Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Certificate

Certificate

Peringatan: Pelaku ancaman menggunakan sertifikat penandatanganan kode Emsisoft palsu untuk menyamarkan serangan mereka

by

Kami baru-baru ini mengamati insiden di mana sertifikat penandatanganan kode palsu yang diduga milik Emsisoft digunakan dalam upaya untuk menyamarkan serangan yang ditargetkan terhadap salah satu pelanggan kami. Organisasi yang dimaksud menggunakan produk kami dan tujuan penyerang adalah membuat organisasi tersebut mengizinkan aplikasi yang dipasang dan ingin digunakan oleh pelaku ancaman dengan membuat pendeteksiannya tampak positif palsu.

Serangan gagal – produk kami mendeteksi dan memblokirnya – tetapi kami mengeluarkan peringatan ini agar pelanggan dan pengguna produk perusahaan lain mengetahui taktik yang digunakan dalam kasus ini.

Sementara metode akses awal diperoleh tidak jelas, kemungkinan besar melalui serangan brute-force pada RDP atau penggunaan kredensial yang disusupi (login yang dicuri).

Setelah penyerang mengamankan akses ke titik akhir, mereka memasang aplikasi akses jarak jauh sumber terbuka yang disebut MeshCentral. Ini adalah aplikasi tujuan ganda, artinya ini adalah alat yang sah yang dapat digunakan untuk tujuan jahat. Karena dapat digunakan untuk tujuan yang sah dan tidak berbahaya, keberadaannya di titik akhir tidak serta merta memicu alarm apa pun, baik dari solusi keamanan atau dari manusia.

Penyerang menandatangani eksekusi MeshCentral dengan sertifikat yang disebut “Emsisoft Server Trusted Network CA”. Kami yakin ini dilakukan untuk membuat pendeteksian aplikasi apa pun tampak positif palsu. Bagaimanapun, salah satu produk kami diinstal dan dijalankan pada titik akhir yang disusupi, sehingga aplikasi yang diduga telah ditandatangani oleh sertifikat Emsisoft dapat dianggap aman dan diizinkan.

Selengkapnya: Emisoft

Yang perlu Anda ketahui tentang kebocoran sertifikat platform Android

by

Google mengungkapkan masalah serius yang sebagian besar memengaruhi ponsel Samsung menjelang akhir tahun 2022. Beberapa sertifikat platform dari Samsung jatuh ke tangan aktor jahat, yang memungkinkan mereka membuat malware dengan izin yang lebih tinggi, berpotensi memungkinkan peretas membajak ponsel dengan memuat perangkat lunak yang dirusak pada ponsel tersebut .

Hal ini tampaknya memengaruhi semua ponsel dari pabrikan tertentu, terlepas dari apakah Anda memiliki Android 13. Inilah semua yang kami ketahui tentang kerentanan dan apa yang dapat Anda lakukan untuk melindungi diri dan ponsel Anda.

Produsen menggunakan sertifikat platform atau vendor untuk menandatangani perangkat lunak dan versi Android serta memverifikasi bahwa keduanya sah. Aplikasi dengan tanda tangan ini dapat dipercaya dengan izin yang lebih tinggi untuk berinteraksi dengan sistem Android dan data pengguna yang mendasarinya.

Biasanya, ini hanya memungkinkan beberapa aplikasi sistem penting mengakses bagian-bagian ponsel Anda ini. Namun, ketika aktor jahat mendapatkan sertifikat ini, mereka dapat menandatangani malware dengannya dan memberikannya akses tinggi yang sama seperti aplikasi yang sah.

Malware ini kemudian dapat didistribusikan ke ponsel Android yang akan menginstalnya dan memberikan semua izin yang diminta tanpa pertanyaan lebih lanjut atau interaksi pengguna. Itu membuat vektor serangan ini sangat berbahaya. Malware Android biasanya harus meyakinkan pengguna untuk memberikannya izin yang lebih tinggi sebelum dapat mendatangkan malapetaka pada perangkat.

Selengkapnya: Android Police

Fortinet, Shopify, dan lainnya Melaporkan Masalah Setelah Sertifikat CA Root dari Let’s Encrypt Kedaluwarsa

by

Sekitar pukul 10.00 ET, IdentTrust DST Root CA X3 kedaluwarsa, menurut Scott Helme, pendiri Security Headers. Dia telah melacak masalah ini dan menjelaskan jutaan situs web mengandalkan layanan Let’s Encrypt. Tanpa mereka, beberapa perangkat lama tidak lagi dapat memverifikasi sertifikat tertentu.

Let’s Encrypt beroperasi sebagai organisasi nirlaba gratis yang memastikan koneksi antara perangkat Anda dan internet aman dan terenkripsi.

“Ada beberapa cara untuk menyelesaikan ini tergantung pada apa masalahnya sebenarnya, tetapi intinya adalah: Layanan/situs web perlu memperbarui rantai sertifikat yang mereka layani kepada klien atau, klien yang berbicara dengan situs web/layanan perlu pembaruan,” jelas Helme.

Shopify memposting catatan di halaman insidennya bahwa sekitar pukul 15:30, pedagang dan mitra perusahaan yang berjuang untuk masuk telah memulihkan layanan mereka. Otentikasi pedagang untuk interaksi Dukungan juga telah dipulihkan, kata perusahaan itu.

Fortinet memberi tahu ZDNet bahwa mereka mengetahui dan telah menyelidiki masalah yang berkaitan dengan sertifikat CA root yang kedaluwarsa yang disediakan oleh Lets Encrypt.

“Kami berkomunikasi langsung dengan pelanggan dan telah memberikan solusi sementara. Selain itu, kami sedang mengerjakan solusi jangka panjang untuk mengatasi masalah kasus tepi ini secara langsung di dalam produk kami,” kata perusahaan itu dalam sebuah pernyataan.

Selengkapnya: ZDNet

DigiCert Mencabut 50.000 Sertifikat Keamanan Web

by

DigiCert mengeluarkan pemberitahuan mendesak, memperingatkan administrator situs web bahwa mereka memiliki waktu hingga 11 Juli 2020 untuk mengganti sertifikat EV (extended validation) mereka dengan yang baru dan valid.

Meskipun tidak ada ancaman keamanan yang telah diidentifikasi saat ini, sertifikat ini dicabut karena proses audit yang buruk yang dipakai oleh beberapa perantara CA DigiCert. Termasuk sertifikat yang ditandatangani oleh GeoTrust, Thawte, CertCentral, dan Symantec.

Untuk alasan skala, CA biasanya tidak menandatangani sertifikat situs web secara langsung, tetapi menandatanganinya menggunakan sertifikat perantara (intermediate certificate) yang ditandatangani oleh sertifikat root (root certificate) yang memang dimiliki langsung oleh CA itu sendiri.

Sertifikat situs web umumnya dikenal sebagai leaf certificates, karena sertifikat itu ada di akhir rantai signature, urutan rantai kepercayaannya seperti ini:

  • Leaf certificate dijamin oleh intermediate certificate yang dimiliki CA atau mitra bisnis resmi.
  • Intermediate certificate dijamin oleh root certificate, yang dimiliki langsung oleh CA.
  • Root certificate ditandatangani sendiri, tetapi browser Anda memercayainya karena itu merupakan bagian dari daftar kecil, root certificate yang disetujui yang dibangun di browser Anda atau dipegang oleh sistem operasi Anda.

Digicert menjelaskan masalahnya sebagai berikut:

DigiCert telah mengidentifikasi masalah di mana beberapa intermediate CA (ICA) kami tidak terdaftar sebagai bagian dari audit EV WebTrust terbaru kami.

Penjelasan: sebagai bagian dari proses audit komunitas reguler, CA seharusnya menyerahkan daftar anak perusahaan dan mitra bisnis yang berwenang untuk menandatangani extended validation certificates (EV) sebagai perantara atas nama CA.

Dengan kata lain, jika ada perusahaan X yang memiliki sertifikat EV yang dijamin oleh perusahaan perantara Y yang selanjutnya dijamin oleh sertifikat CA root tepercaya dari perusahaan Z, maka Z harus memastikan perusahaan Y terdaftar kapan pun ia mengajukan dokumen audit validasi yang diperpanjang – demi kepentingan transparansi yang dapat dipahami.

Karena masalah proses audit ini, DigiCert harus mencabut 50.000 sertifikat EV.

ICA yang terkena dampak:

  • DigiCert Global CA G2
  • GeoTrust TLS RSA CA G1
  • Thawte TLS RSA CA G1
  • Secure Site CA
  • NCC Group Secure Server CA G2
  • TERENA SSL High Assurance CA 3

Keenam nama CA di atas tidak akan digunakan untuk menandatangani sertifikat lagi, jadi jika Anda memiliki sertifikat EV yang dicabut yang perlu diterbitkan kembali, itu akan berasal dari salah satu perantara baru ini sebagai gantinya:

  • DigiCert EV RSA CA G2
  • GeoTrust EV RSA CA G2
  • Thawte EV RSA CA G2

Cara memperbarui dan mengganti sertifikat yang dicabut dijelaskan dalam link ini.

 

Berita selengkapnya:
Source: Sophos | Technadu