Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for News

Peneliti Menemukan Paket PyPI Berbahaya, Menyamar sebagai SDK SentinelOne untuk Mencuri Data

by

Peneliti keamanan siber telah menemukan paket berbahaya baru di repository Python Package Index (PyPI) yang meniru kit pengembangan perangkat lunak (SDK) untuk SentinelOne, sebuah perusahaan keamanan siber besar, sebagai bagian dari kampanye yang dijuluki SentinelSneak.

Paket bernama SentinelOne tersebut, yang diterbitkan antara 8 dan 11 Desember 2022 dengan hampir dua lusin versi didorong secara berurutan selama dua hari itu telah dihapus.

Penawaran metode ini yaitu lebih mudah untuk mengakses perusahaan namun memiliki celah belakang berbahaya untuk mengumpulkan informasi sensitif dari sistem pengembangan, termasuk kredensial akses, kunci SSH, dan data konfigurasi.

Menurut pengamatan, aktor ancaman telah merilis dua paket lagi dengan variasi penamaan serupa yaitu SentinelOne-sdk dan SentinelOneSDK.

Peneliti ancaman ReversingLabs, Karlo Zanki, mengatakan dalam sebuah laporan yang dibagikan dengan The Hacker News bahwa paket SentinelOne hanyalah ancaman terbaru untuk memanfaatkan repositori PyPI dan menggarisbawahi ancaman yang berkembang terhadap rantai pasokan perangkat lunak, karena aktor jahat menggunakan strategi seperti ‘typosquatting’ untuk mengeksploitasi kebingungan pengembang dan mendorong kode berbahaya ke saluran pengembangan dan aplikasi yang sah.

Beberapa data yang diekstraksi oleh malware ke server jarak jauh termasuk riwayat eksekusi perintah shell, kunci SSH, dan file lain yang menarik, menunjukkan upaya pihak pelaku ancaman untuk menyedot informasi sensitif dari lingkungan pengembangan.

SentinelOne menyatakan tidak terlibat dengan paket Python berbahaya baru-baru ini dan bahwa pelaku ancaman tidak berhasil dalam upaya mereka. Perusahaan tersebut juga memastikan pelanggannya aman.

Temuan ini muncul ketika laporan Keamanan Rantai Pasokan Perangkat Lunak ReversingLabs menemukan bahwa repository PyPI telah menyaksikan penurunan hampir 60% dalam unggahan paket berbahaya pada tahun 2022, turun menjadi 1.493 paket dari 3.685 pada tahun 2021.

Berbanding terbalik dengan repository npm JavaScript yang mengalami peningkatan 40% menjadi hampir 7.000. Secara keseluruhan, tren paket berbahaya sejak 2020 telah menunjukkan peningkatan 100 kali lipat dalam npm dan lebih dari 18.000% dalam PyPI.

Selengkapnya: The Hacker News

Ransomware Play Mengklaim Serangan Terhadap Jaringan Hotel Jerman H-Hotels

by

Geng Ransomware Play telah mengaku bertanggung jawab atas serangan dunia maya di H-Hotels (h-hotels.com)yang mengakibatkan gangguan komunikasi bagi perusahaan.

H-Hotels adalah bisnis perhotelan dengan 60 hotel di 50 lokasi di Jerman, Austria, dan Swiss, menawarkan total kapasitas 9.600 kamar, dan mempekerjakan 2.500 orang.

H-Hotels mengungkapkan serangan siber tersebut terjadi pada Minggu, 11 Desember 2022. Setelah penyerang berhasil menerobos sistem perlindungan teknis dan organisasi IT, tim IT segera mengambil tindakan dengan mematikan dan memutus Internet untuk menangkal penyebaran lebih lanjut.

Serangan hanya berdampak pada staf hotel yaitu tidak dapat menerima atau menjawab permintaan pelanggan yang dikirim melalui email, sehingga tamu disarankan untuk menghubungi H-Hotels melalui telepon jika diperlukan.

Data Diduga Dicuri Dalam Serangan
Geng ransomware mengklaim telah mencuri data pribadi dan personal, termasuk dokumen klien, paspor, ID, dan lainnya. Namun, pelaku ancaman belum merilis sampel apa pun untuk mendukung klaim tersebut.

Entri H-Hotels di situs Play ransomware Tor (BleepingComputer)

H-Hotel membantah melihat bukti eksfiltrasi data dalam pengumuman minggu lalu, dan tidak ada pembaruan tentang masalah tersebut sejak saat itu.

Kemungkinan tereksposnya detail dan data pemesanan tamu hotel dapat menjadi kasus pelanggaran privasi yang parah, memberikan informasi tentang lokasi mendatang, informasi keuangan, dan masih banyak lagi.

Selengkapnya: BLEEPINGCOMPUTER

Microsoft Menemukan Bug MacOS yang Memungkinkan Malware Melewati Pemeriksaan Keamanan

by

Apple telah memperbaiki kerentanan yang dapat dimanfaatkan penyerang untuk menyebarkan malware pada perangkat MacOS yang rentan melalui aplikasi tidak terpercaya yang mampu melewati batasan eksekusi aplikasi Gatekeeper.

Dilaporkan oleh Jonathan Bar Or, seorang peneliti keamanan utama Microsoft. Bahwa ditemukan kelemahan keamanan yang dijuluki sebagai Achilles, dilacak sebagai CVE-2022-42821.

Bypass Gatekeeper Melalui ACL yang Membatasi
Gatekeeper adalah fitur keamanan MacOS yang memeriksa semua aplikasi yang diunduh dari Internet secara otomatis. Gatekeeper meminta pengguna untuk mengonfirmasi aplikasi tersebut sebelum diluncurkan dan akan mengeluarkan peringatan jika aplikasi tidak dapat dipercaya.

Cacat Achilles memungkinkan muatan yang dibuat khusus menyalahgunakan masalah logika untuk mengkonfigurasi izin Access Control List (ACL) yang membatasi yang memblokir browser web dan pengunduh Internet dari setelan atribut com.apple.quarantine untuk mengunduh muatan yang diarsipkan sebagai file ZIP.

Aplikasi berbahaya yang terkandung dalam muatan berbahaya yang diarsipkan akan diluncurkan di sistem target, memungkinkan penyerang mengunduh dan menyebarkan malware, sehingga pengguna tetap disarankan untuk menerapkan perbaikan meski dalam mode Lockdown.


Lebih Banyak Bypass Keamanan MacOS dan Malware
Ini hanya salah satu dari beberapa bypass Gatekeeper yang ditemukan dalam beberapa tahun terakhir, dengan banyak di antaranya disalahgunakan oleh penyerang untuk menghindari mekanisme keamanan MacOS seperti Gatekeeper, Karantina File, dan Perlindungan Integritas Sistem (SIP) pada Mac yang telah ditambal sepenuhnya.

Selain menemukan powerdir, bug yang memungkinkan penyerang melewati teknologi Transparency, Consent, and Control (TCC) untuk mengakses data pengguna yang dilindungi, peneliti juga merilis kode eksploit untuk kerentanan MacOS (CVE-2022-26706) yang dapat membantu penyerang melewati batasan kotak pasir untuk menjalankan kode pada sistem.

Apple telah memperbaiki kerentanan MacOS zero-day pada April 2021 yang memungkinkan aktor ancaman di balik malware Shlayer. Malware ini terkenal untuk menghindari pemeriksaan keamanan Karantina File, Gatekeeper, dan Notarisasi Apple dan mengunduh lebih banyak malware di Mac yang terinfeksi.

Selengkapnya: BLEEPINGCOMPUTER

Malware Glupteba Kembali Beraksi Setelah Gangguan Google

by

Botnet malware Glupteba telah beraksi kembali, menginfeksi perangkat di seluruh dunia setelah operasinya diganggu oleh Google hampir setahun yang lalu.

Pada Desember 2021, Google berhasil menyebabkan gangguan secara besar-besaran pada botnet yang mengaktifkan blockchain, mengamankan perintah pengadilan untuk mengambil kendali atas infrastruktur botnet dan mengajukan keluhan terhadap dua operator Rusia.

Nozomi melaporkan transaksi blockchain, pendaftaran sertifikat TLS, dan sampel rekayasa balik Glupteba menunjukkan kampanye Glupteba skala besar baru yang dimulai pada Juni 2022 dan masih berlangsung.

Menemukan fungsi yang digunakan untuk mengambil domain C2 (Nozomi)

Bersembunyi di Blockchain
Glupteba adalah malware modular berkemampuan blockchain yang menginfeksi perangkat Windows untuk menambang cryptocurrency, mencuri kredensial dan cookie pengguna, dan menyebarkan proxy pada sistem Windows dan perangkat IoT.

Malware ini sebagian besar didistribusikan melalui malvertising pada jaringan bayar-per-instal (PPI) dan sistem distribusi lalu lintas (TDS) yang mendorong penginstal yang menyamar sebagai perangkat lunak, video, dan film gratis.

Glupteba menggunakan blockchain Bitcoin untuk menghindari gangguan dengan menerima daftar terbaru dari server perintah dan kontrol yang harus dihubungi untuk menjalankan perintah.

Klien botnet mengambil alamat server C2 menggunakan fungsi temukan yang menyebutkan server dompet Bitcoin, mengambil transaksi mereka, dan mem-parsingnya untuk menemukan alamat terenkripsi AES.

Diagram transaksi blockchain. Dari kiri ke kanan, kampanye 2022 (paling kompleks), 2021, 2020, dan 2019 (Nozomi)

Kembalinya Glupteba
Menurut Nozomi, penggunaan blockchain dengan cara yang sama membuat analis Glupteba memindai seluruh blockchain untuk menemukan domain C2 yang tersembunyi.

Dalam investigasi oleh Nozomi, ditemukan sejumlah 15 alamat Bitcoin yang digunakan dalam empat kampanye Glupteba.

Berdasarkan hasil penuturan Nozomi diatas, mulai dari jumlah layanan tersembunyi TOR yang digunakan sebagai server C2 yang meningkat sepuluh kali lipat sejak kampanye 2021, banyak pendaftaran domain Glupteba melalui data DNS pasif dan lainnya, menandakan bahwa botnet Glupteba telah kembali, dan terdapat tanda-tanda yang menunjukkan botnet ini lebih masif dari sebelumnya, bahkan berpotensi lebih tangguh.

Selengkapnya: BLEEPINGCOMPUTER

Tagged With: Blockchain, Botnet, Glupteba, Google, Malware

Peretas T-Mobile Terhukum 10 Tahun Atas Skema Buka Kunci Telepon $25 Juta

by

Argishti Khudaverdyan, mantan pemilik toko ritel T-Mobile, dijatuhi hukuman 10 tahun penjara atas skema $25 juta di mana dia membuka kunci dan membuka blokir ponsel dengan meretas sistem internal T-Mobile.

Antara Agustus 2014 dan Juni 2019, pria berusia 44 tahun dibalik skema tersebut, yang juga diperintahkan untuk membayar $28.473.535 sebagai ganti rugi, “membersihkan” ratusan ribu ponsel untuk “pelanggan” -nya.

Kontrak Khudaverdyan sebagai pemilik toko ritel T-Mobile Solusi Tingkat Atas di California diakhiri oleh operator nirkabel pada Juni 2017 karena perilaku komputernya yang mencurigakan dan hubungannya dengan pembukaan kunci ponsel yang tidak sah.

Khudaverdyan memperoleh akses ke sistem komputer internal T-Mobile menggunakan kredensial yang dicuri dalam serangan phishing dari lebih dari 50 karyawan T-Mobile yang berbeda dengan rekannya, Alen Gharehbagloo, mantan mitra bisnisnya dan salah satu pemilik toko seluler.

Gharehbagloo, juga mengaku bersalah pada 5 Juli atas persekongkolan untuk melakukan penipuan kawat, mengakses komputer yang dilindungi dengan maksud untuk menipu, dan persekongkolan untuk melakukan pencucian uang.

Terdakwa melancarkan aksinya dengan berkedok sebagai layanan membuka kunci premium langsung untuk semua operator telepon kepada pelanggan potensial melalui berbagai cara, termasuk email dan situs web khusus seperti unlocks247.com dan unlockedlocked.com.

Pada sebuah kesempatan, terdakwa menggunakan kredensial T-Mobile miliknya sendiri untuk masuk ke titik akses Wi-Fi T-Mobile dari Texas dan mengakses situs web unlockitall.com, langsung menghubungkan dirinya ke skema buka kunci ponsel ilegal.

Menggunakan kredensial yang dicuri dan nomor IMEI yang dikirim oleh pelanggan melalui situs web yang mereka kendalikan, kedua pria itu membuka kunci ratusan ribu perangkat Android dan iOS menggunakan alat Mobile Device Unlock (MDU) dan MCare Unlock (MCare) khusus T-Mobile.

Selengkapnya: BLEEPINGCOMPUTER

Platform CRM Restoran ‘SevenRooms’ Mengonfirmasi Pelanggaran Setelah Data Dijual

by

Platform manajemen pelanggan Restoran SevenRooms telah mengonfirmasi mengalami pelanggaran data setelah pelaku ancaman mulai menjual data curian di forum peretasan.

Platform Customer Relationship Management (CRM) restoran ini digunakan oleh rantai restoran internasional dan penyedia layanan perhotelan.

Pelanggaran berasal dari postingan seorang pelaku ancaman tentang sampel data di forum peretasan yang dilanggar, mengklaim telah mencuri basis data cadangan 427 GB dengan ribuan file berisi informasi pelanggan SevenRooms.

Sampel tersebut mencakup folder yang diberi nama sesuai jaringan restoran besar, klien SevenRooms, kunci API, kode promo, laporan pembayaran, daftar reservasi, dan banyak lagi.

Beruntungnya, informasi kartu kredit tamu, data rekening bank, nomor jaminan sosial, atau informasi sensitif serupa lainnya tidak disimpan di server yang disusupi, sehingga tidak terungkap dalam serangan itu.

Perusahaan mengonfirmasi bahwa pelanggaran ini disebabkan oleh akses tidak sah ke sistem salah satu vendornya. Meskipun pelanggaran yang terjadi tidak secara langsung menyerang sistem, perusahaan segera melakukan tindakan lanjutan terkait hal ini seperti meluncurkan penyelidikan internal dan menonaktifkan akses ke antarmuka.

Belum diketahui secara jelas restoran dan pelanggaran mana yang terdampak oleh pelanggaran ini, perusahaan akan melihat pemberitahuan pelanggaran data lebih lanjut yang dirilis oleh restoran yang data pelanggannya terungkap.

Selengkapnya: BLEEPINGCOMPUTER

Bug LEGO BrickLink memungkinkan peretas membajak akun, merusak server

by

Analis keamanan telah menemukan dua kerentanan keamanan API di BrickLink.com, pasar barang bekas dan vintage resmi LEGO Group untuk batu bata LEGO.

BrickLink adalah komunitas online penggemar LEGO terbesar di dunia, dengan lebih dari satu juta anggota terdaftar.

Dua masalah keamanan API yang ditemukan oleh Salt Security dapat memungkinkan penyerang mengambil alih akun anggota, mengakses dan mencuri informasi identitas pribadi (PII) yang disimpan di platform, atau bahkan mendapatkan akses ke data produksi internal dan membahayakan server internal.

Analis Salt Security menemukan kerentanan saat bereksperimen dengan bidang masukan pengguna di situs web BrickLink.

Yang pertama adalah cacat cross-site scripting (XSS) di kotak dialog “Temukan Nama Pengguna” di bagian pencarian kupon, yang memungkinkan penyerang menyuntikkan dan mengeksekusi kode pada mesin target menggunakan tautan yang dibuat khusus.

Menggunakan ID Sesi target yang diekspos di halaman berbeda, penyerang dapat memanfaatkan kelemahan XSS untuk membajak sesi dan mengambil alih akun target.

Mengakses akun berarti membuka semua data yang disimpan di platform, termasuk detail pribadi, alamat email, alamat pengiriman, riwayat pesanan, kupon, umpan balik yang diterima, item yang diinginkan, dan riwayat pesan.

Cacat kedua terletak pada halaman “Unggah ke Daftar Dicari”, di mana pengguna dapat mengunggah daftar XML yang berisi bagian LEGO yang ingin mereka temukan dan beli.

Dengan mengeksploitasi kelemahan dalam mekanisme penguraian titik akhir, analis Salt Security meluncurkan serangan injeksi Entitas Eksternal XML (XXE) yang berhasil, menambahkan referensi ke entitas eksternal pada file mereka.

Serangan XXE memungkinkan mereka untuk membaca file di server web dan mengeksekusi serangan pemalsuan permintaan sisi server (SSRF), yang dapat menyebabkan pengusiran token AWS EC2 untuk server.

Selengkapnya: Bleeping Computer

Peretas membocorkan info pribadi yang diduga dicuri dari 5,7 juta pengguna Gemini

by

Pertukaran crypto Gemini mengumumkan minggu ini bahwa pelanggan menjadi sasaran dalam kampanye phishing setelah aktor ancaman mengumpulkan informasi pribadi mereka dari vendor pihak ketiga.

Pemberitahuan tersebut muncul setelah beberapa postingan di forum peretas yang dilihat oleh BleepingComputer menawarkan untuk menjual database yang diduga dari Gemini yang berisi nomor telepon dan alamat email dari 5,7 juta pengguna.

Tim keamanan produk Gemini menerbitkan pemberitahuan singkat bahwa vendor pihak ketiga yang tidak disebutkan namanya mengalami “insiden” yang memungkinkan pelaku tidak sah mengumpulkan alamat email dan nomor telepon tidak lengkap milik beberapa pelanggan Gemini.

Akibat pelanggaran tersebut, pelanggan pertukaran crypto menerima email phishing. Tujuan penyerang belum diungkapkan tetapi akses ke akun dan informasi keuangan seperti itu biasanya yang diincar oleh pelaku ancaman.

Dalam laporan singkatnya, Gemini menggarisbawahi bahwa informasi akun dan sistemnya tidak terpengaruh dan dana serta akun pelanggan “tetap aman”.

Pemberitahuan tersebut muncul setelah beberapa postingan di forum peretas menawarkan untuk menjual database yang diduga dari Gemini yang berisi nomor telepon dan alamat email dari 5,7 juta pengguna.

Upaya awal untuk memonetisasi database dilakukan pada bulan September. Penulis tidak menyebutkan seberapa segar info tersebut tetapi meminta 30 bitcoin (sekitar $520.000 dengan nilai tukar saat ini).

Selengkapnya: Bleeping Computer