Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cyber Attack

Cyber Attack

Botnet Mirai suka mengeksploitasi router TP-Link Anda yang belum ditambal, CISA memperingatkan

by

Cybersecurity and Infrastructure Security Agency (CISA) pemerintah AS menambahkan tiga kelemahan lagi ke dalam daftar kerentanan yang diketahui dieksploitasi, termasuk satu yang melibatkan router TP-Link yang menjadi sasaran operator botnet Mirai yang terkenal kejam.

Dua lainnya ditempatkan pada daftar minggu ini melibatkan versi perangkat lunak Server WebLogic Oracle dan perpustakaan log4j Java Log4j dari Apache Foundation.

Cacat injeksi perintah di router Wi-Fi 6 Archer AX21 TP-Link – dilacak sebagai CVE-2023-1389 – bersembunyi di firmware perangkat sebelum versi 1.1.4 Build 20230219, yang mengatasi masalah tersebut. Penyerang yang tidak sah dapat mengeksploitasi lubang ini untuk menyuntikkan perintah yang dapat menyebabkan eksekusi kode jarak jauh (RCE), yang memungkinkan penyusup mengambil kendali perangkat dari seluruh jaringan atau internet.

Malware Mirai menggulung perangkat Internet of Things (IoT) berbasis Linux yang terinfeksi ke dalam botnet yang kemudian dapat dikendalikan dari jarak jauh untuk melakukan serangan jaringan berskala besar, termasuk serangan denial-of-services (DDoS) terdistribusi.

Kerentanan command-injection ditemukan oleh beberapa tim yang berpartisipasi dalam kontes Pwn2Own Toronto ZDI tahun lalu dan seperti yang kami katakan, TP-Link telah mengeluarkan firmware untuk memperbaiki masalah tersebut. Setelah mendengar dari ZDI bahwa operator botnet Mirai mencoba mengeksploitasinya, TP-Link mengeluarkan pernyataan yang mendesak pengguna untuk menginstal firmware yang diperbarui.

Untuk perangkat yang ditautkan ke akun TP-Link Cloud, firmware diperbarui secara otomatis. Pengguna lain perlu memperbarui router sendiri.

Para peneliti ZDI menulis bahwa melihat kelemahan yang dieksploitasi begitu cepat setelah tambalan dirilis adalah contoh lain dari berkurangnya waktu antara kerentanan ditemukan dan upaya eksploitasi dimulai.

selengkapnya : theregister.com

Mengamankan lingkungan multi-cloud adalah salah satu tantangan utama DoD. Inilah cara mereka bisa berhasil

by

Saat Departemen Pertahanan mengumumkan kontrak Joint Warfighting Cloud Capability pada bulan Desember, ini merupakan langkah besar dalam perjalanan multi-cloud DoD. Dengan menerapkan tata kelola multi-cloud, yang berpusat pada keamanan, DoD memiliki peluang untuk menyelaraskan adopsi multi-cloud ini dengan strategi tanpa kepercayaan. Strategi tersebut sangat eksplisit tentang hasil yang dicari untuk mengamankan lingkungan dan memberikan metrik untuk menentukan keberhasilan – misalnya, dapatkah DoD mengidentifikasi dan melacak individu yang sama di beberapa lingkungan? Ini juga memberikan fleksibilitas, memberi DoD kemampuan untuk mencoba berbagai pendekatan untuk mencapai hasil yang diinginkan, dan memilih opsi terbaik.

“Meskipun ada manfaat operasional bagi DoD yang memanfaatkan berbagai lingkungan penyedia layanan cloud dan semua kemampuan keamanan asli yang ada, memiliki kemampuan keamanan yang dapat memperluas dan menutupi celah di lingkungan CSP tertentu akan memberi mereka pandangan holistik di seluruh sistem mereka,” kata Steve Faehl, kepala petugas teknologi keamanan untuk Microsoft Federal. “Kemampuan keamanan Azure juga dapat membantu mempertahankan cloud lain, di mana kita dapat melihat DoD menghasilkan efisiensi dan skala ekonomis yang signifikan: memiliki gambaran operasional yang sama dengan memanfaatkan komponen Azure yang terbentang secara menyeluruh.”

Untuk lebih mengamankan jaringan dan sistem DoD, dan mencapai tujuan dari strategi tanpa kepercayaannya, analis dan pembela dunia maya DoD akan membutuhkan visibilitas di seluruh lanskap cloud, daripada harus beralih di antara instance yang terpisah. DoD membutuhkan gambaran umum tentang identitas pengguna, cara umum untuk menempatkan kebijakan dan perlindungan ke titik akhir, dan lapisan pertahanan umum.

“Kami yakin bahwa kepercayaan nol dapat diukur,” kata Jay Bhalodia, direktur kesuksesan pelanggan di divisi keamanan Microsoft Federal. “Dengan memulai dengan lapisan umum untuk dapat melihat segalanya, Anda kemudian dapat menambahkan kebijakan dan tata kelola tersebut. Dan harus ada perubahan terukur dalam lingkungan yang mencerminkan hal itu. Jika Anda menangkap telemetri terlebih dahulu, dan memahami apa titik awal Anda, Anda memiliki kemampuan untuk mengukur kematangan lingkungan relatif tersebut, dan mengetahui di mana Anda perlu menghilangkan risiko atau mengatasi masalah tertentu. Pengukuran dimulai dengan visibilitas.”

Tapi ini bukan hanya tentang kemampuan itu sendiri; Analis dan pembela DoD harus dididik tentang cara mengoperasikan kemampuan ini juga. Mereka memerlukan pelatihan untuk mempelajari cara kerja alat, dan cara memahami dasbor dan visibilitas di berbagai solusi cloud. Mereka juga memerlukan pelatihan tentang cara menerapkan pengetahuan itu ke dalam konteks organisasi untuk mencapai tujuan dan hasil spesifik yang dicari DoD. Microsoft telah berinvestasi dalam keterlibatan khusus hasil DOD untuk jalur implementasi yang lebih cepat dan program pelatihan langsung untuk mendukung pengembangan kemampuan bagi karyawan DoD dan Federal.

sekengkapnya : federalnewsnetwork.com

Geng Ransomware Mengeksploitasi Produk Unpatched Backup Veeam

by

pengguna yang tidak diautentikasi yang telah mengakses perimeter jaringan infrastruktur cadangan untuk mendapatkan kredensial terenkripsi yang disimpan dalam database konfigurasi, yang pada akhirnya dapat menyebabkan mereka mendapatkan akses ke host infrastruktur cadangan.

Itu diklasifikasikan sebagai bug dengan tingkat keparahan tinggi dan membawa skor CVSS v3 7,5. Itu ada dalam proses Veeam.Backup.Service.exe dari Veaam Backup & Replication, Veeam Cloud Connect, Veeam Cloud Connect untuk Edisi Komunitas Enterprise dan Veeam Backup & Replication.

BlackCat/ALPHV, BlackMatter, DarkSide dan, pada suatu waktu, REvil – setelah beralih ke pemerasan dari pencurian data kartu pembayaran sekitar tiga tahun lalu.

Grup tersebut mungkin memiliki kaitan dengan beberapa serangan dunia maya profil tinggi baru-baru ini, termasuk perampokan yang berkembang di agen outsourcing sektor publik Inggris Capita, raksasa sistem pembayaran NCR, dan Munster Technological University di Irlandia. Tidak ada indikasi pada saat penulisan bahwa salah satu dari intrusi ini melibatkan eksploitasi kompromi Veeam.

Pada 28 Maret 2023, Singh dan Nejad mengatakan bahwa mereka melihat aktivitas di beberapa server yang terhubung ke internet yang menjalankan Veeam Backup & Replication, di mana proses server SQL yang terkait dengan instance pencadangan menjalankan perintah shell, yang melakukan pengunduhan dalam memori dan eksekusi file Skrip PowerShell.

Pada akhirnya, ada kemungkinan pijakan ini akan berkembang menjadi serangan ransomware, dan dengan tidak adanya penambalan atau kesadaran luas, beberapa mungkin masih melakukannya.

Namun, menurut Singh dan Nejad, kemungkinan kelangkaan server cadangan Veeam dengan port TCP 9401 terbuka berarti ruang lingkup insiden kemungkinan terbatas.

selengkapnya : computerweekly.com

Serangan Ransomware 2023: Sorotan Kuartal Pertama

by

Pada Q1 2023, kami mengamati hampir 850 organisasi diberi nama di situs ransomware dan pemerasan data di web gelap. Ini adalah lompatan 22,4% dari kuartal sebelumnya, yang memiliki jumlah total mendekati 700. Tidak mengherankan, “LockBit” tetap menjadi grup yang paling aktif, dengan selisih yang lebar. Tapi tempat nomor dua datang dari pesaing di menit-menit terakhir: Clop, dengan eksploitasi GoAnywhere.

Jumlah korban disebutkan di 20 situs kebocoran data ransomware teratas, Q1 2023

Maret 2023 mencatat rekor bulan paling aktif yang pernah kami catat dalam sejarah ransomware pemerasan ganda. Lebih dari 400 organisasi disebutkan di situs kebocoran data ransomware; itu 35% lebih banyak dari rekor bulanan sebelumnya.

Aktivitas ransomware menurut bulan sejak Maret 2022

serangan hanya pemerasan berkurang secara substansial: sebesar 90%. Kita berbicara tentang kelompok ancaman yang mencuri data, mengancam untuk membocorkannya di situs kebocoran data, dan kemudian tidak mengenkripsi file. Terobosan dalam aktivitas hanya pemerasan mungkin dapat dijelaskan oleh kelompok pemerasan terkemuka, “Tim Peretasan Karakurt”, sebagian besar tidak aktif.

Aktivitas pemerasan berdasarkan bulan sejak Maret 2022

Ini tidak berarti bahwa serangan pemerasan saja sudah ketinggalan zaman. Jumlah yang dianalisis terbatas pada kelompok pemerasan yang dikonfirmasi yang menyebutkan nama korban di situs kebocoran data, dan ada ratusan pelaku ancaman yang mencuri data dan malah mengekspos organisasi di forum penjahat dunia maya bawah tanah, seperti XSS atau Exploit. Plus, kampanye terbaru Clop, yang menargetkan kelemahan GoAnywhere, dapat dianggap sebagai kampanye pemerasan saja.

Sebaran korban per sektor lebih merata, meski sektor industri barang dan jasa tetap menjadi target paling banyak dengan 21,1% dari seluruh korban. Peningkatan serangan industri perawatan kesehatan merupakan temuan penting; lebih dari 30 organisasi layanan kesehatan disebutkan di situs kebocoran data pada Maret 2023. Itu lebih dari yang kami amati selama empat kuartal terakhir.

selengkapnya : reliaquest.com

Perusahaan telekomunikasi Afrika yang menjadi sasaran kelompok peretas yang diduga didukung China

by

Sebuah perusahaan telekomunikasi Afrika adalah target terbaru dari dugaan kelompok peretasan yang didukung pemerintah China, menurut laporan baru dari Symantec.

Peneliti perusahaan perangkat lunak keamanan siber telah melacak kelompok ancaman persisten tingkat lanjut (APT) yang mereka sebut “Daggerfly”. Aktivitas jahat terhadap perusahaan tampaknya telah dimulai pada November 2022 tetapi “ada indikasi bahwa aktivitas tersebut kemungkinan besar masih berlangsung,” tulis mereka.

“Perusahaan telekomunikasi akan selalu menjadi target utama dalam kampanye pengumpulan intelijen karena akses yang dapat mereka sediakan untuk komunikasi pengguna akhir,” para peneliti menjelaskan.

Mereka menolak menyebutkan nama perusahaan tersebut tetapi mengatakan bahwa mereka dapat mengaitkan aktivitas tersebut dengan grup peretas China berdasarkan penggunaan malware PlugX — ciri khas kampanye peretasan militer China.

Kasus spesifik yang disorot dalam laporan tersebut menonjol bagi para peneliti karena beberapa jenis malware lain yang digunakan — termasuk kerangka malware modular MgBot — “akan memungkinkan penyerang mengumpulkan sejumlah besar informasi dari mesin korban.”

“Kemampuan plugin ini juga menunjukkan bahwa tujuan utama penyerang selama kampanye ini adalah untuk mengumpulkan informasi. Pengembangan Daggerfly dari plugin yang sebelumnya tidak terlihat ini menunjukkan bahwa kelompok penyerang terus aktif mengembangkan malware dan alat yang dapat digunakannya untuk menargetkan jaringan korban,” tulis mereka.

“Penggunaan kerangka kerja malware modular MgBot dan pemuat PlugX telah dikaitkan di masa lalu dengan APT terkait China.”

Para peneliti percaya Daggerfly telah aktif setidaknya sejak 2014. Kampanye terbaru dimulai dengan koneksi mencurigakan yang terkait dengan AnyDesk — perangkat lunak desktop jarak jauh resmi yang sering disalahgunakan oleh peretas untuk mengambil alih perangkat korban.

Selengkapnya: The Record

Memecah Pipa Bernama Docker Secara SISTEM

by

Kami menemukan dan melaporkan beberapa kerentanan eskalasi hak istimewa di dalam Docker Desktop untuk Windows:

  • Penghapusan file sewenang-wenang yang dapat dimanfaatkan untuk peningkatan hak istimewa penuh: CVE-2022-37326, dan CVE-2022-38730.
  • Timpa file sewenang-wenang: CVE-2022-31647 dan CVE-2022-34292.

Kami mematuhi pedoman pengungkapan yang bertanggung jawab, dan Docker menangani pemberitahuan dengan cepat dan efisien.

Anggota DaemonJSON menyimpan nilai path untuk file daemon.json (file konfigurasi daemon Docker), dan anggota Settings adalah kelas yang berisi semua bidang (Lampiran A) yang ada di dalam file daemon JSON.

Pertama-tama mari kita jelaskan mengapa anggota Pengaturan tidak relevan bagi kami. Setelah panggilan ke _windowsDockerDaemon.Start (Gambar 1), ada urutan pemanggilan fungsi di mana argumen pengaturan diteruskan ke tiga fungsi: RewriteOptions, GetServiceEnv, dan TryToStartService (Gambar 2).

awal fungsi API.

Tapi meskipun diteruskan sebagai argumen, itu hanya digunakan dalam metode GetServiceEnv dan hanya untuk bidang Proxy (Gambar 3).

fungsi GetServiceEnv.

Kami memahami bahwa kami tidak dapat memengaruhi setelan argumen untuk memanipulasi layanan. Kami melanjutkan ke argumen berikutnya yang dikontrol oleh kami dan memeriksa argumen daemonOptions, dan dari fungsi RewriteOptions, kami memahami bahwa itu digunakan sebagai parameter untuk file switch –config di dockerd (lihat cuplikan kode di bawah), yang berarti kami mengontrol pengaturan dockerd.

Untungnya, bidang JSON daemon Docker didokumentasikan di Docker, dan Anda dapat melihat banyak opsi di sana (Lampiran B). Satu hal yang akan Anda perhatikan adalah bahwa ada dua versi terpisah – satu untuk Linux dan satu lagi untuk Windows – yang dapat menimbulkan masalah ketika ada bidang yang seharusnya hanya berfungsi di Linux atau Windows.

selengkapnya : cyberark.com

Maret 2023 memecahkan rekor serangan ransomware dengan 459 insiden

by

Maret 2023 adalah bulan paling produktif yang dicatat oleh analis keamanan siber dalam beberapa tahun terakhir, dengan mencatat 459 serangan, meningkat 91% dari bulan sebelumnya dan 62% dibandingkan Maret 2022.

Menurut NCC Group, yang menyusun laporan berdasarkan statistik yang diperoleh dari pengamatannya, alasan bulan lalu memecahkan semua rekor serangan ransomware adalah CVE-2023-0669.

Aktivitas Maret 2023 melanjutkan tren kenaikan yang diamati oleh NCC Group sejak awal tahun (Januari dan Februari), dengan jumlah insiden peretasan dan kebocoran data tertinggi yang tercatat dalam tiga tahun terakhir.

Grafik serangan ransomware bulanan, biru tua: 2022, biru muda: 2023 (NCC Group)

Clop melakukan 129 serangan yang tercatat bulan lalu, memuncaki grafik NCC Group dengan geng ransomware paling aktif untuk pertama kalinya dalam sejarah operasionalnya.

Grup ransomware lain yang memiliki aktivitas relatif signifikan selama Maret 2023 adalah Royal ransomware, BlackCat (ALPHV), Bianlian, Play, Blackbasta, Stormous, Medusa, dan Ransomhouse.

Menutup lonjakan aktivitas ransomware (NCC Group)

Lonjakan aktivitas yang terekam pada bulan Maret 2023 menyoroti pentingnya menerapkan pembaruan keamanan sesegera mungkin, mengurangi celah keamanan yang berpotensi tidak diketahui seperti nol hari dengan menerapkan tindakan tambahan dan memantau lalu lintas jaringan dan log untuk aktivitas yang mencurigakan.

selengkapnya : bleepingcomputer.com

Dalam surat kepada UE, badan sumber terbuka mengatakan Cyber Resilience Act dapat memiliki ‘efek dingin’ pada pengembangan perangkat lunak

by

Lebih dari selusin badan industri open source telah menerbitkan surat terbuka yang meminta Komisi Eropa (EC) untuk mempertimbangkan kembali aspek-aspek dari Cyber Resilience Act (CRA) yang diusulkan, dengan mengatakan bahwa itu akan memiliki “efek dingin” pada pengembangan perangkat lunak open source jika diterapkan di bentuknya saat ini.

Tiga belas organisasi, termasuk Eclipse Foundation, Linux Foundation Europe, dan Open Source Initiative (OSI), juga mencatat bahwa Cyber Resilience Act sebagaimana tertulis “menimbulkan risiko ekonomi dan teknologi yang tidak perlu bagi UE.”

Tampaknya, tujuan dari surat tersebut adalah agar komunitas open source mendapatkan suara yang lebih besar dalam evolusi CRA seiring perkembangannya melalui Parlemen Eropa.

Adapun Undang-Undang Ketahanan Cyber, pesan dari komunitas perangkat lunak open source cukup jelas – mereka merasa bahwa suara merek tidak didengar, dan jika perubahan tidak dilakukan pada undang undang yang diusulkan maka itu bisa berdampak besar.

selengkapnya : techcrunch.com