Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cybersecurity

Cybersecurity

Malware Linux, macOS baru disembunyikan dalam paket Browserify NPM palsu

by

Paket berbahaya baru telah terlihat minggu ini di registri npm, yang menargetkan pengembang NodeJS yang menggunakan sistem operasi Linux dan Apple macOS.

Paket jahat ini disebut “web-browserify”, dan meniru komponen npm Browserify yang populer diunduh lebih dari 160 juta kali selama masa pakainya.

web-browserify sendiri dibangun dengan menggabungkan ratusan komponen open-source yang sah, dan melakukan aktivitas pengintaian ekstensif pada sistem yang terinfeksi.

Selain itu, sampai hari ini, malware ELF yang terkandung dalam komponen tersebut tidak terdeteksi oleh semua mesin antivirus terkemuka.

Komponen tersebut terdeteksi oleh sistem deteksi malware otomatis Sonatype, Release Integrity, dan dianggap berbahaya setelah dianalisis oleh tim riset keamanan Sonatype.

“web-browserify” dibuat oleh penulis dengan nama samaran yang menggambarkan diri mereka sebagai Steve Jobs.

Paket ini terdiri dari file manifes, package.json, skrip postinstall.js, dan ELF yang dapat dieksekusi yang disebut “run” yang ada dalam arsip terkompresi, run.tar.xz di dalam komponen npm.

Segera setelah “web-browserify” diinstal oleh pengembang, skrip mengekstrak dan meluncurkan biner Linux “run” dari arsip, yang kemudian meminta root permission dari pengguna.

Run binary yang diekstrak berukuran sekitar 120 MB dan memiliki ratusan komponen npm open-source yang sah yang digabungkan di dalamnya, yang disalahgunakan untuk aktivitas berbahaya.

Selengkapnya: Bleeping Computer

Microsoft April 2021 Patch Tuesday memperbaiki 108 kekurangan, 5 zero-day

by

Microsoft Patch Tuesday bulan April 2021 telah dirilis dengan lima kerentanan zero-day dan kerentanan Microsoft Exchange yang lebih kritis.

Pada pembaruan kali ini, Microsoft telah memperbaiki 108 kerentanan, dengan 19 kerentanan diklasifikasikan sebagai Kritis dan 89 sebagai Penting. Angka-angka ini tidak termasuk 6 kerentanan Chromium Edge yang dirilis awal bulan ini.

Ada juga lima kerentanan zero-day yang ditambal pada pembaruan kali ini yang diungkapkan secara publik, dengan satu diketahui digunakan dalam beberapa serangan. Microsoft juga memperbaiki empat kerentanan Microsoft Exchange kritis yang ditemukan NSA.

Empat kerentanan tersebut adalah:

  • CVE-2021-27091 – Kerentanan Peningkatan Hak Istimewa pada Layanan Pemeta Endpoint RPC
  • CVE-2021-28312 – Kerentanan Penolakan Layanan NTFS Windows
  • CVE-2021-28437 – Kerentanan Pengungkapan Informasi Penginstal Windows – PolarBear
  • CVE-2021-28458 – Kerentanan Peningkatan Hak Istimewa pada Perpustakaan Azure ms-rest-nodeauth

Kerentanan berikut adalah kerentanan yang ditemukan oleh peneliti Kaspersky Boris Larin telah dieksploitasi di alam liar.

Kaspersky yakin CVE-2021-28310 yang dieksploitasi digunakan oleh BITTER APT group.

Untuk informasi tentang pembaruan Windows non-keamanan, Anda dapat membaca tentang pembaruan kumulatif Windows 10 KB5001330 & KB5001337.

Microsoft menghimbau kepada seluruh pengguna untuk menerapkan patch sesegera mungkin.

Selengkapnya: Bleeping Computer

Penjahat menyebarkan malware menggunakan formulir kontak situs web dengan URL Google

by

Microsoft memperingatkan bisnis untuk berhati-hati terhadap penjahat dunia maya yang menggunakan formulir kontak situs web perusahaan untuk mengirimkan trojan perbankan pencuri info IcedID dalam email dengan URL Google kepada karyawan.

Formulir ‘hubungi kami’ situs web perusahaan adalah pintu terbuka di internet dan penjahat baru-baru ini mulai menggunakannya untuk menjangkau pekerja yang menerima permintaan kontak dari publik.

Fitur penting dari serangan tersebut adalah bahwa penjahat menggunakan formulir kontak untuk mengirim URL Google yang sah kepada karyawan yang mengharuskan pengguna untuk masuk dengan nama pengguna dan sandi Google mereka.

Microsoft menganggap ancaman tersebut cukup serius dan melaporkan serangan tersebut ke tim keamanan Google untuk memperingatkan mereka bahwa penjahat dunia maya menggunakan URL Google yang sah untuk mengirimkan malware.

URL Google berguna bagi penyerang karena mereka akan melewati filter keamanan email. Para penyerang tampaknya juga telah melewati tantangan CAPTCHA yang digunakan untuk menguji apakah pengiriman kontak tersebut dari manusia.

Ini adalah serangan yang rumit untuk dideteksi oleh perusahaan dan lembaga pemerintah karena email masuk ke karyawan dari formulir kontak dan sistem pemasaran email mereka sendiri.

Selengkapnya: ZDNet

Serangan dunia maya adalah ancaman nomor satu bagi sistem keuangan global

by

Serangan dunia maya sekarang menjadi risiko utama bagi sistem keuangan global, bahkan lebih dari risiko pinjaman dan likuiditas yang menyebabkan krisis keuangan 2008, menurut Ketua Federal Reserve Jerome Powell.

Penilaian oleh salah satu pejabat perbankan terkemuka dunia menggarisbawahi bagaimana ancaman peretasan telah menjadi perhatian utama di pemerintahan tertinggi.

Dalam sebuah wawancara yang disiarkan di “60 Minutes” CBS pada hari Minggu, Powell mengatakan dunia telah berubah secara substansial sejak Resesi Hebat.

“Saya akan mengatakan bahwa risiko yang paling kita perhatikan saat ini adalah risiko dunia maya,” kata Powell kepada CBS.

Satu skenario terburuk, kata Powell, adalah jika peretas berhasil mematikan pemroses pembayaran utama – menghambat aliran uang dari satu lembaga keuangan ke lembaga keuangan lainnya. Itu bisa mematikan sektor atau bahkan sebagian besar sistem keuangan, katanya.

Selengkapnya: CNN

Malware Joker menginfeksi lebih dari 500.000 perangkat Android Huawei

by

Lebih dari 500.000 pengguna Huawei telah mengunduh dari aplikasi toko Android resmi perusahaan yang terinfeksi malware Joker yang berlangganan layanan seluler premium.

Peneliti menemukan sepuluh aplikasi yang tampaknya tidak berbahaya di AppGallery yang berisi kode untuk menghubungkan ke server perintah dan kontrol yang berbahaya untuk menerima konfigurasi dan komponen tambahan.

Sebuah laporan dari pembuat antivirus Doctor Web mencatat bahwa aplikasi berbahaya tetap memiliki fungsionalitas yang diiklankan tetapi mengunduh komponen yang membuat pengguna berlangganan layanan seluler premium.

Menurut para peneliti, malware dapat membuat pengguna berlangganan maksimal lima layanan, meskipun pelaku ancaman dapat mengubah batasan ini kapan saja.

Daftar aplikasi berbahaya termasuk keyboard virtual, aplikasi kamera, peluncur, utusan online, koleksi stiker, program mewarnai, dan permainan.

Kebanyakan dari mereka berasal dari satu pengembang (Shanxi Kuailaipai Network Technology Co., Ltd.) dan dua dari pengembang yang berbeda. Sepuluh aplikasi ini diunduh oleh lebih dari 538.000 pengguna Huawei, kata Doctor Web.

Para peneliti mengatakan bahwa modul yang sama yang diunduh oleh aplikasi yang terinfeksi di AppGallery juga ada di aplikasi lain di Google Play, digunakan oleh versi lain dari malware Joker. Daftar lengkap IoC tersedia di sini.

Sumber: Bleeping Computer

Para peneliti mengungkap malware Iran baru yang digunakan dalam serangan siber baru-baru ini

by

Aktor ancaman Iran telah meluncurkan kampanye spionase siber baru terhadap kemungkinan target Lebanon dengan backdoor yang mampu mengekstrak informasi sensitif dari sistem yang dikompromikan.

Firma keamanan siber, Check Point, mengaitkan operasi tersebut dengan APT34, mengutip kemiripan dengan teknik sebelumnya yang digunakan oleh pelaku ancaman serta berdasarkan pola viktimologi.

APT34 (alias OilRig) dikenal karena kampanye pengintaiannya yang selaras dengan kepentingan strategis Iran, terutama mengenai industri keuangan, pemerintah, energi, kimia, dan telekomunikasi di Timur Tengah.

Grup tersebut biasanya menggunakan target individu melalui penggunaan dokumen tawaran pekerjaan palsu, dikirim langsung ke para korban melalui pesan LinkedIn, dan kampanye terbaru tidak terkecuali, meskipun cara pengirimannya masih belum jelas.

Dokumen Word yang dianalisis oleh Check Point mengklaim menawarkan informasi tentang posisi yang berbeda di perusahaan konsultan berbasis di AS bernama Ntiva IT, hanya untuk memicu rantai infeksi setelah mengaktifkan makro jahat yang disematkan, akhirnya menghasilkan pemasangan backdoor yang disebut “SideTwist”.

Selain mengumpulkan informasi dasar tentang mesin korban, backdoor tersebut membuat koneksi dengan server jarak jauh untuk menunggu perintah tambahan yang memungkinkannya mengunduh file dari server, mengunggah file sewenang-wenang, dan menjalankan perintah shell, yang hasilnya diposting kembali ke server.

Selengkapnya: The Hacker News

CISA merilis alat untuk meninjau aktivitas pasca-kompromi Microsoft 365

by

Cybersecurity and Infrastructure Security Agency (CISA) telah merilis dasbor berbasis Splunk pendamping yang membantu meninjau aktivitas pasca-kompromi di lingkungan Microsoft Azure Active Directory (AD), Office 365 (O365), dan Microsoft 365 (M365).

Alat baru CISA, dijuluki Aviary, membantu tim keamanan memvisualisasikan dan menganalisis keluaran data yang dihasilkan menggunakan Sparrow, alat berbasis PowerShell sumber terbuka untuk mendeteksi aplikasi dan akun yang berpotensi disusupi di Azure dan Microsoft 365.

Sparrow diciptakan untuk membantu defender memburu aktivitas ancaman setelah serangan rantai pasokan SolarWinds.

Aviary dapat membantu meninjau log PowerShell yang diekspor Sparrow, termasuk menganalisis mailbox sign-in PowerShell untuk memeriksa apakah proses masuk adalah tindakan yang sah.

Ini juga dapat membantu menyelidiki penggunaan PowerShell untuk pengguna dengan PowerShell di lingkungan dan memeriksa domain Azure AD penyewa terdaftar Sparrow untuk melihat apakah mereka telah dimodifikasi.

CISA mendorong defender jaringan yang ingin menggunakan Aviary untuk analisis output Sparrow yang lebih lugas untuk meninjau peringatan AA21-008A tentang mendeteksi aktivitas berbahaya pasca-kompromi di lingkungan Microsoft Cloud.

Selengkapnya: Bleeping Computer

Phishing Microsoft Office 365 menghindari deteksi dengan potongan HTML Lego

by

Kampanye phishing baru-baru ini menggunakan trik cerdas untuk mengirimkan halaman web penipuan yang mengumpulkan kredensial Microsoft Office 365 dengan membangunnya dari potongan kode HTML yang disimpan secara lokal dan jarak jauh.

Metode ini terdiri dari menempelkan beberapa bagian HTML yang disembunyikan dalam file JavaScript untuk mendapatkan antarmuka login palsu dan meminta calon korban untuk mengetikkan informasi sensitif.

Para korban menerima email dengan hanya lampiran yang mengaku sebagai file Excel (.XLSX) tentang investasi. Pada kenyataannya, file tersebut adalah dokumen HTML dengan potongan teks yang dienkode URL.

Para peneliti di Trustwave menerjemahkan teks tersebut dan menemukan lebih banyak decoding di depan karena teks tersebut selanjutnya dikaburkan melalui kode Entity. Dengan menggunakan CyberChef GCHQ, mereka mengungkapkan tautan ke dua file JavaScript yang dihosting di “yourjavascript.com”, sebuah domain yang digunakan untuk kampanye phishing lainnya.

Masing-masing dari dua file JavaScript memiliki dua blok teks yang disandikan yang menyembunyikan kode HTML, URL dan Base64 yang dikodekan.

Di salah satunya, peneliti menemukan halaman awal dan kode phishing yang memvalidasi email dan password dari korban.

Secara keseluruhan, para peneliti menerjemahkan lebih dari 367 baris kode HTML yang tersebar dalam lima bagian di antara dua file JavaScript dan satu lampiran email, yang, ditumpuk bersama, membangun halaman phishing Microsoft Office 365.

Sumber: Bleeping Computer

Trustwave mengatakan bahwa hal yang tidak biasa tentang kampanye ini adalah bahwa JavaScript diunduh dalam potongan yang dikaburkan dari lokasi yang jauh dan kemudian disatukan secara lokal.

Dalam posting blog nya, Trustwave mencatat bahwa URL yang menerima kredensial yang dicuri untuk kampanye ini masih aktif.

Bleeping Computer