Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cybersecurity

Cybersecurity

Peringatan — Apple Tiba-tiba Menangkap Bahas TikTok Sedang Memata-matai Jutaan Pengguna iPhone

by

Sebuah aplikasi, TikTok, tertangkap sedang mengintip pengguna iPhone, kata seorang peneliti keamanan Talal Haj Bakry dan Tommy Mysk. Mengingat kekhawatiran keamanan lain yang diangkat tentang aplikasi tersebut, serta kekhawatiran yang lebih luas mengingat asal-usul China-nya, ini menjadi masalah utama semua orang. Sebelumnya, pemilik TikTok Bytedance mengatakan kepada Forbes masalah ini terkait dengan adanya penggunaan SDK iklan Google yang sudah usang yang sedang diganti.

Dilansir dari Forbes, dengan dirilisnya peringatan clipboard baru dalam versi beta dari iOS 14, TikTok tampaknya telah tertangkap basah menyalahgunakan clipboard dengan cara yang sangat luar biasa. Jadi sepertinya TikTok tidak menghentikan praktik invasif ini pada bulan April seperti yang dijanjikan.

Menurut Telegraph, TikTok sekarang mengatakan masalah ini disebabkan oleh “fitur yang dirancang untuk mengidentifikasi perilaku spam yang berulang-ulang,” dan telah meyakinkan bahwa mereka telah “mengirimkan versi pembaruan aplikasi ke App Store dan menghapus fitur anti-spam untuk menghilangkan potensi kebingungan.”

TikTok juga mengatakan bahwa platform “berkomitmen untuk melindungi privasi pengguna dan transparan tentang cara kerja aplikasi kami.”

Sekarang ketika adanya perubahan keamanan dan privasi pada Apple iOS 14 telah menangkap mereka masih melakukan sesuatu yang seharusnya tidak mereka lakukan. Sesuatu yang mereka katakan sudah diperbaiki.

Masalah paling kritis dengan kerentanan ini adalah fungsionalitas clipboard universal Apple, yang berarti bahwa apa pun yang disalin di Mac atau iPad dapat dibaca oleh iPhone pengguna juga, dan sebaliknya. Jadi, jika TikTok aktif di ponsel Anda saat Anda bekerja, aplikasi ini pada dasarnya dapat membaca apa saja dan semua yang Anda salin di perangkat lain: Kata sandi, dokumen kerja, email sensitif, informasi keuangan. Apa pun.

Semua pengguna iPhone harus memperbarui ke versi terbaru TikTok segera setelah dirilis — dan mengingat itu secara aktif membaca clipboard Anda, Anda mungkin ingin mempertimbangkan menggunakan aplikasi itu sebelum adanya pembaruan.

 

Berita selengkapnya:
Source: Forbes

Lucifer: Malaikat Jahat Yang Menyalahgunakan Kerentanan Kritis Pada Mesin Windows

by

Jenis baru cryptojacking yang kuat dan malware berbasis DDoS mengeksploitasi kerentanan parah untuk menginfeksi mesin Windows.

Dilansir dari ZDNet, malware yang disebut Lucifer ini adalah bagian dari kampanye aktif yang menyerang host Windows dan menggunakan berbagai weaponized exploits dalam gelombang serangan terbaru yang diungkapkan oleh Unit 42 Palo Alto Networks.

Dalam sebuah blog, peneliti Ken Hsu, Durgesh Sangvikar, Zhibin Zhang dan Chris Navarrete mengatakan bahwa varian terbaru Lucifer, v.2, ditemukan pada 29 Mei ketika menyelidiki eksploitasi CVE-2019-9081, bug deserialisasi pada Laravel Framework yang dapat disalahgunakan untuk melakukan serangan eksekusi kode jarak jauh (RCE). Setelah diteliti lebih lanjut, tampaknya ini hanyalah satu dari banyak kerentanan yang digunakan oleh aktor malware.

Lucifer dianggap sebagai malware hybrid yang kuat yang mampu melakukan cryptojacking dan memanfaatkan mesin yang terinfeksi untuk melakukan serangan Distributed Denial-of-Service (DDoS).

Malware akan memindai TCP port 135 (RPC) dan 1433 (MSSQL) yang terbuka untuk menemukan target dan akan menggunakan serangan credential-stuffing untuk mendapatkan akses. Malware dapat menginfeksi targetnya melalui IPC, WMI, SMB, dan FTP melalui serangan brute-force, serta melalui MSSQL, RPC, dan berbagi jaringan, kata para peneliti.

Setelah berada pada mesin yang terinfeksi, malware menjatuhkan XMRig, sebuah program yang digunakan untuk menambang cryptocurrency Monero (XMR) secara diam-diam.

Lucifer juga akan terhubung ke server perintah-dan-kontrol (C2) untuk menerima perintah – seperti meluncurkan serangan DDoS – mentransfer data sistem curian, dan terus memberi informasi kepada operator tentang status penambang cryptocurrency Monero.

Untuk menyebar, Lucifer menggunakan berbagai kerentanan dan serangan brute-force untuk mengkompromikan host tambahan yang terhubung ke titik infeksi awal.

Lucifer juga akan berusaha menghindari deteksi atau melakukan reverse engineering dengan memeriksa keberadaan sanbox atau mesin virtual. Jika salah satunya ditemukan, maka malware akan memasuki “infinite loop” yang menghentikan operasi.

Gelombang serangan pertama menggunakan Lucifer v.1 terdeteksi pada 10 Juni. Sehari kemudian, malware ditingkatkan menjadi v.2, yang “mendatangkan malapetaka” pada mesin target, kata tim peneliti, dan pada saat penulisan serangan sedang berlangsung.

Baca berita selengkapnya pada tautan di bawah ini:
Source: ZDNet

Kompromi Copy-paste – Taktik, Teknik, dan Prosedur yang Digunakan Untuk Menargetkan Beberapa Jaringan di Australia

by

Pada hari kamis lalu (18/06) Pusat Keamanan Siber Australia (ACSC) mengumumkan bahwa Pemerintah Australia saat ini menyadari adanya penargetan berkelanjutan pemerintah dan perusahaan Australia oleh aktor berbasis negara yang canggih. Di dalam pengunguman tersebut ACSC juga mengeluarkan peringatan kepada organisasi-organisasi Australia, agar keduanya menyadari ancaman ini dan mengambil langkah segera untuk meningkatkan pertahanan jaringan mereka.

Peringatan ACSC yang berjudul ‘Copy-paste compromises’ berasal dari aktor yang menggunakan kode eksploit proof-of-concept, web shells, dan alat-alat lain yang disalin hampir identik dari sumber terbuka (open source).

Aktor ini telah diidentifikasi memanfaatkan sejumlah vektor akses awal, dengan yang paling umum adalah eksploitasi infrastruktur public-facing – terutama melalui penggunaan kerentanan eksekusi kode jarak jauh dalam versi Telerik UI yang tidak ditambal (patched).

Aktor ini juga telah menunjukkan kemampuan untuk dengan cepat memanfaatkan kode eksploitasi proof-of-concepts yang telah dipublikasikan untuk menargetkan jaringan yang diminati dan secara teratur melakukan pengintaian terhadap jaringan target untuk mencari layanan yang rentan, berpotensi mempertahankan daftar layanan public-facing agar dapat dengan cepat menargetkan kerentanan baru yang dirilis di masa mendatang.

Ketika eksploitasi infrastruktur public-facing tidak berhasil, ACSC telah mengidentifikasi aktor akan menggunakan berbagai teknik spearphishing. Spearphishing ini berbentuk:
– tautan ke situs web pemanen kredensial
– email dengan tautan ke file jahat, atau dengan file jahat yang langsung dilampirkan
– tautan yang mendorong pengguna untuk memberikan token OAuth Office 365 kepada aktor
– penggunaan layanan pelacakan email untuk mengidentifikasi email yang telah dibuka dan click-through event

Setelah akses awal tercapai, aktor memanfaatkan campuran open source dan alat khusus untuk bertahan, dan berinteraksi dengan, jaringan korban. Meskipun alat ditempatkan di dalam jaringan, aktor tersebut berpindah ke remote access yang sah menggunakan kredensial curian. Agar berhasil menanggapi ancaman terkait, semua akses harus diidentifikasi dan dihapus.

Dalam berinteraksi dengan jaringan korban, aktor diidentifikasi menggunakan situs web resmi Australia yang dikompromikan sebagai server C2 mereka. Terutama, perintah dan kontrol dilakukan menggunakan web shells dan lalu lintas HTTP/HTTPS. Teknik ini membuat pemblokiran geografis tidak efektif dan menambahkan legitimasi ke lalu lintas jaringan yang jahat selama penyelidikan.

Untuk memitigasi ancaman ini, ACSC telah merekomendasikan para IT Administrator di organisasi untuk:
– Melakukan tambalan (patching) dengan cepat untuk seluruh perangkat lunak, sistem operasi, dan perangkat yang menghadap ke internet (internet facing)
– Penggunaan otentikasi multi-faktor di semua layanan akses jarak jauh
– Meninjau dan menerapkan panduan ACSC pada Windows Event Logging and Forwarding dan System Monitoring.

Advisory selengkapnya dapat dibaca pada tautan berikut:
Source: ACSC

Kerentanan Keamanan Router Netgear Akhirnya Diperbaiki Setelah Enam Bulan

by

Netgear telah mengeluarkan tambalan (patch) untuk memperbaiki kerentanan keamanan di dua router yang dapat dieksploitasi oleh penyerang untuk mengambil kendali penuh perangkat dari jarak jauh.

Dua perangkat yang telah menerima tambalan adalah R6400v2 dan R6700v3. Namun, 77 router Netgear lainnya dilaporkan masih tetap rentan terhadap kerentanan zero-day yang dilaporkan ke perusahaan pada Januari tahun ini.

Kerentanan, yang terletak pada daemon HTTPD yang digunakan untuk mengelola router, ditemukan secara independen oleh Grimm’s Adam Nichols dan d4rkn3ss dari VNPT ISC Vietnam melalui Zero Day Initiative (ZDI).

Untuk mengeksploitasi kelemahan pada router Netgear, penyerang perlu membuat string yang dibuat khusus yang mampu mengeksekusi perintah pada perangkat tanpa harus mengautentikasi terlebih dahulu.

Dalam blognya, Nichols menjelaskan bahwa sementara cookie stack biasanya dapat mengurangi kerentanan ini, banyak router Netgear tidak menggunakannya, dengan mengatakan:

“Dalam sebagian besar perangkat lunak modern, kerentanan ini tidak dapat dieksploitasi. Perangkat lunak modern biasanya berisi stack cookie yang akan mencegah eksploitasi. Namun, R7000 tidak menggunakan stack cookies. Faktanya, dari semua produk Netgear yang menggunakan basis kode yang sama, hanya firmware D8500 versi 1.0.3.29 dan firmware R6300v2 versi 1.0.4.12-1.0.4.20 yang menggunakan stack cookie. Namun, versi D8500 dan R6300v2 yang lebih baru berhenti menggunakan stack cookies, membuat kerentanan ini sekali lagi dieksploitasi.”

Secara default, Daemon HTTPD router ini hanya dapat diakses melalui LAN, meskipun admin router dapat mengaktifkannya sehingga dapat diakses dari jarak jauh melalui internet. Namun, penyerang masih dapat membuat situs web berbahaya menggunakan JavaScript untuk melakukan serangan rebinding DNS yang akan memungkinkan mereka untuk mengeksekusi perintah dari jarak jauh pada router yang tidak dapat diakses melalui internet.

Jika Anda memiliki router Netgear R6400v2 atau R6700v3, Anda dapat mengunduh hot-fix untuk memperbaiki kerentanannya sekarang, tetapi jika Anda memiliki salah satu dari 77 router yang terpengaruh, Anda kurang beruntung sampai perusahaan mengeluarkan patch untuk ke 77 router tersebut.

Selengkapnya dapat dibaca pada tautan di bawah ini:
Source: Tech Radar

Kampanye Phishing Bertemakan Office 365 Mengeksploitasi Server Samsung, Adobe dan Oxford Untuk Mengelabui Software Keamanan

by

Satu kampanye khusus yang dianalisis oleh penyedia intelijen ancaman siber, Check Point Research, mengarahkan korbannya melalui serangkaian situs web yang sah dalam upaya mencuri kredensial Microsoft mereka.

Dalam sebuah blog yang diterbitkan pada hari Kamis lalu (6/18), Check Point menggambarkan metode di mana penyerang mengeksploitasi salah satu server mail Universitas Oxford untuk mengirim email awal, menyalahgunakan alat pengalihan Adobe Campaign, dan kemudian menggunakan domain Samsung untuk membawa pengguna ke situs web phishing bertema Microsoft Office 365. Tujuannya adalah untuk mengambil keuntungan dari situs dan layanan yang sah dalam upaya menghindari deteksi software keamanan. Pertama kali terlihat pada bulan April, 43% dari serangan itu menargetkan perusahaan-perusahaan Eropa, sedangkan sisanya ditemukan di Asia dan Timur Tengah.

Sebagian besar email yang diamati berasal dari beberapa alamat yang dimiliki oleh subdomain yang sah dari berbagai departemen di Universitas Oxford. Dengan menggunakan server SMTP Oxford, para penyerang dapat menyelinap melewati pemeriksaan reputasi untuk domain pengirim. Mereka juga dapat menghasilkan alamat email sebanyak yang mereka butuhkan.

Email yang dikirim sendiri mengklaim menawarkan pesan suara yang tidak terjawab terkait dengan akun Office 365 penerima dengan referensi ke Office 365 & Microsoft dan bahkan pemberitahuan “Pesan dari server Tepercaya” palsu di bagian atas. Email tersebut meminta penerima untuk mengklik tombol untuk mendengarkan atau mengunduh pesan suara yang terlewat. Mengklik tombol itu kemudian akan membawa korban yang tidak menaruh curiga ke halaman phishing yang meminta mereka untuk masuk dengan akun Microsoft mereka.

Microsoft 365 Phishing Email
Gambar: Check Point Research

Namun, di balik layar, perjalanan antara email dan halaman phishing melewati beberapa langkah. Pertama, korban diarahkan ke server Adobe Campaign. Dalam hal ini, tautan dalam email mengarahkan korban ke server Adobe yang digunakan oleh Samsung selama kampanye pemasaran Cyber Monday 2018. Dengan mengambil keuntungan dari format tautan Adobe Campaign dan domain Samsung yang sah, para penyerang berusaha menghindari deteksi dari software keamanan berdasarkan reputasi, daftar hitam, dan pola URL.

Selanjutnya, para penyerang mengarahkan korban ke salah satu dari beberapa situs WordPress yang dikompromikan yang mengandung kode redirect berbahaya. Menambahkan lapisan ini adalah cara lain untuk menghindari produk keamanan karena URL di dalam email menunjuk ke situs WordPress yang tampaknya sah daripada halaman phishing yang meragukan. Dibuat menggunakan JavaScript, halaman ini terlihat seperti halaman login Microsoft yang sah yang meminta nama pengguna dan kata sandi korban.

office-365-phishing-landing-page-check-point-research
Gambar: Check Point Research

Untuk menghindari peringatan keamanan atau blok, para menggunakan trik yang pintar. Mereka menggunakan server email Oxford untuk mengirim email awal membantu mereka melewati filter reputasi. Tautan dalam email menunjuk ke domain yang sah yang dimiliki oleh Samsung. Dan serangkaian pengalihan menghasilkan halaman phishing yang disembunyikan.

office-365-phishing-redirects-check-point-research
Gambar: Check Point Research

Untuk berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: Tech Republic | Check Point Research

Bug Pada Cisco Webex dan Router-nya Memungkinkan Eksekusi Kode Oleh Penyerang Jarak Jauh

by

Cisco telah memperingatkan adanya tiga kerentanan tingkat tinggi dalam aplikasi konferensi web Webex yang populer, termasuk yang memungkinkan penyerang tidak tervalidasi untuk mengeksekusi kode dari jarak jauh pada sistem yang terkena dampak. Berikut daftarnya:

Kerentanan 1 (CVE-2020-3342): Validasi yang tidak tepat atas perlindungan kriptografi, pada file yang diunduh oleh aplikasi sebagai bagian dari pembaruan perangkat lunak. Eksploitasi yang berhasil dapat memungkinkan penyerang untuk mengeksekusi kode apa pun (arbitrary code execution) pada sistem yang terpengaruh dengan hak istimewa pengguna.

Nilai CVSS: 8.8

Versi yang terpengaruh: Aplikasi Desktop Webex untuk Mac versi sebelum 39.5.11. Versi aplikasi untuk Windows tidak terpengaruh.

Perbaikan: Kerentanan telah diperbaiki pada versi 39.5.11 dan yang lebih baru.

 

Kerentanan 2 (CVE-2020-3361): Kerentanan berasal dari penanganan token otentikasi yang tidak benar oleh situs Webex yang rentan. Eksploitasi yang berhasil dapat memungkinkan penyerang jarak jauh untuk mendapatkan akses tidak sah ke situs Webex yang rentan.

Nilai CVSS: 8.1

Versi yang terpengaruh: Situs Cisco Webex Meetings (versi 39.5.25 dan sebelumnya, WBS 40.4.10 dan sebelumnya, atau WBS 40.6.0) dan server Cisco Webex Meetings (versi 4.0 MR3 dan sebelumnya)

Perbaikan: Server Cisco Webex Meetings Release 4.0 MR3 Security Patch 1; Perusahaan mengatakan pelanggan di situs Cisco Webex Meetings yang dihosting Cisco tidak perlu mengambil tindakan apa pun untuk menerima pembaruan ini.

 

Kerentanan 3 (CVE-2020-3263): Kerentanan ini disebabkan oleh validasi input yang tidak benar yang diberikan ke URL aplikasi, ini dapat memungkinkan penyerang jarak jauh untuk menjalankan program pada sistem pengguna yang terpengaruh.

Nilai CVSS: 7.5

Versi yang terpengaruh: Aplikasi Desktop Cisco Webex Meetings (versi lebih lama dari 39.5.12)

Perbaikan: Perbaikan telah tersedia pada versi 40.1.0 dan yang lebih baru.

Di luar Webex, raksasa jaringan itu pada hari Rabu juga menambal (patch) banyak bug di beberapa produk, termasuk router RV (yang menawarkan teknologi jaringan pribadi virtual untuk pekerja jarak jauh di bisnis kecil) dan perangkat lunak TelePresence Collaboration Endpoint.

Untuk mengetahui kerentanan-kerentanan tersebut, buka tautan di bawah ini;
Source: The Threat Post | Cisco’s Security Update

Amazon Telah Mengatasi Serangan DDoS Terbesar Yang Pernah Tercatat Sebelumnya

by

Amazon Web Services baru-baru ini harus bertahan melawan serangan DDoS dengan puncak volume lalu lintas 2,3 Tbps, rekor terbesar yang pernah ada, ZDNet melaporkan. Merinci serangan dalam laporan ancaman Q1 2020, Amazon mengatakan bahwa serangan itu terjadi pada bulan Februari, dan telah berhasil dimitigasi oleh AWS Shield, layanan yang dirancang untuk melindungi pelanggan platform on-demand cloud computing Amazon dari serangan DDoS, serta dari bot jahat dan kerentanan aplikasi. Perusahaan tidak mengungkapkan target atau asal serangan.

Untuk memasukkan angka itu ke dalam perspektif, sebelum Februari tahun ini, ZDNet mencatat bahwa serangan DDoS terbesar yang tercatat adalah pada Maret 2018, ketika NetScout Arbor mengatasi serangan DDoS 1,7 Tbps. Bulan sebelumnya, GitHub mengungkapkan bahwa mereka telah dihantam oleh serangan dengan puncak lalu lintas 1,35 Tbps.

Serangan Februari adalah apa yang disebut dengan “serangan refleksi.” Seperti yang dijelaskan Cloudflare, upaya di sini adalah menggunakan server pihak ketiga yang rentan untuk memperbesar jumlah data yang dikirim ke alamat IP korban. Serangan itu mengandalkan eksploitasi server CLDAP untuk memperkuat lalu lintasnya. Serangan menggunakan protokol ini, yang biasanya digunakan untuk mengakses dan mengedit direktori yang dibagikan melalui internet, telah terjadi sejak 2016, lapor ZDNet.

Amazon mengatakan bahwa antara Q2 2018 dan Q4 2019, serangan terbesar yang dilihatnya lebih kecil dari 1 Tbps, dan pada kuartal pertama tahun ini 99% serangan hanya sampai 43 Gbps atau lebih kecil. ZDNet mencatat bahwa serangan 2018 mengandalkan eksploitasi vektor serangan Memcached baru, tetapi mereka juga mengatakan bahwa pada sejak itu, penyedia layanan internet dan jaringan pengiriman konten telah bekerja untuk mengamankan server Memcached yang rentan untuk dieksploitasi.

 

Baca berita selengkapnya pada tautan di bawah ini;
Source: The Verge

Malware Baru “Mass Logger” Ini Dapat Menjadi Sangat Besar Penyebarannya

by

Keylogger baru, “Mass Logger”, saat ini sedang dilacak oleh Cofense Intelligence. Mereka percaya bahwa malware tersebut dapat secara signifikan mempengaruhi pasar keylogger yang lebih besar serta lanskap ancaman phishing.

Alasan mengapa Cofense begitu khawatir tentang Mass Logger adalah karena seberapa cepat malware tersebut diperbarui. Pembuatnya secara konsisten memperbarui dan meningkatkan Mass Logger dan memungkinkan penjahat siber menyebarkan malware ini untuk mengatasi deteksi dari software keamanan. Perkembangan yang cepat ini juga memungkinkan pembuat Mass Logger untuk dengan cepat menambahkan fitur baru sebagai tanggapan terhadap feedback pelanggan.

Pencipta Mass Logger, yang dikenal sebagai NYANxCAT, juga bertanggung jawab atas beberapa jenis malware terkenal lainnya termasuk LimeRAT, AsyncRAT dan remote access trojan (RAT) lainnya. Malware NYANxCAT biasanya kaya akan fitur dan mudah digunakan yang memungkinkan penggunaan yang mudah oleh aktor ancaman amatir. Namun, banyak fitur yang tergabung dalam Mass Logger cukup canggih seperti kemampuan penyebaran USB-nya.

NYANxCAT terus meningkatkan fungsi Mass Logger melalui pembaruan dan baru-baru ini, 13 pembaruan dirilis hanya dalam periode tiga minggu. Dalam catatan pembaruan, NYANxCAT menjelaskan bahwa target baru telah ditambahkan untuk fungsi pencurian kredensial keylogger dan bahwa langkah-langkah telah diambil untuk mengurangi deteksi otomatis.

Fitur-fitur canggih membantu membedakan Mass Logger dari malware umum lainnya. Misalnya, fungsi yang memungkinkan penjahat siber untuk mencari file dengan ekstensi file tertentu dan mengambilnya.

Untuk bertahan melawan Mass Logger dan ancaman serupa lainnya, Cofense merekomendasikan agar admin jaringan mengawasi sesi FTP atau email yang dikirim dari jaringan lokal yang tidak sesuai dengan standar organisasi mereka.

Source: Tech Radar