Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cybersecurity

Cybersecurity

Peretas telah membocorkan data internal Hyundai Motors Group.

by

Setelah terkena serangan Ransomware pada bulan Februari, kini dikabarkan bahwa data Hyundai Motors Group telah bocor di dark web.

Media Korea, The Milk, mengatakan bahwa email staf Hyundai Glovis, informasi internal Hyundai Autoever, dan gambar desain dasar telah bocor di dark web. Ukuran file total adalah 9 GB.

File tersebut mencakup arsitektur sistem TI, file cadangan Outlook, dokumen yang bernama “rebate”, dokumen transaksi dengan bank, laporan prospek bisnis, dan dokumen terkait TI internal termasuk keamanan. Durasinya dari 2007 hingga 2021.

Salah satu afiliasinya – KIA America – mengalami serangan ransomware pada bulan Februari oleh gang Ransomware bernama DoppelPaymer, geng Ransomware yang sama yang membocorkan data Hyundai Motors Group di dark web. Ada kemungkinan mereka meretas Hyundai Motors Group atau mitra Hyundai dan membocorkan data mereka karena menolak membayar tebusan.

Tim Miilk mengatakan sedang menunggu tanggapan resmi dari Hyundai Motor America.

Sumber: Pickool

Bagaimana Penegakan Hukum Mendapat Enkripsi Ponsel Anda

by

Pembuat undang-undang dan lembaga penegak hukum di seluruh dunia, termasuk di Amerika Serikat, semakin menyerukan backdoor dalam skema enkripsi yang melindungi data Anda, dengan alasan bahwa keamanan nasional dipertaruhkan.

Tetapi penelitian baru menunjukkan pemerintah sudah memiliki metode dan alat yang, baik atau buruk, memungkinkan mereka mengakses smartphone yang terkunci berkat kelemahan dalam skema keamanan Android dan iOS.

Kriptografer di Universitas Johns Hopkins menggunakan dokumentasi yang tersedia untuk umum dari Apple dan Google serta analisis mereka sendiri untuk menilai kekuatan enkripsi Android dan iOS.

Saat Anda mengunci ponsel dengan kode sandi, kunci sidik jari, atau kunci pengenalan wajah, ini mengenkripsi konten pada perangkat. Bahkan jika seseorang mencuri ponsel Anda dan menarik datanya, mereka tidak akan mendapatkan apapun. Mendekode semua data akan membutuhkan kunci yang hanya dibuat ulang saat Anda membuka kunci ponsel dengan kode sandi, atau pengenalan wajah atau jari. Dan ponsel cerdas saat ini menawarkan banyak lapisan perlindungan ini dan kunci enkripsi yang berbeda untuk berbagai tingkat data sensitif.

Dengan semua pemikiran itu, para peneliti berasumsi akan sangat sulit bagi penyerang untuk menemukan salah satu kunci itu dan membuka kunci sejumlah data. Tapi bukan itu yang mereka temukan.

Saat iPhone dimatikan dan dinyalakan, semua data berada dalam status yang disebut Apple “Perlindungan Lengkap”. Anda masih bisa dipaksa untuk membuka kunci ponsel Anda, tentu saja, tetapi alat forensik yang ada akan kesulitan menarik data yang dapat dibaca darinya.

Namun, setelah Anda membuka kunci ponsel Anda pertama kali setelah reboot, banyak data berpindah ke mode yang berbeda — Apple menyebutnya “Protected Until First User Authentication”, tetapi peneliti sering menyebutnya “After First Unlock” (AFU). Jadi seberapa efektif keamanan AFU? Di situlah para peneliti mulai khawatir.

Perbedaan utama antara Complete Protection dan AFU berkaitan dengan seberapa cepat dan mudahnya aplikasi mengakses kunci untuk mendekripsi data. Saat data dalam status Complete Protection, kunci untuk mendekripsinya disimpan jauh di dalam sistem operasi dan dienkripsi sendiri. Tetapi begitu Anda membuka kunci perangkat Anda pertama kali setelah reboot, banyak kunci enkripsi mulai disimpan dalam memori akses cepat, bahkan saat ponsel terkunci. Pada titik ini, penyerang dapat menemukan dan mengeksploitasi jenis kerentanan keamanan tertentu di iOS untuk mengambil kunci enkripsi yang dapat diakses di memori dan mendekripsi potongan besar data dari ponsel.

Para peneliti menemukan bahwa Android memiliki pengaturan yang mirip dengan iOS dengan satu perbedaan penting. Jika Apple memberikan opsi bagi pengembang untuk menyimpan beberapa data di bawah kunci Complete Protection yang lebih ketat sepanjang waktu — sesuatu yang mungkin diterapkan oleh aplikasi perbankan — Android tidak memiliki mekanisme itu setelah membuka kunci pertama. Alat forensik yang mengeksploitasi kerentanan yang tepat dapat mengambil lebih banyak kunci dekripsi, dan pada akhirnya mengakses lebih banyak data, di ponsel Android.

Untuk memahami perbedaan dalam status enkripsi ini, Anda dapat melakukan sedikit demo untuk diri Anda sendiri di iOS atau Android. Saat teman Anda menelepon ponsel Anda, namanya biasanya muncul di layar panggilan karena ada di kontak Anda. Tetapi jika Anda me-restart perangkat Anda, tidak membuka kunci terlebih dahulu, dan kemudian teman Anda menelepon Anda, hanya nomor mereka yang akan muncul, bukan nama mereka. Itu karena kunci untuk mendekripsi data buku alamat Anda belum ada di memori.

Selengkapnya: Wired

Malware CopperStealer baru mencuri akun Google, Apple, Facebook

by

Malware pencuri akun yang sebelumnya tidak diketahui yang didistribusikan melalui situs crack perangkat lunak palsu menargetkan pengguna penyedia layanan utama, termasuk Google, Facebook, Amazon, dan Apple.

Malware, yang dijuluki CopperStealer oleh peneliti Proofpoint, adalah pencuri kata sandi dan cookie yang dikembangkan secara aktif dengan fitur pengunduh yang memungkinkan operatornya mengirimkan muatan berbahaya tambahan ke perangkat yang terinfeksi.

Aktor ancaman di balik malware ini telah menggunakan akun yang disusupi untuk menjalankan iklan berbahaya dan mengirimkan malware tambahan dalam kampanye malvertising berikutnya.

“Sementara kami menganalisis sampel yang menargetkan akun bisnis dan pengiklan Facebook dan Instagram, kami juga mengidentifikasi versi tambahan yang menargetkan penyedia layanan utama lainnya, termasuk Apple, Amazon, Bing, Google, PayPal, Tumblr, dan Twitter,” kata Proofpoint dalam laporan yang mereka terbitkan.

CopperStealers bekerja dengan memanen kata sandi yang disimpan di browser web Google Chrome, Edge, Firefox, Yandex, dan Opera.

Itu juga akan mengambil Token Akses Pengguna Facebook korban menggunakan cookie curian untuk mengumpulkan konteks tambahan, termasuk daftar teman mereka, info akun iklan, dan daftar halaman Facebook yang dapat mereka akses.

Malware yang dijatuhkan menggunakan modul pengunduh CopperStealer mencakup backdoor Smokeloader modular dan beragam muatan berbahaya lainnya yang diunduh dari beberapa URL.

Selengkapnya: Bleeping Computer

Pengembang Apple menjadi sasaran malware baru, EggShell backdoor

by

Proyek Xcode berbahaya digunakan untuk membajak sistem pengembang dan menyebarkan backdoor EggShell khusus.

Malware, yang dijuluki XcodeSpy, menargetkan Xcode, lingkungan pengembangan terintegrasi (IDE) yang digunakan di macOS untuk mengembangkan perangkat lunak dan aplikasi Apple.

Menurut penelitian yang diterbitkan oleh SentinelLabs pada hari Kamis, fitur Run Script di IDE sedang dieksploitasi dalam serangan bertarget terhadap pengembang iOS melalui proyek Trojanized Xcode yang dibagikan secara bebas secara online.

Proyek Xcode sumber terbuka yang sah dapat ditemukan di GitHub. Namun, dalam kasus ini, proyek XcodeSpy menawarkan “advanced features” untuk menganimasikan bilah tab iOS – dan setelah versi awal diunduh dan diluncurkan, skrip berbahaya diterapkan untuk memasang backdoor EggShell.

Dua varian EggShell telah terdeteksi – dan salah satunya berbagi string terenkripsi dengan XcodeSpy. Backdoor ini mampu membajak mikrofon, kamera, dan keyboard pengembang korban, serta mengambil dan mengirim file ke C2 penyerang.

SentinelLabs mengatakan bahwa setidaknya satu organisasi AS telah terperangkap dalam serangan seperti ini dan pengembang di Asia mungkin juga telah terpengaruh oleh kampanye, yang beroperasi setidaknya antara Juli dan Oktober tahun lalu.

Selengkapnya: ZDNet

Gambar Twitter dapat disalahgunakan untuk menyembunyikan file ZIP, MP3 – begini caranya

by

Seorang peneliti mengungkapkan metode menyembunyikan hingga tiga MB data di dalam gambar Twitter.

Dalam peragaannya, peneliti menunjukkan file audio MP3 dan arsip ZIP yang terdapat dalam gambar PNG yang dihosting di Twitter.

Meskipun seni menyembunyikan data non-gambar dalam gambar (steganografi) bukanlah hal baru, fakta bahwa gambar dapat dihosting di situs web populer seperti Twitter dan tidak dibersihkan membuka kemungkinan penyalahgunaannya oleh aktor jahat.

Kemarin, peneliti dan programmer David Buchanan melampirkan gambar contoh ke tweetnya yang memiliki data seperti ZIP dan file MP3 tersembunyi di dalamnya.

Meskipun file PNG terlampir yang dihosting di Twitter mewakili gambar yang valid saat dipratinjau, hanya mengunduh dan mengubah ekstensi file sudah cukup untuk mendapatkan konten yang berbeda dari file yang sama.

Sumber: BleepingComputer

Seperti yang diamati oleh BleepingComputer, gambar 6 KB yang di-tweet oleh peneliti berisi seluruh arsip ZIP.

ZIP berisi kode sumber Buchanan yang dapat digunakan siapa saja untuk mengemas berbagai konten ke dalam gambar PNG.

Teknik steganografi sering kali dimanfaatkan oleh pelaku ancaman tersembunyi karena memungkinkan mereka menyembunyikan perintah jahat, muatan, dan konten lain dalam file yang tampak biasa, seperti gambar.

Meskipun demikian, Buchanan yakin teknik bukti konsep gambar PNG-nya mungkin tidak terlalu berguna dengan sendirinya karena lebih banyak metode steganografi yang dapat digunakan.

Namun, teknik PNG yang ditunjukkan oleh peneliti tersebut dapat digunakan oleh malware untuk memfasilitasi aktivitas C2 perintah dan kontrolnya.

Selengkapnya: Bleeping Computer

Bagaimana China ingin tetap mengontrol internet

by

Hanya enam bulan setelah pidato terkenal Presiden AS Bill Clinton pada tahun 2000 yang membandingkan upaya China untuk mengontrol pidato online dengan “memaku Jell-O ke dinding”, Beijing mengambil langkah berani yang ditujukan untuk mencapai tujuan yang tampaknya sia-sia itu.

Pada bulan September tahun itu, Perdana Menteri Zhu Rongji memberlakukan Peraturan tentang Layanan Informasi Internet, memberikan otoritas dasar hukum untuk mengelola semua perusahaan yang memberikan informasi kepada pengguna online, seperti berita atau posting blog.

Sekarang Beijing siap untuk lebih memperketat cengkeramannya.

Serangkaian aturan baru, yang diresmikan oleh Cyberspace Administration of China (CAC) pada Januari, dijadwalkan untuk menggantikan peraturan asli tahun ini, memperkuat cengkeraman besi Beijing di internet dan memperluas kontrolnya pada perusahaan teknologi domestik di luar perbatasan China.

Versi baru peraturan tersebut telah menyerap pengalaman China dalam mengelola internet selama bertahun-tahun, menjadikannya lebih komprehensif dan modern, kata Wang Sixin, seorang profesor hukum di Universitas Komunikasi China. Draf tersebut juga memberikan kejelasan lebih lanjut tentang peran berbagai badan pemerintah.

Rancangan peraturan tersebut menetapkan bahwa CAC, juga dikenal sebagai Kantor Komisi Urusan Cyberspace Pusat, akan mengawasi perencanaan manajemen internet dan keamanan siber.

Selengkapnya: South China Morning Post

Raksasa Fintech Fiserv Menggunakan Domain Tidak Diklaim

by

Jika Anda menjual perangkat lunak berbasis web untuk hidup dan kode pengiriman yang mereferensikan nama domain yang tidak terdaftar, Anda sedang mencari masalah. Tetapi ketika kesalahan yang sama dibuat oleh sebuah perusahaan yang masuk dalam daftar Fortune 500, hasilnya dapat berkisar dari mahal hingga bencana.

Berikut adalah kisah salah satu kesalahan yang dilakukan oleh Fiserv, sebuah perusahaan senilai $ 15 miliar yang menyediakan perangkat lunak perbankan online dan solusi teknologi lainnya untuk ribuan lembaga keuangan.

Pada November 2020, KrebsOnSecurity mendengar dari peneliti keamanan Abraham Vegh, yang melihat sesuatu yang aneh saat memeriksa email dari lembaga keuangannya.

Vegh dapat melihat pesan dari banknya merujuk ke domain yang aneh: defaultinstitution[.]com. Pencarian cepat dari catatan pendaftaran WHOIS menunjukkan bahwa domain tersebut tidak terdaftar. Bertanya-tanya apakah dia mungkin dapat menerima komunikasi email ke alamat itu jika dia mendaftarkan domain tersebut, Vegh mengambilnya dengan beberapa dolar, membuat akun email penampung semua untuk itu, dan menunggu.

Banyak email lain yang masuk, termasuk banyak pesan “terpental” yang dikirimkan sebagai balasan atas missives dari Cashedge.com, layanan transfer uang yang diambil alih Fiserv pada tahun 2011.

Hebatnya, di bagian bawah setiap pesan ke pelanggan CashEdge/Popmoney ada teks boilerplate: “Email ini telah dikirim ke [nama penerima di sini]. Jika Anda telah menerima email ini karena kesalahan, silakan kirim email ke customersupport@defaultinstitution[.]com.”

Layanan lain yang mengarahkan pelanggan untuk membalas ke domain peneliti termasuk pelanggan Fiserv Netspend.com, penyedia kartu debit prabayar terkemuka yang tidak memerlukan saldo minimum atau pemeriksaan kredit.

Setiap pesan menyertakan kode satu kali yang diminta untuk dimasukkan oleh penerima di situs web perusahaan. Namun dari membaca banyak balasan untuk missives ini, tampaknya Netspend tidak terlalu memperjelas di mana pengguna seharusnya memasukkan kode ini.

Vegh mengatakan dia berencana untuk memberikan kendali kepada Fiserv atas defaultinstitution[.]com, dan menyerahkan pesan yang dicegat oleh kotak masuknya. Dia tidak meminta banyak balasan.

Selengkapnya: Krebs On Security

Malware botnet ZHtrap baru menyebarkan honeypots untuk menemukan lebih banyak target

by

Sebuah botnet baru memburu dan mengubah router, DVR, dan perangkat jaringan UPnP yang terinfeksi menjadi honeypots yang membantunya menemukan target lain untuk diinfeksi.

Malware tersebut, yang dijuluki ZHtrap oleh peneliti keamanan 360 Netlab, didasarkan pada kode sumber Mirai, dan dilengkapi dengan dukungan untuk x86, ARM, MIPS, dan arsitektur CPU lainnya.

Setelah mengambil alih perangkat, ZHtrap mencegah malware lain menginfeksi kembali botnya dengan bantuan whitelist yang hanya memungkinkan proses sistem yang sudah berjalan, memblokir semua upaya untuk menjalankan perintah baru.

Kemampuan utama botnet termasuk serangan DDoS dan pemindaian perangkat yang lebih rentan untuk terinfeksi. Namun, itu juga dilengkapi dengan fungsi backdoor yang memungkinkan operator untuk mengunduh dan mengeksekusi muatan berbahaya tambahan.

Untuk menyebarkan, ZHtrap menggunakan eksploitasi yang menargetkan empat kerentanan keamanan N-day di endpoint Realtek SDK Miniigd UPnP SOAP, MVPower DVR, Netgear DGN1000, dan daftar panjang perangkat CCTV-DVR.

Itu juga memindai perangkat dengan kata sandi Telnet yang lemah dari daftar alamat IP yang dibuat secara acak dan dikumpulkan dengan bantuan honeypot yang disebarkannya pada perangkat yang sudah terjerat dalam botnet.

Sumber: 360 Netlab

Selengkapnya: Bleeping Computer