Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cybersecurity

Cybersecurity

Malware JavaScript baru yang tersembunyi menginfeksi PC Windows dengan RAT

by

Loader JavaScript tersembunyi baru bernama RATDispenser sedang digunakan untuk menginfeksi perangkat dengan berbagai trojan akses jarak jauh (RAT) dalam serangan phishing.

Loader baru dengan cepat membangun kemitraan distribusi dengan setidaknya delapan keluarga malware, semuanya dirancang untuk mencuri informasi dan memberi aktor kendali atas perangkat target.

Dalam 94% kasus yang dianalisis oleh tim Riset Ancaman HP, RATDispenser tidak berkomunikasi dengan server yang dikendalikan aktor dan hanya digunakan sebagai dropper malware tahap pertama.

Berlawanan dengan tren penggunaan dokumen Microsoft Office untuk menjatuhkan payload, loader ini menggunakan lampiran JavaScript, yang menurut HP memiliki tingkat deteksi yang rendah.

Infeksi dimulai dengan email phishing yang berisi lampiran JavaScript berbahaya yang diberi nama dengan ekstensi ganda ‘.TXT.js’. Karena Windows menyembunyikan ekstensi secara default, jika penerima menyimpan file ke komputer mereka, itu akan muncul sebagai file teks yang tidak berbahaya.

File teks ini sangat dikaburkan untuk melewati deteksi oleh perangkat lunak keamanan dan akan didekodekan saat file diklik dua kali dan diluncurkan.

Setelah diluncurkan, loader akan menulis file VBScript ke folder %TEMP%, yang kemudian dijalankan untuk mengunduh muatan malware (RAT).

Lapisan kebingungan ini membantu malware menghindari deteksi 89% setiap saat, berdasarkan hasil pemindaian VirusTotal.

Namun, email gateway akan mendeteksi loader jika organisasi telah mengaktifkan pemblokiran lampiran executable, seperti file .js, .exe, .bat, .com.

Cara lain untuk menghentikan rantai infeksi agar tidak terbuka adalah dengan mengubah file handler default untuk file JS, hanya mengizinkan skrip yang ditandatangani secara digital untuk dijalankan, atau menonaktifkan WSH (Windows Script Host).

Selengkapnya: Bleeping Computer

Pelanggaran data GoDaddy menghantam reseller layanan hosting WordPress

by

GoDaddy mengatakan pelanggaran data yang baru-baru ini diungkapkan yang memengaruhi sekitar 1,2 juta pelanggan juga telah menghantam beberapa reseller layanan WordPress Terkelola.

Menurut Dan Rice, VP of Corporate Communications di GoDaddy, enam reseller yang juga terkena dampak pelanggaran besar-besaran ini adalah tsoHost, Media Temple, 123Reg, Domain Factory, Heart Internet, dan Host Europe.

GoDaddy mengakuisisi merek-merek ini setelah membeli perusahaan hosting web dan layanan cloud Host Europe Group pada 2017 dan Media Temple pada 2013.

“Tidak ada merek lain yang terpengaruh. Merek-merek itu telah menghubungi pelanggan masing-masing dengan detail spesifik dan tindakan yang direkomendasikan.” Rice memberi tahu perusahaan keamanan WordPress Wordfence.

Pelanggaran data ditemukan oleh GoDaddy hari Rabu lalu, pada 17 November, tetapi, sebagaimana diungkapkan secara terpisah dalam pengajuan Senin dengan Komisi Sekuritas dan Bursa AS, data pelanggan terungkap setidaknya sejak 6 September 2021, setelah pelaku ancaman yang tidak dikenal mengakses ke lingkungan hosting WordPress Terkelola perusahaan tersebut.

Ini bukan pelanggaran data atau insiden keamanan siber pertama yang diungkapkan raksasa web hosting dalam beberapa tahun terakhir.

Pelanggaran lain terungkap tahun lalu, pada bulan Mei, ketika GoDaddy memberi tahu pelanggan bahwa peretas menggunakan kredensial akun hosting web mereka untuk terhubung ke akun hosting mereka melalui SSH.

Pada tahun 2019, GoDaddy menyuntikkan JavaScript ke situs pelanggan AS tanpa sepengetahuan mereka, yang berpotensi membuat mereka tidak dapat dioperasikan atau memengaruhi kinerja situs web secara keseluruhan.

Selengkapnya: Bleeping Computer

Bug penyadapan Mediatek berdampak pada 30% dari semua smartphone Android

by

MediaTek memperbaiki kerentanan keamanan yang memungkinkan penyerang menguping panggilan telepon Android, menjalankan perintah, atau meningkatkan hak istimewa mereka ke tingkat yang lebih tinggi.

MediaTek adalah salah satu perusahaan semikonduktor terbesar di dunia, dengan chip mereka hadir di 43% dari semua smartphone pada kuartal kedua tahun 2021.

Kerentanan ini ditemukan oleh Check Point, dengan tiga di antaranya (CVE-2021-0661, CVE-2021-0662, CVE-2021-0663) diperbaiki di Buletin Keamanan MediaTek Oktober 2021, dan yang kerentanan keempat (CVE-2021-0673) diperbaiki oleh pembaruan keamanan yang akan datang bulan depan.

Kelemahan ini berarti bahwa semua ponsel cerdas yang menggunakan chip MediaTek rentan terhadap serangan penyadapan atau infeksi malware yang tidak memerlukan interaksi pengguna jika pembaruan keamanan tidak diinstal.

Kemungkinan sejumlah besar perangkat lama yang tidak lagi didukung oleh vendor tidak akan pernah menerima pembaruan keamanan.

Prosesor MediaTek modern menggunakan unit pemrosesan audio khusus yang disebut Digital Signal Processor (DSP) untuk mengurangi beban CPU dan meningkatkan kualitas dan kinerja pemutaran audio.

Unit ini menerima permintaan pemrosesan audio dari aplikasi di ruang pengguna Android melalui driver dan sistem IPC. Secara teoritis, aplikasi yang tidak memiliki hak istimewa dapat mengeksploitasi kelemahan untuk memanipulasi penangan permintaan dan menjalankan kode pada chip audio.

Driver audio tidak berkomunikasi dengan DSP secara langsung tetapi dengan pesan IPI yang diteruskan ke System control processor (SCP).

Dengan merekayasa balik Android API yang bertanggung jawab untuk komunikasi audio, Check Point mempelajari lebih lanjut tentang cara kerja sistem, yang mengarah pada penemuan 4 kerentanan diatas.

Selengkapnya: Bleeping Computer

Malware mencoba mengeksploitasi Penginstal Windows zero-day baru

by

Pembuat malware telah mulai menguji eksploitasi bukti konsep yang menargetkan Penginstal Microsoft Windows zero-day baru yang diungkapkan secara publik oleh peneliti keamanan Abdelhamid Naceri selama akhir pekan.

“Talos telah mendeteksi sampel malware di alam liar yang mencoba memanfaatkan kerentanan ini,” kata Jaeson Schultz, Pemimpin Teknis untuk Talos Security Intelligence & Research Group Cisco.

Namun, seperti yang dikatakan oleh Kepala Penjangkauan Cisco Talos Nick Biasini kepada BleepingComputer, upaya eksploitasi ini adalah bagian dari serangan volume rendah yang kemungkinan difokuskan pada pengujian dan tweaker eksploitasi untuk kampanye besar-besaran.

Kerentanan yang dimaksud adalah bug elevasi hak istimewa lokal yang ditemukan sebagai pintasan ke tambalan yang dirilis Microsoft selama Patch Selasa November 2021 untuk mengatasi cacat yang dilacak sebagai CVE-2021-41379.

Pada hari Minggu, Naceri menerbitkan exploit proof-of-concept yang berfungsi untuk zero-day baru ini, dengan mengatakan itu berfungsi pada semua versi Windows yang didukung.

Jika berhasil dieksploitasi, bypass ini memberi penyerang hak istimewa SISTEM pada perangkat terbaru yang menjalankan rilis Windows terbaru, termasuk Windows 10, Windows 11, dan Windows Server 2022.

Dengan memanfaatkan zero-day ini, penyerang dengan akses terbatas ke sistem yang disusupi dapat dengan mudah meningkatkan hak istimewa mereka untuk membantu menyebar secara lateral dalam jaringan korban.

“Solusi terbaik yang tersedia pada saat penulisan ini adalah menunggu Microsoft merilis patch keamanan, karena kompleksitas kerentanan ini,” jelas Naceri.

Selengkapnya: Bleeping Computer

Peneliti memperingatkan risiko parah dari serangan printer ‘Printjack’

by

Sebuah tim peneliti Italia telah menyusun serangkaian tiga serangan yang disebut ‘Printjack’, memperingatkan pengguna tentang konsekuensi signifikan dari terlalu mempercayai printer mereka.

Serangan tersebut termasuk merekrut printer di kawanan DDoS, memaksakan status DoS kertas, dan melakukan pelanggaran privasi.

Seperti yang ditunjukkan oleh para peneliti, printer modern masih rentan terhadap kelemahan dasar dan tertinggal dari IoT dan perangkat elektronik lainnya yang mulai sesuai dengan keamanan siber dan persyaratan privasi data.

Dengan mengevaluasi potensi serangan dan tingkat risiko, para peneliti menemukan ketidakpatuhan terhadap persyaratan GDPR dan ISO/IEC 27005:2018 (kerangka kerja untuk mengelola risiko siber).

Kurangnya keamanan built-in ini sangat bermasalah ketika mempertimbangkan bagaimana printer di mana-mana, digunakan di lingkungan kritis, perusahaan, dan organisasi dari semua ukuran.

Sebuah makalah berjudul ‘You Overtrust Your Printer’ oleh Giampaolo Bella dan Pietro Biondi menjelaskan bagaimana Shodan digunakan untuk memindai negara-negara Eropa untuk perangkat dengan port TCP 9100 yang dapat diakses publik, biasanya digunakan untuk pekerjaan printing TCP/IP raw.

Pencarian ini menghasilkan puluhan ribu IP yang menanggapi permintaan port, dengan Jerman, Rusia, Prancis, Belanda, dan Inggris memiliki perangkat yang paling terbuka.

Jenis serangan Printjack pertama adalah merekrut printer dalam gerombolan DDoS, dan pelaku ancaman dapat melakukannya dengan memanfaatkan kerentanan RCE yang diketahui dengan PoC yang tersedia untuk umum.

Para peneliti menggunakan CVE-2014-3741 sebagai contoh tetapi menggarisbawahi bahwa setidaknya beberapa lusin kerentanan lain tersedia di database MITRE.

Printer yang menjadi korban serangan ini cenderung tidak responsif, mengkonsumsi lebih banyak daya, dan lebih cepat panas, sementara elektronik mereka akan mengalami kerusakan yang lebih cepat.

Serangan kedua adalah ‘serangan DoS kertas’ yang dilakukan dengan mengirimkan tugas cetak berulang-ulang hingga korban kehabisan kertas dari semua baki.

Situasi ini tidak terdengar seperti malapetaka, tetapi masih dapat menyebabkan gangguan bisnis, jadi ini bukan tentang biaya tinta dan kertas tetapi waktu henti layanan dan respons insiden.

Para peneliti menjelaskan bahwa serangan ini mudah dilakukan dengan menulis skrip Python sederhana yang dieksekusi di dalam jaringan target, menciptakan loop pekerjaan pencetakan yang berulang ribuan kali.

Dalam jenis serangan Printjack yang paling parah, ada potensi untuk melakukan serangan “man in the middle” dan menguping konten yang dicetak.

Karena tidak ada data pencetakan yang dikirim dalam bentuk terenkripsi, jika penyerang mengeksploitasi kerentanan pada jaringan printer, mereka secara teoritis dapat mengambil data dalam bentuk teks biasa.

Selengkapnya: Bleeping Computer

Peretas menargetkan biomanufaktur dengan malware Tardigrade yang tersembunyi

by

​Sebuah grup peretas tingkat lanjut secara aktif menargetkan fasilitas biomanufaktur dengan malware kustom baru yang disebut ‘Tardigrade.’

Pelaku menggunakan malware khusus untuk menyebar di jaringan yang disusupi dan mengekstrak data untuk waktu yang lama tanpa diketahui.

Menurut penasehat yang diterbitkan oleh PBioeconomy Information Sharing and Analysis Center (BIO-ISAC) hari ini, aktor tersebut telah secara aktif menargetkan entitas di lapangan setidaknya sejak Januari 2020.

Anggota BIO-ISAC BioBright mengatakan kepada Wired bahwa tanda-tanda pertama yang terlihat dari serangan ini datang dalam bentuk infeksi ransomware aneh pada musim semi tahun 2020, di mana para pelaku meninggalkan catatan tebusan yang tidak menunjukkan minat yang tulus untuk menerima pembayaran apa pun.

Tujuan dari penyebaran ransomware ini kemungkinan besar untuk menyembunyikan penurunan muatan yang sebenarnya, sebuah malware metamorf yang akan bersarang di sistem yang disusupi, menyebar seperti worm, dan mengekstrak file.

BIO-ISAC menjelaskan bahwa pelaku ancaman menggunakan versi metamorfik khusus ‘SmokeLoader’ bernama ‘Tartigrade,’ yang dikirimkan melalui phishing atau USB stick yang entah bagaimana menemukan jalan mereka di lokasi organisasi target.

SmokeLoader bertindak sebagai pintu masuk tersembunyi bagi para aktor, mengunduh lebih banyak muatan, memanipulasi file, dan menyebarkan modul tambahan.

Versi SmokeLoader sebelumnya sangat bergantung pada arah eksternal, tetapi varian ini dapat beroperasi secara mandiri dan bahkan tanpa koneksi C2.

Sasaran dari pelaku ancaman adalah spionase dunia maya dan mungkin juga gangguan operasional, tetapi malware mereka dapat menjadi masalah yang terus-menerus bagi sistem yang terinfeksi meskipun tidak dapat lagi berkomunikasi dengan server perintah dan kontrol.

Setelah menerbitkan artikel ini, BleepingComputer dihubungi oleh peneliti keamanan yang prihatin dengan kebenaran laporan BIO-ISAC dan data teknis yang disajikan di dalamnya.

Intel Advanced Vitali Kremez dan peneliti lain yang telah berbicara dengan BleepingComputer menyatakan bahwa DLL ini sebenarnya adalah Cobalt Strike HTTP beacon yang dikemas menggunakan crypter Conti, dan tidak ada hubungannya dengan SmokeLoader.

Selengkapnya: Bleeping Computer

Windows zero-day baru dengan eksploitasi publik memungkinkan Anda menjadi admin

by

Seorang peneliti keamanan telah secara terbuka mengungkapkan eksploitasi untuk kerentanan zero-day elevasi hak istimewa lokal Windows baru yang memberikan hak istimewa admin di Windows 10, Windows 11, dan Windows Server.

BleepingComputer telah menguji eksploit dan menggunakannya untuk membuka ke command prompt dengan hak istimewa SISTEM dari akun yang hanya memiliki hak ‘Standar’ tingkat rendah.

Dengan menggunakan kerentanan ini, pelaku ancaman dengan akses terbatas ke perangkat yang disusupi dapat dengan mudah meningkatkan hak istimewa mereka untuk membantu menyebar secara lateral di dalam jaringan.

Kerentanan memengaruhi semua versi Windows yang didukung, termasuk Windows 10, Windows 11, dan Windows Server 2022.

Sebagai bagian dari Patch Selasa November 2021, Microsoft memperbaiki kerentanan ‘Windows Installer Elevation of Privilege Vulnerability’ yang dilacak sebagai CVE-2021-41379.

Kerentanan ini ditemukan oleh peneliti keamanan Abdelhamid Naceri, yang menemukan bypass ke patch dan kerentanan elevasi hak istimewa zero-day baru yang lebih kuat setelah memeriksa perbaikan dari Microsoft.

Kemarin, Naceri menerbitkan exploit proof-of-concept yang berfungsi untuk zero-day baru di GitHub, menjelaskan bahwa itu berfungsi pada semua versi Windows yang didukung.

Naceri juga menjelaskan bahwa meskipun user dapat mengonfigurasi kebijakan grup untuk mencegah pengguna ‘Standar’ melakukan operasi MSI installer, zero-day-nya melewati kebijakan ini dan akan tetap berfungsi.

Selengkapnya: Bleeping Computer

Kata Sandi Paling Umum Tahun 2021 Terungkap

by

Pada hari Rabu, Nordpass menerbitkan studi tahunan penggunaan kata sandi di 50 negara, laporan “Kata Sandi Paling Umum”, evaluasi database yang berisi 4TB kata sandi bocor, banyak di antaranya berasal dari AS, Kanada, Rusia, Australia, dan Eropa. .

Menurut para peneliti, kata sandi yang paling umum pada tahun 2021, di seluruh dunia, adalah:

  • 123456 (103.170.552 buah)
  • 123456789 (46.027.530 buah)
  • 12345 (32.955.431 buah)
  • qwerty (22.317.280 buah)
  • password (20.958.297 buah)
  • 12345678 (14.745.771 buah)
  • 111111 (13.354.149 buah)
  • 123123 (10.244.398 buah)
  • 1234567890 (9.646.621 buah)
  • 1234567 (9.396.813 buah)

Di antara temuan tersebut, para peneliti juga menemukan bahwa sejumlah orang suka menggunakan nama mereka sendiri sebagai kata sandi (“charlie” muncul sebagai kata sandi paling populer ke-9 di Inggris selama tahun 2021, seperti yang terjadi).

“Onedirection” adalah opsi kata sandi populer terkait musik, dan berapa kali “Liverpool” muncul dapat menunjukkan seberapa populer tim sepak bola — meskipun, di Kanada, “hoki” tidak mengejutkan sebagai opsi terkait olahraga teratas dalam penggunaan aktif .

Kata-kata umpatan juga umum digunakan, dan jika menyangkut tema binatang, “lumba-lumba” adalah pilihan paling populer secara internasional.

Selain variasi angka dan keyboard PC, dalam beberapa daftar, opsi kata sandi lokal lainnya masuk 10 besar, termasuk nama keluarga “Chregan” di Afrika Selatan; kota “Barcelona” di Spanyol, dan nama “Tiffany” di Prancis.

Selengkapnya: ZDNet