Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cyber Crime

Cyber Crime

Pakar Merinci Kerentanan Windows Zero-Click Baru untuk Pencurian Kredensial NTLM

by

Peneliti keamanan siber telah membagikan detail tentang kelemahan keamanan yang sekarang sudah ditambal di platform Windows MSHTML yang dapat disalahgunakan untuk melewati perlindungan integritas pada mesin yang ditargetkan.

Kerentanan, dilacak sebagai CVE-2023-29324 (skor CVSS: 6,5), telah dijelaskan sebagai pemintas fitur keamanan. Itu ditangani oleh Microsoft sebagai bagian dari pembaruan Patch Tuesday untuk Mei 2023.

Peneliti keamanan Akamai Ben Barnea, yang menemukan dan melaporkan bug tersebut, mencatat bahwa semua versi Windows terpengaruh, tetapi menunjukkan Microsoft, server Exchange dengan pembaruan Maret menghilangkan fitur yang rentan.

Akamai mengatakan masalah ini berasal dari penanganan jalur yang rumit di Windows, sehingga memungkinkan aktor ancaman membuat URL berbahaya yang dapat menghindari pemeriksaan zona keamanan internet.

“Kerentanan ini adalah contoh lain dari pemeriksaan tambalan yang mengarah ke kerentanan baru dan jalan pintas,” kata Barnea. “Ini adalah permukaan serangan parsing media tanpa klik yang berpotensi mengandung kerentanan korupsi memori kritis.”

Agar tetap terlindungi sepenuhnya, Microsoft selanjutnya merekomendasikan pengguna untuk menginstal pembaruan Kumulatif Internet Explorer untuk mengatasi kerentanan di platform MSHTML dan mesin skrip.

selengkapnya : thehackernews.com

Kunci Private Intek BootGuard OEM Bocor dari Pencurian Siber MSI

by

Intel sedang menyelidiki laporan bahwa kunci privat BootGuard, yang digunakan untuk melindungi PC dari malware tersembunyi, bocor saat data milik Micro-Star International (MSI) dicuri dan dibuang secara online.

Dapat dipahami bahwa kunci privat dibuat oleh MSI untuk digunakan dengan teknologi BootGuard Intel, dan berada di antara kode sumber internal dan materi lain yang diambil dari sistem TI pembuat suku cadang komputer bulan lalu – setidaknya beberapa di antaranya telah dibagikan di internet.

PC dengan chip Intel dan perlindungan BootGuard diaktifkan dan dikonfigurasi, biasanya dan secara umum, hanya menjalankan firmware jika ditandatangani secara digital menggunakan kunci seperti yang dibocorkan dari MSI. Firmware itu memulai OS – proses yang dijelaskan oleh Intel di sini [PDF] dan diperlukan untuk memenuhi persyaratan Windows Secure Boot.

Jika firmware tidak ditandatangani secara digital dengan benar, mungkin karena seseorang telah mencoba menumbangkan kode untuk memasukkan beberapa spyware tidak resmi di bawah sistem operasi, tidak terlihat oleh antivirus dan alat pertahanan lainnya. Idealnya, Anda ingin BootGuard mencegah firmware aneh tersebut dimulai.

Penjahat memposting tangkapan layar untuk membuktikannya, dan mengancam akan merilis data ini kecuali MSI membayar uang tebusan $4 juta. Telah dipahami setidaknya beberapa dari informasi tersebut – seperti kode sumber firmware MSI dan kunci BootGuard pribadi – telah lolos ke alam liar dari situs kebocoran pemeras.

selengkapnya : theregister.com

Banyak Situs Salesforce Publik Membocorkan Data Pribadi

by

Salesforce Community adalah produk perangkat lunak berbasis cloud yang banyak digunakan yang memudahkan organisasi membuat situs web dengan cepat. Pelanggan dapat mengakses situs web Komunitas Salesforce dengan dua cara: Akses terotentikasi (memerlukan login), dan akses pengguna tamu (tidak perlu login). Fitur akses tamu memungkinkan pengguna yang tidak diautentikasi untuk melihat konten dan sumber daya tertentu tanpa perlu masuk.

Namun, terkadang administrator Salesforce secara keliru memberikan akses kepada pengguna tamu ke sumber daya internal, yang dapat menyebabkan pengguna yang tidak sah mengakses informasi pribadi organisasi dan menyebabkan potensi kebocoran data.

Hingga dihubungi oleh reporter ini pada hari Senin, negara bagian Vermont memiliki setidaknya lima situs Komunitas Salesforce terpisah yang memungkinkan akses tamu ke data sensitif, termasuk program Bantuan Pengangguran Pandemi yang mengungkap nama lengkap pemohon, nomor Jaminan Sosial, alamat, nomor telepon , email, dan nomor rekening bank.

Data itu kemudian dijual di forum kejahatan dunia maya teratas. Associated Press melaporkan bahwa pelanggaran DC Health Link juga merupakan hasil dari kesalahan manusia, dan mengatakan penyelidikan mengungkapkan penyebabnya adalah server DC Health Link yang “salah dikonfigurasi untuk mengizinkan akses ke laporan di server tanpa otentikasi yang tepat.”

Salesforce mengatakan paparan data bukanlah hasil dari kerentanan yang melekat pada platform Salesforce, tetapi hal itu dapat terjadi ketika izin kontrol akses pelanggan salah dikonfigurasi.

selengkapnya : krebsonsecurity

Memecah Pipa Bernama Docker Secara SISTEM

by

Kami menemukan dan melaporkan beberapa kerentanan eskalasi hak istimewa di dalam Docker Desktop untuk Windows:

  • Penghapusan file sewenang-wenang yang dapat dimanfaatkan untuk peningkatan hak istimewa penuh: CVE-2022-37326, dan CVE-2022-38730.
  • Timpa file sewenang-wenang: CVE-2022-31647 dan CVE-2022-34292.

Kami mematuhi pedoman pengungkapan yang bertanggung jawab, dan Docker menangani pemberitahuan dengan cepat dan efisien.

Anggota DaemonJSON menyimpan nilai path untuk file daemon.json (file konfigurasi daemon Docker), dan anggota Settings adalah kelas yang berisi semua bidang (Lampiran A) yang ada di dalam file daemon JSON.

Pertama-tama mari kita jelaskan mengapa anggota Pengaturan tidak relevan bagi kami. Setelah panggilan ke _windowsDockerDaemon.Start (Gambar 1), ada urutan pemanggilan fungsi di mana argumen pengaturan diteruskan ke tiga fungsi: RewriteOptions, GetServiceEnv, dan TryToStartService (Gambar 2).

awal fungsi API.

Tapi meskipun diteruskan sebagai argumen, itu hanya digunakan dalam metode GetServiceEnv dan hanya untuk bidang Proxy (Gambar 3).

fungsi GetServiceEnv.

Kami memahami bahwa kami tidak dapat memengaruhi setelan argumen untuk memanipulasi layanan. Kami melanjutkan ke argumen berikutnya yang dikontrol oleh kami dan memeriksa argumen daemonOptions, dan dari fungsi RewriteOptions, kami memahami bahwa itu digunakan sebagai parameter untuk file switch –config di dockerd (lihat cuplikan kode di bawah), yang berarti kami mengontrol pengaturan dockerd.

Untungnya, bidang JSON daemon Docker didokumentasikan di Docker, dan Anda dapat melihat banyak opsi di sana (Lampiran B). Satu hal yang akan Anda perhatikan adalah bahwa ada dua versi terpisah – satu untuk Linux dan satu lagi untuk Windows – yang dapat menimbulkan masalah ketika ada bidang yang seharusnya hanya berfungsi di Linux atau Windows.

selengkapnya : cyberark.com

82% Pemimpin Cyber Setuju Bahwa Mereka Dapat Mengurangi Sebagian dari Semua Kerusakan

by

Dalam penelitian tersebut, Forrester Consulting mengungkapkan beberapa temuan yang membuka mata dari tekanan yang dihadapi para pemimpin dunia maya saat ini hingga dampak kekurangan bakat dunia maya, antara lain:

  • Tim siber menghadapi tekanan yang semakin besar dari pemimpin senior: 84% responden setuju bahwa tim keamanan siber merasakan tekanan yang meningkat untuk bersiap menghadapi serangan siber berikutnya.
  • Ancaman dunia maya semakin sulit dihentikan: 72% setuju lanskap ancaman semakin menantang.
  • Pelaporan tidak konsisten: Pemimpin senior harus membagikan kesiapan pelanggaran dan hasil respons insiden ke tingkat yang lebih tinggi, tetapi kurang dari 60% melakukannya hari ini. Selain itu, lebih dari setengah (55%) setuju bahwa tim keamanan siber mereka tidak memiliki data yang diperlukan untuk menunjukkan kesiapan dalam menanggapi ancaman siber dengan tepat.
  • Tim tidak diperlengkapi secara strategis untuk mempertahankan ketahanan dunia maya: Kurang dari sepertiga (32%) percaya bahwa organisasi mereka memiliki strategi formal untuk memastikan ketahanan dunia maya.
  • Kekurangan bakat mengancam ketahanan siber: 83% responden menganggap tim keamanan siber mereka kekurangan staf, dan 94% mengalami setidaknya satu tantangan manajemen bakat dengan tim keamanan siber.
  • Tim keamanan siber dapat mengurangi risiko dengan mengadopsi pendekatan modern untuk meningkatkan keterampilan: 64% responden setuju bahwa metode pelatihan keamanan siber tradisional (mis., sertifikasi, kursus pelatihan video, instruksi kelas) tidak cukup untuk memastikan ketahanan siber. Memanfaatkan pendekatan yang berpusat pada orang yang efektif, seperti simulasi langsung, dan pelatihan serta peningkatan keterampilan online yang progresif dan sejalan dengan jalur karier dapat meningkatkan kemampuan tim keamanan siber dan, pada gilirannya, ketahanan siber organisasi mereka.

Studi ini merekomendasikan bahwa untuk mengurangi kekurangan staf dan kurangnya keterampilan dunia maya internal, “perusahaan harus mengevaluasi kembali praktik perekrutan untuk merekrut dan menguji karyawan berpotensi tinggi” dan “berinvestasi dalam budaya yang memanfaatkan pendekatan berpusat pada orang yang efektif, seperti simulasi langsung, dan pelatihan online yang selaras dengan jalur karier yang progresif dan peningkatan keterampilan untuk meningkatkan kemampuan tim keamanan siber mereka dan, pada gilirannya, ketahanan dunia maya organisasi mereka.”

selengkapnya : digitalisationworld.com

Cara lama: BabLock, ransomware baru yang diam-diam menjelajahi Eropa, Timur Tengah, dan Asia

by

Pada pertengahan Januari 2023, tim Digital Forensics and Incident Response Group-IB yang berbasis di Amsterdam dipanggil untuk menyelidiki salah satu serangan pasca-liburan Tahun Baru terhadap perusahaan sektor industri di Eropa.

Selama penyelidikan, para ahli Group-IB menetapkan bahwa korban telah dienkripsi dengan jenis ransomware yang sebelumnya tidak dikenal. Ketegangan, pertama kali ditemukan oleh peneliti Group-IB pada Januari 2023, diberi nama kode BabLock, karena versinya untuk Linux dan ESXi memiliki kesamaan dengan ransomware Babuk yang bocor.

Terlepas dari kesamaan kecil ini, grup ini memiliki modus operandi yang sangat berbeda dan ransomware canggih khusus untuk Windows. Selain itu, geng BabLock (juga dilacak dengan nama “Rorschach” oleh CheckPoint), tidak seperti kebanyakan “rekan industri”, tidak menggunakan Situs Kebocoran Data (DLS) dan berkomunikasi dengan korbannya melalui email.

Tidak adanya DLS, bersama dengan permintaan tebusan yang relatif sederhana mulai dari 50.000 hingga 1.000.000 USD, memungkinkan grup untuk beroperasi secara diam-diam dan tetap berada di bawah radar peneliti keamanan siber. Strain tersebut telah aktif setidaknya sejak Juni 2022, ketika versi ESXi yang paling awal diketahui dirilis. Menariknya, semua modul ransomware BabLock untuk Windows yang ditemukan oleh peneliti Group-IB dikompilasi pada tahun 2021, menurut stempel waktu.

Selain Eropa, kelompok tersebut diduga melakukan serangan di Asia dan Timur Tengah, berdasarkan sampel BabLock yang diserahkan ke VirusTotal. Khususnya, grup tersebut tidak mengenkripsi perangkat yang menggunakan bahasa Rusia dan bahasa lain yang digunakan di ruang pasca-Soviet.

Artefak yang dikumpulkan selama keterlibatan respons insiden di Eropa menyarankan BabLock menggunakan taktik canggih seperti eksploitasi CVE, pemuatan samping DLL serta anti-analisis kompleks dan teknik penghindaran deteksi.

Selengkapnya: Group IB

Para Ahli Mengungkapkan Aplikasi Belanja dari China, Pinduoduo, Kemampuan Mata-Mata Pinduoduo Pengguna

by

Akhir-akhir ini banyak sekali aplikasi yang diam-diam memata-matai penggunanya dengan berbagai tujuan.

Pinduoduo, salah satu aplikasi belanja terpopuler di Cina dengan basis pengguna bulanan lebih dari 750 juta, telah dilaporkan oleh para peneliti keamanan siber karena dapat melacak aktivitas pengguna di aplikasi lain, membaca pesan pribadi, mengubah pengaturan tanpa persetujuan, dan sulit dihapus setelah diinstal.

CNN melakukan investigasi dan menemukan malware pada aplikasi ini yang memanfaatkan kelemahan sistem operasi Android untuk memata-matai pengguna dan pesaing guna meningkatkan penjualan.

Menurut peneliti keamanan siber, aplikasi tersebut dapat melewati keamanan ponsel pengguna, memungkinkannya memantau aktivitas di aplikasi lain, memeriksa notifikasi, membaca pesan pribadi, dan mengubah pengaturan.

Pinduoduo didirikan pada tahun 2015 di Shanghai oleh Colin Huang, seorang mantan karyawan Google. Pengguna bulanan Pinduoduo meningkat pesat hingga 2018, tahun yang terdaftar di New York. Pengguna bulanan sejak itu menurun, menurut laporan pendapatan.

Dengan mengumpulkan data pengguna, Pinduoduo dapat membuat potret komprehensif tentang kebiasaan, minat, dan preferensi pengguna, menyempurnakan model pembelajaran mesinnya untuk menawarkan pemberitahuan push dan iklan yang lebih dipersonalisasi.

Aplikasi Sebelumnya Ditutup Oleh Google
Peneliti dari beberapa perusahaan keamanan siber melakukan analisis independen terhadap aplikasi tersebut, yang dirilis pada akhir Februari. Mereka menemukan kode yang dirancang untuk mencapai ‘eskalasi hak istimewa’.

Pinduoduo membantah tuduhan niat jahat, tetapi pakar keamanan siber mengatakan tindakan perusahaan itu sangat tidak biasa dan berpotensi memberatkan.

Selengkapnya: TechStory

Bagaimana FBI menangkap admin BreachForums

by

FBI mengumpulkan beberapa bukti untuk menangkap Pompompurin. Pertama, mereka mendapatkan alamat IP yang digunakan Pompompurin untuk mengakses RaidForums, pendahulu BreachForums, yang disita oleh FBI pada April 2022. Sembilan dari alamat IP tersebut dikaitkan dengan Fitzpatrick, menurut penyedia layanan internetnya Verizon, sebagai Agen Khusus FBI tulis John Longmire dalam affidavit tertanggal 15 Maret, dua hari sebelum penangkapan Fitzpatrick.

Meskipun Pompompurin kemudian berkata “(Saya tidak ingin membagikan email saya yang sebenarnya karena alasan yang jelas, tetapi email ini tampaknya memiliki kasus yang sama dengan saya): conorfitzpatrick02@gmail.com,” tulis agen tersebut dalam pernyataan tertulis bahwa email itu alamat memang Pompompurin karena FBI memperoleh catatan dari Google yang menunjukkan bahwa Fitzpatrick mendaftarkan alamat itu beberapa bulan sebelum obrolan itu. Peretas yang diduga juga memiliki akun Google Pay yang ditautkan ke alamat email itu dan juga yang lebih baru, “conorfitzpatrick2002@gmail.com,” keduanya ditautkan ke nomor yang dimiliki oleh Fitzpatrick, menurut affidavit.

Selain itu, agen tersebut menulis bahwa dia memperoleh lebih banyak catatan dari Google, yang menunjukkan conorfitzpatrick2002@gmail.com memiliki alamat email pemulihan funmc59tm@gmail.com yang ditautkan ke alamat IP yang terdaftar untuk seseorang dengan nama belakang Fitzpatrick dan nomor telepon yang berbeda, yang mana agen itu mengatakan dia yakin itu milik ayah Fitzpatrick.

Kemudian, menurut affidavit, Pompompurin menggunakan beberapa VPN untuk terhubung ke akun Gmailnya, beberapa di antaranya tumpang tindih dengan aktivitasnya di tempat lain di internet.

Agen tersebut juga mengatakan bahwa FBI memperoleh catatan dari pertukaran cryptocurrency Purse.io. Catatan perusahaan mengungkapkan bahwa empat alamat IP yang digunakan untuk terhubung ke bursa juga digunakan untuk terhubung ke akun Gmail conorfitzpatrick2002@gmail.com dan akun RaidForum Pompompurin. Selain itu, akun Purse.io itu terdaftar dengan nama Conor Fitzpatrick dan alamat email “conorfitzpatrick2002@gmail.com,” kata affidavit.

Selengkapnya: TechCrunch