Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cybersecurity

Cybersecurity

Kerentanan kritis F5 BIG-IP sekarang ditargetkan dalam serangan yang sedang berlangsung

by

Pada hari Kamis, perusahaan keamanan siber NCC Group mengatakan bahwa mereka berhasil mendeteksi eksploitasi liar dari kerentanan kritis yang baru-baru ini ditambal di perangkat jaringan F5 BIG-IP dan BIG-IQ.

Upaya eksploitasi telah dimulai awal minggu ini dan telah meningkat selama 24 jam terakhir, dengan aktivitas pemindaian massal terdeteksi oleh NCC Group dan Bad Packets.

“Mulai minggu ini dan terutama dalam 24 jam terakhir (18 Maret 2021) kami telah mengamati berbagai upaya eksploitasi terhadap infrastruktur honeypot kami,” kata Rich Warren dan Sander Laarhoven dari NCC Group.

Kerentanan keamanan yang coba dieksploitasi oleh penyerang ini adalah eksekusi perintah jarak jauh (RCE) yang tidak diautentikasi yang dilacak sebagai CVE-2021-22986, dan ini memengaruhi sebagian besar versi perangkat lunak F5 BIG-IP dan BIG-IQ.

Beberapa peneliti keamanan telah membagikan kode eksploitasi bukti konsep setelah merekayasa balik patch BIG-IP.

Eksploitasi bug yang berhasil (dengan tingkat keparahan 9.8 / 10) dapat menyebabkan gangguan sistem secara penuh, termasuk perpindahan lateral ke jaringan internal dan intersepsi lalu lintas aplikasi pengontrol.

Sumber: Bleeping Computer

Raksasa komputer Acer terkena serangan ransomware senilai $ 50 juta

by

Raksasa komputer Acer telah terkena serangan ransomware REvil di mana pelaku ancaman menuntut tebusan terbesar yang diketahui hingga saat ini, $50.000.000.

Acer adalah produsen elektronik dan komputer Taiwan yang terkenal dengan laptop, desktop, dan monitor. Acer mempekerjakan sekitar 7.000 karyawan dan menghasilkan $ 7,8 miliar pada 2019.

Kemarin, geng ransomware mengumumkan di situs kebocoran data mereka bahwa mereka telah membobol Acer dan membagikan beberapa gambar dari file yang diduga dicuri sebagai bukti.

Gambar yang bocor ini untuk dokumen yang mencakup spreadsheet keuangan, saldo bank, dan komunikasi bank.

Sumber: BleepingComputer

Menanggapi pertanyaan dari BleepingComputer, Acer tidak memberikan jawaban yang jelas mengenai apakah mereka mengalami serangan ransomware REvil, sebaliknya mengatakan bahwa mereka “melaporkan situasi abnormal baru-baru ini” ke LEA dan DPA yang relevan.

Setelah menerbitkan berita mengenai ini, Valery Marchive dari LegMagIT menemukan sampel REvil ransomware yang digunakan dalam serangan Acer yang menuntut tebusan $ 50 juta.

Segera setelah itu, BleepingComputer menemukan sampel tersebut dan dapat mengonfirmasi bahwa berdasarkan catatan tebusan dan percakapan korban dengan penyerang, sampel tersebut berasal dari serangan siber di Acer.

Selengkapnya: Bleeping Computer

Rusia mengaku bersalah atas upaya peretasan dan pemerasan Tesla

by

Warga negara Rusia Egor Igorevich Kriuchkov telah mengaku bersalah merekrut karyawan Tesla untuk menanam malware yang dirancang untuk mencuri data dalam jaringan Nevada Gigafactory Tesla.

Tujuan akhirnya adalah memeras perusahaan menggunakan informasi sensitif yang dicuri dari server Tesla sebagai pengaruh untuk meyakinkan perusahaan agar membayar uang tebusan untuk menghindari kebocoran data.

Untuk meyakinkan karyawan perusahaan agar bertindak sebagai orang dalam bagi geng kriminalnya, Kriuchkov mengatakan kepadanya bahwa dia akan dibayar $ 1.000.000 bitcoin setelah malware tersebut disebarkan di jaringan perusahaan, menurut dokumen pengadilan.

Kriuchkov juga mengatakan kepada karyawan Tesla bahwa dia sebelumnya terlibat dalam “proyek” serupa lainnya di mana salah satu perusahaan korban membayar $ 4 juta setelah merundingkan uang tebusan dari $ 6 juta.

Kriuchkov menjelaskan bahwa “‘kelompok’ tersebut telah melakukan ‘proyek khusus’ ini dengan sukses dalam beberapa kesempatan, dan mengidentifikasi beberapa perusahaan yang menjadi sasaran,” menurut dakwaan.

Karyawan Tesla juga diberitahu bahwa selama “proyek khusus” mereka menargetkan jaringan Tesla, para penjahat akan meluncurkan serangan Distributed Denial of Service (DDoS) untuk mengalihkan perhatian dari upaya orang dalam untuk menyebarkan malware.

CEO Tesla, Elon Musk, kemudian mengonfirmasi dalam balasan Twitter bahwa Kriuchkov memang mencoba merekrut karyawan Tesla untuk membantu skema pemerasannya.

Terdakwa ditangkap pada Agustus 2020 setelah menerima panggilan telepon dari agen FBI dan bergegas meninggalkan AS untuk menghindar.

Dia didakwa satu bulan kemudian dan didakwa dengan tuduhan konspirasi yang sengaja menyebabkan kerusakan pada komputer yang dilindungi, menghadapi hukuman maksimum lima tahun penjara dan denda $ 250.000.

Selengkapnya: Bleeping Computer

REvil ransomware memiliki mode enkripsi ‘Windows Safe Mode’ baru

by

Operasi ransomware REvil telah menambahkan kemampuan baru untuk mengenkripsi file dalam Windows Safe Mode, kemungkinan besar menghindari deteksi oleh perangkat lunak keamanan dan untuk kesuksesan yang lebih besar saat mengenkripsi file.

Dalam sampel baru REvil ransomware yang ditemukan oleh MalwareHunterTeam, argumen baris perintah -smode baru ditambahkan yang memaksa komputer untuk melakukan boot ulang ke Safe Mode sebelum mengenkripsi perangkat.

Untuk melakukan ini, REvil akan menjalankan perintah berikut untuk memaksa komputer boot ke Safe Mode with Networking ketika Windows restart berikutnya.

bootcfg /raw /a /safeboot:network /id 1
bcdedit /set {current} safeboot network

Kemudian membuat autorun ‘RunOnce’ bernama ‘*franceisshit’ yang menjalankan ‘bcdedit /deletevalue {current} safeboot’ setelah pengguna masuk ke Safe Mode.

Sumber: BleepingComputer

Akhirnya, ransomware melakukan restart paksa Windows yang tidak dapat diganggu oleh pengguna.

Tepat sebelum proses keluar, itu akan membuat autorun RunOnce tambahan bernama ‘AstraZeneca’, mungkin tentang pertimbangan Prancis baru-baru ini tentang penggunaan vaksin. Penting untuk diingat bahwa kedua entri ‘RunOnce’ ini akan dijalankan setelah masuk ke Safe Mode dan secara otomatis akan dihapus oleh Windows.

Saat reboot, perangkat akan memulai dalam Safe Mode With Networking, dan pengguna akan diminta untuk masuk ke Windows. Setelah mereka masuk, REvil ransomware akan dijalankan tanpa argumen -smode sehingga mulai mengenkripsi file pada perangkat.

Saat berjalan, ransomware akan mencegah pengguna meluncurkan program apa pun melalui Task Manager hingga selesai mengenkripsi perangkat.

Setelah perangkat dienkripsi, ini akan memungkinkan sisa urutan boot untuk dilanjutkan, dan desktop akan ditampilkan dengan catatan tebusan dan file terenkripsi.

Selengkapnya: Bleeping Computer

Peretas telah membocorkan data internal Hyundai Motors Group.

by

Setelah terkena serangan Ransomware pada bulan Februari, kini dikabarkan bahwa data Hyundai Motors Group telah bocor di dark web.

Media Korea, The Milk, mengatakan bahwa email staf Hyundai Glovis, informasi internal Hyundai Autoever, dan gambar desain dasar telah bocor di dark web. Ukuran file total adalah 9 GB.

File tersebut mencakup arsitektur sistem TI, file cadangan Outlook, dokumen yang bernama “rebate”, dokumen transaksi dengan bank, laporan prospek bisnis, dan dokumen terkait TI internal termasuk keamanan. Durasinya dari 2007 hingga 2021.

Salah satu afiliasinya – KIA America – mengalami serangan ransomware pada bulan Februari oleh gang Ransomware bernama DoppelPaymer, geng Ransomware yang sama yang membocorkan data Hyundai Motors Group di dark web. Ada kemungkinan mereka meretas Hyundai Motors Group atau mitra Hyundai dan membocorkan data mereka karena menolak membayar tebusan.

Tim Miilk mengatakan sedang menunggu tanggapan resmi dari Hyundai Motor America.

Sumber: Pickool

Bagaimana Penegakan Hukum Mendapat Enkripsi Ponsel Anda

by

Pembuat undang-undang dan lembaga penegak hukum di seluruh dunia, termasuk di Amerika Serikat, semakin menyerukan backdoor dalam skema enkripsi yang melindungi data Anda, dengan alasan bahwa keamanan nasional dipertaruhkan.

Tetapi penelitian baru menunjukkan pemerintah sudah memiliki metode dan alat yang, baik atau buruk, memungkinkan mereka mengakses smartphone yang terkunci berkat kelemahan dalam skema keamanan Android dan iOS.

Kriptografer di Universitas Johns Hopkins menggunakan dokumentasi yang tersedia untuk umum dari Apple dan Google serta analisis mereka sendiri untuk menilai kekuatan enkripsi Android dan iOS.

Saat Anda mengunci ponsel dengan kode sandi, kunci sidik jari, atau kunci pengenalan wajah, ini mengenkripsi konten pada perangkat. Bahkan jika seseorang mencuri ponsel Anda dan menarik datanya, mereka tidak akan mendapatkan apapun. Mendekode semua data akan membutuhkan kunci yang hanya dibuat ulang saat Anda membuka kunci ponsel dengan kode sandi, atau pengenalan wajah atau jari. Dan ponsel cerdas saat ini menawarkan banyak lapisan perlindungan ini dan kunci enkripsi yang berbeda untuk berbagai tingkat data sensitif.

Dengan semua pemikiran itu, para peneliti berasumsi akan sangat sulit bagi penyerang untuk menemukan salah satu kunci itu dan membuka kunci sejumlah data. Tapi bukan itu yang mereka temukan.

Saat iPhone dimatikan dan dinyalakan, semua data berada dalam status yang disebut Apple “Perlindungan Lengkap”. Anda masih bisa dipaksa untuk membuka kunci ponsel Anda, tentu saja, tetapi alat forensik yang ada akan kesulitan menarik data yang dapat dibaca darinya.

Namun, setelah Anda membuka kunci ponsel Anda pertama kali setelah reboot, banyak data berpindah ke mode yang berbeda — Apple menyebutnya “Protected Until First User Authentication”, tetapi peneliti sering menyebutnya “After First Unlock” (AFU). Jadi seberapa efektif keamanan AFU? Di situlah para peneliti mulai khawatir.

Perbedaan utama antara Complete Protection dan AFU berkaitan dengan seberapa cepat dan mudahnya aplikasi mengakses kunci untuk mendekripsi data. Saat data dalam status Complete Protection, kunci untuk mendekripsinya disimpan jauh di dalam sistem operasi dan dienkripsi sendiri. Tetapi begitu Anda membuka kunci perangkat Anda pertama kali setelah reboot, banyak kunci enkripsi mulai disimpan dalam memori akses cepat, bahkan saat ponsel terkunci. Pada titik ini, penyerang dapat menemukan dan mengeksploitasi jenis kerentanan keamanan tertentu di iOS untuk mengambil kunci enkripsi yang dapat diakses di memori dan mendekripsi potongan besar data dari ponsel.

Para peneliti menemukan bahwa Android memiliki pengaturan yang mirip dengan iOS dengan satu perbedaan penting. Jika Apple memberikan opsi bagi pengembang untuk menyimpan beberapa data di bawah kunci Complete Protection yang lebih ketat sepanjang waktu — sesuatu yang mungkin diterapkan oleh aplikasi perbankan — Android tidak memiliki mekanisme itu setelah membuka kunci pertama. Alat forensik yang mengeksploitasi kerentanan yang tepat dapat mengambil lebih banyak kunci dekripsi, dan pada akhirnya mengakses lebih banyak data, di ponsel Android.

Untuk memahami perbedaan dalam status enkripsi ini, Anda dapat melakukan sedikit demo untuk diri Anda sendiri di iOS atau Android. Saat teman Anda menelepon ponsel Anda, namanya biasanya muncul di layar panggilan karena ada di kontak Anda. Tetapi jika Anda me-restart perangkat Anda, tidak membuka kunci terlebih dahulu, dan kemudian teman Anda menelepon Anda, hanya nomor mereka yang akan muncul, bukan nama mereka. Itu karena kunci untuk mendekripsi data buku alamat Anda belum ada di memori.

Selengkapnya: Wired

Malware CopperStealer baru mencuri akun Google, Apple, Facebook

by

Malware pencuri akun yang sebelumnya tidak diketahui yang didistribusikan melalui situs crack perangkat lunak palsu menargetkan pengguna penyedia layanan utama, termasuk Google, Facebook, Amazon, dan Apple.

Malware, yang dijuluki CopperStealer oleh peneliti Proofpoint, adalah pencuri kata sandi dan cookie yang dikembangkan secara aktif dengan fitur pengunduh yang memungkinkan operatornya mengirimkan muatan berbahaya tambahan ke perangkat yang terinfeksi.

Aktor ancaman di balik malware ini telah menggunakan akun yang disusupi untuk menjalankan iklan berbahaya dan mengirimkan malware tambahan dalam kampanye malvertising berikutnya.

“Sementara kami menganalisis sampel yang menargetkan akun bisnis dan pengiklan Facebook dan Instagram, kami juga mengidentifikasi versi tambahan yang menargetkan penyedia layanan utama lainnya, termasuk Apple, Amazon, Bing, Google, PayPal, Tumblr, dan Twitter,” kata Proofpoint dalam laporan yang mereka terbitkan.

CopperStealers bekerja dengan memanen kata sandi yang disimpan di browser web Google Chrome, Edge, Firefox, Yandex, dan Opera.

Itu juga akan mengambil Token Akses Pengguna Facebook korban menggunakan cookie curian untuk mengumpulkan konteks tambahan, termasuk daftar teman mereka, info akun iklan, dan daftar halaman Facebook yang dapat mereka akses.

Malware yang dijatuhkan menggunakan modul pengunduh CopperStealer mencakup backdoor Smokeloader modular dan beragam muatan berbahaya lainnya yang diunduh dari beberapa URL.

Selengkapnya: Bleeping Computer

Pengembang Apple menjadi sasaran malware baru, EggShell backdoor

by

Proyek Xcode berbahaya digunakan untuk membajak sistem pengembang dan menyebarkan backdoor EggShell khusus.

Malware, yang dijuluki XcodeSpy, menargetkan Xcode, lingkungan pengembangan terintegrasi (IDE) yang digunakan di macOS untuk mengembangkan perangkat lunak dan aplikasi Apple.

Menurut penelitian yang diterbitkan oleh SentinelLabs pada hari Kamis, fitur Run Script di IDE sedang dieksploitasi dalam serangan bertarget terhadap pengembang iOS melalui proyek Trojanized Xcode yang dibagikan secara bebas secara online.

Proyek Xcode sumber terbuka yang sah dapat ditemukan di GitHub. Namun, dalam kasus ini, proyek XcodeSpy menawarkan “advanced features” untuk menganimasikan bilah tab iOS – dan setelah versi awal diunduh dan diluncurkan, skrip berbahaya diterapkan untuk memasang backdoor EggShell.

Dua varian EggShell telah terdeteksi – dan salah satunya berbagi string terenkripsi dengan XcodeSpy. Backdoor ini mampu membajak mikrofon, kamera, dan keyboard pengembang korban, serta mengambil dan mengirim file ke C2 penyerang.

SentinelLabs mengatakan bahwa setidaknya satu organisasi AS telah terperangkap dalam serangan seperti ini dan pengembang di Asia mungkin juga telah terpengaruh oleh kampanye, yang beroperasi setidaknya antara Juli dan Oktober tahun lalu.

Selengkapnya: ZDNet