Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cybersecurity

Cybersecurity

Layanan avatar online Gravatar memungkinkan pengumpulan informasi pengguna secara massal

by

Teknik enumerasi pengguna yang ditemukan oleh peneliti keamanan Carlo Di Dato menunjukkan bagaimana Gravatar dapat disalahgunakan untuk pengumpulan data massal profilnya oleh web crawlers dan bots.

Gravatar adalah layanan avatar online yang memungkinkan pengguna mengatur dan menggunakan gambar profil (avatar) di beberapa situs web yang mendukung Gravatar.

Menurut dokumentasi resmi Gravatar, struktur URL profil Gravatar terdiri dari nama pengguna atau hash MD5 dari alamat email yang terkait dengan profil itu.

Peneliti keamanan Italia Carlo Di Dato dalam menemukan kemungkinan ini menghubungi BleepingComputer minggu ini setelah gagal mendapatkan tindakan konkret dari Gravatar.

Rute API tersembunyi di dalam layanan memungkinkan siapa saja untuk mendapatkan data JSON pengguna hanya dengan menggunakan bidang “id” profil.

“Jika Anda melihat file JSON, Anda akan menemukan banyak informasi menarik. Bahaya dari masalah semacam ini adalah bahwa pengguna jahat dapat mengunduh data dalam jumlah besar dan melakukan segala jenis serangan social engineering terhadap pengguna yang sah,” kata Di Dato.

Dalam pengujian yang dilakukan BleepingComputer, mereka dapat mengonfirmasi profil pengguna tertentu memiliki lebih banyak data publik daripada yang lain, misalnya, alamat dompet BitCoin, nomor telepon, lokasi, dll.

Pengguna yang membuat profil publik di Gravatar setuju untuk membuat data ini tersedia untuk umum, jadi ini bukan kebocoran data atau masalah privasi dalam hal itu.

Dulu, penjahat telah mengumpulkan data profil Facebook secara massal menggunakan API-nya dan menjualnya di dark web untuk mendapatkan keuntungan.

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: Bleeping Computer

Egregor Ransomware Mengancam Akan Merilis Data Perusahaan ke Media Massa

by

Sebuah keluarga ransomware yang baru ditemukan bernama Egregor telah ditemukan, menggunakan taktik mencuri informasi perusahaan dan mengancam akan merilisnya ke “media massa” sebelum mengenkripsi semua file.

Menurut analisis dari Appgate, kode tersebut tampaknya merupakan spin-off dari Sekhmet ransomware – sebuah tautan yang juga dicatat oleh peneliti lain.

“Sampel yang kami analisis memiliki banyak teknik anti-analisis, seperti obfuscation code dan muatan yang dikemas,” menurut penelitian perusahaan, yang diumumkan hari Jumat.

“Selain itu, dalam salah satu tahapan eksekusi, muatan Egregor hanya dapat didekripsi jika kunci yang benar diberikan dalam baris perintah proses, yang berarti bahwa file tidak dapat dianalisis, baik secara manual atau menggunakan sandbox, jika sama persis baris perintah yang digunakan penyerang untuk menjalankan ransomware tidak tersedia.”

“Kami telah menemukan bahwa Egregor dapat menerima parameter tambahan melalui baris perintah, seperti ‘nomimikatz,’ ‘killrdp,’ ‘norename,’ antara lain,” kata Gustavo Palazolo, peneliti keamanan di Appgate.

“Saat ini, tim kami masih merekayasa balik malware untuk mendapatkan gambaran keseluruhan.”

Peneliti Appgate juga menemukan bahwa catatan tebusan menuntut pembayaran dalam waktu tiga hari – jika tidak, data sensitif akan bocor.

“Pada saat perilisan advisory, setidaknya ada 13 perusahaan berbeda yang terdaftar di ‘hall of shame’ mereka, termasuk perusahaan logistik global GEFCO, yang mengalami serangan cyber minggu lalu,” menurut perusahaan tersebut.

“Apa artinya? Artinya, segera setelah bocor di media massa, mitra dan klien Anda AKAN TAHU MASALAH Anda.”

“Sayangnya, tidak ada rincian tentang [jumlah pembayaran tebusan] dalam catatan tebusan atau di situs web Egregor,” kata peneliti tersebut kepada Threatpost.

“Untuk mendapatkan detail pembayaran, korban perlu membuka tautan yang menuju ke deep web yang disediakan Egregor dan mendapatkan instruksi dari penyerang melalui obrolan langsung.”

Baca berita selengkapnya pada tautan di bawah ini;
Source: The Threat Post

Dua merchant perhotelan Amerika Utara diretas pada bulan Mei dan Juni

by

Dalam peringatan keamanan yang diterbitkan pada hari Kamis, Visa mengungkapkan bahwa dua merchant perhotelan Amerika Utara diretas dan sistem mereka terinfeksi malware point-of-sale (POS) awal tahun ini.

Malware POS dirancang untuk menginfeksi sistem Windows, mencari aplikasi POS, kemudian mencari dan memantau memori komputer untuk detail kartu pembayaran yang sedang diproses di dalam aplikasi pembayaran POS.

PERETASAN BULAN JUNI: HACKERS MENGGUNAKAN TIGA STRAIN POS MALWARE YANG BERBEDA

Dari kedua insiden tersebut, insiden kedua yang terjadi pada bulan Juni adalah yang paling menarik dilihat dari sudut pandang insiden respon (IR).

Visa mengatakan telah menemukan tiga jenis malware POS di jaringan korban – yaitu RtPOS, MMon (alias Kaptoxa), dan PwnPOS. Alasan mengapa geng malware menyebarkan tiga jenis malware tidak diketahui, tetapi bisa jadi penyerang ingin memastikan mereka mendapatkan semua data pembayaran dari berbagai sistem.

PERETASAN BULAN MEI: MENGGUNAKAN EMAIL PHISHING SEBAGAI TITIK MASUK

Malware POS yang digunakan dalam insiden ini diidentifikasi sebagai versi strain TinyPOS.

Dua serangan baru-baru ini menunjukkan bahwa terlepas dari peningkatan dan perhatian baru-baru ini bahwa insiden skimming web (magecart) dan ransomware semakin meningkat di media, geng-geng kejahatan siber tidak melupakan penargetan sistem POS.

“Serangan baru-baru ini menunjukkan minat terus-menerus pelaku ancaman dalam menargetkan sistem POS merchant untuk mengambil data rekening pembayaran saat ini,” kata Visa.

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: ZDNet

Malware NodeJS mengambil informasi IP, nama pengguna, dan nama perangkat di GitHub

by

Beberapa paket NodeJS yang sarat dengan kode berbahaya telah terlihat di registri npm.

Paket “typosquatting” ini tidak memiliki tujuan selain mengumpulkan data dari perangkat pengguna dan menyiarkannya di halaman GitHub publik.
Penemuan ini ditemukan oleh sistem deteksi malware otomatis Sonatype dan diselidiki lebih lanjut oleh tim Riset Keamanan perusahaan yang termasuk saya.
Paket yang sebelumnya ada di registry npm open source termasuk:

1. electorn (kesalahan eja yang disengaja dari paket “electron” yang sah)
2. loadyaml
3. loadyml.dll
4. lodashs (kesalahan eja yang disengaja dari paket “lodash” yang sah)

Keempat paket diterbitkan oleh pengguna yang sama “simplelive12” dan sekarang telah dihapus, dengan dua paket pertama telah dihapus oleh npm per 1 Oktober 2020. Dua paket sebelumnya tidak dipublikasikan oleh pembuatnya sendiri.

Setelah instal, electron menjalankan skrip di latar belakang setiap jam yang mengumpulkan IP pengguna yang masuk, data geolokasi, nama pengguna, jalur ke direktori home, dan informasi model CPU.

Sampai saat ini, keempat paket telah mencetak lebih dari 400 total unduhan.

Tidak jelas apa tujuan pengumpulan data ini dan mengapa itu dipublikasikan di web agar dunia dapat melihatnya, namun, insiden seperti ini menyoroti potensi serangan typosquatting pada ekosistem open-source.

Kompleksitas merusak keamanan komputer, kata akademisi yang membantu menemukan kelemahan Meltdown dan Spectre

by Leave a Comment

Daniel Gruss, asisten profesor di grup Sistem Aman di Universitas Teknologi Graz Austria. Gruss dan rekan-rekannya menemukan beberapa snafus keamanan terbesar baru-baru ini, termasuk kelemahan desain mikroprosesor Meltdown dan Spectre, eksploitasi Rowhammer yang berfungsi, serangan pada Intel SGX termasuk Plundervolt, dan banyak lagi lainnya.

Pada konferensi Black Hat Asia, yang diadakan secara virtual pada hari Jumat di zona waktu Singapura, Gruss menguraikan keyakinannya bahwa meskipun mungkin untuk membuat sistem yang terbukti aman – dengan usaha keras – ini jarang dilakukan dalam produksi. Bagaimanapun, dunia telah terbiasa menggunakan labirin sistem yang saling terkait, tidak terbukti, dan seringkali tidak didokumentasikan secara publik.

Asisten profesor juga mengajukan teorinya bahwa ketika Hukum Moore habis, kita akan menggunakan lebih banyak sistem dengan semakin banyak prosesor dan inti akselerator yang semuanya berinteraksi satu sama lain, yang berarti semakin banyak risiko keamanan. Membangun sistem yang lebih sederhana bukanlah suatu pilihan, dia yakin, karena umat manusia sekarang memiliki ekspektasi komputasi kinerja tinggi.

Saran pertamanya adalah ilmu komputer perlu memikirkan kembali dirinya sendiri. Saat ini, kata dia, mata pelajaran tersebut dianggap sebagai ilmu formal. Gruss mengatakan itu perlu diubah, karena dua alasan.

Gruss berpikir itu mungkin kabar baik bagi para profesional keamanan karena dunia jelas akan membutuhkan lebih banyak dari mereka, dan banyak yang akan memiliki keterampilan baru untuk dipelajari. “Dalam 30 tahun saya berharap kami memiliki lebih banyak orang yang mempelajari dan menganalisis sistem, dan lebih banyak variasi pekerjaan keamanan,” katanya dalam acara virtual tersebut.

“Tanpa internet, ransomware tidak akan berkembang sebaik itu,” katanya, menggambarkan bagaimana perubahan pola penggunaan dapat menimbulkan masalah yang sama sekali tidak terduga.

Dia juga menyarankan bahwa asuransi akan memiliki lebih banyak peran karena metode empiris dapat mengungkapkan lebih banyak risiko. Dan perusahaan asuransi senang merancang produk yang dapat meminimalisir risiko. Namun asuransi tidak dapat, mengurangi kebutuhan akan kewaspadaan, dan ada argumen yang mendorong para penjahat.

“Kami akan memiliki keamanan kerja untuk semua orang yang bekerja di analisis keamanan,” kata Gruss. “Kurasa itu hal yang bagus.”

Source : theregister

Ada Serangan Ditujukan untuk Mengganggu Botnet Trickbot

by

Pada 22 September, seseorang mengupload file konfigurasi baru ke komputer Windows yang saat ini terinfeksi Trickbot. Penjahat yang menjalankan botnet Trickbot biasanya menggunakan file konfigurasi ini untuk menyampaikan instruksi baru ke PC mereka lainnya yang terinfeksi, seperti alamat Internet di mana sistem yang diretas harus mengunduh pembaruan baru untuk malware.

Tetapi file konfigurasi baru yang diupload pada 22 September memberi tahu semua sistem yang terinfeksi Trickbot bahwa server kontrol malware baru mereka memiliki alamat 127.0.0.1, yang merupakan alamat “localhost” yang tidak dapat dijangkau melalui Internet publik, menurut analisis oleh perusahaan intelijen dunia maya Intel 471.

“Tak lama setelah konfigurasi palsu dikeluarkan, semua pengontrol Trickbot berhenti merespons dengan benar permintaan bot,” tulis Intel 471 dalam sebuah catatan kepada pelanggannya. “Ini mungkin berarti controller pusat Trickbot terganggu. Waktu penutupan kedua peristiwa tersebut menunjukkan gangguan yang disengaja pada operasi botnet Trickbot. ”

Cuplikan teks dari salah satu pembaruan konfigurasi Trickbot palsu. Sumber: Intel 471

CEO Intel 471, Mark Arena, mengatakan pada saat ini siapa pun yang bertanggung jawab.

“Jelas, seseorang mencoba menyerang Trickbot,” kata Arena. “Bisa saja seseorang di komunitas riset keamanan, pemerintah, orang dalam yang tidak puas, atau grup kejahatan dunia maya saingan. Kami hanya tidak tahu saat ini. ”

Alex Holden adalah chief technology officer dan pendiri Hold Security, sebuah firma intelijen dunia maya yang berbasis di Milwaukee yang membantu memulihkan data yang dicuri. Holden mengatakan pada akhir September Trickbot menyimpan kata sandi dan data keuangan yang dicuri dari lebih dari 2,7 juta PC Windows.

“Pemantauan kami menemukan setidaknya satu pernyataan dari salah satu kelompok ransomware yang mengandalkan Trickbot yang mengatakan ini membuat mereka kesal, dan mereka akan menggandakan tebusan yang mereka minta dari korban,” kata Holden. “Kami belum dapat mengonfirmasi apakah mereka benar-benar menindaklanjuti hal itu, tetapi serangan ini jelas mengganggu bisnis mereka.”

Intel 471’s Arena mengatakan ini bisa menjadi bagian dari kampanye yang sedang berlangsung untuk membongkar atau merebut kendali atas botnet Trickbot. Upaya seperti itu tidak akan pernah terjadi sebelumnya. Pada tahun 2014, misalnya, lembaga penegak hukum AS dan internasional bekerja sama dengan beberapa firma keamanan dan peneliti swasta untuk mengambil alih Gameover Zeus Botnet, jenis malware yang sangat agresif dan canggih yang telah menyerang hingga 1 juta PC Windows secara global.

Eksploitasi Microsoft Netlogon terus meningkat

by Leave a Comment

Cisco Talos melacak lonjakan upaya eksploitasi terhadap kerentanan Microsoft CVE-2020-1472, peningkatan bug hak istimewa di Netlogon, yang diuraikan dalam laporan Microsoft Patch Tuesday Agustus. Kerentanan berasal dari cacat dalam skema otentikasi kriptografi yang digunakan oleh Netlogon Remote Protocol yang – antara lain – dapat digunakan untuk memperbarui sandi komputer dengan memalsukan token otentikasi untuk fungsionalitas Netlogon tertentu. Cacat ini memungkinkan penyerang meniru identitas komputer mana pun, termasuk pengontrol domain itu sendiri dan mendapatkan akses ke kredensial admin domain.

Ciri-ciri Netlogon:

    • Klien mengirimkan tantangan klien yang mencakup tantangan delapan byte.
      Server merespons dengan tantangan server termasuk tantangan delapan byte-nya.
      Klien dan server menghitung kunci sesi bersama
      Klien mengenkripsi kunci sesi bersama yang menghasilkan kredensial klien
      Server mengenkripsi kunci sesi bersama yang menghasilkan kredensial server

    • Microsoft saat ini menangani kerentanan ini dalam perilisan dua bagian mitigasi secara bertahap. Microsoft menguraikan rencananya dalam sebuah halaman advisori yang mengatakan, “Untuk pedoman tentang cara mengelola perubahan yang diperlukan untuk kerentanan ini dan informasi lebih lanjut tentang peluncuran bertahap, lihat Bagaimana mengelola perubahan dalam koneksi aman Netlogon yang terkait dengan CVE-2020-1472. Ketika fase kedua pembaruan Windows tersedia pada K1 2021, pelanggan akan diberi tahu melalui revisi kerentanan keamanan ini. Jika Anda ingin diberi tahu ketika pembaruan ini dirilis, kami menyarankan Anda mendaftar ke pengirim pemberitahuan keamanan agar diberi tahu tentang perubahan konten pada dokumen advisori ini. ”

    Source : Cisco Talos

    Siapa dalang di Balik Pemadaman 911 pada14 daerah Senin lalu?

    by

    Sistem darurat 911 mati selama lebih dari satu jam pada hari Senin di 14 negara bagian AS. Pemadaman listrik menyebabkan banyak outlet berita berspekulasi bahwa masalah tersebut terkait dengan platform layanan web Azure Microsoft, yang juga sedang berjuang dengan pemadaman yang meluas pada saat itu. Namun, berbagai sumber memberi tahu KrebsOnSecurity bahwa masalah 911 berasal dari semacam snafu teknis yang melibatkan Intrado dan Lumen, dua perusahaan yang bersama-sama menangani panggilan 911 untuk wilayah Amerika Serikat yang luas.

    Pada Senin, 28 September, beberapa negara bagian termasuk Arizona, California, Colorado, Delaware, Florida, Illinois, Indiana, Minnesota, Nevada, North Carolina, North Dakota, Ohio, Pennsylvania dan Washington melaporkan pemadaman pada layanan 911 akibat pemadaman listrik di berbagai kota dan daerah.

    Beberapa laporan berita menunjukkan pemadaman mungkin terkait dengan gangguan layanan yang sedang berlangsung di Microsoft. Namun juru bicara mengatakan kepada KrebsOnSecurity, “kami tidak melihat indikasi bahwa pemadaman multi-negara 911 adalah akibat dari gangguan layanan Azure kemarin.”

    Namun menurut pejabat di Henderson County, NC, yang mengalami 911 kegagalannya sendiri kemarin, Intrado mengatakan pemadaman itu disebabkan oleh masalah dengan penyedia layanan yang tidak ditentukan.

    “Pada 28 September 2020, pukul 16.30 MT, Penyedia Layanan 911 kami mengamati kondisi internal jaringan mereka yang berdampak pada pengiriman panggilan 911,” bunyi pernyataan yang diberikan Intrado kepada pejabat daerah. “Dampaknya telah dimitigasi, dan layanan dipulihkan dan dipastikan berfungsi pada pukul 17:47 MT. Penyedia layanan kami sedang bekerja untuk mencari akar masalah. ”

    Penyedia layanan yang dirujuk dalam pernyataan Intrado tampaknya adalah Lumen, sebuah firma komunikasi dan penyedia 911 yang hingga saat ini dikenal sebagai CenturyLink Inc. Melihat halaman status perusahaan menunjukkan beberapa sistem Lumen mengalami gangguan layanan total atau parsial pada hari Senin, termasuk jaringan cloud private dan internal serta jaringan sistem kontrolnya.

    Halaman status Lumen menunjukkan cloud pribadi dan internal perusahaan serta jaringan sistem kontrol mengalami gangguan atau gangguan layanan pada hari Senin.

    Dalam pernyataan yang diberikan kepada KrebsOnSecurity, Lumen menyalahkan masalah tersebut pada Intrado.

    “Sekitar pukul 16.30. MT, beberapa pelanggan Lumen terpengaruh oleh peristiwa mitra vendor yang memengaruhi 911 layanan di AZ, CO, NC, ND, MN, SD, dan UT, ”bunyi pernyataan itu. “Layanan dipulihkan dalam waktu kurang dari satu jam dan semua lalu lintas 911 dirutekan dengan benar saat ini. Mitra vendor sedang dalam proses menyelidiki acara tersebut. ”

    Layaknya bukan suatu kebetulan kedua perusahaan ini sekarang beroperasi dengan nama baru, karena ini bukan pertama kalinya masalah di antara keduanya mengganggu akses 911 untuk sejumlah besar orang Amerika.