Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for eksploitasi

eksploitasi

Peretas Lazarus menargetkan server VMware dengan eksploitasi Log4Shell

by

Kelompok peretas Korea Utara yang dikenal sebagai Lazarus mengeksploitasi kerentanan eksekusi kode jarak jauh Log4J untuk menyuntikkan pintu belakang yang mengambil muatan pencuri informasi di server VMware Horizon.

Kerentanan dilacak sebagai CVE-2021-44228, alias Log4Shell, dan berdampak pada banyak produk, termasuk VMware Horizon.

Eksploitasi penyebaran Horizon yang rentan dimulai pada Januari 2022, tetapi banyak admin belum menerapkan pembaruan keamanan yang tersedia.

Menurut laporan yang diterbitkan oleh analis di ASEC Ahnlab, Lazarus telah menargetkan produk VMware yang rentan melalui Log4Shell sejak April 2022.

Untuk memulai serangan, pelaku ancaman mengeksploitasi kerentanan Log4j melalui layanan Apache Tomcat Vmware Horizon untuk menjalankan perintah PowerShell. Perintah PowerShell ini pada akhirnya akan mengarah pada pemasangan pintu belakang NukeSped di server.

Log untuk instalasi NukeSped (ASEC)

NukeSped (atau NukeSpeed) adalah malware backdoor yang pertama kali dikaitkan dengan peretas DPRK pada musim panas 2018 dan kemudian ditautkan ke kampanye 2020 yang diatur oleh Lazarus.

Varian terbaru yang diambil sampelnya dan dianalisis oleh ASEC ditulis dalam C++ dan menggunakan enkripsi RC4 untuk berkomunikasi secara aman dengan infrastruktur C2. Sebelumnya, ini menggunakan XOR.

NukeSped melakukan berbagai operasi spionase di lingkungan yang disusupi, seperti mengambil tangkapan layar, merekam penekanan tombol, mengakses file, dll. Selain itu, NukeSped mendukung perintah baris perintah.

Dua modul baru yang terlihat pada varian NukeSped saat ini adalah satu untuk membuang konten USB dan satu untuk mengakses perangkat kamera web.

Lazarus menggunakan NukeSped untuk menginstal malware pencuri informasi berbasis konsol tambahan, yang mengumpulkan informasi yang disimpan di browser web.

Pencuri info mengambil data dari browser (ASEC)

Lebih khusus lagi, malware yang dianalisis oleh ASEC dapat mencuri data berikut:

  • Kredensial akun dan riwayat penelusuran disimpan di Google Chrome, Mozilla Firefox, Internet Explorer, Opera, dan Naver Whale.
  • Informasi akun email yang disimpan di Outlook Express, MS Office Outlook, dan Windows Live Mail.
  • Nama file yang baru saja digunakan dari MS Office (PowerPoint, Excel, dan Word) dan Hancom 2010.
  • Dalam beberapa serangan, Lazarus terlihat menggunakan Jin Miner alih-alih NukeSped dengan memanfaatkan Log4Shell.

      • Karena Jin Miner adalah penambang cryptocurrency, Lazarus mungkin menggunakannya pada sistem yang kurang kritis yang ditargetkan untuk keuntungan moneter daripada spionase dunia maya.

      Sejak awal tahun, Lazarus terlihat menggunakan LoLBins dalam kampanye penargetan Windows dan aplikasi cryptocurrency berbahaya untuk menyusup ke komputer Windows dan macOS.

      Eksploitasi Log4Shell muncul di atas ini untuk menggarisbawahi berbagai taktik yang digunakan oleh kelompok peretasan dan untuk menggarisbawahi bahwa kelemahan RCE yang kritis tetap menjadi masalah keamanan yang signifikan.

      Pada bulan Maret, sebagian besar upaya eksploitasi dilakukan oleh botnet, sehingga banyak yang berasumsi bahwa penargetan berfokus pada sistem yang kurang diperhatikan dengan baik dan kurang penting.

      Pada bulan April, analis keamanan mengingatkan publik bahwa permukaan serangan Log4Shell tetap besar dan akan bertahan lama karena tantangan praktis.

      Sumber: Bleeping Computer

    Peretas menargetkan plugin Tatsu WordPress dalam jutaan serangan

    by

    Peretas secara besar-besaran mengeksploitasi kerentanan eksekusi kode jarak jauh, CVE-2021-25094, di plugin Tatsu Builder untuk WordPress, yang diinstal di sekitar 100.000 situs web.

    Hingga 50.000 situs web diperkirakan masih menjalankan versi plugin yang rentan, meskipun patch telah tersedia sejak awal April.

    Gelombang serangan besar dimulai pada 10 Mei 2022 dan mencapai puncaknya empat hari kemudian. Eksploitasi saat ini sedang berlangsung.

    Tatsu Builder adalah plugin populer yang menawarkan fitur pengeditan template canggih yang terintegrasi langsung ke browser web.

    Kerentanan yang ditargetkan adalah CVE-2021-25094, memungkinkan penyerang jarak jauh untuk mengeksekusi kode arbitrer di server dengan versi plugin yang kedaluwarsa (semua dibuat sebelum 3.3.12).

    Cacat itu ditemukan oleh peneliti independen Vincent Michel, yang mengungkapkannya secara terbuka pada 28 Maret 2022, bersama dengan kode eksploitasi proof of concept (PoC).

    Vendor merilis tambalan di versi 3.3.13 dan memberi tahu pengguna melalui email pada 7 April 2022, mendesak mereka untuk menerapkan pembaruan.

    Jumlah situs yang diserang (Wordfence)

    Wordfence, sebuah perusahaan yang menawarkan solusi keamanan untuk plugin WordPress, telah memantau serangan saat ini. Para peneliti memperkirakan bahwa ada antara 20.000 dan 50.000 situs web yang menjalankan versi Tatsu Builder yang rentan.

    Wordfence melaporkan melihat jutaan serangan terhadap pelanggannya, memblokir 5,9 juta upaya kekalahan pada 14 Mei 2022.

    Serangan terdeteksi dan diblokir oleh Wordfence

    Volume telah menurun pada hari-hari berikutnya, tetapi upaya eksploitasi terus berlanjut pada tingkat yang tinggi.

    Pelaku ancaman mencoba menyuntikkan penetes malware ke dalam subfolder dari direktori “wp-content/uploads/typehub/custom/” dan menjadikannya file tersembunyi.

    Fungsi pemeriksaan file ekstensi melewatkan file tersembunyi (darkpills)

    Dropper bernama “.sp3ctra_XO.php” dan memiliki hash MD5 dari 3708363c5b7bf582f8477b1c82c8cbf8.

    Wordfence melaporkan bahwa lebih dari satu juta serangan datang dari hanya tiga alamat IP: 148.251.183[.]254, 176.9.117[.]218, dan 217.160.145[.]62. Administrator situs web disarankan untuk menambahkan IP ini ke daftar blokir mereka.

    Tentu saja, indikator kompromi ini tidak stabil dan penyerang dapat beralih ke yang lain, terutama sekarang setelah mereka diekspos ke publik.

    Semua pengguna plugin Tatsu Builder sangat disarankan untuk meningkatkan ke versi 3.3.13 untuk menghindari risiko serangan.

    Sumber: Bleeping Computer

    Pembaruan darurat Apple memperbaiki zero-day yang digunakan untuk meretas Mac, Jam Tangan

    by

    Apple telah merilis pembaruan keamanan untuk mengatasi kerentanan zero-day yang dapat dieksploitasi oleh pelaku ancaman dalam serangan yang menargetkan perangkat Mac dan Apple Watch.

    Zero-days adalah kelemahan keamanan yang tidak disadari oleh vendor perangkat lunak dan belum ditambal. Dalam beberapa kasus, jenis kerentanan ini mungkin juga memiliki eksploitasi konsep yang tersedia untuk umum sebelum tambalan tiba atau dapat dieksploitasi secara aktif di alam liar.

    Dalam peringatan keamanan yang dikeluarkan pada hari Senin, Apple mengungkapkan bahwa mereka mengetahui laporan bug keamanan ini “mungkin telah dieksploitasi secara aktif.”

    Cacat tersebut adalah masalah penulisan di luar batas (CVE-2022-22675) di AppleAVD (ekstensi kernel untuk decoding audio dan video) yang memungkinkan aplikasi mengeksekusi kode arbitrer dengan hak istimewa kernel.

    Bug tersebut dilaporkan oleh peneliti anonim dan diperbaiki oleh Apple di macOS Big Sur 11.6., watchOS 8.6, dan tvOS 15.5 dengan pemeriksaan batas yang ditingkatkan.

    Daftar perangkat yang terpengaruh termasuk Apple Watch Series 3 atau lebih baru, Mac yang menjalankan macOS Big Sur, Apple TV 4K, Apple TV 4K (generasi ke-2), dan Apple TV HD.

    Sementara Apple mengungkapkan laporan eksploitasi aktif di alam liar, itu tidak merilis info tambahan mengenai serangan ini.

    Dengan menahan informasi, perusahaan kemungkinan bertujuan untuk memungkinkan pembaruan keamanan menjangkau sebanyak mungkin Apple Watch dan Mac sebelum penyerang mengetahui detail zero-day dan mulai menyebarkan eksploitasi dalam serangan lain.

    Meskipun zero-day ini kemungkinan besar hanya digunakan dalam serangan yang ditargetkan, tetap sangat disarankan untuk menginstal pembaruan keamanan macOS dan watchOS hari ini sesegera mungkin untuk memblokir upaya serangan.

    Pada bulan Januari, Apple menambal dua zero-days lainnya yang dieksploitasi di alam liar untuk memungkinkan penyerang mendapatkan eksekusi kode arbitrer dengan hak kernel (CVE-2022-22587) dan melacak aktivitas penelusuran web dan identitas pengguna secara real-time (CVE-2022-22594) .

    Satu bulan kemudian, Apple merilis pembaruan keamanan untuk menambal bug zero-day baru (CVE-2022-22620) yang dieksploitasi untuk meretas iPhone, iPad, dan Mac, yang menyebabkan crash OS dan eksekusi kode jarak jauh pada perangkat Apple yang disusupi.

    Pada bulan Maret, dua lagi mengeksploitasi zero-days secara aktif di Intel Graphics Driver (CVE-2022-22674) dan dekoder media AppleAVD (CVE-2022-22675), yang terakhir juga di-backport hari ini di versi macOS yang lebih lama, di watchOS 8.6, dan di tvOS 15.5.

    Lima zero-days ini berdampak pada iPhone (iPhone 6s dan yang lebih baru), Mac yang menjalankan macOS Monterey, dan beberapa model iPad.

    Sepanjang tahun lalu, perusahaan juga menambal daftar panjang zero-days yang dieksploitasi di alam liar untuk menargetkan perangkat iOS, iPadOS, dan macOS.

    Berikut daftar produk yang di update:

    • watchOS 8.6
    • tvOS 15.3
    • macOS Catalina
    • macOS Big Sur 11.6.6
    • macOS Monterey 12.4
    • iOS 15.5 and iPad OS 15.5
    • Xcode 13.4

    Sumber: Bleeping Computer
    Update Links: Software Patches Update

    Microsoft: Botnet Sysrv menargetkan server Windows, Linux dengan eksploitasi baru

    by

    Microsoft mengatakan botnet Sysrv sekarang mengeksploitasi kerentanan di Spring Framework dan WordPress untuk menjerat dan menyebarkan malware cryptomining pada server Windows dan Linux yang rentan.

    Redmond menemukan varian baru (dilacak sebagai Sysrv-K) yang telah ditingkatkan dengan lebih banyak kemampuan, termasuk memindai penyebaran WordPress dan Spring yang belum ditambal.

    “Kerentanan ini, yang semuanya telah diatasi oleh pembaruan keamanan, termasuk kerentanan lama di plugin WordPress, serta kerentanan yang lebih baru seperti CVE-2022-22947.”

    CVE-2022-22947 adalah kerentanan injeksi kode di library Spring Cloud Gateway yang dapat disalahgunakan untuk eksekusi kode jarak jauh pada host yang belum ditambal.

    Sebagai bagian dari kemampuan yang baru ditambahkan ini, Sysrv-K memindai file konfigurasi WordPress dan cadangannya untuk mencuri kredensial basis data, yang kemudian digunakan untuk mengambil alih server web.

    Pertama kali ditemukan oleh peneliti keamanan Alibaba Cloud (Aliyun) pada Februari setelah aktif sejak Desember 2020, malware ini juga mendarat di radar peneliti keamanan di Lacework Labs dan Juniper Threat Labs menyusul lonjakan aktivitas di bulan Maret.

    Seperti yang mereka amati, Sysrv memindai Internet untuk server perusahaan Windows dan Linux yang rentan dan menginfeksi mereka dengan penambang Monero (XMRig) dan muatan malware yang menyebar sendiri.

    Untuk meretas masuk ke server web ini, botnet mengeksploitasi kelemahan dalam aplikasi web dan database, seperti PHPUnit, Apache Solar, Confluence, Laravel, JBoss, Jira, Sonatype, Oracle WebLogic, dan Apache Struts.

    Setelah membunuh penambang cryptocurrency yang bersaing dan menyebarkan muatannya sendiri, Sysrv juga menyebar secara otomatis melalui jaringan melalui serangan brute force menggunakan kunci pribadi SSH yang dikumpulkan dari berbagai lokasi di server yang terinfeksi (mis., riwayat bash, konfigurasi ssh, dan file known_hosts).

    Komponen propagator botnet akan secara agresif memindai Internet untuk sistem Windows dan Linux yang lebih rentan untuk ditambahkan ke pasukan bot penambangan Monero.

    Sysrv sepenuhnya mengkompromikan mereka menggunakan eksploitasi yang menargetkan injeksi kode jarak jauh atau kerentanan eksekusi yang memungkinkannya mengeksekusi kode berbahaya dari jarak jauh.

    Sumber: Bleeping Computer

    RIG Exploit Kit menjatuhkan malware RedLine melalui bug Internet Explorer

    by

    Analis ancaman telah menemukan kampanye baru yang menggunakan RIG Exploit Kit untuk mengirimkan malware pencuri RedLine.

    Exploit kits (EKs) telah menurun drastis popularitasnya karena mereka menargetkan kerentanan di browser web yang diperkenalkan oleh perangkat lunak plug-in seperti Flash Player dan Microsoft Sillverlight yang sekarang sudah tidak berfungsi.

    Seiring dengan semakin amannya browser web dan memperkenalkan pembaruan otomatis untuk semua komponennya atau menggantinya dengan standar modern, penggunaan EK untuk mendistribusikan malware telah menurun hingga menjadi hal yang jarang ditemui akhir-akhir ini.

    Kampanye yang baru-baru ini diselidiki yang mengandalkan RIG EK memanfaatkan CVE-2021-26411, kerentanan Internet Explorer yang menyebabkan kerusakan memori saat melihat situs web yang dibuat secara khusus.

    Pelaku ancaman menggunakan eksploit untuk mengkompromikan mesin dan menyebarkan RedLine, malware pencuri informasi yang murah namun kuat yang beredar luas di forum berbahasa Rusia.

    Dari sana, musuh menggali detail pengguna yang sensitif seperti kunci dompet cryptocurrency, detail kartu kredit, dan kredensial akun yang disimpan di browser web.

    Sesuai dengan namanya, RIG EK menyertakan serangkaian eksploitasi untuk mengotomatiskan intrusi jaringan dengan melakukan eksekusi shellcode yang diperlukan pada target.

    Ini telah digunakan secara luas dalam berbagai kampanye sejak 2016. Popularitasnya memuncak pada 2018 dan 2019 untuk menyebarkan berbagai malware, termasuk ransomware seperti Nemty, Sodinokibi/REvil, Buran, dan Eris.

    Itu pernah lebih disukai daripada kit lain karena menggabungkan teknologi yang berbeda seperti JavaScript, VBScript, DoSWF, dan lainnya, yang digunakan untuk pengemasan, kebingungan, dan eksekusi.

    Saat ini, RIG Exploit telah kehilangan status prestisiusnya tetapi beberapa pelaku ancaman masih merasa berguna untuk mengirimkan malware, seperti yang terjadi tahun lalu, ketika menjatuhkan malware WastedLoader.

    Kampanye baru-baru ini ditemukan oleh para peneliti di Bitdefender, yang menemukan bahwa RIG EK menggabungkan CVE-2021-26411 untuk memulai proses infeksi yang menyelundupkan salinan pencuri RedLine ke target dalam bentuk kemasan.

    Menjatuhkan muatan pada sistem target (Bitdefender)

    Eksploitasi menciptakan proses baris perintah baru yang menjatuhkan file JavaScript di direktori sementara, yang pada gilirannya mengunduh muatan terenkripsi RC4 kedua dan meluncurkannya.

    Pembongkaran pencuri RedLine adalah proses enam tahap yang terdiri dari dekompresi, pengambilan kunci, dekripsi runtime, dan tindakan perakitan. File DLL yang dihasilkan tidak pernah menyentuh memori disk untuk menghindari deteksi AV.

    Tahap kedua membongkar muatan (Bitdefender)

    Setelah RedLine terbentuk pada mesin yang disusupi sebagai .NET yang dapat dieksekusi yang dikaburkan, ia mencoba menyambung ke server C2, dalam kampanye ini, 185.215.113.121 melalui port 15386.

    Komunikasi menggunakan saluran non-HTTP terenkripsi, sedangkan permintaan pertama juga melibatkan otorisasi. Permintaan kedua dijawab dengan daftar pengaturan yang menentukan tindakan apa yang akan dilakukan pada host.

    Pengaturan diterima oleh C2 (Bitdefender)

    Setelah itu, RedLine mulai mengumpulkan data sesuai dengan pengaturan tersebut, menargetkan serangkaian luas perangkat lunak seperti browser web, VPN, klien FTP, Discord, Telegram, Steam, dan dompet/plugin cryptocurrency.

    Selain itu, RedLine mengirimkan paket informasi sistem ke C2, termasuk nama pengguna Windows dan nomor seri, daftar perangkat lunak yang diinstal, daftar proses yang berjalan, zona waktu, bahasa aktif, dan tangkapan layar.

    Meskipun metode ini memerlukan tindakan pengguna dan menargetkan audiens yang lebih luas, penambahan RIG Exploit Kit mengotomatiskan proses infeksi tetapi membatasi set korban untuk mereka yang masih menjalankan versi Internet Explorer yang rentan.

    Sumber: Bleeping Computer

    Peretas mengeksploitasi kelemahan penting VMware RCE untuk memasang pintu belakang

    by

    Peretas tingkat lanjut secara aktif mengeksploitasi kerentanan eksekusi kode jarak jauh (RCE), CVE-2022-22954, yang memengaruhi VMware Workspace ONE Access (sebelumnya disebut VMware Identity Manager).

    Masalah ini telah diatasi dalam pembaruan keamanan 20 hari yang lalu bersama dengan dua RCE lainnya – CVE-2022-22957 dan CVE-2022-22958 yang juga memengaruhi VMware Identity Manager (vIDM), VMware vRealize Automation (vRA), VMware Cloud Foundation, dan vRealize Suite Lifecycle Manager.

    Segera setelah pengungkapan kelemahan tersebut kepada publik, kode eksploitasi bukti konsep (PoC) muncul di ruang publik, memungkinkan peretas memanfaatkan untuk menargetkan penyebaran produk VMware yang rentan. VMware mengkonfirmasi eksploitasi CVE-2022-22954 di alam liar.

    Sekarang, para peneliti di Morphisec melaporkan melihat eksploitasi dari aktor ancaman persisten tingkat lanjut (APT), khususnya kelompok peretasan Iran yang dilacak sebagai APT35, alias “Rocket Kitten.”

    Musuh mendapatkan akses awal ke lingkungan dengan mengeksploitasi CVE-2022-22954, satu-satunya di trio RCE yang tidak memerlukan akses administratif ke server target dan juga memiliki eksploitasi PoC yang tersedia untuk umum.

    Serangan dimulai dengan mengeksekusi perintah PowerShell pada layanan yang rentan (Identity Manager), yang meluncurkan stager.

    Stager kemudian mengambil pemuat PowerTrash dari server perintah dan kontrol (C2) dalam bentuk yang sangat dikaburkan dan memuat agen Dampak Inti ke dalam memori sistem.

    Aliran serangan APT35 (Morphisec)

    Core Impact adalah alat pengujian penetrasi yang sah yang disalahgunakan untuk tujuan jahat dalam kasus ini, mirip dengan bagaimana Cobalt Strike digunakan dalam kampanye jahat.

    “Penelitian Morphisec mengamati penyerang yang sudah mengeksploitasi kerentanan ini (CVE-2022-22954) untuk meluncurkan backdoor HTTPS terbalik—terutama Cobalt Strike, Metasploit, atau Core Impact beacon” – Morphisec

    CTO Morphisec Michael Gorelik mengatakan bahwa penyerang mencoba gerakan lateral pada jaringan, meskipun pintu belakang dihentikan.

    Morphisec dapat mengambil alamat C2 server stager, versi klien Core Impact, dan kunci enkripsi 256-bit yang digunakan untuk komunikasi C2, dan akhirnya menghubungkan operasi tersebut dengan orang tertentu bernama Ivan Neculiti dan sebuah perusahaan bernama Stark Industries.

    Beberapa perusahaan dalam database paparan penipuan yang mencantumkan nama Neculiti sebagai rekanan atau penerima manfaat. Basis data tersebut mencakup perusahaan hosting yang diduga mendukung situs web ilegal yang digunakan dalam kampanye spam dan phishing.

    Pembaruan [26 April, 12:04]: BleepingComputer menerima pernyataan dari P.Q. Hosting S.R.L., yang berkantor pusat di Moldova dan perusahaan induk Stark Industries, menolak keterlibatan mereka yang disengaja dalam kegiatan ilegal:

    Sumber: Bleeping Computer

    CISA memperingatkan penyerang yang sekarang mengeksploitasi bug Windows Print Spooler

    by

    Cybersecurity and Infrastructure Security Agency (CISA) telah menambahkan tiga kelemahan keamanan baru ke daftar bug yang dieksploitasi secara aktif, termasuk bug eskalasi hak istimewa lokal di Windows Print Spooler.

    Kerentanan tingkat keparahan tinggi ini (dilacak sebagai CVE-2022-22718) berdampak pada semua versi Windows sesuai dengan saran Microsoft dan telah ditambal selama Patch Februari 2022 pada hari Selasa.

    Satu-satunya informasi yang dibagikan Microsoft tentang kelemahan keamanan ini adalah bahwa pelaku ancaman dapat mengeksploitasinya secara lokal dalam serangan dengan kompleksitas rendah tanpa interaksi pengguna.

    Redmond menambal beberapa bug Windows Print Spooler lainnya dalam 12 bulan terakhir, termasuk kerentanan eksekusi kode jarak jauh PrintNightmare yang kritis.

    Setelah detail teknis dan eksploitasi proof-of-concept (POC) untuk PrintNightmare secara tidak sengaja bocor, CISA memperingatkan admin untuk menonaktifkan layanan Windows Print Spooler pada Pengontrol Domain dan sistem yang tidak digunakan untuk mencetak untuk memblokir kemungkinan serangan masuk.

    Minggu lalu, CISA menambahkan bug eskalasi hak istimewa lainnya di Driver Sistem File Log Umum Windows ke daftar kelemahan yang dieksploitasi di alam liar, bug yang dilaporkan oleh CrowdStrike dan Badan Keamanan Nasional AS (NSA) dan ditambal oleh Microsoft selama Patch Selasa bulan ini. .

    Menurut arahan operasional yang mengikat November (BOD 22-01), semua lembaga Federal Civilian Executive Branch Agencies (FCEB) harus mengamankan sistem mereka dari kelemahan keamanan yang ditambahkan ke katalog CISA tentang Kerentanan Tereksploitasi yang Diketahui (KEV).

    CISA telah memberikan waktu tiga minggu kepada agensi, hingga 10 Mei, untuk menambal kerentanan CVE-2022-22718 yang sekarang aktif dieksploitasi dan memblokir upaya eksploitasi yang sedang berlangsung.

    Meskipun arahan ini hanya berlaku untuk agen federal AS, CISA juga sangat mendesak semua organisasi AS untuk memperbaiki elevasi bug hak istimewa Windows Print Spooler ini untuk menggagalkan upaya untuk meningkatkan hak istimewa pada sistem Windows mereka.

    Badan keamanan siber AS menambahkan dua kerentanan keamanan lama ke katalog KEV-nya hari ini, juga disalahgunakan dalam serangan yang sedang berlangsung.

    Nama Kerentanan CVE Tanggal Ditambahkan

    • CVE-2022-22718 Microsoft Windows Print Spooler Privilege Eskalasi Kerentanan 2022-04-19
    • CVE-2018-6882 Zimbra Collaboration Suite (ZCS) Skrip Lintas Situs (XSS) 2022-04-19
    • CVE-2019-3568 WhatsApp VOIP Stack Buffer Overflow Kerentanan 2022-04-19

    Sejak BOD 22-01 binding directive dikeluarkan, CISA telah menambahkan ratusan bug keamanan ke dalam daftar kerentanan yang dieksploitasi secara aktif, memerintahkan agen federal AS untuk menambalnya sesegera mungkin untuk mencegah pelanggaran.

    Sumber : Bleeping Computer

    Peretas China terkait dengan serangan berbulan-bulan di sektor keuangan Taiwan

    by

    Sebuah kelompok peretas yang berafiliasi dengan pemerintah China diyakini telah melakukan serangan selama berbulan-bulan terhadap sektor keuangan Taiwan dengan memanfaatkan kerentanan dalam solusi perangkat lunak keamanan yang digunakan oleh sekitar 80% dari semua organisasi keuangan lokal.

    Serangan itu diyakini telah dimulai pada akhir November 2021 dan masih berlangsung bulan ini, Perusahaan menghubungkan penyusupan—yang dilacak dengan nama sandi Operation Cache Panda—dengan kelompok spionase siber China yang terkenal di industri keamanan siber sebagai APT10.

    Perusahaan keamanan mengatakan bahwa mereka tidak dapat membagikan nama produk yang dieksploitasi dalam serangan saat ini karena penyelidikan penegakan hukum yang sedang berlangsung dan karena upaya untuk merilis dan memasang patch di seluruh keuangan lokal.

    Sebaliknya, perusahaan mengatakan bahwa serangan awalnya tidak terdeteksi karena salah klasifikasi.

    Investigasi terhadap serangan November 2021 melewatkan bagian di mana peretas mengeksploitasi kerentanan perangkat lunak dan hanya melihat serangan isian kredensial yang digunakan APT10 sebagai kedok dan cara untuk mendapatkan akses ke beberapa akun perdagangan, yang mereka gunakan untuk melakukan transaksi besar di Hong Kong. pasar saham.

    Namun peneliti CyCraft mengatakan bahwa serangan credential stuffing hanya digunakan sebagai kedok. Pada kenyataannya, APT10 mengeksploitasi kerentanan di antarmuka web dari alat keamanan, menanam versi shell web ASPXCSharp, dan kemudian menggunakan alat yang disebut Impacket untuk memindai jaringan internal perusahaan target.

    Penyerang kemudian menggunakan teknik yang disebut pemuatan kode reflektif untuk menjalankan kode berbahaya pada sistem lokal dan menginstal versi Quasar RAT yang memungkinkan penyerang terus-menerus mengakses sistem yang terinfeksi menggunakan terowongan RDP terbalik.

    CyCraft mengatakan dapat mengungkap kebenaran di balik serangan November 2021 setelah salah satu pelanggannya diserang pada Februari 2022.

    “Tujuan dari serangan itu tampaknya bukan untuk keuntungan finansial, melainkan pemusnahan informasi perantara, data PII, dan gangguan investasi selama periode pertumbuhan ekonomi untuk Taiwan,” tambahnya.

    Serangan itu tidak mengejutkan, karena kelompok spionase siber China telah mengincar Taiwan selama bertahun-tahun, setelah berulang kali dan tanpa henti menyerang hampir semua sektor pemerintah lokal dan ekonominya.

    Sumber : The Record Media