Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for kerentanan

kerentanan

Kerentanan TikTok dengan ‘keparahan tinggi’ memungkinkan peretas pembajakan akun

by

Microsoft menemukan dan melaporkan kelemahan parah pada aplikasi TikTok Android pada bulan Februari yang memungkinkan penyerang “dengan cepat dan diam-diam” mengambil alih akun dengan satu klik dengan mengelabui target agar mengklik tautan berbahaya yang dibuat khusus.

Mengklik tautan tersebut dapat mengungkapkan lebih dari 70 metode JavaScript yang dapat disalahgunakan oleh penyerang dengan bantuan eksploit yang dirancang untuk membajak WebView aplikasi TikTok (komponen sistem Android yang digunakan oleh aplikasi yang rentan untuk menampilkan konten web).

Dengan menggunakan metode terbuka, pelaku ancaman dapat mengakses atau memodifikasi informasi pribadi pengguna TikTok atau melakukan permintaan HTTP yang diautentikasi.

Singkatnya, penyerang yang berhasil mengeksploitasi kerentanan ini dengan sukses dapat dengan mudah:

  • mengambil token otentikasi pengguna (dengan memicu permintaan ke server di bawah kendali mereka dan mencatat cookie dan header permintaan)
  • mengambil atau memodifikasi data akun TikTok pengguna, termasuk video pribadi dan pengaturan profil (dengan memicu permintaan ke titik akhir TikTok dan mengambil balasan melalui panggilan balik JavaScript)

    • Kerentanan keamanan, dilacak sebagai CVE-2022-28799, sekarang ditambal sejak rilis TikTok versi 23.7.3, diterbitkan kurang dari sebulan setelah pengungkapan awal Microsoft.

    Microsoft mengatakan belum menemukan bukti CVE-2022-28799 dieksploitasi di alam liar.

    Pengguna TikTok dapat bertahan dari masalah serupa dengan tidak mengeklik tautan dari sumber yang tidak tepercaya, memperbarui aplikasi mereka, hanya menginstal aplikasi dari sumber resmi, dan melaporkan perilaku aneh aplikasi apa pun sesegera mungkin.

    Informasi tambahan tentang bagaimana kerentanan ini dapat digunakan dalam serangan untuk pengambilalihan akun dapat ditemukan dalam laporan Microsoft.

    Pada November 2020, TikTok memperbaiki kerentanan yang memungkinkan pelaku ancaman dengan cepat membajak akun pengguna yang mendaftar melalui aplikasi pihak ketiga.

    Perusahaan juga telah mengatasi kelemahan keamanan lain yang memungkinkan penyerang mencuri informasi pribadi pengguna atau membajak akun mereka untuk memanipulasi video.

    Menurut entri Google Play Store-nya, aplikasi Android TikTok memiliki lebih dari 1 miliar pemasangan. Berdasarkan perkiraan Sensor Tower Store Intelligence, aplikasi seluler telah melampaui 2 miliar pemasangan di semua platform sejak April 2020.

    Sumber : Bleeping Computer

Video musik Janet Jackson menyatakan eksploitasi keamanan siber

by

Video musik untuk hit pop Janet Jackson tahun 1989, Rhythm Nation, telah diakui sebagai eksploitasi untuk kerentanan keamanan siber setelah Microsoft melaporkannya dapat merusak komputer laptop lama.

Kisah tersebut merinci bagaimana “produsen komputer besar menemukan bahwa memutar video musik untuk Rhythm Nation milik Janet Jackson akan merusak model laptop tertentu.”

Penyelidikan lebih lanjut mengungkapkan bahwa beberapa mesin pabrikan juga mogok. Terkadang memutar video di satu laptop akan membuat laptop lain di dekatnya mogok. Ini misterius karena lagunya sebenarnya tidak seburuk itu.

Investigasi mengungkapkan bahwa semua laptop yang mogok berbagi hard disk drive 5400 RPM yang sama.

Pabrikan yang menemukan masalah tampaknya menambahkan filter khusus di saluran audio untuk mendeteksi dan menghapus frekuensi yang mengganggu selama pemutaran audio.

Beberapa mesin modern memiliki hard disk drive, apalagi drive yang berputar dengan kecepatan sangat lambat 5400 putaran per menit. Juga, hampir tidak ada orang yang mendengarkan Janet Jackson lagi.

Register tetap melaporkan berita ini karena The Mitre Corporation telah melihat cocok untuk mendaftarkannya pada daftar Common Vulnerabilities and Exposures (CVEs) – daftar pasti kerentanan keamanan siber yang perlu kita semua waspadai.

Ini terdaftar sebagai CVE-2022-38392 dan telah diakui oleh vendor keamanan Tenable.

Meskipun bug tersebut tampak lucu, serangan saluran samping adalah ancaman nyata. Peneliti Israel Mordechai Guri telah menemukan cara untuk menyerang komputer termasuk dengan membuat memori memancarkan radiasi dalam pita yang sama yang digunakan oleh Wi-Fi dan mengkodekan informasi ke dalam emisi tersebut.

Oleh karena itu, pemilik laptop dengan hard disk lama, lambat, harus sangat berhati-hati jika mereka mendengar lagu Janet Jackson saat bekerja – itulah sebabnya kami tidak menyertakan Rhythm Nation dalam cerita ini.

Sumber: The Register

SmokeLoader Menyebar Secara Aktif dengan Mengeksploitasi Kerentanan Lama

by

Kerentanan yang tidak ditambal selalu menjadi titik manis bagi penjahat dunia maya untuk melancarkan serangan. Salah satu insiden yang menggambarkan keadaan menyedihkan dari sistem yang rentan telah menjadi perhatian akhir-akhir ini.

Para peneliti telah melihat eksploitasi massal dari dua kelemahan—CVE-2017-0199 dan CVE-2017-11882—yang berusia hampir lima tahun. Meskipun tambalan tersedia untuk kedua kekurangan, mereka terus dieksploitasi. Pelaku ancaman memanfaatkan kerentanan ini untuk mendistribusikan malware SmokeLoader.

SmokeLoader, yang tersedia di pasar dalam satu atau lain bentuk sejak 2011, terutama digunakan untuk mendistribusikan keluarga malware lain seperti TrickBot.

Modus operandi

  • Rantai infeksi dimulai dengan email phishing yang mendesak penerima untuk meninjau pesanan pembelian dan memeriksa tanggal yang terkait dengan pengiriman.
  • Email ini berasal dari alamat email web yang dihosting oleh perusahaan telekomunikasi besar di Taiwan dan menyertakan file excel seperti ‘Pesanan Pembelian FG-20220629.xlsx.’
  • File-file ini berisi eksploitasi untuk kerentanan dalam format terenkripsi.
  • Serangan itu juga memanfaatkan file EXE dan DLL untuk mem-bypass sistem keamanan email.

Sementara Fortinet menemukan bahwa sampel terbaru yang dijatuhkan oleh SmokeLoader adalah trojan zgRAT, ada juga laporan yang menjelaskan distribusi malware Amadey.

Menurut peneliti AhnLab, SmokeLoader digunakan dalam kampanye baru-baru ini yang menggunakan celah perangkat lunak dan situs keygen sebagai umpan.

Setelah celah perangkat lunak ini dibuka, mereka menyebabkan pengunduhan SmokeLoader yang akhirnya mendistribusikan versi baru malware Amadey.

Sementara CVE-2017-0199 dan CVE-2017-11882 ditemukan pada tahun 2017, mereka masih aktif dieksploitasi di berbagai kampanye lainnya. Ini menunjukkan bahwa pembuat malware mengandalkan kerentanan penuaan yang masih harus ditambal secara efektif di berbagai perangkat lunak. Sementara itu, kemunculan kembali SmokeLoader, menunjukkan bahwa penetes malware ada di sini untuk waktu yang lama.

Sumber: cyware

Peretas memindai kerentanan dalam waktu 15 menit setelah pengungkapan

by

Administrator sistem memiliki lebih sedikit waktu untuk menambal kerentanan keamanan yang diungkapkan daripada yang diperkirakan sebelumnya, karena laporan baru menunjukkan pelaku ancaman memindai titik akhir yang rentan dalam waktu 15 menit setelah CVE baru diungkapkan kepada publik.

Menurut Laporan Respons Insiden Unit 42 Palo Alto 2022, peretas terus-menerus memantau papan buletin vendor perangkat lunak untuk pengumuman kerentanan baru yang dapat mereka manfaatkan untuk akses awal ke jaringan perusahaan atau untuk melakukan eksekusi kode jarak jauh.

Namun, kecepatan di mana aktor ancaman mulai memindai kerentanan menempatkan administrator sistem di garis bidik saat mereka berlomba untuk menambal bug sebelum dieksploitasi.

Karena pemindaian tidak terlalu menuntut, bahkan penyerang berketerampilan rendah dapat memindai internet untuk titik akhir yang rentan dan menjual temuan mereka di pasar web gelap tempat peretas yang lebih cakap tahu cara mengeksploitasinya.

Kemudian, dalam beberapa jam, upaya eksploitasi aktif pertama diamati, sering kali mengenai sistem yang tidak pernah memiliki kesempatan untuk ditambal.

Unit 42 menyajikan CVE-2022-1388 sebagai contoh, kerentanan eksekusi perintah jarak jauh yang tidak diautentikasi yang kritis yang berdampak pada produk F5 BIG-IP.

Cacat itu terungkap pada 4 Mei 2022, dan menurut Unit 42, dalam waktu sepuluh jam sejak pengumuman CVE, mereka telah mencatat 2.552 upaya pemindaian dan eksploitasi.

Ini adalah perlombaan antara pembela dan aktor jahat, dan margin untuk penundaan di kedua sisi berkurang setiap tahun yang berlalu.

Berdasarkan data yang dikumpulkan oleh Palo Alto, kerentanan yang paling banyak dieksploitasi untuk akses jaringan di Semester 1 2022 adalah rantai eksploitasi “ProxyShell”, yang menyumbang 55% dari total insiden eksploitasi yang tercatat. ProxyShell adalah serangan yang dieksploitasi dengan menyatukan tiga kerentanan yang dilacak sebagai CVE-2021-34473, CVE-2021-34523, dan CVE-2021-31207.

Log4Shell mengikuti di tempat kedua dengan 14%, berbagai CVE SonicWall menyumbang 7%, ProxyLogon memiliki 5%, sedangkan RCE di Zoho ManageEngine ADSelfService Plus dieksploitasi dalam 3% kasus.

Cacat yang paling banyak dieksploitasi di H1 2022 (Unit 42)

Seperti yang terlihat dari statistik ini, bagian terbesar dalam volume eksploitasi ditangkap oleh kelemahan semi-lama dan bukan yang terbaru.

Sistem yang lebih berharga dan terlindungi lebih baik yang adminnya cepat menerapkan pembaruan keamanan ditargetkan dengan zero-days atau serangan yang terungkap segera setelah pengungkapan kelemahan.

Perlu juga dicatat bahwa menurut Unit 42, mengeksploitasi kerentanan perangkat lunak untuk pelanggaran jaringan awal menyumbang sekitar sepertiga dari metode yang digunakan.

Dalam 37% kasus, phishing adalah cara yang lebih disukai untuk mencapai akses awal. Pemaksaan kasar atau menggunakan kredensial yang disusupi adalah cara peretas menembus jaringan di 15% kasus.

Akhirnya, menggunakan trik rekayasa sosial terhadap karyawan istimewa atau menyuap orang dalam yang nakal untuk membantu akses jaringan sama dengan 10% dari insiden.

Dengan administrator sistem, admin jaringan, dan profesional keamanan yang sudah berada di bawah tekanan yang signifikan saat mereka mencoba untuk mengikuti ancaman keamanan terbaru dan masalah OS, kecepatan di mana pelaku ancaman menargetkan perangkat mereka hanya menambah tekanan tambahan.

Oleh karena itu, sangat penting untuk menjauhkan perangkat dari Internet jika memungkinkan, dan hanya memaparkannya melalui VPN atau gerbang keamanan lainnya. Dengan membatasi akses ke server, admin tidak hanya mengurangi risiko eksploitasi, tetapi juga memberikan waktu tambahan untuk menerapkan pembaruan keamanan sebelum kerentanan dapat ditargetkan secara internal.

Sayangnya, beberapa layanan harus diekspos secara publik, mengharuskan admin untuk memperketat keamanan sebanyak mungkin melalui daftar akses, hanya menampilkan port dan layanan yang diperlukan, dan menerapkan pembaruan secepat mungkin.

Sumber: Bleeping Computer

Situs web PrestaShop rentan terhadap serangan SQL Injection

by

Situs web PrestaShop dilaporkan rentan terhadap kerentanan Injeksi SQL utama (dilacak sebagai CVE-2022-36408) dan telah dieksploitasi secara liar sejak Juli 2022.

Didirikan pada tahun 2007, PrestaShop adalah platform e-commerce open source freemium yang digunakan oleh ratusan ribu pemilik situs web untuk menjual produk dan layanan secara online.

Versi PrestaShop 1.6.0.10 hingga 1.7.x (sebelum 1.7.8.7) rentan terhadap “rantai kerentanan yang sebelumnya tidak diketahui” terkait dengan injeksi SQL dan kerentanan injeksi penyimpanan cache MySQL Smarty. Akibatnya, penyerang jarak jauh dapat mengeksekusi kode arbitrer.

“Tim pengelola telah disadarkan bahwa aktor jahat mengeksploitasi kombinasi kerentanan keamanan yang diketahui dan tidak diketahui untuk menyuntikkan kode berbahaya di situs web PrestaShop, memungkinkan mereka untuk mengeksekusi instruksi sewenang-wenang, dan berpotensi mencuri informasi pembayaran pelanggan,” tulis PrestaShop dalam sebuah posting blog. .

Menurut PrestaShop, penyerang biasanya mengikuti langkah-langkah ini untuk meluncurkan serangan terhadap toko-toko yang rentan:

  • Penyerang mengirimkan permintaan POST ke situs web yang rentan untuk mengeksploitasi kerentanan injeksi SQL.
    Setelah kira-kira satu detik, penyerang mengirimkan permintaan GET ke beranda (tanpa parameter), yang membuat file PHP bernama blm.php di direktori root situs web.
  • Penyerang kemudian mengirimkan permintaan GET ke file baru blm.php, sehingga memungkinkan penyerang untuk mengeksekusi instruksi sewenang-wenang.
  • Akibatnya, pelaku jahat kemudian dapat sepenuhnya berkompromi dengan situs web dan menyuntikkan formulir pembayaran palsu melalui halaman checkout front-office.

Matt Morrow, dari perusahaan keamanan Securi, juga menemukan situs web PrestaShop yang terinfeksi yang berisi malware PrestaShop Skimmer yang disembunyikan di Modul One Page Checkout. Akibatnya, ditemukan injeksi kode yang menggantikan formulir kartu pembayaran situs web korban.

PrestaShop merilis pembaruan baru pada 25 Juli untuk versi terbaru PrestaShop 1.7.8.7 yang memperkuat penyimpanan cache MySQL Smarty terhadap serangan injeksi kode.

Pemilik toko sangat dianjurkan untuk mengupgrade situs web mereka ke versi terbaru sesegera mungkin ke alamat CVE-2022-36408..

Namun, PrestaShop juga memperingatkan pemilik toko untuk “mewaspadai bahwa meningkatkan perangkat lunak Anda mungkin tidak cukup untuk mengamankan toko Anda jika sudah diretas.” Pemilik situs dapat menghubungi spesialis keamanan jika perlu untuk melakukan audit penuh dan menghapus malware apa pun jika terdeteksi.

Sumber: Secure Zoo

Peretas Mendistribusikan Alat Pembobol Kata Sandi untuk PLC dan HMI untuk Menargetkan Sistem Industri

by

Insinyur dan operator industri menjadi target kampanye baru yang memanfaatkan perangkat lunak pembobol kata sandi untuk menguasai Programmable Logic Controllers (PLC) dan mengkooptasi mesin ke botnet.

Perangkat lunak itu “mengeksploitasi kerentanan dalam firmware yang memungkinkannya mengambil kata sandi sesuai perintah,” kata peneliti keamanan Dragos, Sam Hanson. “Selanjutnya, perangkat lunak itu adalah penetes malware, menginfeksi mesin dengan malware Sality dan mengubah host menjadi rekan di botnet peer-to-peer Sality.”

Perusahaan industri keamanan siber mengatakan bahwa eksploitasi pengambilan kata sandi yang tertanam dalam penetes malware dirancang untuk memulihkan kredensial yang terkait dengan Automation Direct DirectLOGIC 06 PLC.

Eksploitasi, dilacak sebagai CVE-2022-2003 (skor CVSS: 7,7), telah digambarkan sebagai kasus transmisi teks yang jelas dari data sensitif yang dapat menyebabkan pengungkapan informasi dan perubahan yang tidak sah. Masalah ini telah diatasi dalam firmware Versi 2.72 yang dirilis bulan lalu.

Infeksi memuncak dalam penyebaran malware Sality untuk melakukan tugas-tugas seperti penambangan cryptocurrency dan peretasan kata sandi secara terdistribusi, sementara juga mengambil langkah-langkah untuk tetap tidak terdeteksi dengan menghentikan perangkat lunak keamanan yang berjalan di workstation yang disusupi.

Terlebih lagi, artefak yang digali oleh Dragos menjatuhkan muatan crypto-clipper yang mencuri cryptocurrency selama transaksi dengan mengganti alamat dompet asli yang disimpan di clipboard dengan alamat dompet penyerang.

Automation Direct bukan satu-satunya vendor yang terkena dampak karena alat tersebut mengklaim mencakup beberapa PLC, human-machine interfaces (HMI), dan file proyek yang mencakup Omron, Siemens, ABB Codesys, Delta Automation, Fuji Electric, Mitsubishi Electric, Pro-face Schneider Electric , Vigor PLC, Weintek, Allen-Bradley dari Rockwell Automation, Panasonic, Fatek, IDEC Corporation, dan LG.

Ini jauh dari pertama kalinya perangkat lunak trojan memilih jaringan teknologi operasional (OT). Pada Oktober 2021, Mandiant mengungkapkan bagaimana binari executable portabel yang sah dikompromikan oleh berbagai malware seperti Sality, Virus, dan Ramnit, antara lain.

Sumber: The Hacker News

Tambalan untuk kerentanan microprocessor AMD dan Intel Retbleed baru mungkin memiliki overhead yang signifikan

by

Microprocessor tertentu dari Intel dan AMD rentan terhadap serangan eksekusi spekulatif baru yang terkait dengan Spectre Variant 2. Serangan dapat digunakan untuk membocorkan data dari memori kernel dan mitigasi dapat menyebabkan overhead dan memengaruhi kinerja sistem yang ditambal.

Para peneliti di ETH Zurich menemukan kerentanan, yang mereka beri nama Retbleed. Serangan tersebut mengeksploitasi kerentanan di retpoline, mitigasi yang diperkenalkan pada tahun 2018 untuk mengurangi serangan eksekusi spekulatif tertentu.

Retpolines bekerja “dengan mengganti lompatan dan panggilan tidak langsung dengan pengembalian”. Kekhawatiran bahwa pengembalian mungkin juga rentan terhadap serangan diabaikan pada tahun 2018, karena tampaknya tidak praktis pada saat itu bagi banyak orang. Penelitian Retpoline mengkonfirmasi bahwa eksploitasi itu “memang praktis”

Para peneliti ETH Zurich mengkonfirmasi kerentanan hanya pada prosesor Intel dan AMD yang lebih tua. Menurut FAQ yang dirilis, prosesor Intel Core generasi 6 hingga 8, dan prosesor AMD Zen 1, Zen 1+, dan Zen 2 rentan.

Kerentanan dikonfirmasi oleh para peneliti untuk perangkat Linux. Para peneliti menyatakan di FAQ bahwa sistem Windows dan Mac juga terpengaruh. Intel, di sisi lain, menyatakan dalam posting blog, bahwa prosesor perusahaan di Windows tidak terpengaruh:

Intel telah bekerja dengan komunitas Linux dan vendor VMM untuk menyediakan panduan mitigasi perangkat lunak kepada pelanggan yang harus tersedia pada atau sekitar tanggal pengungkapan publik hari ini.

Perhatikan bahwa sistem Windows tidak terpengaruh karena sistem ini menggunakan Spekulasi Terbatas Cabang Tidak Langsung (IBRS) secara default yang juga merupakan mitigasi yang tersedia untuk pengguna Linux.

AMD dan Intel tidak menyadari eksploitasi di alam liar yang menargetkan kerentanan baru. Patch untuk distribusi Linux utama sudah disiapkan. Pengujian akan menunjukkan jika dan seberapa besar kinerja akan terpengaruh pada sistem dengan tambalan.

Sumber:

CISA memerintahkan agensi untuk menambal Windows zero-day baru yang digunakan dalam serangan

by Leave a Comment

CISA telah menambahkan kerentanan eskalasi hak istimewa lokal yang dieksploitasi secara aktif di Windows Client/Server Runtime Subsystem (CSRSS) ke daftar bug yang disalahgunakan di alam liar.

Kelemahan keamanan tingkat tinggi ini (dilacak sebagai CVE-2022-22047) berdampak pada platform Windows server dan klien, termasuk rilis Windows 11 dan Windows Server 2022 terbaru.

Microsoft telah menambalnya sebagai bagian dari Patch Juli 2022 Selasa, dan mengklasifikasikannya sebagai zero-day karena disalahgunakan dalam serangan sebelum perbaikan tersedia.

Redmond mengatakan kerentanan itu ditemukan secara internal oleh Microsoft Threat Intelligence Center (MSTIC) dan Microsoft Security Response Center (MSRC).

CISA telah memberikan waktu tiga minggu kepada agensi, hingga 2 Agustus, untuk menambal kerentanan CVE-2022-22047 yang dieksploitasi secara aktif dan memblokir serangan yang sedang berlangsung yang dapat menargetkan sistem mereka.

Menurut arahan operasional yang mengikat (BOD 22-01) yang dikeluarkan pada bulan November, semua lembaga Federal Civilian Executive Branch Agencies (FCEB) diharuskan untuk mengamankan jaringan mereka dari kelemahan keamanan yang ditambahkan ke katalog CISA tentang Kerentanan yang Diketahui Tereksploitasi (KEV).

Meskipun arahan BOD 22-01 hanya berlaku untuk agen federal AS, CISA juga sangat mendesak semua organisasi di seluruh AS untuk memperbaiki peningkatan bug hak istimewa CSRSS Windows ini untuk menggagalkan upaya penyerang untuk meningkatkan hak istimewa pada sistem Windows yang belum ditambal.

Sejak BOD 22-01 diterbitkan, CISA telah menambahkan ratusan kerentanan keamanan ke daftar bug yang dieksploitasi dalam serangan, memerintahkan agen federal AS untuk menambal sistem mereka sesegera mungkin untuk mencegah pelanggaran.

Sumber: Bleeping Computer