Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cybersecurity

Cybersecurity

Kampanye Phishing Bertemakan Office 365 Mengeksploitasi Server Samsung, Adobe dan Oxford Untuk Mengelabui Software Keamanan

by

Satu kampanye khusus yang dianalisis oleh penyedia intelijen ancaman siber, Check Point Research, mengarahkan korbannya melalui serangkaian situs web yang sah dalam upaya mencuri kredensial Microsoft mereka.

Dalam sebuah blog yang diterbitkan pada hari Kamis lalu (6/18), Check Point menggambarkan metode di mana penyerang mengeksploitasi salah satu server mail Universitas Oxford untuk mengirim email awal, menyalahgunakan alat pengalihan Adobe Campaign, dan kemudian menggunakan domain Samsung untuk membawa pengguna ke situs web phishing bertema Microsoft Office 365. Tujuannya adalah untuk mengambil keuntungan dari situs dan layanan yang sah dalam upaya menghindari deteksi software keamanan. Pertama kali terlihat pada bulan April, 43% dari serangan itu menargetkan perusahaan-perusahaan Eropa, sedangkan sisanya ditemukan di Asia dan Timur Tengah.

Sebagian besar email yang diamati berasal dari beberapa alamat yang dimiliki oleh subdomain yang sah dari berbagai departemen di Universitas Oxford. Dengan menggunakan server SMTP Oxford, para penyerang dapat menyelinap melewati pemeriksaan reputasi untuk domain pengirim. Mereka juga dapat menghasilkan alamat email sebanyak yang mereka butuhkan.

Email yang dikirim sendiri mengklaim menawarkan pesan suara yang tidak terjawab terkait dengan akun Office 365 penerima dengan referensi ke Office 365 & Microsoft dan bahkan pemberitahuan “Pesan dari server Tepercaya” palsu di bagian atas. Email tersebut meminta penerima untuk mengklik tombol untuk mendengarkan atau mengunduh pesan suara yang terlewat. Mengklik tombol itu kemudian akan membawa korban yang tidak menaruh curiga ke halaman phishing yang meminta mereka untuk masuk dengan akun Microsoft mereka.

Microsoft 365 Phishing Email
Gambar: Check Point Research

Namun, di balik layar, perjalanan antara email dan halaman phishing melewati beberapa langkah. Pertama, korban diarahkan ke server Adobe Campaign. Dalam hal ini, tautan dalam email mengarahkan korban ke server Adobe yang digunakan oleh Samsung selama kampanye pemasaran Cyber Monday 2018. Dengan mengambil keuntungan dari format tautan Adobe Campaign dan domain Samsung yang sah, para penyerang berusaha menghindari deteksi dari software keamanan berdasarkan reputasi, daftar hitam, dan pola URL.

Selanjutnya, para penyerang mengarahkan korban ke salah satu dari beberapa situs WordPress yang dikompromikan yang mengandung kode redirect berbahaya. Menambahkan lapisan ini adalah cara lain untuk menghindari produk keamanan karena URL di dalam email menunjuk ke situs WordPress yang tampaknya sah daripada halaman phishing yang meragukan. Dibuat menggunakan JavaScript, halaman ini terlihat seperti halaman login Microsoft yang sah yang meminta nama pengguna dan kata sandi korban.

office-365-phishing-landing-page-check-point-research
Gambar: Check Point Research

Untuk menghindari peringatan keamanan atau blok, para menggunakan trik yang pintar. Mereka menggunakan server email Oxford untuk mengirim email awal membantu mereka melewati filter reputasi. Tautan dalam email menunjuk ke domain yang sah yang dimiliki oleh Samsung. Dan serangkaian pengalihan menghasilkan halaman phishing yang disembunyikan.

office-365-phishing-redirects-check-point-research
Gambar: Check Point Research

Untuk berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: Tech Republic | Check Point Research

Bug Pada Cisco Webex dan Router-nya Memungkinkan Eksekusi Kode Oleh Penyerang Jarak Jauh

by

Cisco telah memperingatkan adanya tiga kerentanan tingkat tinggi dalam aplikasi konferensi web Webex yang populer, termasuk yang memungkinkan penyerang tidak tervalidasi untuk mengeksekusi kode dari jarak jauh pada sistem yang terkena dampak. Berikut daftarnya:

Kerentanan 1 (CVE-2020-3342): Validasi yang tidak tepat atas perlindungan kriptografi, pada file yang diunduh oleh aplikasi sebagai bagian dari pembaruan perangkat lunak. Eksploitasi yang berhasil dapat memungkinkan penyerang untuk mengeksekusi kode apa pun (arbitrary code execution) pada sistem yang terpengaruh dengan hak istimewa pengguna.

Nilai CVSS: 8.8

Versi yang terpengaruh: Aplikasi Desktop Webex untuk Mac versi sebelum 39.5.11. Versi aplikasi untuk Windows tidak terpengaruh.

Perbaikan: Kerentanan telah diperbaiki pada versi 39.5.11 dan yang lebih baru.

 

Kerentanan 2 (CVE-2020-3361): Kerentanan berasal dari penanganan token otentikasi yang tidak benar oleh situs Webex yang rentan. Eksploitasi yang berhasil dapat memungkinkan penyerang jarak jauh untuk mendapatkan akses tidak sah ke situs Webex yang rentan.

Nilai CVSS: 8.1

Versi yang terpengaruh: Situs Cisco Webex Meetings (versi 39.5.25 dan sebelumnya, WBS 40.4.10 dan sebelumnya, atau WBS 40.6.0) dan server Cisco Webex Meetings (versi 4.0 MR3 dan sebelumnya)

Perbaikan: Server Cisco Webex Meetings Release 4.0 MR3 Security Patch 1; Perusahaan mengatakan pelanggan di situs Cisco Webex Meetings yang dihosting Cisco tidak perlu mengambil tindakan apa pun untuk menerima pembaruan ini.

 

Kerentanan 3 (CVE-2020-3263): Kerentanan ini disebabkan oleh validasi input yang tidak benar yang diberikan ke URL aplikasi, ini dapat memungkinkan penyerang jarak jauh untuk menjalankan program pada sistem pengguna yang terpengaruh.

Nilai CVSS: 7.5

Versi yang terpengaruh: Aplikasi Desktop Cisco Webex Meetings (versi lebih lama dari 39.5.12)

Perbaikan: Perbaikan telah tersedia pada versi 40.1.0 dan yang lebih baru.

Di luar Webex, raksasa jaringan itu pada hari Rabu juga menambal (patch) banyak bug di beberapa produk, termasuk router RV (yang menawarkan teknologi jaringan pribadi virtual untuk pekerja jarak jauh di bisnis kecil) dan perangkat lunak TelePresence Collaboration Endpoint.

Untuk mengetahui kerentanan-kerentanan tersebut, buka tautan di bawah ini;
Source: The Threat Post | Cisco’s Security Update

Amazon Telah Mengatasi Serangan DDoS Terbesar Yang Pernah Tercatat Sebelumnya

by

Amazon Web Services baru-baru ini harus bertahan melawan serangan DDoS dengan puncak volume lalu lintas 2,3 Tbps, rekor terbesar yang pernah ada, ZDNet melaporkan. Merinci serangan dalam laporan ancaman Q1 2020, Amazon mengatakan bahwa serangan itu terjadi pada bulan Februari, dan telah berhasil dimitigasi oleh AWS Shield, layanan yang dirancang untuk melindungi pelanggan platform on-demand cloud computing Amazon dari serangan DDoS, serta dari bot jahat dan kerentanan aplikasi. Perusahaan tidak mengungkapkan target atau asal serangan.

Untuk memasukkan angka itu ke dalam perspektif, sebelum Februari tahun ini, ZDNet mencatat bahwa serangan DDoS terbesar yang tercatat adalah pada Maret 2018, ketika NetScout Arbor mengatasi serangan DDoS 1,7 Tbps. Bulan sebelumnya, GitHub mengungkapkan bahwa mereka telah dihantam oleh serangan dengan puncak lalu lintas 1,35 Tbps.

Serangan Februari adalah apa yang disebut dengan “serangan refleksi.” Seperti yang dijelaskan Cloudflare, upaya di sini adalah menggunakan server pihak ketiga yang rentan untuk memperbesar jumlah data yang dikirim ke alamat IP korban. Serangan itu mengandalkan eksploitasi server CLDAP untuk memperkuat lalu lintasnya. Serangan menggunakan protokol ini, yang biasanya digunakan untuk mengakses dan mengedit direktori yang dibagikan melalui internet, telah terjadi sejak 2016, lapor ZDNet.

Amazon mengatakan bahwa antara Q2 2018 dan Q4 2019, serangan terbesar yang dilihatnya lebih kecil dari 1 Tbps, dan pada kuartal pertama tahun ini 99% serangan hanya sampai 43 Gbps atau lebih kecil. ZDNet mencatat bahwa serangan 2018 mengandalkan eksploitasi vektor serangan Memcached baru, tetapi mereka juga mengatakan bahwa pada sejak itu, penyedia layanan internet dan jaringan pengiriman konten telah bekerja untuk mengamankan server Memcached yang rentan untuk dieksploitasi.

 

Baca berita selengkapnya pada tautan di bawah ini;
Source: The Verge

Malware Baru “Mass Logger” Ini Dapat Menjadi Sangat Besar Penyebarannya

by

Keylogger baru, “Mass Logger”, saat ini sedang dilacak oleh Cofense Intelligence. Mereka percaya bahwa malware tersebut dapat secara signifikan mempengaruhi pasar keylogger yang lebih besar serta lanskap ancaman phishing.

Alasan mengapa Cofense begitu khawatir tentang Mass Logger adalah karena seberapa cepat malware tersebut diperbarui. Pembuatnya secara konsisten memperbarui dan meningkatkan Mass Logger dan memungkinkan penjahat siber menyebarkan malware ini untuk mengatasi deteksi dari software keamanan. Perkembangan yang cepat ini juga memungkinkan pembuat Mass Logger untuk dengan cepat menambahkan fitur baru sebagai tanggapan terhadap feedback pelanggan.

Pencipta Mass Logger, yang dikenal sebagai NYANxCAT, juga bertanggung jawab atas beberapa jenis malware terkenal lainnya termasuk LimeRAT, AsyncRAT dan remote access trojan (RAT) lainnya. Malware NYANxCAT biasanya kaya akan fitur dan mudah digunakan yang memungkinkan penggunaan yang mudah oleh aktor ancaman amatir. Namun, banyak fitur yang tergabung dalam Mass Logger cukup canggih seperti kemampuan penyebaran USB-nya.

NYANxCAT terus meningkatkan fungsi Mass Logger melalui pembaruan dan baru-baru ini, 13 pembaruan dirilis hanya dalam periode tiga minggu. Dalam catatan pembaruan, NYANxCAT menjelaskan bahwa target baru telah ditambahkan untuk fungsi pencurian kredensial keylogger dan bahwa langkah-langkah telah diambil untuk mengurangi deteksi otomatis.

Fitur-fitur canggih membantu membedakan Mass Logger dari malware umum lainnya. Misalnya, fungsi yang memungkinkan penjahat siber untuk mencari file dengan ekstensi file tertentu dan mengambilnya.

Untuk bertahan melawan Mass Logger dan ancaman serupa lainnya, Cofense merekomendasikan agar admin jaringan mengawasi sesi FTP atau email yang dikirim dari jaringan lokal yang tidak sesuai dengan standar organisasi mereka.

Source: Tech Radar

Kerentanan Baru Ditemukan pada D-Link Home Routers

by

Pada sebuah tulisan blog yang diterbitkan pada 12 Juni 2020, para peneliti Unit42 dari Palo Alto Network mengungkapkan adanya kerentanan pada D-Link router.

Total ada 6 Kerentanan yang telah ditemukan sejak 28 Februari lalu dan ditemukan pada model router D-Link DIR-865L, yang ditujukan untuk penggunaan home network. Adanya tren baru (Work From Home) ini meningkatkan kemungkinan serangan berbahaya terhadap home network, yang membuatnya semakin penting untuk kita menjaga perangkat jaringan agar selalu diperbarui.

Peneliti mengatakan bahwa ada kemungkinan beberapa kerentanan yang ditemukan juga hadir dalam model router yang lebih baru karena router-router tersebut menggunakan basis kode yang sama. Berikut ini adalah enam kerentanan yang ditemukan:

“Kombinasi berbeda dari kerentanan ini dapat menyebabkan risiko yang signifikan. Misalnya, pengguna jahat dapat melihat lalu lintas jaringan untuk mencuri session cookie. Dengan informasi ini, mereka dapat mengakses portal administratif untuk berbagi file, memberi mereka kemampuan untuk mengunggah file berbahaya, mengunduh file sensitif, atau menghapus file penting. Mereka juga dapat menggunakan cookie untuk menjalankan perintah apa saja untuk melakukan serangan denial of service” tulis peneliti dalam blog tersebut.

Perusahaan D-Link sendiri sudah mengetahui mengenai kerentanan ini dari Palo Alto dan telah menerbitkan patch untuk memperbaiki kerentanan ini. Namun, patch yang dirilis hanya memperbaiki 3 kerentanan, yaitu: Cross-Site Request Forgery (CSRF), Inadequate Encryption Strength dan Cleartext Storage of Sensitive Information.

Dan berita buruk lainnya adalah bahwa model DIR-865L ini ternyata telah mencapai akhir dukungan (EoL/EoS) sejak 02/01/2016. Perusahaan mengatakan, “Produk  (DIR-865L) telah mencapai End of Life(EoL)/End of Support(EoS), dan tidak ada lagi dukungan atau pengembangan yang diperluas untuk mereka. Setelah suatu produk melewati tanggal EoL / EoS, D-Link tidak akan dapat menyelesaikan masalah Perangkat atau Firmware karena semua pengembangan dan dukungan pelanggan telah terhenti.”

Berikut adalah rekomendasi dari Palo Alto untuk pengguna router D-Link:

  • Instal versi terbaru firmware. Firmware dapat ditemukan di situs web D-Link di mana mereka mengumumkan kerentanannya: Pengumuman D-Link.
  • Default semua lalu lintas ke HTTPS untuk bertahan terhadap serangan session hijacking.
  • Ubah zona waktu pada router untuk bertahan melawan aktor jahat yang menghitung id sesi yang dibuat secara acak. Anda dapat menemukan cara melakukannya di situs D-Link.
  • Jangan gunakan router ini untuk berbagi informasi sensitif sampai seluruh kerentanannya ditambal (patched).

Selengkapnya dapat dibaca pada tautan di bawah ini;
Source: Unit42 Palo Alto

Mengapa Mengamankan Endpoint Adalah Masa Depan Keamanan Siber

by

Verizon telah menerbitkan laporan data breach berjudul 2020 Data Breach Investigations Report (DBIR) dan berikut adalah beberapa poin penting yang dikutip oleh Forbes:

  • DBIR Verizon menggambarkan kenyataan yang nyata bahwa para penjahat siber yang didanai kejahatannya tanpa henti mencari endpoint yang tidak dilindungi dan mengeksploitasinya untuk mendapatkan keuntungan finansial, itulah mengapa autonomous endpoint adalah hal yang harus dimiliki saat ini.
  • Kurangnya ketekunan di sekitar Manajemen Aset menciptakan ancaman baru karena organisasi sering tidak mengetahui kesehatan terkini aset, konfigurasi, atau lokasi sistem dan perangkat mereka.
  • 85% dari korban dan subyek berada di negara (country) yang sama, 56% berada di negara (state) yang sama, dan 35% bahkan berada di kota yang sama berdasarkan data FBI Internet Crime Complaint Center (IC3).
  • Aset cloud terlibat sekitar 24% dari pelanggaran data tahun ini, sementara aset on-premises masih 70%.
  • Lebih dari 80% pelanggaran data dalam peretasan melibatkan brute force atau penggunaan kredensial yang hilang atau dicuri.

Kesimpulan

Autonomous endpoint yang dapat menyembuhkan dirinya sendiri dan memperbaiki sistem operasi dan konfigurasi adalah masa depan keamanan siber, poin yang dapat disimpulkan dari DBIR Verizon tahun ini. Menutup celah manajemen aset sambil mengamankan setiap endpoint adalah sebuah keharusan untuk mengamankan bisnis apa pun saat ini. Kini, ada beberapa perusahaan keamanan siber yang menawarkan keamanan endpoint.

Naga Cyber Defense menyediakan servis keamanan berbasis endpoint. Untuk berlangganan silahkan klik link ini.

Source: Forbes | Verizon Full Report

FBI Memperingatkan Maraknya Peretas Yang Menargetkan Aplikasi Mobile Banking

by

Biro Investigasi Federal Amerika (FBI) pada hari Rabu memperingatkan bahwa actor cyber jahat sedang menargetkan aplikasi mobile banking dalam upaya  mencuri uang karena lebih banyak orang Amerika telah pindah ke perbankan online selama pandemi coronavirus ini.

Dalam pengumuman tersebut, FBI mencatat pihaknya memperkirakan akan melihat peretas “mengeksploitasi” platform mobile banking yang sebenarnya telah terlihat adanya lonjakan 50 persen digunakan sejak awal pandemi.

FBI secara khusus menunjuk ancaman trojan perbankan, yang melibatkan virus jahat yang bersembunyi di perangkat seluler pengguna hingga aplikasi perbankan yang sah diunduh. Setelah aplikasi yang sebenarnya terunduh di perangkat, trojan perbankan kemudian melakukan overlay aplikasi, menipu pengguna agar mengkliknya dan memasukkan kredensial login perbankan mereka.

Aplikasi perbankan palsu juga disebut sebagai ancaman, dengan bahaya pengguna dapat diperdaya untuk mengunduh aplikasi jahat yang juga dapat mencuri informasi perbankan yang sensitif.

Untuk memerangi ancaman ini, FBI merekomendasikan agar setiap orang hanya mengunduh aplikasi perbankan dari toko aplikasi resmi atau dari situs web perbankan dan menganjurkan pengguna aplikasi perbankan untuk mengaktifkan otentikasi dua faktor pada akun mereka dan menggunakan kata sandi yang kuat.

“Jika Anda menemukan aplikasi yang tampak mencurigakan, berhati-hatilah dan hubungi lembaga keuangan tersebut,” FBI menekankan. “Lembaga keuangan besar mungkin meminta nomor PIN perbankan, tetapi tidak akan pernah meminta nama pengguna dan kata sandi Anda melalui telepon.”

Berita selengkapnya dapat dibaca pada tautan berikut:
Source: The Hill | Tips US Cert

Dua Serangan Baru Ini Berdampak Pada CPU Intel

by

Pada hari Selasa, dua tim akademik terpisah mengungkapkan dua eksploitasi baru dan khas yang menembus Intel Software Guard eXtension, sejauh ini merupakan wilayah paling sensitif dari prosesor perusahaan tersebut.

Intel Software Guard eXtensions (SGX) adalah fitur keamanan prosesor Intel modern yang memungkinkan aplikasi berjalan di dalam wadah perangkat lunak yang dilindungi yang dikenal sebagai enclave, menyediakan enkripsi memori berbasis perangkat keras yang mengisolasi kode aplikasi dan data dalam memori.

Serangan SGX baru dikenal sebagai SGAxe dan CrossTalk. Keduanya masuk ke wilayah CPU yang diperkuat menggunakan serangan sisi-kanal yang terpisah, kelas peretasan yang menyimpulkan data sensitif dengan mengukur perbedaan waktu, konsumsi daya, radiasi elektromagnetik, suara, atau informasi lain dari sistem yang menyimpannya. Asumsi untuk kedua serangan kira-kira sama. Seorang penyerang telah merusak keamanan mesin target melalui eksploitasi perangkat lunak atau mesin virtual jahat yang membahayakan integritas sistem. Walaupun itu merupakan rintangan yang tinggi, justru skenario itulah yang seharusnya dipertahankan oleh SGX.

Intel merilis pembaruan baru pada hari Selasa dan mengharapkannya tersedia untuk semua end-user dalam beberapa minggu mendatang. Pengguna, terutama mereka yang bergantung pada SGX, harus memeriksa dengan produsen mesin mereka dan memastikan bahwa pembaruan diinstal secepat mungkin.

Dilansir dari Ars Technica, SGAxe mampu mencuri sejumlah besar data pilihan penyerang yang dilindungi oleh SGX. Satu kelas data sensitif adalah milik pengguna target — misalnya, alamat dompet atau rahasia lain yang digunakan dalam transaksi keuangan yang melibatkan blockchains.

Serangan dapat dengan mudah mencuri kunci kriptografi yang digunakan SGX untuk “pengesahan,” atau proses pembuktian ke remote server bahwa perangkat keras tersebut merupakan prosesor Intel asli dan bukan salah satu simulasi berbahaya. Remote server dapat meminta perangkat penghubung untuk menyediakan kunci pengesahan ini sebelum melakukan transaksi keuangan, memutar video yang dilindungi, atau melakukan fungsi terbatas lainnya.

Serangan SGX kedua, CrossTalk, didasarkan pada kanal samping yang sebelumnya tidak dikenal yang dibuat oleh buffer tidak berdokumen yang digunakan semua core CPU Intel. “Staging buffer” ini, sebagaimana peneliti dari Vrije University di Amsterdam dan ETH Zurich menyebutnya, mempertahankan output dari RDRAND dan RDSEED, yang merupakan salah satu instruksi paling sensitif yang dapat dilakukan oleh CPU Intel karena memberikan angka acak yang diperlukan saat membuat kunci kripto.

Kanal samping yang disediakan oleh staging buffer yang baru ditemukan ini memungkinkan penyerang untuk membuat serangan eksekusi spekulatif pertama yang dikenal di dunia yang bekerja di seluruh core CPU. Penyerang yang mendapatkan nomor acak dapat menggunakannya untuk menyimpulkan kuncinya.

Para peneliti yang menguji CPU Intel yang dirilis dari 2015 hingga 2019, menemukan bukti bahwa mayoritas CPU klien reguler, termasuk prosesor seri Xeon E3, rentan terhadap CrossTalk.

 

Selengkapnya dapat dibaca pada tautan berikut:
Source: Ars Technica