Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cybersecurity

Cybersecurity

Aplikasi Android Shein Tertangkap Mengirimkan Data Papan Klip ke Server Jarak Jauh

by

Shein, awalnya bernama ZZKKO, adalah peritel online fast fashion China yang berbasis di Singapura. Aplikasi, yang saat ini berada di versi 9.0.0, memiliki lebih dari 100 juta unduhan di Google Play Store.

Raksasa teknologi itu mengatakan tidak “secara khusus mengetahui niat jahat apa pun di balik perilaku tersebut,” tetapi mencatat bahwa fungsi tersebut tidak diperlukan untuk melakukan tugas di aplikasi.

Lebih lanjut ditunjukkan bahwa meluncurkan aplikasi setelah menyalin konten apa pun ke clipboard perangkat secara otomatis memicu permintaan HTTP POST yang berisi data ke server “api-service[.]shein[.]com.”

Untuk mengurangi risiko privasi seperti itu, Google telah melakukan peningkatan lebih lanjut pada Android dalam beberapa tahun terakhir, termasuk menampilkan pesan bersulang saat aplikasi mengakses clipboard dan melarang aplikasi mendapatkan data kecuali jika aktif berjalan di latar depan.

“Mengingat pengguna ponsel sering menggunakan clipboard untuk menyalin dan menempelkan informasi sensitif, seperti kata sandi atau informasi pembayaran, konten clipboard dapat menjadi target yang menarik untuk serangan siber,” kata peneliti Dimitrios Valsamaras dan Michael Peck.

“Memanfaatkan papan klip dapat memungkinkan penyerang mengumpulkan informasi target dan mengekstraksi data yang berguna.”

sumber : thehackernews

IBM Mengkontribusikan Alat Keamanan Rantai Pasokan ke OWASP

by

Pemindai Lisensi dan Utilitas SBOM akan meningkatkan kemampuan standar Bill of Material Perangkat Lunak CycloneDX OWASP.

SBOM adalah daftar inventaris semua komponen individu yang digunakan dalam perangkat lunak. IBM telah menyumbangkan dua alat rantai pasokan open-source ke standar CycloneDX Software Bill of Materials (SBOM) dari Open Worldwide Application Security Project (OWASP) Foundation. Alat tersebut akan mengisi dua celah penting di CycloneDX, digambarkan OWASP sebagai standar BOM “full-stack” yang memberikan pengurangan risiko rantai pasokan tingkat lanjut.

Menanggapi berbagai serangan rantai pasokan dan kekacauan Log4j, Gedung Putih mengeluarkan perintah eksekutif yang mengamanatkan developer meningkatkan keamanan rantai pasokan mereka.

Upaya untuk membakukan SBOM telah dipercepat dengan peningkatan tajam dalam serangan rantai pasokan perangkat lunak selama dua tahun terakhir.

Pendukung CycloneDX yang lebih baru menggambarkannya sebagai standar yang lebih ringan yang lebih cocok untuk mereka yang mencari cara yang dapat dibaca mesin untuk bertukar informasi. Linux Foundation pada tahun 2021 menyatakan SPDX sebagai standar SBOM, meski pada awalnya dibuat untuk kasus penggunaan kekayaan intelektual dan lisensi. Kedua organisasi memperluas upaya standar SBOM masing-masing.

Diirektur keamanan produk di ServiceNow dan ketua kelompok kerja CycloneDX OWASP mengatakan bahwa IBM telah secara aktif berpartisipasi dalam memajukan upaya standar CycloneDX.

SBOM Utility dapat memproses dokumen seperti Vulnerability Disclosure Reports (VDRs) dan format data Vulnerability Exploitability eXchange (VEX), yang telah ditentukan oleh CycloneDX untuk memberikan penilaian risiko.

Selengkapnya: DARK Reading

NIST Merencanakan Reformasi Cybersecurity Framework Terbesar yang Pernah Ada

by

Analisis Institut Standar dan Teknologi Nasional (NIST) AS sedang merencanakan perubahan signifikan terhadap Kerangka Keamanan Siber (CSF), pertama dalam lima tahun dan reformasi terbesar yang pernah ada.

CSF pertama kali diterbitkan pada tahun 2014 dan diperbarui ke versi 1.1 pada tahun 2018, menyediakan seperangkat pedoman dan praktik terbaik untuk mengelola risiko keamanan siber.

Kerangka kerja ini dirancang agar fleksibel dan dapat diadaptasi daripada preskriptif, dan digunakan secara luas oleh organisasi dan lembaga pemerintah, baik di dalam maupun di luar AS, untuk membuat program keamanan siber dan mengukur kematangannya.

NIST telah menerbitkan makalah konsep untuk CSF 2.0 dan membukanya untuk ditinjau lebih lanjut. Umpan balik yang dihasilkan akan digunakan untuk mengembangkan draf akhir kerangka kerja yang telah direvisi, yang akan keluar sekitar musim panas ini.

Fungsi pemerintahan baru akan bergabung dengan lima sila yang ada dengan tujuan memposisikan risiko keamanan siber bersama risiko perusahaan lainnya seperti ancaman terhadap stabilitas keuangan. Mencakup penentuan prioritas dan toleransi risiko organisasi, pelanggannya, dan masyarakat luas.

Satu masalah yang disorot selama permintaan informasi adalah kebutuhan untuk meningkatkan keselarasan kerangka kerja dengan program keamanan NIST dan non-NIST lainnya, seperti Kerangka Kerja Manajemen Risiko dan Kerangka Kerja Tenaga Kerja untuk Keamanan Siber.

Setelah berkonsultasi dengan para pemangku kepentingan, NIST memutuskan untuk tidak menggabungkan kerangka kerja privasinya dengan CSF.

Selengkapnya: The Daily Swig

Apa yang Sebenarnya Mampu Dilakukan oleh Alat “mirip” Tamagotchi

by

Artikel ini akan mengasumsikan skenario di mana PC administrator yang tidak dijaga ditemukan dan memiliki beberapa skrip BadUSB yang dijalankan terhadapnya, yang berhasil menonaktifkan fitur keamanan utama seperti pemberitahuan Windows Firewall atau UAC dan pencurian semua kunci Wi-fi yang diketahui pada perangkat . Skrip BadUSB lainnya, seperti mengunduh dan menjalankan Mimikatz untuk membuang database SAM, eksekusi shell terbalik menggunakan Netcat, dan menginstal pintu belakang melalui kunci registri atau akun administrator lainnya juga tersedia.

Untuk mengakses, mengunduh, atau memodifikasi skrip BadUSB, skrip tersebut biasanya terletak di folder BadUSB pada kartu SD onboard, seperti yang ditunjukkan di bawah ini. Penguji penetrasi atau peretas jahat sering mencoba menonaktifkan atau menghindari kontrol titik akhir untuk mencapai pergerakan lateral atau melakukan eskalasi hak istimewa. Beberapa skrip BadUSB yang dijalankan dari FlipperZero dapat membantu mewujudkan tujuan ini. Dimulai dengan skrip “disable_uac”, FlipperZero dapat menyembunyikan pemberitahuan kepada pengguna saat aplikasi memodifikasi pengaturan komputer atau menginstal perangkat lunak.

Skrip BadUSB dijalankan dengan melampirkan FlipperZero ke mesin target melalui USB, menavigasi ke opsi menu BadUSB, memilih skrip pilihan, dan menjalankannya dengan mengeklik tombol tengah. Sebelum eksekusi skrip “disable_uac”, UAC pada mesin target dimulai dari opsi “Selalu Beri Tahu” paling atas dan kemudian berakhir pada “Jangan Beri Tahu” setelah eksekusi skrip.

Selanjutnya, skrip BadUSB “disable_firewall” dijalankan, mematikan berbagai fitur perlindungan yang ditawarkan oleh firewall Windows, yang membantu perangkat dalam memblokir serangan yang ditularkan melalui internet dan upaya penginstalan perangkat lunak berbahaya.

Artikel ini hanya membahas sekilas tentang kemampuan FlipperZero dari perspektif analisis sinyal dan penilaian keamanan. Ada beberapa produk pesaing di pasar yang menawarkan fitur serupa. Namun, banyak yang terlalu fokus pada pilihan kemampuan yang lebih sedikit dibandingkan dengan FlipperZero, lebih mahal, dan tidak memiliki fleksibilitas umum terkait modifikasi firmware atau memperluas kemampuan solusi. Artikel tersebut sengaja memamerkan contoh kecil tentang bagaimana FlipperZero dapat meningkatkan pendekatan dan rangkaian alat yang digunakan selama penilaian keamanan, yang bertujuan untuk membangkitkan rasa ingin tahu pembaca untuk mencoba dan mengadaptasi aplikasi penting dalam upaya pengujian di masa mendatang. Satu-satunya cara perangkat sekecil dan tersembunyi seperti FlipperZero dapat ditingkatkan adalah jika sistem pengujian penetrasi yang lengkap seperti Kali Linux atau ParrotOS juga disertakan.

Kebetulan, sepertinya Flipper Devices Inc sudah bekerja keras untuk menghilangkan rasa gatal itu dengan FlipperOne, yang saat ini sedang dikembangkan.

selengkapnya : cybernews.com

‘Jumlah terbatas’ karyawan News Corp mengirim surat pemberitahuan pelanggaran setelah serangan siber bulan Januari

by

Karyawan News Corp dikirimi surat pemberitahuan pelanggaran minggu ini setelah pelanggaran Januari 2022 yang diyakini perusahaan dilakukan oleh pemerintah China.

Pada hari Rabu, News Corp menyerahkan dokumen ke Massachusetts yang mengonfirmasi pelanggaran tersebut. Seorang juru bicara News Corp tidak akan memberi tahu The Record berapa banyak orang yang dikirimi surat, tetapi setidaknya satu orang di Massachusetts dikirimi salinannya.

Juru bicara mengonfirmasi bahwa surat pemberitahuan pelanggaran dikirim sehubungan dengan insiden Januari 2022 tetapi mereka menambahkan bahwa itu memengaruhi “sejumlah kecil” karyawan, sesuatu yang mereka umumkan tahun lalu. Sebagian besar karyawan tidak menjadi sasaran, menurut juru bicara.

News Corp memiliki The Wall Street Journal, Dow Jones, New York Post, dan beberapa properti media lainnya.

News Corp melaporkan dalam pengajuan SEC bahwa penyelidikannya menunjukkan bahwa “keterlibatan pemerintah asing mungkin terkait dengan aktivitas ini, dan data itu telah diambil.”

Dalam surat yang pertama kali dilaporkan oleh Bleeping Computer dan bertanggal 22/2/2023, News Corp mengatakan mereka awalnya menemukan serangan siber pada 20 Januari 2022, ketika email bisnis dan sistem penyimpanan dokumen yang digunakan oleh beberapa bisnis News Corp diakses.

Informasi yang termasuk dalam pelanggaran berkisar dari nama dan tanggal lahir hingga nomor Jaminan Sosial, nomor SIM, nomor paspor, informasi rekening keuangan, informasi medis, dan informasi asuransi kesehatan.

Mereka menawarkan korban perlindungan identitas dan pemantauan kredit gratis selama dua tahun melalui Experian.

Setelah serangan diumumkan, Mandiant memberi tahu The Wall Street Journal bahwa mereka yakin serangan itu dilakukan oleh aktor ancaman yang beroperasi untuk kepentingan pemerintah China.

Ini adalah kedua kalinya peretas yang didukung negara China meretas Wall Street Journal setelah insiden lain pada 2013.

sumber : therecord

Polusi prototipe side-server: Deteksi Black-box tanpa DoS

by

Mendeteksi polusi prototipe sisi server secara sah merupakan tantangan besar. Sifat dasar cara kerjanya dapat secara semi-permanen merusak fungsionalitas di server. Posting ini menunjukkan kepada Anda cara mendeteksi polusi prototipe dengan permintaan tidak berbahaya yang menyebabkan perbedaan halus dalam respons untuk membuktikan bahwa Anda berhasil.

Jika Anda ingin mencoba sendiri teknik yang disebutkan dalam artikel ini, kami telah membuat beberapa lab Akademi Keamanan Web untuk membantu mengasah keterampilan Anda dalam polusi prototipe.

Kita akan mulai dengan rekap singkat tentang polusi prototipe dan bagaimana hal itu terjadi. Jika Anda sudah terbiasa dengan dasar-dasarnya, Anda dapat melompat ke “Masalah DoS”.

Polusi prototipe dapat menyebabkan perubahan konfigurasi aplikasi, perilaku, dan bahkan dapat mengakibatkan RCE. Ada berbagai laporan publik tentang polusi prototipe. Dua yang menonjol adalah bug Michał Bentkowski di Kibana dan bug Paul Gerste di framework Blitz. Keduanya menghasilkan Eksekusi Kode Jarak Jauh.

Metode ini diciptakan dalam perjalanan saya untuk menemukan teknik polusi prototipe. Mereka tidak boleh digunakan untuk menguji situs langsung yang bukan milik Anda karena dapat menyebabkan DoS.

Saya telah membuktikan bahwa pendeteksian kotak hitam yang aman dari polusi prototipe dimungkinkan dengan menggunakan perbedaan halus dalam perilaku server. Dengan menggunakan berbagai teknik ini, saya telah menunjukkan bahwa Anda dapat mengotomatiskan penemuan kelemahan polusi prototipe dan saya telah menyediakan perangkat sumber terbuka untuk membantu Anda menemukannya dalam aplikasi Anda sendiri. Saya juga telah menunjukkan cara menulis kode aman dengan menggunakan API aman. Terakhir, setelah membaca ini, saya yakin Anda bersemangat untuk mencoba tekniknya sendiri dan untuk membantu kami telah membuat beberapa lab Akademi Keamanan Web yang memungkinkan Anda melatih keterampilan baru Anda.

selengkapnya : portwigger.net

WhatsApp Memiliki Masalah Keamanan Bertahun-tahun. Inilah Cara Mengatasinya

by

Nomor telepon adalah sumber daya yang terbatas. Jadi ketika seseorang keluar dari layanan, ada kemungkinan besar perusahaan telekomunikasi akan menggunakannya kembali untuk paket telepon baru. Itu bisa menjadi masalah besar di WhatsApp. Dalam beberapa kasus, jika Anda mendapatkan nomor telepon yang terkait dengan akun WhatsApp yang ada, Anda dapat membajaknya dan mengambil identitas pengguna tersebut, termasuk nama dan foto profil mereka. Anda akan menerima semua pesan masuk mereka dan mendapatkan akses ke obrolan grup mereka. Tidak ada cara bagi orang lain untuk mengetahui bahwa Anda seorang penipu. WhatsApp telah mengetahui masalah ini selama bertahun-tahun, tetapi tidak ada perbaikan yang terlihat kecuali Anda mengambil langkah proaktif untuk melindungi diri sendiri.

Bagaimana cara melindungi akun WhatsApp Anda
Pertama, jika Anda tidak menggunakan autentikasi dua faktor, apa yang Anda lakukan dengan hidup Anda? Ini adalah cara mudah untuk melindungi diri Anda sendiri, dan Anda akan menjadi sasaran empuk jika Anda tidak menyalakannya. Jangan berhenti di WhatsApp juga, Anda harus menggunakan autentikasi dua faktor di mana pun tersedia.

Untuk mengatur autentikasi dua faktor: Buka WhatsApp dan ketuk Pengaturan > Akun > Verifikasi dua langkah > Pilih pin enam digit. WhatsApp akan meminta pin ini secara berkala, jadi pastikan Anda memiliki cara untuk mengingatnya.

Di halaman Akun, Anda juga dapat mengubah nomor telepon Anda, yang harus Anda lakukan sesegera mungkin jika mendapatkan yang baru. Atau, jika Anda sudah selesai menggunakan aplikasi untuk selamanya, Anda dapat menggunakan proses “Hapus Akun Saya” dari menu yang sama.

selengkapnya : gizmodo.com

Fitur keamanan berbayar di Twitter dan Meta memicu masalah keamanan siber

by Leave a Comment

Dalam beberapa hari terakhir, Twitter — dan pada tingkat yang lebih rendah, perusahaan induk Facebook, Meta — telah meluncurkan fitur-fitur yang membuka fitur keamanan yang lebih kuat bagi mereka yang membayarnya.

Pekan lalu, Twitter menerbitkan postingan blog yang mengumumkan bahwa mulai 20 Maret, hanya pengguna berbayar Twitter Blue yang dapat menggunakan bentuk autentikasi dua faktor (2FA) yang mengirimkan kode pesan teks ke pengguna untuk memverifikasi identitas mereka setelah mereka memasukkan akun mereka. kata sandi.

“Meskipun secara historis merupakan bentuk 2FA yang populer, sayangnya kami telah melihat 2FA berbasis nomor telepon digunakan — dan disalahgunakan — oleh aktor jahat,” tulis postingan blog tersebut.

Twitter tahun lalu mengizinkan pelanggan Twitter Blue untuk mendapatkan tanda centang biru, yang secara historis mewakili pengguna “terverifikasi” di platform. Namun, perusahaan tidak mengharuskan pengguna memberikan ID untuk memverifikasi bahwa mereka adalah orang yang mereka katakan, dan pengguna meniru merek seperti Eli Lilly and Co. Perusahaan menghentikan sementara fitur tersebut, dengan Musk mengatakan pengguna akan diautentikasi. Tapi kolega kami Geoffrey A. Fowler masih bisa memverifikasi akun yang menyamar sebagai Senator Edward J. Markey (D-Mass.).

Ringkasnya, Tobac khawatir bahwa memaksa orang untuk membayar autentikasi dua faktor berbasis teks (juga dikenal sebagai SMS) akan menjauhkan mereka dari penggunaan autentikasi multifaktor sama sekali. Dan dia mendapat pertanyaan tentang apakah Meta memperluas dukungan akun akan memberi penjahat dunia maya tempat untuk mengelabui karyawan dukungan pelanggan, serta bagaimana perlindungan peniruan yang ditingkatkan akan bekerja.

Pakar keamanan dunia maya mengatakan bentuk autentikasi dua faktor berbasis pesan teks adalah salah satu bentuk terlemah, karena peretas dapat mencegatnya dengan taktik seperti bertukar sim, di mana mereka mengelabui operator telepon seluler agar mengaktifkan kartu SIM yang mereka miliki yang kemudian dapat digunakan scammers untuk mengambil alih nomor telepon korban.

selengkapnya : the washington post