Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for News

Cacat Linux baru dapat dirantai dengan dua bug lainnya untuk mendapatkan hak akses root penuh

by

Para peneliti di Unit Riset Ancaman Qualys mendemonstrasikan cara membuat rantai kerentanan Linux baru, dilacak sebagai CVE-2022-3328, dengan dua kelemahan lain untuk mendapatkan hak akses root penuh pada sistem yang terpengaruh.

Kerentanan terletak pada fungsi snap-confine pada sistem operasi Linux, program SUID-root yang diinstal secara default di Ubuntu.

Snap-confine digunakan secara internal oleh snapd untuk membangun lingkungan eksekusi untuk aplikasi snap, alat internal untuk membatasi aplikasi snappy.

CVE-2022-3328 adalah masalah kondisi balapan Snapd yang dapat menyebabkan eskalasi hak istimewa lokal dan eksekusi kode arbitrer.

“Pada Februari 2022, Qualys Threat Research Unit (TRU) menerbitkan CVE-2021-44731 dalam penasihat “Lemmings” kami. Kerentanan (CVE-2022-3328) diperkenalkan pada Februari 2022 oleh tambalan untuk CVE-2021-44731). membaca posting yang diterbitkan oleh Qualys.

“Qualys Threat Research Unit (TRU) mengeksploitasi bug ini di Server Ubuntu dengan menggabungkannya dengan dua kerentanan di multipathd yang disebut Leeloo Multipath (bypass otorisasi dan serangan symlink, CVE-2022-41974 dan CVE-2022-41973), untuk mendapatkan hak akses root penuh.”

Para ahli menggabungkan cacat CVE-2022-3328 dengan dua cacat yang baru ditemukan di Multipathd, yang merupakan daemon yang bertugas memeriksa jalur yang gagal.

Multipathd berjalan sebagai root pada instalasi default beberapa distribusi, termasuk Ubuntu.

Selengkapnya: Security Affairs

Cybercrime Diperkirakan Akan Meroket di Tahun-Tahun Mendatang

by

Menurut perkiraan dari Statista’s Cybersecurity Outlook, biaya global kejahatan dunia maya diperkirakan akan melonjak dalam lima tahun ke depan, naik dari $8,44 triliun pada tahun 2022 menjadi $23,84 triliun pada tahun 2027.

Kejahatan dunia maya didefinisikan oleh Cyber Crime Magazine sebagai “kerusakan dan penghancuran data , uang yang dicuri, kehilangan produktivitas, pencurian kekayaan intelektual, pencurian data pribadi dan keuangan, penggelapan, penipuan, gangguan pasca-serangan terhadap kegiatan normal bisnis, penyelidikan forensik, pemulihan dan penghapusan data dan sistem yang diretas, dan kerusakan reputasi. ”

Karena semakin banyak orang yang beralih daring, baik untuk pekerjaan atau kehidupan pribadi mereka, ada lebih banyak peluang potensial untuk dieksploitasi oleh penjahat dunia maya.

Pada saat yang sama, teknik penyerang menjadi lebih maju, dengan lebih banyak alat yang tersedia untuk membantu penipu.

Pandemi virus korona menunjukkan pergeseran tertentu dalam serangan dunia maya, seperti yang dijelaskan oleh analis Outlook Statista: “Krisis COVID-19 menyebabkan banyak organisasi menghadapi lebih banyak serangan dunia maya karena kerentanan keamanan pekerjaan jarak jauh serta peralihan ke lingkungan TI virtual, seperti infrastruktur, data, dan jaringan komputasi awan.”

Selengkapnya: Statista

Rackspace diguncang oleh ‘insiden keamanan’ yang menghentikan layanan Exchange yang dihosting

by

Beberapa layanan Microsoft Exchange yang dihosting Rackspace telah dihentikan oleh apa yang digambarkan oleh perusahaan sebagai “insiden keamanan”.

Laporan insiden terbaru perusahaan pada saat penulisan, bertanda waktu 01:57 Waktu Bagian Timur pada tanggal 3 Desember, memberikan informasi berikut.

“Pada hari Jumat, 2 Desember 2022, kami menyadari adanya masalah yang memengaruhi lingkungan Hosted Exchange kami. Kami secara proaktif menonaktifkan dan memutus lingkungan Exchange yang Dihosting sementara kami melakukan triase untuk memahami tingkat dan tingkat keparahan dampaknya. Setelah analisis lebih lanjut, kami memutuskan bahwa ini adalah insiden keamanan.”

Insiden tersebut selanjutnya digambarkan sebagai “terisolasi ke sebagian dari platform Hosted Exchange kami”

Rackspace tidak tahu kapan akan dapat memulihkan layanannya kepada mereka yang terkena dampak insiden keamanan.

“Kami secara aktif bekerja dengan tim dukungan kami dan mengantisipasi pekerjaan kami mungkin memakan waktu beberapa hari,” saran halaman statusnya.

Insiden tersebut terwujud sebagai apa yang digambarkan Rackspace sebagai “masalah konektivitas dan login.

Pembaruan bertanda waktu pukul 20:19 Waktu Bagian Timur pada tanggal 2 Desember melangkah lebih jauh, menggambarkannya sebagai “kegagalan signifikan dalam lingkungan Hosted Exchange kami”.

Tetapi tidak ada informasi tentang penyebab insiden yang tersedia saat ini, namun kombinasi dari pemadaman dan proses pemulihan yang panjang menunjukkan ransomware bisa menjadi faktor penyebabnya.

Rackspace telah menawarkan pelanggan yang terkena dampak akses gratis ke lisensi Microsoft Exchange Paket 1 di Microsoft 365 selama durasi insiden dan membagikan petunjuk tentang cara mengaktifkan dan menjalankannya. Instruksi menyarankan pekerjaan untuk menjalankannya akan memakan waktu 30 menit hingga satu jam.

Selengkapnya: The Register

Kunci penandatanganan aplikasi Android Samsung telah bocor, digunakan untuk menandatangani malware

by

Łukasz Siewierski, anggota Tim Keamanan Android Google, memposting di pelacak masalah Inisiatif Kerentanan Mitra Android (AVPI) yang merinci kunci sertifikat platform yang bocor yang secara aktif digunakan untuk menandatangani malware.

Posting ini hanyalah daftar kunci, tetapi menjalankan masing-masing melalui APKMirror atau situs VirusTotal Google akan memberi nama pada beberapa kunci yang disusupi: Samsung, LG, dan Mediatek adalah pemukul berat pada daftar kunci yang bocor, bersama dengan beberapa OEM yang lebih kecil seperti Revoview dan Szroco, yang membuat tablet Onn Walmart.

Perusahaan-perusahaan ini entah bagaimana kunci penandatanganan mereka bocor ke pihak luar, dan sekarang Anda tidak dapat mempercayai bahwa aplikasi yang mengklaim berasal dari perusahaan-perusahaan ini benar-benar berasal dari mereka. Lebih buruk lagi, “kunci sertifikat platform” yang hilang memiliki beberapa izin serius.

Samsung bukan hanya OEM Android terbesar yang mengalami kebocoran kunci penandatanganan, tetapi juga pengguna terbesar dari kunci yang bocor. Tautan APKMirror sebelumnya menunjukkan betapa buruknya itu. Kunci Samsung yang disusupi digunakan untuk semuanya: Samsung Pay, Bixby, Samsung Account, aplikasi ponsel, dan sejuta hal lain yang dapat Anda temukan di 101 halaman hasil untuk kunci tersebut. Dimungkinkan untuk membuat pembaruan berbahaya untuk salah satu dari aplikasi ini, dan Android akan dengan senang hati menginstalnya di atas aplikasi sebenarnya. Beberapa pembaruan mulai hari ini, menandakan Samsung masih belum mengubah kuncinya.

Selengkapnya: ars TECHNICA

BEC Group Mengkompromi Akun Pribadi dan Menarik Hati untuk Meluncurkan Serangan Kartu Hadiah Massal

by

Ada satu kelompok kriminal yang sekarang menyempurnakan eksploitasi kesediaan orang untuk membantu orang lain ketika mereka sakit atau berduka. Penjahat ini memanfaatkan salah satu instrumen bantuan orang-ke-orang yang disukai di era pandemi untuk memberikan sentuhan baru yang berbahaya pada penipuan kartu hadiah, menggunakan taktik manipulasi dan kompromi email bisnis (BEC).

Lilac Wolverine adalah grup BEC yang menyusup ke akun email pribadi, lalu mengirimkan kampanye email yang sangat besar yang menargetkan semua orang di setiap daftar kontak akun yang disusupi untuk meminta bantuan membeli kartu hadiah untuk teman atau kerabat. Berdasarkan keterlibatan pertahanan aktif yang telah kami lakukan dengan para aktor Lilac Wolverine, grup ini sangat tersentralisasi di Nigeria, yang secara historis menjadi titik panas bagi para aktor BEC.

Untuk serangan BEC penipuan pembayaran, target scammer umumnya terbatas pada karyawan di tim keuangan perusahaan. Serangan pengalihan gaji biasanya hanya dapat dilakukan dengan menyerang karyawan di departemen sumber daya manusia. Serangan kartu hadiah, di sisi lain, dapat menargetkan karyawan mana pun di suatu organisasi, terlepas dari departemen apa yang mereka duduki.

Alih-alih memiliki jumlah target yang terbatas, scammer berpotensi memiliki ratusan karyawan yang dapat mereka kejar dalam satu kampanye. . Dan sementara tingkat keberhasilan keseluruhan mungkin jauh lebih rendah untuk setiap email serangan BEC kartu hadiah individu, peluang sukses keseluruhan scammer dalam kampanye email yang jauh lebih besar naik, karena mereka hanya perlu persentase kecil dari populasi target yang jauh lebih besar untuk jatuh. penipuan.

Selengkapnya: Abnormal Security

APT37 Menyalahgunakan Google Drive Menggunakan Dynamic Dolphin Malware

by

Grup peretasan Korea Utara APT37 (alias ScarCruft atau Reaper) telah memperbarui persenjataan alatnya yang luas dengan pintu belakang canggih baru bernama Dolphin. Backdoor menyalahgunakan layanan penyimpanan cloud, khususnya Google Drive untuk komunikasi C2.

Peneliti ESET menemukan bahwa APT37 menggunakan Dolphin sejak awal 2021 dan pintu belakang terus mengembangkan kemampuan baru dan berevolusi untuk menghindari deteksi.

  • Penemuan terbaru terkait dengan serangan lubang berair pada tahun 2021 di surat kabar online Korea Selatan yang melaporkan aktivitas dan acara yang berkaitan dengan Korea Utara.
  • Peretas mengandalkan banyak komponen, termasuk eksploit Internet Explorer dan kode shell yang mengarah ke pintu belakang bernama BLUELIGHT, yang menyebarkan muatan sekunder Dolphin pada target yang dipilih.
  • BLUELIGHT melakukan pengintaian dasar dan evaluasi mesin yang disusupi setelah eksploitasi dan Dolphin mencari drive dari sistem yang disusupi untuk mencari file menarik dan mengekstraknya ke Google Drive.

Dolphin, ditulis dalam C++, adalah backdoor yang mengumpulkan informasi dan mengeksekusi perintah secara otomatis atau seperti yang dikeluarkan oleh operatornya.

  • Dolphin memiliki berbagai kemampuan mata-mata, termasuk memantau layanan cloud dan perangkat portabel serta mengekstraksi file yang menarik.
  • Selain itu, ia mampu melakukan keylogging dan mengambil screenshot, dan mencuri kredensial dari browser seperti Chrome, Edge, dan Internet Explorer. Itu dapat membangun kegigihan pada sistem yang dikompromikan dengan memodifikasi Windows Registry.

Sejauh ini, empat varian pintu belakang Dolphin telah terdeteksi, 1.9 hingga 3.0 (86/64-bit). Dolphin sering menambah, menghapus, atau memperbaiki perintah di setiap varian.

Selengkapnya: Cyware

Peneliti menemukan bug yang memungkinkan akses, remote control mobil

by

Beberapa merek mobil besar telah mengatasi kerentanan yang memungkinkan peretas mengontrol kunci, mesin, klakson, lampu depan, dan bagasi mobil tertentu dari jarak jauh yang dibuat setelah 2012, menurut seorang peneliti keamanan.

Insinyur keamanan staf Yuga Labs, Sam Curry, menerbitkan dua utas di Twitter yang merinci penelitiannya tentang aplikasi seluler untuk beberapa merek mobil yang memberi pelanggan kemampuan untuk memulai, menghentikan, mengunci, dan membuka kunci kendaraan mereka dari jarak jauh.

Curry dan beberapa peneliti lainnya memulai dengan Hyundai dan Genesis, menemukan bahwa sebagian besar proses verifikasi untuk mendapatkan akses ke kendaraan bergantung pada alamat email terdaftar. Mereka menemukan cara untuk mem-bypass fitur verifikasi email dan mendapatkan kendali penuh.

Kerentanan telah ditambal, masalah intinya adalah kerentanan kontrol akses yang memengaruhi akun pengguna di aplikasi itu sendiri. Anda dapat masuk ke akun siapa pun jika Anda mengetahui alamat email mereka dan karenanya mengontrol/menemukan kendaraan mereka dari jarak jauh,” kata Curry, mencatat bahwa serangan itu dapat terjadi “dari mana saja.”

Seorang juru bicara Hyundai mengatakan kepada The Record bahwa mereka bekerja dengan konsultan untuk menyelidiki kerentanan yang diklaim “segera setelah para peneliti menyampaikannya kepada kami.”

Dalam komentarnya kepada The Record, Curry menjelaskan bahwa manuver tersebut akan memungkinkan penyerang untuk memulai, menghentikan, mengunci, membuka kunci, membunyikan klakson, menyalakan lampu, atau menemukan kendaraan dari jarak jauh yang mengaktifkan fungsi jarak jauh. Fitur itu telah diaktifkan di semua kendaraan yang dibuat setelah 2012.

Selengkapnya: The Record

Dari Makro ke Tanpa Makro: Perbaikan Malware Berkelanjutan oleh QakBot

by

Pada tahun 2007 kami melihat permulaan awal dan kebangkitan QakBot, tahun yang sama ketika Windows XP dan Windows Server 2003 masih menjadi sistem operasi utama di perusahaan. QakBot, atau QuackBot, hadir sebagai trojan perbankan dan loader.

Saat ini, kita melihat QakBot digunakan oleh berbagai kelompok musuh dengan berbagai cara, seperti menyebarkan ransomware, kegigihan, dan mencuri kredensial. Sebelum musuh memiliki akses ke titik akhir atau kemampuan untuk bergerak secara lateral, mereka harus mendapatkan akses awal. Vektor akses awal tersebut terus berkembang dan mengimbangi sistem operasi, browser, dan vendor antivirus untuk memastikan pengiriman muatan berbahaya.

Pada Februari 2022 Microsoft mendorong pembaruan untuk menonaktifkan makro secara default di produk Office. Kemenangan besar dalam industri ini adalah untuk mencegah vektor akses awal dalam jumlah besar ke dalam organisasi.

Tidak lama kemudian musuh mulai memperbarui keahlian mereka untuk menggunakan segalanya kecuali makro. Mirip dengan apa yang disebutkan oleh Bleeping Computer pada bulan Februari, DarkReading menyebutkan dalam artikel ini, perubahan tersebut masuk ke Aplikasi HTML (.hta) dan sangat sukses.

Seiring waktu, kami mulai mendengar tentang bypass Mark-of-the-Web (MOTW). Windows MOTW adalah fitur sederhana di OS yang memberi label item dan memeriksanya saat diunduh. Sebagaimana diuraikan oleh Outflank pada tahun 2020, peran MOTW dalam langkah-langkah keamanan digunakan oleh Windows SmartScreen, dan Kotak pasir tampilan terlindungi di Excel dan Word, untuk beberapa nama.

Bagaimana musuh melewati kontrol ini? Beberapa file yang diunduh tidak diperiksa, oleh karena itu menghindari MOTW dan mengizinkan eksekusi proses. Salah satu format populer yang kita lihat saat ini mencakup pengiriman file ISO dalam file HTML. Sebagian besar kontainer, seperti ISO atau VHDX, tidak diperiksa oleh MOTW.

Selengkapnya: Splunk