Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Linux

Linux

Botnet peer-to-peer baru menginfeksi server Linux dengan cryptominers

by

Botnet peer-to-peer baru bernama Panchan muncul di alam liar sekitar Maret 2022, menargetkan server Linux di sektor pendidikan untuk menambang cryptocurrency.

Panchan diberdayakan dengan fungsi cacing SSH seperti serangan kamus dan penyalahgunaan kunci SSH untuk melakukan gerakan lateral yang cepat ke mesin yang tersedia di jaringan yang disusupi.

Pada saat yang sama, ia memiliki kemampuan penghindaran deteksi yang kuat, seperti menggunakan penambang yang dipetakan dengan memori dan secara dinamis mendeteksi pemantauan proses untuk segera menghentikan modul penambangan.

Menurut Akamai, aktor ancaman di balik proyek baru ini kemungkinan besar adalah orang Jepang. Panchan ditulis dalam Golang, bahasa pemrograman serbaguna yang memudahkan untuk menargetkan arsitektur sistem yang berbeda.

Itu menginfeksi host baru dengan mencari dan menggunakan kunci SSH yang ada atau nama pengguna dan kata sandi yang memaksa. Setelah sukses pada tahap ini, ia membuat folder tersembunyi untuk menyembunyikan dirinya di dalam dengan nama “xinetd.”

Terakhir, malware mengeksekusi biner dan memulai operasi HTTPS POST ke webhook Discord, yang kemungkinan digunakan untuk memantau korban.

Untuk membangun kegigihan, malware menyalin dirinya sendiri ke “/bin/systemd-worker” dan membuat layanan systemd baru untuk diluncurkan setelah reboot sambil menyamar sebagai layanan sistem yang sah.

Komunikasi antara botnet dan C2 tidak dienkripsi dan menggunakan port TCP 1919. Konfigurasi yang dikirim ke malware menyangkut konfigurasi penambang atau memperbarui daftar rekan.

Malware ini juga memiliki fitur “godmode”, panel admin yang dapat diakses menggunakan kunci pribadi yang hanya dimiliki oleh musuh.

Akamai memodifikasi program untuk menghapus ukuran keamanan ini dan menemukan bahwa panel admin menampilkan gambaran umum konfigurasi, status host, statistik rekan, dan pengaturan penambang, sementara itu juga memberikan opsi pembaruan kepada operator.

Salam panel admin dengan konfigurasi saat ini (Akamai)

Binari penambang, xmrig dan nbhash, tidak memiliki file, diterjemahkan dari bentuk base64 dan dieksekusi selama runtime di memori, sehingga tidak pernah menyentuh disk.

Panchan menggunakan NiceHash untuk kolam penambangan dan dompetnya, jadi analis Akamai tidak dapat melacak transaksi atau memperkirakan ukuran operasi penambangan, keuntungan, dll., karena mereka tidak berada di blockchain publik.

Malware ini juga dilengkapi sistem anti-pembunuhan yang mendeteksi sinyal penghentian proses dan mengabaikannya kecuali SIGKILL yang tidak ditangani.

Akamai merekayasa balik malware untuk memetakannya dan menemukan 209 sistem yang disusupi, 40 di antaranya saat ini aktif.

Peta panas rekan/korban Panchan (Akamai)

Sebagian besar korban berada di sektor pendidikan, mungkin karena cocok dengan metode penyebaran Panchan dan membuat pertumbuhannya lebih cepat.

Kebersihan kata sandi yang buruk dan pembagian kunci SSH yang berlebihan untuk mengakomodasi kolaborasi penelitian akademis internasional menciptakan kondisi ideal bagi botnet untuk berkembang biak.

Hipotesis ini selanjutnya didukung oleh temuan kelompok universitas yang terinfeksi di Spanyol, Taiwan, dan Hong Kong.

Dampaknya berkaitan dengan pembajakan sumber daya, yang di lembaga pendidikan dapat menghambat pekerjaan penelitian atau mengganggu penyediaan berbagai layanan publik.

Untuk mencegah jenis serangan ini, Akamai menyarankan agar target potensial menggunakan kata sandi yang rumit, menambahkan MFA di semua akun, membatasi akses SSH, dan terus memantau aktivitas sumber daya VM.

Sumber: Bleeping Computer

Rootkit Syslogk Linux baru menggunakan paket ajaib untuk memicu Backdoor

by

Malware rootkit Linux baru bernama ‘Syslogk’ sedang digunakan dalam serangan untuk menyembunyikan proses berbahaya, menggunakan “paket ajaib” yang dibuat khusus untuk membangunkan pintu belakang yang tidak aktif di perangkat.

Malware tersebut saat ini sedang dalam pengembangan berat, dan pembuatnya tampaknya mendasarkan proyek mereka pada Adore-Ng, rootkit open-source lama.

Syslogk dapat memaksa memuat modulnya ke dalam kernel Linux (versi 3.x didukung), menyembunyikan direktori dan lalu lintas jaringan, dan akhirnya memuat pintu belakang yang disebut ‘Rekoobe.’

Rootkit Linux adalah malware yang diinstal sebagai modul kernel di sistem operasi. Setelah diinstal, mereka mencegat perintah Linux yang sah untuk menyaring informasi yang tidak ingin ditampilkan, seperti keberadaan file, folder, atau proses.

Demikian pula, ketika pertama kali dimuat sebagai modul kernel, Syslogk akan menghapus entrinya dari daftar modul yang diinstal untuk menghindari pemeriksaan manual. Satu-satunya tanda kehadirannya adalah antarmuka yang terbuka di sistem file /proc.

Antarmuka Syslogk yang terbuka (Avast)

Fungsi tambahan di rootkit memungkinkannya untuk menyembunyikan direktori yang berisi file berbahaya yang dijatuhkan di host, menyembunyikan proses, menyembunyikan lalu lintas jaringan, memeriksa semua paket TCP, dan memulai atau menghentikan muatan dari jarak jauh.

Salah satu muatan tersembunyi yang ditemukan oleh Avast adalah backdoor Linux bernama Rekoobe. Pintu belakang ini akan tertidur pada mesin yang disusupi sampai rootkit menerima “paket ajaib” dari pelaku ancaman.

Mirip dengan paket ajaib Wake on LAN, yang digunakan untuk membangunkan perangkat yang berada dalam mode tidur, Syslogk akan mendengarkan paket TCP yang dibuat khusus yang menyertakan nilai bidang “Reserved” khusus, penomoran “Port Sumber”, “Port Tujuan” dan “Alamat Sumber” cocok, dan kunci hardcoded.

Ketika paket ajaib yang tepat terdeteksi, Syslogks akan memulai atau menghentikan pintu belakang seperti yang diinstruksikan oleh aktor ancaman jarak jauh, secara drastis meminimalkan kemungkinan pendeteksiannya.

Pertimbangkan betapa tersembunyinya ini; pintu belakang yang tidak dimuat sampai beberapa paket ajaib dikirim ke mesin. Saat ditanya, tampaknya itu adalah layanan sah yang tersembunyi di memori, tersembunyi di disk, dijalankan secara ‘ajaib’ dari jarak jauh, tersembunyi di jaringan. Bahkan jika ditemukan selama pemindaian port jaringan, tampaknya masih merupakan server SMTP yang sah.” – Avast.

Rekoobe dimuat ke ruang mode pengguna di mana deteksi tidak serumit atau tidak mungkin seperti untuk Syslogk pada mode kernel, jadi lebih berhati-hati dengan pemuatannya sangat penting untuk keberhasilannya.

Rekoobe didasarkan pada TinySHell, perangkat lunak open-source lain dan tersedia secara luas, dan tujuannya adalah untuk memberikan penyerang cangkang jarak jauh pada mesin yang disusupi.

Memunculkan shell root pada host (Avast)

Ini berarti bahwa Rekoobe digunakan untuk menjalankan perintah, sehingga dampaknya mencapai tingkat tertinggi, termasuk pengungkapan informasi, eksfiltrasi data, tindakan file, pengambilalihan akun, dan banyak lagi.

Rootkit Syslogk adalah contoh lain dari malware yang sangat mengelak untuk sistem Linux yang ditambahkan di atas Symbiote dan BPFDoor yang baru ditemukan, yang keduanya menggunakan sistem BPF untuk memantau lalu lintas jaringan dan memanipulasinya secara dinamis.

Sistem Linux tidak lazim di kalangan pengguna biasa, tetapi mereka mendukung beberapa jaringan perusahaan paling berharga di luar sana, sehingga pelaku ancaman meluangkan waktu dan upaya untuk mengembangkan malware khusus untuk arsitektur.

Perkembangan yang paling berbahaya adalah Syslogk merilis versi yang mendukung versi kernel Linux yang lebih baru, yang akan sangat memperluas cakupan penargetan sekaligus.

Sumber: Bleeping Computer

Pengguna Ubuntu Dapatkan Pembaruan Kernel Linux Besar-besaran, 35 Kerentanan Keamanan Ditambal

by

Pembaruan keamanan kernel Linux baru datang sekitar dua minggu setelah pembaruan sebelumnya, yang merupakan pembaruan kecil yang hanya menambal tiga kelemahan keamanan, dan tersedia untuk semua rilis Ubuntu yang didukung, termasuk Ubuntu 22.04 LTS (Jammy Jellyfish), Ubuntu 21.10 (Impish Indri), Ubuntu 20.04 LTS (Focal Fossa), Ubuntu 18.04 LTS (Bionic Beaver), serta rilis Ubuntu 16.04 dan 14.04 ESM.

Ada lebih dari 30 kerentanan keamanan yang ditambal dalam pembaruan kernel Ubuntu besar-besaran ini. Salah satunya adalah CVE-2022-1966, kerentanan penggunaan setelah bebas yang ditemukan oleh Aaron Adams di subsistem netfilter yang dapat memungkinkan penyerang lokal menyebabkan penolakan layanan (kerusakan sistem) atau mengeksekusi kode arbitrer, serta seperti CVE-2022-21499, kelemahan kernel yang memungkinkan penyerang dengan hak istimewa untuk melewati batasan UEFI Secure Boot, dan CVE-2022-28390, kerentanan bebas ganda yang ditemukan dalam implementasi antarmuka EMS CAN/USB, yang memungkinkan penyerang lokal menyebabkan penolakan layanan (kelelahan memori).

Kerentanan tersebut mempengaruhi kernel sistem Ubuntu 22.04 LTS, Ubuntu 21.10, Ubuntu 20.04 LTS, dan Ubuntu 18.04 LTS, patch keamanan kernel Linux yang baru juga membahas CVE-2022-1158, sebuah kelemahan yang ditemukan oleh Qiuhao Li, Gaoning Pan, dan Yongkang Jia di Implementasi KVM, yang memungkinkan penyerang di VM tamu membuat crash OS host.

Kerentanan keamanan umum lainnya yang ditambal dalam pembaruan besar-besaran ini adalah CVE-2022-1972, masalah keamanan yang memengaruhi sistem Ubuntu 22.04 LTS yang menjalankan kernel Linux 5.15 LTS, serta sistem Ubuntu 21.10 dan Ubuntu 20.04 LTS yang menjalankan kernel Linux 5.13, ditemukan oleh Ziming Zhang di subsistem netfilter, dan CVE-2022-24958, kerentanan penggunaan setelah bebas yang ditemukan di antarmuka sistem file Gadget USB dan memengaruhi kernel Linux 5.13 dari sistem Ubuntu 21.10 dan 20.04 LTS, serta kernel Linux 5.4 LTS dari Ubuntu 20,04 LTS dan 18,04 LTS sistem. Kedua kelemahan ini dapat memungkinkan penyerang lokal menyebabkan penolakan layanan (kerusakan sistem) atau mengeksekusi kode arbitrer.

Hal yang sama berlaku untuk CVE-2022-28356, kerentanan keamanan yang ditemukan oleh di driver 802.2 LLC tipe 2 kernel Linux, CVE-2022-28389, kerentanan bebas ganda yang ditemukan dalam implementasi antarmuka Microchip CAN BUS Analyzer, CVE-2022- 1198, kerentanan penggunaan setelah bebas yang ditemukan oleh Duoming Zhou dalam implementasi protokol 6pack, CVE-2022-1516, kelemahan yang ditemukan dalam implementasi protokol jaringan X.25, dan CVE-2022-1353, masalah keamanan yang ditemukan di implementasi PF_KEYv2. Masalah ini memengaruhi kernel sistem Ubuntu 22.04 LTS, Ubuntu 20.04 LTS, dan Ubuntu 18.04 LTS dan dapat memungkinkan penyerang lokal menyebabkan penolakan layanan (kerusakan sistem) atau mengekspos informasi sensitif (memori kernel).

Kerentanan keamanan umum lainnya yang ditambal dalam pembaruan kernel Ubuntu baru ini, kali ini memengaruhi kernel sistem Ubuntu 20.04 LTS dan Ubuntu 18.04 LTS, adalah CVE-2021-3772, sebuah kelemahan yang ditemukan dalam implementasi protokol SCTP kernel Linux yang memungkinkan penyerang jarak jauh untuk menyebabkan penolakan layanan (disassociation koneksi).

Hanya untuk sistem Ubuntu 22.04 LTS yang menjalankan kernel Linux 5.15 LTS, pembaruan keamanan baru mengatasi 10 kerentanan lainnya, termasuk CVE-2022-1671, cacat yang ditemukan dalam implementasi soket sesi RxRPC yang memungkinkan penyerang lokal menyebabkan penolakan layanan (kerusakan sistem ) atau mungkin mengekspos informasi sensitif (memori kernel), CVE-2022-1204, CVE-2022-1205, dan CVE-2022-1199, tiga kelemahan yang ditemukan oleh Duoming Zhou dalam implementasi protokol radio amatir AX.25 yang memungkinkan lokal penyerang menyebabkan penolakan layanan (kerusakan sistem), serta CVE-2022-1263, masalah keamanan KVM yang ditemukan oleh Qiuhao Li, Gaoning Pan, dan Yongkang Jia yang dapat memungkinkan penyerang lokal di VM tamu merusak host sistem.

Juga ditambal di kernel Linux 5.15 LTS dari sistem Ubuntu 22.04 LTS adalah CVE-2022-28388, kerentanan bebas ganda yang ditemukan dalam implementasi antarmuka 8 Perangkat USB2CAN, CVE-2022-1651, cacat yang ditemukan dalam implementasi ACRN Hypervisor Service Module , CVE-2022-1048, beberapa kondisi balapan yang ditemukan oleh Hu Jiahui dalam kerangka kerja ALSA, CVE-2022-0168, sebuah cacat yang ditemukan oleh Billy Jheng Bing dalam implementasi sistem file jaringan CIFS, dan CVE-2022-1195, penggunaan- kerentanan after-free ditemukan dalam implementasi protokol 6pack dan mkiss. Masalah keamanan ini dapat memungkinkan penyerang lokal menyebabkan penolakan layanan (sistem crash atau kehabisan memori) atau mungkin mengeksekusi kode arbitrer.

Hanya untuk sistem Ubuntu 20.04 LTS dan Ubuntu 18.04 LTS yang menjalankan kernel Linux 5.4 LTS, pembaruan keamanan baru membahas 10 kerentanan lainnya, termasuk CVE-2022-23036, CVE-2022-23037, CVE-2022-23038,
CVE-2022-23039, CVE-2022-23040, CVE-2022-23041, dan CVE-2022-23042, serangkaian kelemahan yang ditemukan di beberapa frontend perangkat para-virtualisasi Xen oleh Demi Marie Obenour dan Simon Gaiser, yang dapat memungkinkan penyerang untuk mendapatkan akses ke halaman memori VM tamu atau menyebabkan penolakan layanan pada tamu dengan menggunakan backend Xen yang berbahaya.

Juga ditambal di kernel Linux 5.4 LTS dari sistem Ubuntu 20.04 LTS dan Ubuntu 18.04 LTS adalah CVE-2022-1011, kerentanan penggunaan-setelah-bebas yang ditemukan oleh Jann Horn Google Project Zero dalam implementasi sistem file FUSE, yang dapat memungkinkan lokal penyerang menyebabkan penolakan layanan (kerusakan sistem) atau mungkin mengeksekusi kode arbitrer, CVE-2021-4197, masalah keamanan yang ditemukan oleh Eric Biederman dalam implementasi migrasi proses cgroup, yang memungkinkan penyerang lokal mendapatkan hak administratif, dan CVE -2022-26966, sebuah cacat ditemukan pada driver perangkat ethernet USB SR9700 yang dapat memungkinkan penyerang terdekat secara fisik untuk mengekspos informasi sensitif (memori kernel).

Last but not least, pembaruan kernel Ubuntu besar-besaran baru ini memperbaiki tiga kerentanan keamanan lain yang mempengaruhi kernel Linux 4.15 dari sistem Ubuntu 18.04 LTS. Ini adalah CVE-2022-1016, masalah keamanan yang ditemukan oleh David Bouman di subsistem netfilter yang memungkinkan penyerang lokal untuk mengekspos informasi sensitif (memori kernel), CVE-2021-4149, masalah keamanan yang ditemukan dalam implementasi sistem file Btrfs memungkinkan lokal
penyerang menyebabkan penolakan layanan (kernel deadlock), serta CVE-2022-1419, kondisi balapan yang ditemukan dalam implementasi manajer memori grafis virtual yang berpotensi menyebabkan kebocoran informasi.

Canonical mendesak semua pengguna Ubuntu untuk memperbarui instalasi mereka ke versi kernel baru (linux-image 5.15.0.37.39 untuk Ubuntu 22.04 LTS, linux-image 5.13.0.48.56 untuk Ubuntu 21.10 dan 20.04.4 LTS, linux-image 5.4. 0.117.120 untuk Ubuntu 20.04 LTS, linux-image 5.4.0-117.132~18.04.1 untuk Ubuntu 18.04.6 LTS, serta linux-image 4.15.0.184.172 untuk Ubuntu 18.04 LTS), sesegera mungkin dengan menggunakan utilitas Pembaruan Perangkat Lunak atau dengan menjalankan perintah sudo apt update && sudo apt full-upgrade di aplikasi Terminal. Reboot sistem diperlukan setelah menginstal versi kernel baru!

Sumber: 9to5linuX

Ransomware Black Basta versi Linux menargetkan server VMware ESXi

by

Black Basta adalah geng ransomware terbaru yang menambahkan dukungan untuk mengenkripsi mesin virtual (VM) VMware ESXi yang berjalan di server Linux perusahaan.

Sebagian besar grup ransomware sekarang memfokuskan serangan mereka pada VM ESXi karena taktik ini selaras dengan penargetan perusahaan mereka. Ini juga memungkinkan untuk memanfaatkan enkripsi yang lebih cepat dari beberapa server dengan satu perintah.

Mengenkripsi VM masuk akal karena banyak perusahaan baru-baru ini bermigrasi ke mesin virtual karena memungkinkan pengelolaan perangkat yang lebih mudah dan penggunaan sumber daya yang jauh lebih efisien.

Dalam sebuah laporan baru, analis Uptycs Threat Research mengungkapkan bahwa mereka melihat binari ransomware Black Basta baru yang secara khusus menargetkan server VMWare ESXi.

Encryptor ransomware Linux bukanlah hal baru, dan BleepingComputer telah melaporkan encryptor serupa yang dirilis oleh beberapa geng lain, termasuk LockBit, HelloKitty, BlackMatter, REvil, AvosLocker, RansomEXX, dan Hive.

Seperti encryptor Linux lainnya, biner ransomware Black Basta akan mencari /vmfs/volumes tempat mesin virtual disimpan di server ESXi yang disusupi (jika tidak ada folder seperti itu yang ditemukan, ransomware akan keluar).

Ransomware menggunakan algoritma ChaCha20 untuk mengenkripsi file. Ini juga memanfaatkan multithreading untuk menggunakan banyak prosesor dan mempercepat proses enkripsi.

Saat mengenkripsi, ransomware akan menambahkan ekstensi .basta ke nama file terenkripsi dan membuat catatan tebusan bernama readme.txt di setiap folder.

Catatan tersebut menyertakan tautan ke panel dukungan obrolan dan ID unik yang dapat digunakan korban untuk berkomunikasi dengan penyerang.

Catatan tebusan Black Basta Linux (BleepingComputer)

“Berdasarkan tautan dukungan obrolan dan ekstensi file terenkripsi, kami percaya bahwa aktor di balik kampanye ini adalah sama yang menargetkan sistem Windows sebelumnya dengan ransomware Black Basta.”

Ransomware Black Basta pertama kali terlihat di alam liar pada minggu kedua bulan April, saat operasi tersebut dengan cepat meningkatkan serangannya yang menargetkan perusahaan di seluruh dunia.

Meskipun tuntutan tebusan geng cenderung bervariasi antara korban, BleepingComputer tahu setidaknya satu yang menerima permintaan lebih dari $ 2 juta untuk decryptor dan untuk menghindari kebocoran data online.

Meskipun tidak banyak lagi yang diketahui tentang geng ransomware baru, ini mungkin bukan operasi baru melainkan perubahan citra karena kemampuan mereka yang ditunjukkan untuk dengan cepat menembus korban baru dan gaya negosiasi (mungkin perubahan citra operasi ransomware Conti).

CTO Emsisoft Fabian Wosar sebelumnya telah memberi tahu bahwa geng ransomware lain (selain yang kami laporkan), termasuk Babuk, RansomExx/Defray, Mespinoza, GoGoogle, Snatch, PureLocker, dan DarkSide, juga telah mengembangkan dan menggunakan enkripsi Linux mereka sendiri.

Sumber: Bleeping Computer

Serangan Trojan Linux “XorDdos” Melonjak, Menargetkan Cloud & IoT

by

Penggunaan kejahatan dunia maya dari Trojan Linux yang dikenal sebagai XorDdos sedang meningkat, menurut sebuah laporan baru, yang menemukan peningkatan 254% dalam aktivitas jahat terhadap titik akhir Linux menggunakan malware selama enam bulan terakhir.

Ini pertama kali ditemukan pada tahun 2014, dan Tim Riset Pertahanan Microsoft 365 menjelaskan dalam posting blog baru-baru ini bahwa Trojan XorDdos menargetkan titik akhir cloud Linux dan Internet of Things (IoT), dan menyebarkan botnet untuk melakukan penolakan layanan terdistribusi (DDoS). ) serangan.

“Dengan mengkompromikan IoT dan perangkat lain yang terhubung ke internet, XorDdos mengumpulkan botnet yang dapat digunakan untuk melakukan serangan DDoS,” tulis tim tersebut dalam menggambarkan munculnya Trojan XorDdos.

“Serangan DDoS itu sendiri bisa sangat bermasalah karena berbagai alasan, tetapi serangan semacam itu juga dapat digunakan sebagai perlindungan untuk menyembunyikan aktivitas jahat lebih lanjut, seperti menyebarkan malware dan menyusup ke sistem target.”

Dark Reading

Botnet Linux baru mengeksploitasi Log4J, menggunakan tunneling DNS untuk komunikasi

by

Botnet yang baru-baru ini ditemukan dalam pengembangan aktif menargetkan sistem Linux, mencoba menjerat mereka menjadi pasukan bot yang siap mencuri info sensitif, menginstal rootkit, membuat cangkang terbalik, dan bertindak sebagai proxy lalu lintas web.

Malware yang baru ditemukan, dijuluki B1txor20 oleh para peneliti di Lab Penelitian Keamanan Jaringan Qihoo 360 (360 Netlab), memfokuskan serangannya pada perangkat arsitektur CPU Linux ARM, X64.

Para peneliti pertama kali melihat botnet B1txor20 pada 9 Februari ketika sampel pertama terjebak oleh salah satu sistem honeypot mereka.

Secara keseluruhan, mereka menangkap total empat sampel malware, dengan backdoor, proxy SOCKS5, pengunduhan malware, pencurian data, eksekusi perintah arbitrer, dan fungsionalitas pemasangan rootkit.

Namun, yang membuat malware B1txor20 menonjol adalah penggunaan tunneling DNS untuk saluran komunikasi dengan server command-and-control (C2), teknik lama namun masih andal yang digunakan oleh pelaku ancaman untuk mengeksploitasi protokol DNS untuk melakukan tunnel malware dan data. melalui kueri DNS.

“Setelah menerima permintaan, C2 mengirimkan muatan ke sisi Bot sebagai tanggapan atas permintaan DNS. Dengan cara ini, Bot dan C2 mencapai komunikasi dengan bantuan protokol DNS.”

Peneliti 360 Netlab juga menemukan bahwa meskipun pengembang malware menyertakan serangkaian fitur yang lebih luas, tidak semuanya diaktifkan.

Informasi tambahan, termasuk indikator kompromi (IOCs) dan daftar semua instruksi C2 yang didukung, dapat ditemukan di akhir laporan 360 Netlab.

Gambar: 350 Netlab

“Sejak kerentanan Log4J terungkap, kami melihat semakin banyak malware yang muncul, Elknot, Gafgyt, Mirai semuanya terlalu familiar,” tambah peneliti 360 Netlab.

Misalnya, pada bulan Desember, mereka melihat pelaku ancaman mengeksploitasi kelemahan keamanan Log4J untuk menginfeksi perangkat Linux yang rentan dengan malware Mirai dan Muhstik Linux.

Botnet ini terlihat “merekrut” perangkat dan server IoT dan menggunakannya untuk menyebarkan penambang kripto dan melakukan serangan DDoS skala besar.

Barracuda mengkonfirmasi laporan 360 Netlan awal bulan ini, dengan mengatakan mereka melihat berbagai muatan yang menargetkan penyebaran Log4j yang rentan, dengan varian botnet Mirai dimanfaatkan untuk DDoS dan cryptomining mengambil bagian terbesar.

Sumber : Bleeping Computer

Bug Linux baru memberikan akses root di semua distro utama

by

Kerentanan Linux baru yang dikenal sebagai ‘Dirty Pipe’ memungkinkan pengguna lokal untuk mendapatkan hak akses root melalui eksploitasi yang tersedia untuk umum.

Peneliti keamanan Max Kellermann secara bertanggung jawab mengungkapkan kerentanan ‘Dirty Pipe’ dan menyatakan bahwa itu mempengaruhi Linux Kernel 5.8 dan versi yang lebih baru, bahkan pada perangkat Android.

Kerentanan dilacak sebagai CVE-2022-0847 dan memungkinkan pengguna yang tidak memiliki hak istimewa untuk menyuntikkan dan menimpa data dalam file read-only, termasuk proses SUID yang berjalan sebagai root.

Kellerman menyatakan bahwa kerentanan tersebut mirip dengan kerentanan Dirty COW (CVE-2016-5195) yang diperbaiki pada tahun 2016.

Sebagai bagian dari pengungkapan Dirty Pipe, Kellerman merilis eksploit proof-of-concept (PoC) yang memungkinkan pengguna lokal untuk memasukkan data mereka sendiri ke dalam file read-only yang sensitif, menghapus batasan atau memodifikasi konfigurasi untuk memberikan akses yang lebih besar.

Misalnya, peneliti keamanan Phith0n mengilustrasikan bagaimana mereka dapat menggunakan exploit untuk memodifikasi file /etc/passwd sehingga pengguna root tidak memiliki kata sandi. Setelah perubahan ini dibuat, pengguna yang tidak memiliki hak istimewa cukup menjalankan perintah ‘su root’ untuk mendapatkan akses ke akun root.

Namun, eksploitasi yang diperbarui oleh peneliti keamanan BLASTY juga dirilis secara publik hari ini yang membuatnya lebih mudah untuk mendapatkan hak akses root dengan menambal perintah /usr/bin/su untuk menjatuhkan shell root di /tmp/sh dan kemudian menjalankan skrip.

Setelah dieksekusi, pengguna mendapatkan hak akses root, seperti yang ditunjukkan oleh BleepingComputer di bawah ini di Ubuntu 20.04.3 LTS yang menjalankan kernel generik 5.13.0-27.

Sumber: Bleeping Computer

Kerentanan tersebut diungkapkan secara bertanggung jawab kepada berbagai pengelola Linux mulai 20 Februari 2022, termasuk tim keamanan kernel Linux dan Tim Keamanan Android.

Sementara bug telah diperbaiki di kernel Linux 5.16.11, 5.15.25, dan 5.10.102, banyak server terus menjalankan kernel usang yang membuat rilis eksploitasi ini menjadi masalah signifikan bagi administrator server.

Sumber: Bleeping Computer

Pengembang Linux menambal lubang keamanan lebih cepat daripada siapa pun, kata Google Project Zero

by

Ada banyak FUD tentang bagaimana Linux baru-baru ini terbukti kurang aman daripada sistem berpemilik. Itu tidak masuk akal. Tapi, sekarang ada fakta keras dari Project Zero Google, tim peneliti keamanan Google, yang menunjukkan bahwa pengembang Linux melakukan pekerjaan yang lebih cepat untuk memperbaiki bug keamanan daripada siapa pun, termasuk Google.

Project Zero melihat bug yang diperbaiki yang telah dilaporkan antara Januari 2019 dan Desember 2021. Para peneliti menemukan bahwa programmer open-source memperbaiki masalah Linux rata-rata hanya dalam 25 hari. Selain itu, pengembang Linux telah meningkatkan kecepatan mereka dalam menambal lubang keamanan dari 32 hari di tahun 2019 menjadi hanya 15 hari di tahun 2021.

Persaingannya tidak terlalu bagus. Misalnya, Apple, 69 hari; Google, 44 hari; dan Mozilla, 46 hari. Masuk di bagian bawah adalah Microsoft, 83 hari, dan Oracle, meskipun hanya dengan sedikit masalah keamanan, dengan 109 hari. Menurut hitungan Project Zero, yang lain, yang terutama mencakup organisasi dan perusahaan open-source seperti Apache, Canonical, Github, dan Kubernetes, masuk dengan 44 hari yang terhormat.

Umumnya, semua orang semakin cepat dalam memperbaiki bug keamanan. Pada tahun 2021, vendor membutuhkan waktu rata-rata 52 hari untuk memperbaiki kerentanan keamanan yang dilaporkan. Hanya tiga tahun yang lalu rata-rata adalah 80 hari. Secara khusus, kru Project Zero mencatat bahwa Microsoft, Apple, dan Linux semuanya secara signifikan mengurangi waktu mereka untuk memperbaiki selama dua tahun terakhir.

Selengkapnya: ZDNet