Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cybersecurity

Cybersecurity

Router eksklusif Walmart dan lainnya yang dijual di Amazon & eBay memiliki backdoor tersembunyi untuk mengontrol perangkat

by

Dalam kolaborasi antara CyberNews Sr. Peneliti Keamanan Informasi Mantas Sasnauskas dan peneliti James Clee dan Roni Carta, backdoor yang mencurigakan telah ditemukan di router Jetstream buatan China, dijual secara eksklusif di Walmart sebagai router wifi yang “terjangkau”.

Backdoor ini memungkinkan penyerang memiliki kemampuan untuk mengontrol tidak hanya router, tetapi juga perangkat apa pun yang terhubung ke jaringan itu dari jarak jauh.

Selain router Jetstream, tim peneliti keamanan siber juga menemukan bahwa router Wavlink berbiaya rendah, biasanya dijual di Amazon atau eBay, memiliki backdoor serupa. Router Wavlink juga berisi skrip yang memindai wifi terdekat dan memiliki kemampuan untuk terhubung ke jaringan tersebut.

Para peneliti keamanan juga menemukan bukti bahwa backdoor ini secara aktif dieksploitasi, dan ada upaya untuk menambahkan perangkat ke botnet Mirai.

Meskipun Jetstream memiliki kesepakatan eksklusif dengan Walmart, dan dijual dengan nama merek lain seperti Ematic, hanya ada sedikit informasi yang tersedia tentang perusahaan China mana yang benar-benar memproduksi produk ini. Sementara Wavlink adalah perusahaan teknologi yang berbasis di Shenzhen, Cina, di provinsi Guangdong.

Salah satu aspek paling menarik dari penelitian ini adalah penemuan backdoor mencurigakan yang diaktifkan di semua perangkat.

Router Jetstream dan Wavlink menampilkan GUI sederhana (atau antarmuka yang ramah pengguna) untuk backdoor nya yang berbeda dari antarmuka yang disajikan kepada admin router. Meskipun Wavlink memiliki instruksi di situs webnya tentang bagaimana pengguna dapat mengakses router mereka, backdoor yang ditemukan tampaknya diarahkan pada eksekusi kode jarak jauh, atau RCE.

Penelitian ini juga menemukan bahwa kredensial yang diperlukan untuk mengakses perangkat diperiksa di kode Javascript. Artinya, jika Anda akan memeriksa elemen, pada endpoint tertentu Anda dapat mengambil kata sandi root dan mengakses komputer target dari jarak jauh.

Di perangkat yang tidak memiliki sandi di Javascript, ada cadangan tidak terenkripsi yang dapat diunduh tanpa autentikasi. Cadangan ini akan memungkinkan penyerang mendapatkan kata sandi admin juga.

Tonton video di bawah ini untuk mendengar langsung dari Sasnauskas, Clee dan Carta tentang bagaimana mereka menemukan backdoor dan apa artinya bagi konsumen:

Sumber: Cyber News

Layanan gratis Google sekarang menjadi sahabat kampanye phishing

by

Pelaku ancaman menyalahgunakan alat dan layanan produktivitas gratis Google untuk membuat kampanye phishing yang meyakinkan yang dapat mencuri kredensial Anda atau mengelabui Anda agar memasang malware.

Dalam laporan baru oleh firma keamanan email Armorblox, peneliti menggambarkan bagaimana pelaku ancaman membuat kampanye phishing yang rumit menggunakan layanan Google yang tidak hanya terlihat meyakinkan tetapi juga menghindari deteksi.

Salah satunya adalah layanan pembuatan formulir gratis yang disebut Google Form yang memungkinkan siapa saja membuat survei online gratis yang kemudian dapat dikirim ke pengguna lain.

Namun, pelaku ancaman menyalahgunakan Google Form untuk membuat formulir yang rumit yang berupaya mencuri kredensial Anda, seperti formulir pemulihan akun American Express palsu pada contoh berikut. Pelaku ancaman kemudian dapat mengumpulkan informasi yang diserahkan di kemudian hari.

Sumber: Armorblox

Selain itu, layanan Google yang paling umum digunakan dalam penipuan phishing adalah Google Documents. Layanan ini tidak hanya digunakan untuk mengarahkan penerima ke pencurian kredensial dan penipuan akuntansi, tetapi juga untuk mengirimkan malware.

Karena Google Docs sangat banyak digunakan, hampir semua dokumen baru akan melewati gerbang email yang aman sampai mereka diidentifikasi sebagai berbahaya.

Google Docs juga banyak digunakan dalam kampanye malware BazarLoader sebagai halaman perantara untuk mendownload malware yang menyamar sebagai invoice, informasi COVID-19, dan jenis dokumen lainnya.

Baca berita selengkapnya pada tautan di bawah ini;
Sumber: Bleeping Computer

Serangan LidarPhone mengubah penyedot debu pintar menjadi mikrofon

by

Sebuah tim akademisi telah merinci penelitian baru minggu ini yang mengubah penyedot debu pintar menjadi mikrofon yang mampu merekam percakapan di sekitarnya.

Dinamakan LidarPhone, teknik ini bekerja dengan mengambil komponen navigasi berbasis laser LiDAR built-in dari vakum dan mengubahnya menjadi mikrofon laser.

Mikrofon laser adalah alat pengintai terkenal yang digunakan selama Perang Dingin untuk merekam percakapan dari jauh. Agen intelijen mengarahkan laser ke jendela yang jauh untuk memantau bagaimana kaca bergetar dan menerjemahkan getaran untuk menguraikan percakapan yang terjadi di dalam ruangan.

Akademisi dari University of Maryland dan National University of Singapore mengambil konsep sederhana yang sama tetapi menerapkannya pada robot pembersih vakum Xiaomi Roborock.

Serangan LidarPhone tidak langsung, dan kondisi tertentu harus dipenuhi. Sebagai permulaan, penyerang perlu menggunakan malware atau proses pembaruan yang tercemar untuk memodifikasi firmware penyedot debu untuk mengambil kendali komponen LiDAR.

Ini diperlukan karena LiDAR vakum bekerja dengan berputar setiap saat, sebuah proses yang mengurangi jumlah titik data yang dapat dikumpulkan penyerang.

Melalui firmware yang telah terkompromi, penyerang perlu menghentikan LiDAR vakum agar tidak berputar dan sebaliknya memfokuskannya pada satu objek terdekat pada satu waktu, di mana ia dapat merekam bagaimana permukaannya bergetar menjadi gelombang suara.

Para peneliti juga mengatakan pembacaan laser yang dikumpulkan perlu diunggah ke server jarak jauh penyerang untuk diproses lebih lanjut guna meningkatkan sinyal dan mendapatkan kualitas suara ke keadaan yang dapat dipahami oleh pengamat manusia.

Baca berita selengkapnya pada tautan di bawah ini;
Source: ZDNet

Highlight dari Unit 42 Cloud Threat Report, 2H 2020

by

Dalam Laporan Ancaman Cloud dari Unit 42 edisi 2H 2020, para peneliti melakukan Red Team exercise, memindai data cloud publik, dan menarik data milik Palo Alto Networks untuk menjelajahi lanskap ancaman dari identitas dan manajemen akses (IAM) dan mengidentifikasi di mana organisasi dapat meningkatkan konfigurasi IAM mereka.

Selama Red Team exercise, peneliti Unit 42 dapat menemukan dan memanfaatkan kesalahan konfigurasi IAM untuk mendapatkan akses admin ke seluruh lingkungan cloud Amazon Web Services (AWS) – potensi pelanggaran data jutaan dolar di dunia nyata.

Para peneliti berhasil mengeksploitasi IAM role trust policy “AssumeRole” yang salah dikonfigurasi untuk mendapatkan akses sementara ke resource sensitif.

Kebijakan yang salah dikonfigurasi memungkinkan setiap pengguna AWS yang tidak berada di akun untuk mengambil peran dan mendapatkan token akses. Hal ini dapat mengakibatkan sejumlah serangan terhadap organisasi, termasuk denial-of-service (DoS) dan ransomware, atau bahkan membuka pintu untuk advanced persistent threat (APT).

Peneliti Unit 42 menemukan bahwa 75% organisasi di Jepang dan Asia-Pasifik (JAPAC), serta 74% organisasi di Eropa, Timur Tengah, dan Afrika (EMEA), menggunakan Google Cloud untuk menjalankan workloads dengan hak istimewa admin.

Sebaliknya, hanya 54% organisasi di Amerika yang menjalankan jenis hak istimewa yang sama. Ini adalah praktik terbaik untuk menjalankan workloads dengan prinsip hak istimewa paling rendah – membatasi izin untuk pengguna seminimal yang mereka butuhkan.

Jika penyerang dapat membahayakan workload dengan hak istimewa admin, penyerang akan mendapatkan tingkat akses yang sama. Ini menyediakan jalur yang mudah bagi penyerang untuk menggunakan sumber daya cloud untuk melakukan serangan, seperti operasi cryptojacking, dengan mengorbankan organisasi.

Laporan selengkapnya dapat dibaca pada tautan di bawah ini;
Sumber: Unit 42 Paloalto

Egregor ransomware membombardir printer korban dengan catatam tebusan

by

Ransomware Egregor menggunakan pendekatan baru untuk menarik perhatian korban setelah serangan – ambil catatan tebusan dari semua printer yang tersedia.

Geng ransomware tahu bahwa banyak bisnis lebih suka menyembunyikan serangan ransomware daripada mempublikasikannya, termasuk kepada karyawan, karena takut akan berita yang memengaruhi harga saham dan reputasi mereka.

Untuk meningkatkan kesadaran publik atas serangan tersebut dan menekan korban agar membayar, operasi Egregor diketahui berulang kali mencetak catatan tebusan dari semua jaringan dan printer lokal yang tersedia setelah serangan terjadi.

Menurut BleepingComputer, mereka dapat mengonfirmasi bahwa itu bukan ransomware yang dapat menjalankan pencetakan catatan tebusan.

Sebaliknya, diyakini bahwa penyerang ransomware menggunakan skrip di akhir serangan untuk mencetak catatan tebusan ke semua printer yang tersedia.

Skrip ini belum ditemukan pada saat penulisan.

Sumber: Bleeping Computer

Berikut adalah kata sandi paling umum pada tahun 2020

by

Kembali ke tahun 2015, kata sandi terburuk yang masih umum digunakan termasuk “123456” dan “password.” Lima tahun berlalu, dan contoh-contoh ini masih banyak digunakan.

Setelah menganalisis 275.699.516 kata sandi yang bocor selama pelanggaran data tahun 2020, NordPass dan mitranya menemukan bahwa kata sandi yang paling umum sangat mudah ditebak – dan mungkin perlu waktu kurang dari satu atau dua detik bagi penyerang untuk membobol akun menggunakan kredensial ini. Hanya 44% dari yang tercatat dianggap “unik”.

Pada hari Rabu, penyedia solusi pengelola kata sandi menerbitkan laporan tahunannya tentang keadaan keamanan kata sandi, menemukan bahwa opsi yang paling populer adalah “123456”, “123456789”, “picture1”, “password”, dan “12345678.”

Dengan pengecualian “picture1”, yang akan membutuhkan waktu sekitar tiga jam untuk dipecahkan menggunakan serangan brute-force, setiap sandi memerlukan hanya beberapa detik saja menggunakan dictionary scripts – yang mengumpulkan frasa umum dan kombinasi numerik untuk dicoba – atau lebih sederhana, tebakan manusia.

Sebagai salah satu peserta dalam daftar 200-strong menggambarkan keadaan dalam hal keamanan kata sandi, “whatever”, tampaknya banyak dari kita masih enggan menggunakan kata sandi yang kuat dan sulit untuk dipecahkan – dan sebaliknya, kita malah menggunakan opsi termasuk “football”, “iloveyou”, “letmein”, dan “pokemon”.

10 kata sandi paling umum tahun 2020, berdasarkan kumpulan data NordPass, tercantum di bawah ini:

sumber: ZDNet

Sumber: ZDNet

Malware Chaes menyerang pelanggan platform e-commerce terbesar di Amerika Latin

by

Malware yang sebelumnya tidak dikenal telah terdeteksi dalam serangan yang meluas terhadap pelanggan e-commerce di Amerika Latin.

Malware, yang dijuluki Chaes oleh para peneliti Cybereason Nocturnus, digunakan oleh pelaku ancaman di seluruh wilayah LATAM (Latin America) untuk mencuri informasi keuangan.

Dalam sebuah posting blog, tim keamanan siber mengatakan pelanggan Brasil dari perusahaan e-commerce terbesar di kawasan itu, MercadoLivre, adalah fokus dari malware infostealing tersebut.

Pertama kali terdeteksi pada akhir tahun 2020 oleh Cybereason, Chaes disebarkan melalui kampanye phishing, di mana email mengklaim bahwa pembelian di platform MercadoLivre telah berhasil. Untuk mencoba dan meningkatkan tampilan email agar terlihat sah, pelaku ancaman juga menambahkan “dipindai oleh Avast” pada footer.

Pesan tersebut berisi lampiran file .docx berbahaya. Assaf Dahan, Kepala Peneliti di Cybereason, mengatakan kepada ZDNet bahwa lampiran tersebut memanfaatkan “teknik injeksi template, menggunakan fitur bawaan Microsoft Word untuk mengambil muatan dari server jarak jauh.”

Jika korban mengklik file tersebut, kerentanan digunakan untuk membuat sambungan dengan server command-and-control (C2) penyerang, serta mendownload muatan berbahaya pertama, file .msi.

File ini kemudian menyebarkan file .vbs yang digunakan untuk menjalankan proses lain, serta uninstall.dll dan engine.bin, yang keduanya bertindak sebagai “engine” malware. Trio file yang lain – hhc.exe, hha.dll dan chaes1.bin – diinstal yang menyatukan komponen utama Chaes. Modul penambangan cryptocurrency juga dicatat.

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: ZDNet

Peretas yang disponsori oleh Rusia dan Korea Utara menargetkan peneliti COVID-19

by

Peretas yang disponsori oleh pemerintah Rusia dan Korea Utara telah menargetkan perusahaan yang terlibat langsung dalam penelitian vaksin dan perawatan untuk COVID-19, dan dalam beberapa kasus, serangan telah berhasil, kata Microsoft pada hari Jumat.

Secara keseluruhan, ada tujuh perusahaan terkemuka yang menjadi target, kata Wakil Presiden Perusahaan Microsoft untuk Keamanan & Kepercayaan Pelanggan Tom Burt. 7 perusahaan tersebut termasuk pembuat vaksin dengan vaksin COVID-19 dalam berbagai tahap uji klinis, organisasi penelitian klinis yang terlibat dalam uji coba, dan pengembang uji COVID-19.

Yang juga menjadi sasaran adalah organisasi dengan kontrak atau investasi dari lembaga pemerintah di seluruh dunia untuk pekerjaan terkait COVID-19. Sasarannya berada di AS, Kanada, Prancis, India, dan Korea Selatan.

Salah satu kelompok penyerang yang terlibat adalah Strontium, sebutan Microsoft untuk peretas yang disponsori oleh pemerintah Rusia. Mereka menggunakan password spraying dan serangan login brute force yang membombardir server dengan sejumlah besar kredensial dengan harapan dapat menebak yang benar.

Dua kelompok lain — dijuluki Zinc dan Cerium — bekerja atas nama pemerintah Korea Utara. Keduanya menggunakan email spear phishing, dengan email dari perekrut pekerjaan fabrikasi Zinc dan email dari Cerium yang menyamar sebagai perwakilan dari Organisasi Kesehatan Dunia (WHO).

Serangan lain, kata Burt, menargetkan rumah sakit di Republik Ceko, Prancis, Spanyol, Thailand, dan AS. Pada bulan September, seorang pasien meninggal setelah serangan ransomware mengalihkannya ke rumah sakit terpencil di Jerman.

Baca berita selengkapnya pada tautan berikut:
Sumber: Ars Technica