Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cybersecurity

Cybersecurity

Lab Habana Intel diretas oleh ransomware Pay2Key, dan data dicuri

by

Pengembang prosesor AI milik Intel, Habana Labs, telah mengalami serangan siber di mana datanya dicuri dan dibocorkan oleh pelaku ancaman.

Habana Labs adalah pengembang prosesor AI Israel yang mempercepat beban kerja kecerdasan buatan di pusat data. Intel membeli perusahaan tersebut pada Desember 2019 dengan harga sekitar $2 miliar.

Kemarin, operasi ransomware Pay2Key membocorkan data yang diduga dicuri dari Habana Labs selama serangan siber. Data ini mencakup informasi akun domain Windows, informasi zona DNS untuk domain, dan file listing dari sistem tinjauan kode pengembangan Gerrit nya.

Sumber: Bleeping Computer

Selain konten yang diposting di situs kebocoran data mereka, operator Pay2Key telah membocorkan dokumen bisnis dan gambar-gambar kode sumber.

Dalam sebuah postingan di situs kebocoran data Pay2Key, pelaku ancaman telah menyatakan bahwa Habana Labs memiliki waktu “72 jam untuk menghentikan proses kebocoran …” Tidak diketahui tuntutan tebusan apa yang dibuat untuk menghentikan kebocoran data.

Pay2Key adalah operasi ransomware yang relatif baru di balik serangkaian serangan terhadap bisnis Israel pada November 2020, seperti yang dilaporkan oleh perusahaan keamanan siber Israel, Check Point dan Profero.

Sumber: Bleeping Computer

Ransomware baru ini semakin kuat dan bisa menjadi ancaman utama bagi para peneliti

by

Ransomware yang menuntut jutaan dolar dari para korban dan sedang diperbarui dengan fitur-fitur baru dapat menjadi ancaman serius lainnya bagi bisnis.

Ransomware MountLocker pertama kali muncul pada bulan Juli dan mengenkripsi jaringan korban dengan para penyerang yang meminta bitcoin sebagai ganti kunci dekripsi. Seperti bentuk ransomware lainnya, peretas kriminal di baliknya mengancam akan membocorkan informasi yang dicuri dari organisasi korban jika tebusan bitcoin tidak dibayarkan.

Peneliti keamanan siber di BlackBerry telah menganalisis MountLocker dan mengatakan bahwa mereka yang berada di belakangnya “jelas baru saja melakukan pemanasan” – dan kelompok ransomware ini bisa menjadi ancaman besar di masa mendatang.

Ransomware MountLocker menyebar di seluruh jaringan dengan alat yang tersedia untuk umum hanya dalam 24 jam. Setelah perintah untuk mengeksekusi ransomware dimulai, korban mendapati diri mereka terkunci dari jaringan mereka dan menghadapi permintaan tebusan tujuh digit.

Analisis kampanye menemukan bahwa versi terbaru MountLocker yang dirancang untuk membuatnya lebih efisien dalam mengenkripsi file muncul bulan lalu, serta memperbarui kemampuan untuk menghindari deteksi oleh perangkat lunak keamanan.

Meskipun MountLocker tampaknya masih dalam tahap pengembangan yang relatif awal, itu sudah terbukti efektif dengan mengklaim korban di seluruh dunia dan kemungkinan akan menjadi lebih produktif seiring perkembangannya.

Seperti semua bentuk ransomware, MountLocker memanfaatkan kerentanan keamanan umum untuk menyebar, jadi beberapa cara terbaik untuk melindungi agar tidak menjadi korbannya adalah dengan memastikan bahwa kata sandi default tidak digunakan, otentikasi dua faktor diterapkan dan jaringan diperbarui dengan patch keamanan terbaru untuk mengatasi kerentanan yang diketahui.

Sumber: ZDNet

Bug Cisco 9.9/10-severity: Tambal kerentanan Jabber yang berbahaya ini pada Windows dan macOS

by

Cisco telah meluncurkan patch untuk beberapa kelemahan kritis yang memengaruhi klien Jabber untuk Windows, MacOS, dan aplikasi seluler untuk iOS dan Android.

Cacatnya buruk, dengan yang terburuk memiliki peringkat keparahan 9,9. Yang lebih buruk, cacat itu dimaksudkan untuk diperbaiki tiga bulan lalu dalam pembaruan untuk Jabber, tak lama setelah para peneliti merilis kode proof-of-concept eksploitasi untuk bug wormable, yang dapat dieksploitasi melalui pesan instan.

Jabber adalah platform enterprise chat dan pesan instan Cisco yang banyak digunakan, yang diakuisisi pada tahun 2008. Aplikasi ini didasarkan pada Chromium Embedded Framework (CEF), yang memungkinkan pengembang untuk menyematkan browser web berbasis Chromium dalam sandbox asli di aplikasi mereka.

Cisco mengatakan bahwa bug ini memungkinkan penyerang untuk “mengeksekusi program apapun pada sistem operasi yang mendasarinya dengan hak istimewa yang lebih tinggi atau mendapatkan akses ke informasi sensitif”.

Cisco mencatat bahwa kerentanan penanganan pesan baru dapat dieksploitasi jika penyerang dapat mengirim pesan Extensible Messaging and Presence Protocol (XMPP) ke sistem pengguna akhir yang menjalankan Cisco Jabber.

Tiga bug yang belum diperbaiki sepenuhnya dilacak sebagai CVE-2020-26085, CVE-2020-27127, dan CVE-2020-27132.

Watchcom melaporkan empat kerentanan ke Cisco awal tahun ini, dan itu diungkapkan oleh raksasa jaringan pada bulan September. Tetapi tiga di antaranya tidak diperbaiki dengan benar dalam pembaruan pada saat itu, menurut Watchcom.

Cisco juga menemukan dua bug tambahan di Jabber selama pengujian internal. Mereka dilacak sebagai CVE-2020-27133 dan CVE-2020-27134.

Sumber: ZDNet

Plugin Zero-day di WordPress SMTP disalahgunakan untuk mengatur ulang kata sandi akun admin

by

Peretas menyetel ulang kata sandi untuk akun admin di situs WordPress menggunakan kerentanan zero-day di plugin WordPress populer yang dipasang di lebih dari 500.000 situs.

Zero-day digunakan dalam serangan selama beberapa minggu terakhir dan diperbaiki pada hari Senin.

Ini berdampak pada Easy WP SMTP, sebuah plugin yang memungkinkan pemilik situs mengonfigurasi pengaturan SMTP untuk email keluar situs web mereka.

Menurut tim di Ninja Technologies Network (NinTechNet), Easy WP SMTP 1.4.2 dan versi plugin yang lebih lama berisi fitur yang membuat debug log untuk semua email yang dikirim oleh situs, yang kemudian disimpan di folder instalasinya.

“Folder plugin tidak memiliki file index.html, oleh karena itu, pada server yang mengaktifkan directory listing, peretas dapat menemukan dan melihat log,” kata Jerome Bruandet dari NinTechNet.

Sumber: NinTechNet

Bruandet mengatakan bahwa di situs yang menjalankan versi rentan dari plugin ini, peretas telah melakukan serangan otomatis untuk mengidentifikasi akun admin dan kemudian mengatur ulang kata sandi.

Karena pengaturan ulang kata sandi melibatkan pengiriman email dengan tautan pengaturan ulang kata sandi ke akun admin, email ini juga dicatat di debug log Easy WP SMTP.

Yang harus dilakukan penyerang adalah mengakses debug log setelah mengatur ulang kata sandi, mengambil tautan, dan mengambil alih akun admin situs.

Versi di mana bug ini diperbaiki adalah Easy WP SMTP 1.4.4, menurut changelog plugin.

Sumber: ZDNet

Botnet PgMiner menyerang database PostgreSQL yang tidak diamankan dengan benar

by

Minggu ini, peneliti keamanan telah menemukan operasi botnet yang menargetkan database PostgreSQL untuk menginstal penambang cryptocurrency.

Disebut sebagai PgMiner oleh para peneliti, botnet ini hanyalah yang terbaru dari daftar panjang operasi kejahatan siber baru-baru ini yang menargetkan teknologi web untuk keuntungan moneter.

Menurut para peneliti di Palo Alto Networks ‘Unit 42, botnet beroperasi dengan melakukan serangan brute force terhadap database PostgreSQL yang dapat diakses internet.

Botnet secara acak memilih range jaringan publik (mis., 18.xxx.xxx.xxx) dan kemudian melakukan iterasi melalui semua bagian alamat IP dari rentang itu, mencari sistem yang port PostgreSQL (port 5432) nya terkspos secara online.

Jika PgMiner menemukan sistem PostgreSQL yang aktif, botnet berpindah dari fase pemindaian ke fase brute-force, di mana ia mengacak daftar panjang kata sandi dalam upaya untuk menebak kredensial untuk “postgres,” akun PostgreSQL default.

Jika pemilik database PostgreSQL lupa menonaktifkan user ini atau lupa mengubah kata sandinya, peretas akan mengakses database dan menggunakan fitur COPY PostgreSQL dari PROGRAM untuk meningkatkan akses mereka dari aplikasi database ke server yang mendasarinya dan mengambil alih seluruh OS.

Begitu mereka memiliki pegangan yang lebih kuat pada sistem yang terinfeksi, kru PgMiner menyebarkan aplikasi penambangan koin dan mencoba menambang cryptocurrency Monero sebanyak mungkin sebelum terdeteksi.

Menurut Unit 42, pada laporan mereka, botnet hanya memiliki kemampuan untuk menyebarkan penambang di platform Linux MIPS, ARM, dan x64. Operator Botnet PgMiner juga telah mengendalikan bot yang terinfeksi melalui server perintah dan kontrol (C2) yang dihosting di jaringan Tor dan bahwa basis kode botnet tersebut tampak menyerupai botnet SystemdMiner.

Sumber: Palo Alto Networks

Sumber: ZDNet

250.000 database MySQL curian dijual di situs lelang dark web

by

Peretas telah menyiapkan situs lelang di dark web untuk menjual 250.000 database yang dicuri dari puluhan ribu server MySQL yang dibobol.

Seluruh koleksi berukuran tujuh terabyte dan merupakan bagian dari database ransom business yang tercatat naik tajam sejak Oktober.

Kembali pada bulan Mei, BleepingComputer melaporkan tentang penyerang yang mencuri database SQL dari toko online dan mengancam korban bahwa data mereka akan diketahui publik jika mereka tidak membayar 0,06 BTC.

Peneliti di Guardicore memantau skema tersebut sepanjang tahun dan melihat peningkatan tajam dalam aktivitas sejak 3 Oktober.

Penyerang telah berpindah dari clear web ke dark web, membuat situs lelang yang mencantumkan 250.000 basis data dari 83.000 server yang dibobol yang terungkap di web publik.

Basis data MySQL yang dijual di situs lelang berukuran mulai dari 20 byte hingga gigabyte, dan ditawarkan dengan jumlah yang sama – 0,03 bitcoin atau $ 545 dengan harga saat ini.

Dalam laporannya, Guardicore menegaskan bahwa hasil data dari serangan otomatis non-target yang menggunakan brute force untuk mendapatkan akses ke data.

Admin harus menghindari mengekspos database, jika memungkinkan, atau setidaknya mengaktifkan akses ke database tersebut melalui koneksi non publik yang aman, dan melengkapi pertahanan ini dengan visibilitas jaringan yang baik.

Sumber: Bleeping Computer

Peretas dapat menggunakan koneksi server tidak aman WinZip untuk menjatuhkan malware

by

Komunikasi klien-server dalam versi tertentu dari alat kompresi file WinZip tidak aman dan dapat dimodifikasi untuk menyajikan malware atau konten palsu kepada pengguna.

WinZip telah menjadi utilitas lama bagi pengguna Windows dengan kebutuhan pengarsipan file di luar dukungan yang dibangun di dalam sistem operasi.

WinZip saat ini di versi 25 tetapi rilis sebelumnya memeriksa server untuk pembaruan melalui koneksi yang tidak terenkripsi, kelemahan yang dapat dieksploitasi oleh aktor jahat.

Martin Rakhmanov dari Trustwave SpiderLabs menangkap lalu lintas dari versi alat yang rentan untuk menunjukkan komunikasi yang tidak terenkripsi.

Mengingat sifat saluran komunikasi yang tidak aman, Rakhmanov mengatakan bahwa lalu lintas dapat “dirampas, dimanipulasi, atau dibajak” oleh penyerang di jaringan yang sama dengan pengguna WinZip.

Satu risiko yang berasal dari tindakan ini adalah DNS poisoning, yang mengelabui aplikasi agar mengambil pembaruan palsu dari server web jahat.

Pada versi WinZip yang rentan, penyerang juga dapat memperoleh informasi yang berpotensi sensitif seperti nama pengguna dan kode pendaftaran.

Peneliti mengatakan bahwa skenario ini juga disertai dengan risiko mengeksekusi kode arbitrary pada mesin korban karena WinZip menawarkan beberapa API “kuat” ke JavaScript.

Dengan dirilisnya WinZip 25, komunikasi cleartext tidak lagi terjadi. Pengguna disarankan untuk memperbarui ke versi yang terbaru.

Sumber: Bleeping Computer

Kerentanan eksekusi kode jarak jauh ditemukan di platform seluler Starbucks

by

Bug potensial eksekusi kode jarak jauh (RCE) telah ditambal di salah satu domain seluler Starbucks.

Raksasa kopi AS menjalankan platform bug bounty di HackerOne. Laporan kerentanan baru yang dikirimkan oleh Kamil “ko2sec” Onur Özkaleli, pertama kali dikirimkan pada 5 November dan dipublikasikan pada 9 Desember, menjelaskan masalah RCE yang ditemukan di mobile.starbucks.com.sg, sebuah platform untuk pengguna Singapura.

Menurut advisory, ko2sec menemukan endpoint .ashx di mobile.starbucks.com.sg yang dimaksudkan untuk menangani file gambar.

Namun, endpoint tidak membatasi upload jenis file, yang berarti penyerang yang menyalahgunakan masalah tersebut dan berpotensi mengupload file berbahaya lalu mengeksekusi kode arbitrer dari jarak jauh.

CVE belum dikeluarkan untuk kerentanan kritis tetapi skor keparahan 9,8 telah ditambahkan ke laporan.

RCE bukan satu-satunya pengajuan yang dibuat peneliti ke Starbucks. Pada bulan Oktober, Ko2sec menggambarkan eksploitasi pengambilalihan akun di situs web Starbucks Singapura yang disebabkan oleh open test environments.

Sangat memungkinkan untuk menargetkan pengguna dengan mengetahui alamat email mereka, melihat informasi pribadi mereka, dan bahkan menggunakan kredit apa pun yang dimuat di dompet akun mereka untuk melakukan pembelian.

Sumber: ZDNet