Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Hijack

Hijack

Para Peretas Melakukan Hijacking pada Situs-situs Resmi untuk Hosting Skrip Pencuri Kartu Kredit.

by

Sebuah kampanye baru yang mencuri kartu kredit Magecart menyusupi situs-situs resmi untuk berfungsi sebagai server command and control (C2) sementara untuk menyisipkan dan menyembunyikan perangkat penyadap pada situs-situs eCommerce yang ditargetkan.

Serangan Magecart terjadi ketika peretas meretas toko-toko online untuk menyisipkan skrip berbahaya yang mencuri kartu kredit dan informasi pribadi pelanggan selama proses pembayaran.

Menurut peneliti dari Akamai yang memantau kampanye ini, telah terjadi kompromi pada organisasi di Amerika Serikat, Inggris, Australia, Brasil, Peru, dan Estonia.

Langkah pertama yang dilakukan oleh para penyerang adalah mengidentifikasi situs resmi yang rentan dan meretasnya untuk menyimpan kode berbahaya mereka, menggunakan situs-situs tersebut sebagai server C2 untuk serangan mereka.

Dengan mendistribusikan perangkat penyadap kartu kredit menggunakan situs web resmi yang memiliki reputasi baik, para pelaku ancaman dapat menghindari deteksi dan pemblokiran serta tidak perlu mengatur infrastruktur mereka sendiri.

“Dalam laporan kami, meskipun tidak jelas bagaimana situs-situs ini diretas, berdasarkan penelitian kami yang baru-baru ini dilakukan terhadap kampanye serupa sebelumnya, para penyerang biasanya mencari kerentanan pada platform perdagangan digital situs web yang ditargetkan (seperti Magento, WooCommerce, WordPress, Shopify, dll.) atau pada layanan pihak ketiga yang rentan yang digunakan oleh situs web,” menjelaskan Akamai dalam laporannya.

Akamai melaporkan adanya dua varian perangkat penyadap yang digunakan dalam kampanye ini.

Varian pertama adalah versi yang sangat terenkripsi yang berisi daftar pemilih CSS yang menargetkan informasi identitas pribadi pelanggan dan detail kartu kredit. Pemilih CSS tersebut berbeda untuk setiap situs yang ditargetkan, dibuat khusus untuk sesuai dengan masing-masing korban.

Varian kedua dari perangkat penyadap tidak dilindungi dengan baik, sehingga mengekspos petunjuk dalam kode yang membantu Akamai memetakan jangkauan kampanye dan mengidentifikasi korban tambahan.

Setelah perangkat penyadap mencuri detail pelanggan, data tersebut dikirim ke server penyerang melalui permintaan HTTP yang dibuat sebagai tag IMG dalam perangkat penyadap.

Selengkapnya: Bleeping Computer

Peneliti membajak paket PHP Packagist populer untuk mendapatkan pekerjaan

by

Seorang peneliti membajak lebih dari selusin paket Packagist — dengan beberapa telah diinstal ratusan juta kali selama masa pakainya.

Peneliti menjangkau BleepingComputer yang menyatakan bahwa dengan membajak paket-paket ini dia berharap mendapatkan pekerjaan. Dan, dia tampaknya cukup yakin bahwa ini akan berhasil.

seorang peneliti dengan nama samaran ‘neskafe3v1’ menghubungi BleepingComputer menyatakan bahwa dia telah mengambil lebih dari empat belas paket Packagist, dengan salah satunya memiliki lebih dari 500 juta pemasangan.

Packagist adalah registry utama paket PHP yang dapat diinstal melalui Composer, alat manajemen ketergantungan. Daripada menghosting paket-paket ini, Packagist lebih berfungsi sebagai direktori metadata yang mengumpulkan paket-paket open source yang dipublikasikan ke GitHub. Paket-paket ini kemudian dapat diinstal oleh pengembang di mesin mereka dengan menjalankan perintah instal komposer.

Proses penerbitan di Packagist sedikit berbeda dengan yang ada di repo open source seperti npm atau PyPI. Seorang pengembang, sebagai lawan mengunggah binari atau rilis perangkat lunak langsung ke Packagist.org, cukup membuat akun Packagist.org, dan “mengirimkan” tautan ke repo GitHub mereka untuk paket tertentu. Perayap Packagist kemudian mengunjungi repo yang disediakan dan mengumpulkan semua data untuk ditampilkan di halaman Packagist untuk paket itu.

Ketika pengembang menjalankan Komposer dengan perintah ‘instal’ atau ‘perbarui’, instance Komposer mereka mungkin pertama-tama mencari keberadaan paket secara lokal, jika gagal, secara default akan mencari di Packagist untuk paket ini dan mengambil URL GitHub yang terdaftar untuk paket itu . Isi paket kemudian diunduh dari repo GitHub ini yang terdaftar di halaman Paket Paket.

Ini sangat kontras dengan cara kerja npm atau PyPI—yaitu, pendaftar ini menghosting dan mendistribusikan rilis perangkat lunak langsung dari server mereka.

selengkapnya : bleepingcomputer.com

Malware Android ini dapat merekam panggilan Anda, membajak ponsel Anda — periksa 3 aplikasi ini

by

Ancaman malware Android baru tampaknya muncul setiap minggu, jika tidak lebih sering, tetapi beberapa lebih menakutkan daripada yang lain.

Momok terbaru untuk OS seluler Google terungkap dalam sebuah laporan oleh perusahaan keamanan siber CloudSEK, dan memiliki potensi penjahat film horor karena tahan terhadap aplikasi antivirus. Itu dapat merekam panggilan Anda, mencuri data di ponsel Anda sebelum mengenkripsinya, dan akhirnya, itu dapat mengunci Anda dari ponsel Anda (melalui Tom’s Guide).

Alasan mengapa Daam sangat berbahaya, untuk tetap menggunakan metafora film horor kami, adalah karena, seperti vampir, ia hanya perlu diundang – dan kemudian akan menguras Anda untuk semua nilai Anda. Cara menyelinap ke ponsel Anda ada di dalam aplikasi yang di-sideload.

Ini adalah aplikasi yang telah Anda unduh dari sumber apa pun selain Google Play Store. Terkadang, aplikasi antivirus akan mendeteksi malware yang masuk ke ponsel Anda dengan cara ini, tetapi sayangnya, tidak demikian halnya dengan Daam.

Dan setelah aplikasi yang terinfeksi diinstal, Daam memiliki daftar kemampuan cucian yang semuanya berarti bencana bagi Anda dan ponsel Anda. Berikut ini ikhtisar singkat tentang kemampuan malware:

  • Rekam setiap panggilan masuk atau keluar, bahkan dari aplikasi pihak ke-3 seperti WhatsApp.
  • Curi file Anda, termasuk media dan kontak.
  • Enkripsi file Anda sehingga Anda tidak dapat mengaksesnya.
  • Ubah kata sandi atau PIN perangkat Anda untuk mengunci Anda dari ponsel.

Selengkapnya: Laptop Mag

Hasil pencarian Bing dibajak melalui aplikasi Microsoft yang salah konfigurasi

by

Aplikasi Microsoft yang salah konfigurasi memungkinkan siapa pun untuk masuk dan mengubah hasil pencarian Bing.com secara real-time, serta menyuntikkan serangan XSS untuk berpotensi merusak akun pengguna Office 365.

Masalah keamanan ditemukan oleh Wiz Research, yang menamakan serangan itu “BingBang.”

Analis Wiz melaporkan masalah tersebut ke Microsoft pada 31 Januari 2023, dan raksasa teknologi tersebut mengonfirmasi bahwa masalah tersebut telah diperbaiki pada 28 Maret 2023.

Peneliti Wiz menemukan bahwa saat membuat aplikasi di Layanan Aplikasi Azure dan Fungsi Azure, aplikasi dapat dikonfigurasi secara keliru untuk mengizinkan pengguna dari penyewa Microsoft mana pun, termasuk pengguna publik, untuk masuk ke aplikasi.

Pengaturan konfigurasi ini disebut ‘Support account types’ dan memungkinkan pengembang menentukan apakah multi-penyewa penyewa tertentu, akun pribadi, atau campuran multi akun dan pribadi harus diizinkan untuk mengakses aplikasi.

Opsi konfigurasi ini ditawarkan untuk kasus yang sah di mana pengembang harus membuat aplikasi mereka tersedia melintasi batas organisasi.

Namun, jika pengembang secara keliru memberikan izin yang lebih longgar, hal itu dapat menyebabkan akses yang tidak diinginkan ke aplikasi dan fitur-fiturnya.

“Arsitektur Tanggung Jawab Bersama ini tidak selalu jelas bagi pengembang, dan akibatnya, kesalahan validasi dan konfigurasi cukup lazim,” komentar Wiz dalam laporannya.

Begitulah besarnya masalah kesalahan konfigurasi sehingga sekitar 25% dari aplikasi multi-penyewa yang dipindai oleh Wiz salah konfigurasi, memungkinkan akses tanpa syarat tanpa validasi pengguna yang tepat.

Dalam beberapa kasus, aplikasi yang salah dikonfigurasi adalah milik Microsoft, menyoroti betapa mudahnya bagi admin untuk membuat kesalahan dalam konfigurasi Azure AD.

Selengkapnya: Bleeping Computer

Konferensi Zoom Fed AS Dibatalkan Setelah ‘Bom Porno’

by

Acara Zoom Federal Reserve dengan lebih dari 220 orang dibatalkan Kamis setelah pengguna membajak proses dan menampilkan konten pornografi, laporan Reuters(Buka di jendela baru).

Pembajakan tersebut membuat Gubernur Fed Christopher Waller tidak dapat menyampaikan pidato pembukaannya karena gambar grafik dari peserta telepon bernama “Dan” mulai muncul di layar.

Dalam sebuah pernyataan kepada Reuters, Brent Tjarks, direktur eksekutif Koalisi Bank Ukuran Menengah Amerika (MBCA), yang menjadi tuan rumah acara Zoom, mengatakan: “Kami adalah korban telekonferensi atau pembajakan Zoom dan kami mencoba untuk memahami apa kita perlu lakukan ke depan untuk mencegah hal ini terjadi lagi. Ini adalah insiden yang sangat kami sesali. Kami telah memiliki berbagai program dan ini adalah sesuatu yang belum pernah terjadi pada kami.”

Tjarks menambahkan bahwa dia mencurigai tombol keamanan untuk acara Zoom yang akan membisukan pengguna dan mencegah mereka berbagi layar mereka tidak disetel dengan benar, meskipun dia tidak dapat memastikannya.

MBCA, yang sekitar 100 anggotanya termasuk bank dengan aset antara $10 miliar dan $100 miliar, membuat keputusan untuk membatalkan acara beberapa menit setelah dijadwalkan dimulai, dengan alasan “kesulitan teknis”. Waller dijadwalkan untuk berbicara tentang inflasi dan prospek ekonomi hingga 2023, selain sesi tanya jawab dengan anggota MBCA.

Seorang juru bicara Zoom mengatakan kepada Reuters bahwa pihaknya “mengutuk keras perilaku seperti itu.”

Selengkapnya: PC Mag

Server Git PHP diretas untuk menambahkan backdoor ke kode sumber PHP

by

Dalam serangan rantai pasokan perangkat lunak terbaru, repositori resmi PHP Git diretas dan basis kode dirusak. Kemarin, dua komit berbahaya didorong ke repositori php-src Git yang dikelola oleh tim PHP di server git.php.net mereka. Aktor ancaman telah menandatangani komitmen ini seolah-olah ini dibuat oleh pengembang dan pengelola PHP terkenal, Rasmus Lerdorf dan Nikita Popov.

Backdoor RCE ditanam di server PHP Git
Dalam upaya untuk mengkompromikan basis kode PHP, dua komit berbahaya didorong ke repositori resmi PHP Git kemarin.

Insiden ini mengkhawatirkan mengingat PHP tetap menjadi bahasa pemrograman sisi server yang menguasai 79% situs web di Internet.

Penyerang mengupload perubahan misterius”perbaiki kesalahan ketik” dengan dalih koreksi tipografi kecil.

Namun, perhatikan baris 370 yang ditambahkan di mana fungsi zend_eval_string dipanggil, kode sebenarnya menanamkan backdoor untuk mendapatkan Remote Code Execution (RCE) yang mudah di situs web yang menjalankan versi PHP yang dibajak ini.

“Baris ini mengeksekusi kode PHP dari dalam header HTTP agen pengguna, jika string dimulai dengan ‘zerodium’,” kata pengembang PHP, Jake Birchall.

Selain itu, komit berbahaya dibuat atas nama pembuat PHP, Rasmus Lerdorf.

Tapi, itu tidak mengherankan karena dengan sistem kendali versi kode sumber seperti Git, adalah mungkin untuk menandatangani komit yang berasal dari orang lain secara lokal dan kemudian mengunggah komit yang dipalsukan ke server Git jarak jauh, di mana itu memberikan kesan sebagai jika memang telah ditandatangani oleh orang yang disebutkan di atasnya.

Meskipun penyelidikan lengkap atas insiden tersebut sedang berlangsung, menurut pengelola PHP, aktivitas berbahaya ini berasal dari server git.php.net yang disusupi, bukan akun Git individu.

Tim PHP juga merilis pernyataan rsmi seperti yang dilihat pada situs ini

Source : BleepingComputer