Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cybersecurity

Cybersecurity

Penyerang dapat menyembunyikan peringatan email ‘pengirim eksternal’ dengan HTML dan CSS

by

Peringatan “pengirim eksternal” yang ditampilkan ke penerima email oleh klien seperti Microsoft Outlook dapat disembunyikan oleh pengirim, seperti yang ditunjukkan oleh peneliti.

Ternyata, yang diperlukan penyerang untuk mengubah peringatan “pengirim eksternal”, atau menghapusnya sama sekali dari email hanyalah beberapa baris kode HTML dan CSS.

Ini bermasalah karena pelaku phishing dan penipu dapat dengan mudah memasukkan beberapa kode HTML dan CSS di email keluar mereka untuk mengubah kata-kata pesan peringatan atau membuatnya hilang sama sekali.

Dengan menambahkan hanya beberapa baris kode HTML dan CSS, peneliti Louis Dion-Marcil menunjukkan bagaimana pengirim eksternal dapat menyembunyikan peringatan dari pesan email.

Hal ini terjadi karena produk keamanan email dan gateway yang mencegat dan memindai email masuk untuk konten yang mencurigakan hanya memasukkan peringatan “pengirim eksternal” sebagai cuplikan kode HTML/CSS di badan email itu sendiri, yang bertentangan dengan UI klien email asli yang menampilkan pesan tersebut.

Dion-Marcil telah berbagi beberapa wawasan dengan BleepingComputer tentang perilaku ini:

Peneliti mengatakan bahwa ini bukan bug di aplikasi klien email mana pun, dan bersifat klien-agnostik.

Selengkapnya: Bleeping Computer

Serangan ransomware Qlocker besar-besaran menggunakan 7zip untuk mengenkripsi perangkat QNAP

by

Kampanye ransomware besar-besaran yang menargetkan perangkat QNAP di seluruh dunia sedang berlangsung, dan pengguna menemukan file mereka sekarang disimpan dalam arsip 7zip yang dilindungi kata sandi.

Ransomware tersebut disebut Qlocker dan mulai menargetkan perangkat QNAP pada 19 April 2021. Sejak itu, ada banyak sekali aktivitas di forum dukungan Bleeping Computer, dan ID-Ransomware telah melihat lonjakan pengiriman dari para korban.

Menurut laporan dari korban dalam topik dukungan BleepingComputer Qlocker, penyerang menggunakan 7-zip untuk memindahkan file pada perangkat QNAP ke dalam arsip yang dilindungi kata sandi. Saat file dikunci, QNAP Resource Monitor akan menampilkan banyak proses ‘7z’ yang merupakan baris perintah 7zip yang dapat dieksekusi.

Saat ransomware telah selesai, file perangkat QNAP akan disimpan dalam arsip 7-zip yang dilindungi sandi yang diakhiri dengan ekstensi .7z. Untuk mengekstrak arsip ini, korban perlu memasukkan kata sandi yang hanya diketahui oleh penyerang.

Sumber: Bleeping Computer

Setelah perangkat QNAP dienkripsi, pengguna mendapatkan catatan tebusan !!!READ_ME.txt yang menyertakan kunci klien unik yang harus dimasukkan oleh korban untuk masuk ke situs pembayaran Tor ransomware.

Dari catatan tebusan Qlocker yang dilihat oleh BleepingComputer, semua korban diperintahkan untuk membayar 0,01 Bitcoin, yaitu sekitar $ 557,74, untuk mendapatkan kata sandi untuk file arsip mereka.

Selengkapnya: Bleeping Computer

Google memperbaiki zero-day Chrome yang dibagikan di Twitter minggu lalu

by

Google telah merilis Chrome 90.0.4430.85 untuk mengatasi zero-day yang dieksploitasi secara aktif dan empat kerentanan keamanan tingkat tinggi lainnya yang memengaruhi browser web terpopuler saat ini.

Versi yang dirilis pada 20 April 2021, ke saluran desktop Stabil untuk pengguna Windows, Mac, dan Linux akan diluncurkan ke semua pengguna selama beberapa minggu mendatang.

Google tidak membagikan detail apa pun mengenai zero-day selain menggambarkannya sebagai ‘Type Confusion in V8’ dan mengatakan bahwa itu dilaporkan oleh Jose Martinez dari VerSprite Inc.

Namun, Martinez menautkannya ke eksploitasi bukti konsep (PoC) yang dibagikan secara publik di Twitter satu minggu lalu setelah laporan awal Program Penghargaan Kerentanan Chrome dari tanggal 5 April.

Kerentanan eksekusi kode jarak jauh ini tidak dapat dimanfaatkan oleh penyerang untuk keluar dari fitur keamanan sandbox Chromium (fitur keamanan yang dirancang untuk memblokir eksploitasi agar tidak mengakses file atau menjalankan kode di komputer host).

Namun, itu dapat dengan mudah digabungkan dengan bug keamanan lain yang dapat memungkinkan eksploitasi untuk keluar dari sandbox dan mengeksekusi kode arbitrer pada sistem pengguna yang ditargetkan.

Selengkapnya: Bleeping Computer

Login untuk 1,3 juta server Windows RDP dikumpulkan dari pasar peretas

by

Nama login dan kata sandi untuk 1,3 juta server Windows Remote Desktop saat ini dan yang secara historis dikompromikan telah dibocorkan oleh UAS, pasar peretas terbesar untuk kredensial RDP yang dicuri.

Dengan kebocoran besar-besaran kredensial akses jarak jauh yang disusupi ini, para peneliti, untuk pertama kalinya, melihat sekilas ekonomi kejahatan dunia maya yang ramai dan dapat menggunakan data tersebut untuk mengakhiri serangan siber sebelumnya.

Admin jaringan juga akan mendapatkan keuntungan dari layanan baru yang diluncurkan oleh perusahaan keamanan siber Advanced Intel yang disebut RDPwned yang memungkinkan organisasi untuk memeriksa apakah kredensial RDP mereka telah dijual di pasar.

UAS, atau ‘Ultimate Anonymity Services,’ adalah pasar yang menjual kredensial masuk Windows Remote Desktop, Nomor Jaminan Sosial yang dicuri, dan akses ke server proxy SOCKS.

Apa yang membuat UAS menonjol adalah bahwa ini adalah pasar terbesar, melakukan verifikasi manual kredensial akun RDP yang dijual, menawarkan dukungan pelanggan, dan memberikan tip tentang cara mempertahankan akses jarak jauh ke komputer yang disusupi.

Sejak Desember 2018, sekelompok peneliti keamanan memiliki akses rahasia ke database untuk pasar UAS dan diam-diam telah mengumpulkan kredensial RDP yang dijual selama hampir tiga tahun.

Database ini telah dibagikan dengan Advanced Intel’s Vitali Kremez, yang juga membagikan salinan yang telah disunting dengan BleepingComputer untuk ditinjau.

Setelah ditinaju, server RDP yang terdaftar berasal dari seluruh dunia, termasuk lembaga pemerintah dari enam puluh tiga negara, dengan Brasil, India, dan Amerika Serikat menjadi tiga teratas.

Vitali Kremez telah meluncurkan layanan baru bernama RDPwned yang memungkinkan perusahaan dan admin mereka untuk memeriksa apakah server mereka terdaftar dalam database.

Selengkapnya: Bleeping Computer

Malware WhatsApp Pink sekarang dapat membalas pesan Signal dan Telegram Anda secara otomatis

by

Malware WhatsApp yang dijuluki WhatsApp Pink kini telah diperbarui dengan kemampuan canggih yang memungkinkan aplikasi Android palsu ini secara otomatis merespons pesan Signal, Telegram, Viber, dan Skype Anda.

WhatsApp Pink mengacu pada aplikasi palsu yang muncul minggu ini, terutama menargetkan pengguna WhatsApp di India.

Aplikasi ini menyebut dirinya sebagai versi bertema “merah muda” dari aplikasi WhatsApp yang berwarna hijau, tetapi berisi trojan yang mengambil alih perangkat Android Anda, dan menyebar ke pengguna lain.

Selama akhir pekan, peneliti keamanan Rajshekhar Rajaharia memperingatkan pengguna WhatsApp tentang malware baru yang beredar melalui pesan grup WhatsApp yang berisi tautan ke situs scam.

Mengklik tautan membawa pengguna ke halaman tempat mereka dapat mengunduh APK WhatsApp Pink yang berbahaya.

Seperti yang dilihat oleh BleepingComputer, tautan mengarah ke halaman web berikut. Tombol “unduh” mengarahkan pengguna ke aplikasi, WhatsappPink.apk.

Sumber: Bleeping Computer

WhatsApp Pink sebenarnya adalah varian dari malware lain, aplikasi Huawei palsu, yang telah dianalisis para peneliti awal tahun ini.

Minggu ini, demonstrasi video yang diposting oleh peneliti ESET menunjukkan bahwa pembaruan baru yang didorong ke aplikasi WhatsApp Pink yang berbahaya mampu merespons pesan Anda secara otomatis dari berbagai aplikasi termasuk Signal, Viber, Telegram, dan Skype.

Selengkapnya: Bleeping Computer

Apakah Seseorang di Departemen Perdagangan Menemukan Pintu Belakang SolarWinds pada Agustus 2020?

by

Pada 13 Agustus 2020, seseorang mengunggah file yang dicurigai berbahaya ke VirusTotal, sebuah layanan yang memindai file yang dikirimkan terhadap lebih dari lima lusin produk antivirus dan keamanan. Bulan lalu, Microsoft dan FireEye mengidentifikasi file itu sebagai pintu belakang malware keempat yang baru ditemukan yang digunakan dalam supply chain hack SolarWinds yang luas. Analisis file berbahaya dan kiriman lainnya oleh pengguna VirusTotal yang sama menyarankan akun yang awalnya menandai backdoor sebagai mencurigakan milik personel TI di National Telecommunications and Information Administration (NTIA), sebuah divisi dari Departemen Perdagangan AS yang menangani telekomunikasi dan Kebijakan Internet.
Baik Microsoft dan FireEye menerbitkan posting blog pada 4 Maret tentang pintu belakang baru yang ditemukan pada target bernilai tinggi yang disusupi oleh penyerang SolarWinds. FireEye menyebut pintu belakang sebagai “Sunshuttle”, sedangkan Microsoft menyebutnya “GoldMax”.

Selengkapnya: krebsonsecurity

SonicWall memperingatkan pelanggan untuk menambal 3 zero-day yang dieksploitasi di alam liar

by

Produsen perangkat keras keamanan SonicWall mendesak pelanggan untuk menambal serangkaian tiga kerentanan zero-day yang memengaruhi produk Keamanan Email lokal dan yang dihosting.

“Setidaknya dalam satu kasus yang diketahui, kerentanan ini telah diamati untuk dieksploitasi ‘di alam liar'”, kata SonicWall dalam sebuah advisory keamanan yang mereka terbitkan.

Perusahaan mengatakan itu “keharusan” bahwa organisasi yang menggunakan peralatan perangkat keras Keamanan Email, peralatan virtual, atau instalasi perangkat lunak pada mesin Microsoft Windows Server segera meningkatkan ke versi yang terbaru.

Tiga zero-day yang dilaporkan oleh Josh Fleischer dan Chris DiGiamo dari Mandiant adalah:

  • CVE-2021-20021: Kerentanan Pembuatan Akun Administratif Pra-Otentikasi Keamanan Email yang memungkinkan penyerang membuat akun administratif dengan mengirim permintaan HTTP yang dibuat ke host jarak jauh (pembaruan keamanan dirilis pada 9 April)
  • CVE-2021-20022: Kerentanan Pembuatan File Sewenang-wenang Pasca-Autentikasi Keamanan Email yang memungkinkan penyerang pasca-otentikasi mengunggah file sewenang-wenang ke host jarak jauh (pembaruan keamanan dirilis pada 9 April)
  • CVE-2021-20023: Kerentanan keamanan Email Pasca-Otentikasi Membaca File Sewenang-wenang yang memungkinkan penyerang pasca-otentikasi membaca file sewenang-wenang dari host jarak jauh (pembaruan keamanan dirilis pada 19 April)

Selengkapnya: Bleeping Computer

Microsoft Store, situs Spotify palsu menyebarkan malware pencuri info

by

Penyerang mempromosikan situs yang meniru Microsoft Store, Spotify, dan konverter dokumen online yang mendistribusikan malware untuk mencuri kartu kredit dan sandi yang disimpan di browser web.

Serangan itu ditemukan oleh perusahaan keamanan siber ESET yang mengeluarkan peringatan kemarin di Twitter untuk mewaspadai kampanye jahat tersebut.

Dalam percakapan dengan Jiri Kropac, Kepala ESET Lab Deteksi Ancaman, BleepingComputer mengetahui bahwa serangan tersebut dilakukan melalui iklan jahat yang mempromosikan apa yang tampak sebagai aplikasi yang sah.

Misalnya, salah satu iklan yang digunakan dalam serangan ini mempromosikan aplikasi Catur online. Namun, ketika pengguna mengklik iklan tersebut, mereka dibawa ke halaman Microsoft Store palsu untuk aplikasi catur online ‘xChess 3’ palsu, yang secara otomatis diunduh dari server Amazon AWS.

File zip yang diunduh bernama ‘xChess_v.709.zip’, yang sebenarnya adalah ‘Ficker’, atau ‘FickerStealer,’ malware pencuri informasi yang menyamar, seperti yang ditunjukkan oleh laporan Any.Run ini yang dibuat oleh BleepingComputer.

Iklan lain dari kampanye malware ini berpura-pura menjadi Spotify atau pengonversi dokumen online. Saat dikunjungi, halaman arahan mereka juga akan secara otomatis mendownload file zip yang berisi malware Ficker.

Sumber: Bleeping Computer

Selengkapnya: Bleeping Computer