Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cybersecurity

Cybersecurity

Malware XLoader mencuri login dari sistem macOS dan Windows

by

Malware yang sangat populer untuk mencuri informasi dari sistem Windows telah dimodifikasi menjadi jenis baru yang disebut XLoader, yang juga dapat menargetkan sistem macOS.

XLoader saat ini ditawarkan di forum bawah tanah sebagai layanan pemuat botnet yang dapat “memulihkan” kata sandi dari web browser dan beberapa klien email (Chrome, Firefox, Opera, Edge, IE, Outlook, Thunderbird, Foxmail).

Berasal dari pencuri info Formbook untuk Windows, XLoader muncul Februari lalu dan semakin populer, diiklankan sebagai botnet lintas platform (Windows dan macOS) tanpa dependency.

Hubungan antara dua bagian malware dikonfirmasi setelah anggota komunitas XLoader merekayasa balik dan menemukan bahwa itu memiliki executable yang sama dengan Formbook.

Pengiklan menjelaskan bahwa pengembang Formbook berkontribusi banyak dalam pembuatan XLoader, dan kedua malware tersebut memiliki fungsi yang serupa (mencuri kredensial login, menangkap tangkapan layar, mencatat penekanan tombol, dan mengeksekusi file berbahaya).

Pelanggan dapat menyewa versi malware macOS seharga $49 (satu bulan) dan mendapatkan akses ke server yang disediakan penjual. Dengan menjaga infrastruktur komando dan kontrol terpusat, penulis dapat mengontrol bagaimana klien menggunakan malware.

Versi Windows lebih mahal karena penjual meminta $59 untuk lisensi satu bulan dan $129 untuk tiga bulan.

Peneliti Check Point mengatakan bahwa XLoader cukup tersembunyi sehingga sulit bagi pengguna non-teknis biasa untuk menemukannya.

Mereka merekomendasikan penggunaan Autorun macOS untuk memeriksa nama pengguna di OS dan untuk melihat ke folder LaunchAgents [/Users/[username]/Library/LaunchAgents] dan menghapus entri dengan nama file yang mencurigakan (nama yang tampak acak).

Selengkapnya: Bleeping Computer

Malware Windows pencuri kata sandi ini didistribusikan melalui iklan di hasil pencarian

by

Bentuk malware yang baru ditemukan yang dikirimkan kepada korban melalui iklan di hasil pencarian digunakan sebagai pintu gerbang untuk mencuri kata sandi, menginstal penambang cryptocurrency, dan mengirimkan malware trojan tambahan.

Dirinci oleh perusahaan keamanan siber Bitdefender, malware – yang menargetkan Windows – telah dijuluki MosaicLoader dan telah menginfeksi korban di seluruh dunia karena mereka yang berada di baliknya berusaha untuk mengkompromikan sebanyak mungkin sistem.

MosaicLoader dapat digunakan untuk mengunduh berbagai ancaman ke mesin yang disusupi, termasuk Glupteba, sejenis malware yang membuat pintu belakang ke sistem yang terinfeksi, yang kemudian dapat digunakan untuk mencuri informasi sensitif, termasuk nama pengguna dan kata sandi, serta informasi keuangan.

Tidak seperti banyak bentuk malware, yang didistribusikan melalui serangan phishing atau kerentanan perangkat lunak yang belum ditambal, MosaicLoader dikirimkan kepada korban melalui iklan.

Tautan ke malware muncul di bagian atas hasil pencarian saat orang mencari versi bajakan dari perangkat lunak populer. Sistem otomatis yang digunakan untuk membeli dan melayani ruang iklan kemungkinan berarti bahwa tidak seorang pun dalam rantai – selain penyerang – tahu bahwa iklan tersebut berbahaya sama sekali.

Perusahaan keamanan mengatakan bahwa karyawan yang bekerja dari rumah berisiko lebih tinggi mengunduh perangkat lunak bajakan.

Ada kemungkinan bahwa malware akan terdeteksi oleh perangkat lunak antivirus, tetapi banyak pengguna yang mengunduh perangkat lunak bajakan secara ilegal kemungkinan telah menonaktifkan perlindungan mereka untuk mengakses dan menginstal unduhan.

Pengguna harus berhati-hati dalam mengikuti petunjuk untuk mematikan perangkat lunak antivirus, karena hal itu dapat menyebabkan perangkat lunak berbahaya diizinkan untuk menyusup ke sistem.

Selengkapnya: ZDNet

Microsoft membagikan workaround untuk kerentanan SeriousSAM Windows 10

by

Microsoft telah membagikan solusi untuk kerentanan zero-day Windows 10 yang dijuluki SeriousSAM yang dapat memungkinkan penyerang mendapatkan hak admin pada sistem yang rentan dan mengeksekusi kode dengan hak istimewa SISTEM.

Seperti yang dilaporkan oleh BleepingComputer sebelumnya, peningkatan lokal dari bug hak istimewa (dijuluki SeriousSAM) yang ditemukan di versi Windows yang baru dirilis memungkinkan pengguna dengan hak istimewa rendah untuk mengakses file database Registry yang sensitif.

Kerentanan, yang diungkapkan secara publik oleh peneliti keamanan Jonas Lykkegaard di Twitter dan belum menerima patch resmi, sekarang dilacak oleh Microsoft sebagai CVE-2021-36934.

Seperti yang diungkapkan Microsoft lebih lanjut, kerentanan zero-day ini berdampak pada rilis Windows sejak Oktober 2018, dimulai dengan Windows 10, versi 1809. Lykkegaard juga menemukan bahwa Windows 11 (OS Microsoft yang belum dirilis secara resmi) juga terpengaruh.

Berikut adalah langkah-langkah yang diperlukan untuk memblokir eksploitasi kerentanan ini untuk sementara:

Batasi akses ke konten %windir%\system32\config:

  1. Buka Command Prompt atau Windows PowerShell sebagai administrator.
  2. Jalankan perintah ini: icacls %windir%\system32\config\*.* /inheritance:e

Hapus shadow copies dari Volume Shadow Copy Service (VSS):

  1. Hapus semua titik System Restore dan Shadow volumes yang ada sebelum membatasi akses ke %windir%\system32\config.
  2. Buat titik System Restore baru (jika diinginkan).

Microsoft masih menyelidiki kerentanan ini dan sedang mengerjakan tambalan yang kemungkinan besar akan dirilis sebagai pembaruan keamanan out-of-band akhir pekan ini.

Selengkapnya: Bleeping Computer

Bug keamanan sistem Linux yang buruk terungkap

by

Systemd, manajer sistem dan layanan Linux yang sebagian besar telah menggantikan init sebagai program startup dan kontrol utama Linux, selalu mendapat kritik.

Sekarang, dengan penemuan bug keamanan systemd baru oleh Qualys, systemd akan mendapatkan lebih banyak kritikan. Eksploitasi yang berhasil dari kerentanan terbaru ini memungkinkan pengguna yang tidak memiliki hak untuk menyebabkan Denial of Service melalui kernel panic.

Seperti yang ditulis oleh Bharat Jogi, manajer senior Qualys untuk Kerentanan dan Signatures, “Mengingat luasnya permukaan serangan untuk kerentanan ini, Qualys merekomendasikan pengguna untuk segera menerapkan patch untuk kerentanan ini”.

Systemd digunakan di hampir semua distribusi Linux modern. Lubang keamanan khusus ini tiba di kode systemd pada April 2015. Ini bekerja dengan memungkinkan penyerang untuk menyalahgunakan fungsi alloca() dengan cara yang akan mengakibatkan kerusakan memori. Ini memungkinkan seorang peretas untuk merusak systemd dan seluruh sistem operasi.

Secara praktis, ini dapat dilakukan oleh penyerang lokal yang memasang sistem file pada jalur yang sangat panjang. Ini menyebabkan terlalu banyak ruang memori untuk digunakan di tumpukan systemd, yang mengakibatkan sistem crash.

Itu berita buruknya. Kabar baiknya adalah bahwa Red Hat Product Security dan pengembang systemd telah segera menambal lubangnya.

Meskipun tidak ada di semua distro Linux saat ini, Anda akan menemukannya di sebagian besar distro seperti Debian 10 (Buster) dan kerabatnya seperti Ubuntu dan Mint. Oleh karena itu, jika Anda ingin komputer Anda tetap berfungsi, Anda harus menambal versi systemd Anda sesegera mungkin.

Selengkapnya: ZDNet

Perusahaan keamanan siber Israel IntSights akan diakuisisi seharga $ 335 juta

by

Perusahaan keamanan siber Amerika Rapid7 mengatakan pada hari Senin bahwa pihaknya mengakuisisi Israel’s IntSights Cyber Intelligence Ltd. untuk sekitar $ 335 juta.

IntSights, didirikan di Israel pada tahun 2015 oleh mantan perwira intelijen IDF, memberi klien intelijen tentang ancaman dunia maya eksternal dengan memantau dark web, di antara langkah-langkah lainnya.

Perusahaan mengambil data eksternal yang kompleks, mengubahnya menjadi kecerdasan kontekstual dan menyediakan langkah-langkah otomatis untuk melawan ancaman. Teknologi IntSight memungkinkan intelijen ancaman real-time terukur yang dapat diintegrasikan dengan program keamanan pelanggan yang ada, menurut sebuah pernyataan yang mengumumkan kesepakatan tersebut.

Rapid7 akan membayar jumlah untuk IntSights dalam bentuk tunai dan saham. IntSights akan bertindak sebagai pusat penelitian dan pengembangan Rapid7 di Israel, menurut harian bisnis Calcalist. Rapid7 diperdagangkan secara publik di bursa Nasdaq di bawah ticker RPD.

IntSights sebelumnya telah mengumpulkan sekitar $71 juta dalam pendanaan modal ventura.

Akuisisi tersebut dilakukan di tengah kesibukan perhatian internasional pada perusahaan keamanan siber Israel.

Investigasi internasional minggu ini mengklaim produk pengawasan dunia maya NSO Group digunakan oleh pemerintah di seluruh dunia untuk melacak pembangkang politik dan jurnalis, beberapa di antaranya terbunuh.

Selengkapnya: Times of Israeli

Pegasus: Amnesty Merilis Alat Baru Untuk Memeriksa Apakah Spyware Invasif Dipasang Secara Rahasia di Ponsel

by

Amnesty International telah merilis toolkit untuk membantu orang mengetahui apakah ponsel mereka diam-diam dipantau oleh Pegasus, spyware kelas militer yang menargetkan aktivis hak asasi manusia, jurnalis, dan pengacara di seluruh dunia.

Perangkat lunak tersebut memindai perangkat untuk petunjuk kecil yang tertinggal jika telepon terinfeksi oleh spyware Pegasus.

Daftar 50.000 nomor telepon yang bocor diperoleh oleh jurnalisme non-profit Forbidden Stories dan Amnesty sebelum dibagikan ke media.

Spyware, yang dibangun oleh perusahaan Israel NSO Group, dapat digunakan untuk merekam panggilan, menyalin dan mengirim pesan atau bahkan merekam orang melalui kamera ponsel. Spyware ini dapat dan telah digunakan untuk menargetkan perangkat Apple iOS dan Android.

Versi awal perangkat lunak membutuhkan target untuk mengklik tautan berbahaya, memberikan akses kepada orang yang tidak berwenang ke data pribadi korban, termasuk kata sandi, panggilan, teks, dan email, tetapi para ahli percaya bahwa perangkat lunak telah lebih maju sehingga target tidak perlu mengklik tautan apa pun agar spyware terinstal.

Toolkit peneliti Amnesty, Mobile Verification Toolkit (MVT), berfungsi pada perangkat iOS dan Android untuk membantu pengguna mengetahui apakah mereka telah ditargetkan.

Ini menggunakan cadangan perangkat dan mencarinya untuk setiap indikator kompromi yang akan digunakan untuk mengirimkan Pegasus, seperti nama domain yang digunakan dalam infrastruktur NSO Group.

Ketika dijalankan, toolkit memindai cadangan telepon untuk mencari bukti bahwa ponsel telah diretas. Dibutuhkan satu atau dua menit untuk melakukannya, dan membuat sejumlah file yang menunjukkan hasil pemindaian – jika ponsel berpotensi disusupi, file tersebut akan mengatakan demikian.

Selengkapnya: Independent.co.uk

Investigasi menemukan spyware yang dirancang Israel digunakan untuk meretas jurnalis dan aktivis di seluruh dunia

by

Tiga puluh tujuh smartphone milik jurnalis, aktivis hak asasi manusia, eksekutif bisnis, dan dua wanita yang terkait dengan jurnalis Saudi yang terbunuh Jamal Khashoggi menjadi sasaran “spyware kelas militer” yang dilisensikan oleh perusahaan Israel kepada pemerintah, menurut penyelidikan oleh konsorsium organisasi media, termasuk The Washington Post, diterbitkan hari Minggu.

The Post melaporkan hari Minggu bahwa ponsel itu “ada dalam daftar lebih dari 50.000 nomor yang terkonsentrasi di negara-negara yang diketahui terlibat dalam pengawasan warganya” dan diketahui sebagai klien perusahaan, NSO Group, yang spyware Pegasusnya seolah-olah dilisensikan untuk melacak teroris dan penjahat besar.

Surat kabar itu melaporkan bahwa melalui penyelidikan, yang juga dilakukan dengan bantuan Amnesty International dan Forbidden Stories, sebuah organisasi nirlaba jurnalisme yang berbasis di Paris, outlet tersebut “mampu mengidentifikasi lebih dari 1.000 orang yang tersebar di lebih dari 50 negara melalui penelitian dan wawancara di empat benua: beberapa anggota keluarga kerajaan Arab, setidaknya 65 eksekutif bisnis, 85 aktivis hak asasi manusia, 189 jurnalis, dan lebih dari 600 politisi dan pejabat pemerintah — termasuk menteri kabinet, diplomat, dan perwira militer dan keamanan. Nomor beberapa kepala negara dan perdana menteri juga muncul dalam daftar.”

Nomor telepon wartawan yang bekerja di luar negeri untuk CNN, The Associated Press, Voice of America, The New York Times, The Wall Street Journal, Bloomberg News, Le Monde Prancis, Financial Times Inggris dan Al Jazeera Qatar adalah beberapa nomor yang muncul di daftar, yang berasal dari 2016, menurut Post. Surat kabar itu tidak menyebutkan nama wartawan dalam ceritanya.

Spyware, yang dikembangkan satu dekade lalu dengan bantuan mantan mata-mata Israel, dirancang untuk dengan mudah menghindari tindakan privasi ponsel cerdas, “seperti kata sandi dan enkripsi yang kuat,” menurut Post, yang mengatakan dapat “menyerang ponsel tanpa peringatan kepada pengguna” dan “membaca apa pun di perangkat yang dapat dilakukan pengguna, sementara juga mencuri foto, rekaman, catatan lokasi, komunikasi, kata sandi, log panggilan, dan pos media sosial.”

Selengkapnya: CNN

Hati-hati penipuan verifikasi di Instagram, Facebook, dan Twitter

by

Enver Ceylan menampilkan dirinya secara online sebagai pria Renaissance.

Dia adalah seorang konsultan media sosial Turki, musisi dan aktor yang “memainkan peran utama dalam banyak serial TV dan film,” menurut situs webnya. Di antara layanan digitalnya: membantu pengguna Facebook dan Instagram dengan masalah periklanan dan mengembangkan akun mereka. Salah satu versi situs webnya dengan jelas menampilkan formulir yang meminta pengguna TikTok untuk mengisi informasi pribadi agar akun mereka diverifikasi, status yang biasanya disediakan untuk tokoh-tokoh terkenal.

“Akun Anda telah diikuti selama 30 hari, dan telah ditentukan bahwa Anda memenuhi syarat untuk menerima Lencana Biru TikTok,” situsnya menyatakan dalam bahasa Inggris pada 9 Juni. Sebuah formulir di bawah logo TikTok, sebuah notasi musik animasi, meminta password pengguna, alamat dan nomor telepon.

Jika janji Ceylan tampak terlalu bagus untuk menjadi kenyataan, itu karena kemungkinan besar memang demikian. Ceylan menghilang tak lama setelah CNET memasukkan informasi untuk mengujinya. Sebagian besar situs kemudian menjadi kosong sebelum muncul kembali sepenuhnya dalam bahasa Turki. (TikTok mengonfirmasi bahwa formulir itu tidak sah).

Mengarahkan pengguna media sosial ke formulir verifikasi palsu, seperti yang tampaknya telah dicoba oleh Ceylan, adalah taktik yang digunakan untuk menipu orang agar mendapatkan informasi pribadi dan mengambil alih akun mereka.

Scammers juga akan meluncur ke pesan langsung di Instagram dan memikat pengguna dengan janji verifikasi. Variasi penipuan ini telah ada selama bertahun-tahun, tetapi pakar keamanan siber mengatakan mereka memperkirakan penipuan ini akan berkembang seiring orang-orang menghabiskan lebih banyak waktu untuk membangun brand mereka di media sosial.

Demikian juga, orang-orang yang terverifikasi biasanya memiliki banyak pengikut, yang dapat menjadikan mereka target utama scammers atau peretas yang mencoba menjangkau banyak orang.

Mengumumkan bahwa Anda baru saja diverifikasi di media sosial juga dapat menjadikan Anda target jika Anda ingin mendapatkan lencana biru di jejaring sosial lain atau jika seorang peretas mencoba menemukan akun dengan banyak pengikut.

Selengkapnya: CNET