STONSTOP (loader) dan POORTRY (driver mode-kernel) yang digunakan dalam serangan “bawa driver rentan Anda sendiri” (BYOVD).

Karena proses perangkat lunak keamanan biasanya dilindungi dari gangguan oleh aplikasi biasa, STONESTOP memuat driver mode kernel POORTRY yang ditandatangani oleh Microsoft untuk menghentikan proses yang dilindungi terkait atau layanan Windows.

Pengemudi MISKIN ditandatangani oleh Microsoft
Sumber: BleepingComputer

Ditautkan ke ransomware dan penukar SIM
Ketiga perusahaan tersebut telah melihat perangkat yang digunakan oleh pelaku ancaman yang berbeda.

Namun, Sophos mengaitkan serangan ini dengan ‘kepercayaan tinggi’ dengan operasi ransomware Kuba, yang sebelumnya menggunakan varian malware ini.

Mandiant, di sisi lain, melihat aktor ancaman yang diidentifikasi sebagai UNC3944 menggunakan toolkit dalam serangan pada awal Agustus 2022, yang dikenal dengan serangan pertukaran SIM.

Baik Mandiant maupun SentinelOne percaya bahwa perangkat tersebut, atau setidaknya penandatanganan kode, berasal dari pemasok atau layanan yang dibayar oleh pelaku ancaman lain untuk mengaksesnya.

Tanggapan Microsoft
Microsoft telah meluncurkan pembaruan keamanan untuk mencabut sertifikat yang digunakan oleh file berbahaya dan telah menangguhkan akun yang digunakan untuk mengirimkan driver untuk ditandatangani.

Namun, Microsoft belum membagikan bagaimana driver jahat tersebut lolos dari proses peninjauan.

BleepingComputer telah menghubungi Microsoft dengan pertanyaan lebih lanjut tentang proses penasehat dan peninjauan tetapi Microsoft mengatakan mereka tidak memiliki apa-apa lagi untuk dibagikan.

sumber : bleeping computer

Cacat Keamanan pada Produk Atlassian (Jira, Confluence, Trello, BitBucket) yang Mempengaruhi Banyak Perusahaan

by

Pada 6 Desember 2022, CloudSEK mengungkapkan serangan dunia maya yang diarahkan ke perusahaan. Selama investigasi terhadap akar penyebab insiden tersebut, tim investigasi internal mengidentifikasi bahwa aktor ancaman memperoleh akses ke akun Jira karyawan CloudSEK, menggunakan cookie sesi Jira yang ada di log pencuri yang dijual di dark web.

Produk Atlassian, cookie tidak dibatalkan, meskipun kata sandi diubah, dengan 2FA (Otentikasi Dua Faktor) diaktifkan, karena validitas cookie adalah 30 hari. Atlassia telah mengkonfirmasi dan sedang bekerja untuk Menyelesaikan masalah tersebut.

CloudSEK merilis alat gratis yang memungkinkan perusahaan memeriksa apakah komputer mereka yang disusupi dan akun Jira diiklankan di pasar web gelap. Dengan lebih dari 10 juta pengguna di 180.000 perusahaan, termasuk 83% perusahaan Fortune 500, produk Atlassian banyak digunakan di seluruh dunia.

Cookie Atlassian yang Dicuri Dapat Menyebabkan Akses Akun Tidak Sah bahkan jika 2FA diaktifkan
Investigasi CloudSEK menunjukkan bahwa cookie produk Atlassian tetap berlaku selama 30 hari, meskipun kata sandi diubah dan 2FA diaktifkan. Oleh karena itu, pelaku ancaman dapat memulihkan sesi Jira, Confluence, Trello, atau BitBucket, menggunakan cookie yang dicuri, meskipun tidak memiliki akses ke OTP/PIN MFA.

Bukti Konsep
Peneliti CloudSEK memperoleh beberapa dump file log dan menemukan beberapa cookie Atlassian yang masih aktif untuk berbagai perusahaan.

Halaman pengaturan pengguna Bitbucket korban

Kredensial Atlassian/ Cookie Dijual di Darkweb Marketplaces
Dalam 30 hari terakhir, lebih dari 200 contoh unik kredensial/cookie terkait atlassian.net telah disiapkan untuk dijual di pasar darkweb. Mengingat kredensial tersebut disiapkan untuk dijual dalam 30 hari terakhir, kemungkinan besar banyak dari kredensial tersebut masih aktif.

Gambar 2 Contoh kredensial atlassian.net untuk dijual

Anatomi File Stealer-Log
Log pencuri yang dijual di pasar web gelap. Saat menguraikan file yang ada, data ditampilkan dalam sebuah format. Beberapa informasi korban yang dimasukkan ke dalam log pencuri yaitu IP, Tangkapan layar, Lokasi, Cookie dari semua browser yang digunakan oleh korban, Informasi dompet Cryptocurrency, dan lainnya.

Data Perusahaan Lain Tersedia di Web Gelap
Dalam 90 hari terakhir, lebih dari 70% data perusahaan Fortune 1000 tersedia untuk dijual di pasar web gelap. Dari jumlah tersebut, untuk 50% perusahaan, kredensial dari berbagai endpoint internal disiapkan untuk dijual.

Beberapa endpoint tersedia untuk dijual

Selengkapnya: cloudSEK

WAF Populer Ditumbangkan oleh JSON Bypass

by

Firewall aplikasi web (WAF) dari lima vendor utama rentan terhadap permintaan berbahaya yang menggunakan Notasi Objek JavaScript (JSON) populer untuk mengaburkan perintah basis data dan lolos dari deteksi.

Penelitinya menemukan bahwa WAF yang diproduksi oleh Amazon Web Services, Cloudflare, F5, Imperva, dan Palo Alto gagal mengidentifikasi perintah SQL berbahaya yang dikodekan dalam format JSON, memungkinkan penerusan permintaan berbahaya ke database back-end.

Teknik ini memungkinkan penyerang untuk mengakses dan, dalam beberapa kasus, mengubah data serta mengkompromikan aplikasi, kata Noam Moshe, peneliti keamanan di tim riset Team82 Claroty.

WAF Jangan “Dapatkan” JSON
Firasat pertama para peneliti tentang potensi serangan datang dari eksperimen yang tidak terkait yang menyelidiki platform manajemen perangkat nirkabel Cambium Networks. Pengembang platform tersebut menambahkan data yang disediakan pengguna langsung ke akhir kueri, sebuah teknik yang meyakinkan Claroty untuk menyelidiki aplikasi yang lebih umum.

Teknik ini bekerja terhadap sebagian besar database relasional, termasuk PostgreSQL, Microsoft MSSQL, MySQL, dan SQLite. Sementara perusahaan harus mengatasi tiga batasan teknis — seperti awalnya hanya dapat mengambil angka dan bukan rangkaian karakter — para peneliti akhirnya membuat pintasan tujuan umum untuk firewall aplikasi Web utama.

Mengaburkan untuk Melarikan Diri

Mengaburkan kode berbahaya untuk mem-bypass langkah-langkah keamanan anti-injeksi memiliki sejarah yang panjang. Pada 2013, misalnya, penyerang mulai mengeksploitasi kerentanan dalam kerangka kerja Ruby on Rails yang memungkinkan kode JSON digunakan untuk melewati autentikasi dan menyuntikkan perintah SQL ke dalam aplikasi web.

Para peneliti memberi tahu kelima vendor tentang WAF yang rentan, yang masing-masing mengonfirmasi masalah tersebut dan sejak itu menambahkan dukungan sintaks JSON ke produk mereka, kata Claroty dalam penasehatnya.

sumber : dark reading

Sertifikat Digital Microsoft Sekali Lagi Disalahgunakan Untuk Menandatangani Malware

by Leave a Comment

Penandatanganan kode seharusnya membuat orang lebih aman. Namun dalam hal ini, membuat mereka kurang merasa aman.

Microsoft sekali lagi diketahui mengizinkan sertifikat digitalnya yang sah untuk menandatangani malware di alam liar, selang waktu yang memungkinkan file berbahaya melewati pemeriksaan keamanan ketat yang dirancang untuk mencegahnya berjalan di sistem operasi Windows.

Sembilan entitas pengembang terpisah yang menyalahgunakan sertifikat dalam beberapa bulan terakhir. Penyalahgunaan ditemukan secara independen oleh empat perusahaan keamanan pihak ketiga, yang kemudian secara pribadi melaporkannya ke Microsoft. Perusahaan mengkonfirmasi temuan tersebut dan mengatakan telah menentukan bahwa penyalahgunaan berasal dari beberapa akun pengembang dan tidak ada pelanggaran jaringan yang terdeteksi.


Penandatanganan Kode Primer
Karena sebagian besar driver memiliki akses langsung ke kernel, Microsoft mengharuskan mereka untuk ditandatangani secara digital, ini sekaligus menjadi sarana de facto bagi produk keamanan pihak ketiga untuk memutuskan apakah sebuah driver dapat dipercaya.

Peneliti dari SentinelOne, salah satu dari tiga firma keamanan yang menemukan penyalahgunaan sertifikat dan secara pribadi melaporkannya ke Microsoft, menjelaskan bahwa masalah utama dengan proses ini adalah sebagian besar solusi keamanan secara implisit mempercayai apa pun yang ditandatangani hanya oleh Microsoft, terutama driver mode kernel.

Mandiant, firma keamanan lain mengatakan bahwa beberapa keluarga malware yang berbeda, terkait dengan pelaku ancaman yang berbeda, telah ditandatangani melalui Program Kompatibilitas Perangkat Keras Windows. Selain mendapatkan akses ke sertifikat Microsoft, pelaku ancaman juga berhasil mendapatkan sertifikat EV dari otoritas sertifikat pihak ketiga.

Driver yang ditandatangani dengan sertifikat sah Microsoft digunakan dalam aktivitas pasca-eksploitasi, yang berarti setelah pelaku ancaman mendapatkan hak administratif pada mesin yang ditargetkan. Pelaku ancaman menggunakan driver ini untuk menghentikan proses atau layanan yang digunakan oleh berbagai vendor produk keamanan endpoint.

Penyalahgunaan Sertifikat Adalah Kebiasaan Lama
Teknik ini terkenal dengan penemuan worm Stuxnet pada tahun 2010 yang dilaporkan dilepaskan oleh NSA dan mitranya dari Israel dalam upaya untuk menghalangi program nuklir Iran. Stuxnet menggunakan setidaknya dua sertifikat penandatanganan yang sah untuk menyelinap melewati pertahanan keamanan.

Peneliti SentinelOne berharap Microsoft akan mengambil langkah-langkah untuk mempertimbangkan peningkatan lebih lanjut guna mendukung keamanan proses penandatanganan mereka untuk membantu mempertahankan kepercayaan implisit yang diberikan pada driver bertanda tangan Microsoft.

Selengkapnya: arsTECHNICA