Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for MFA

MFA

Peringatan keamanan: Peretas menggunakan malware baru ini untuk menargetkan peralatan firewall

by

Peretas yang terkait dengan militer Rusia mengeksploitasi kerentanan keamanan di firewall untuk menyusup ke jaringan dan menginfeksi mereka dengan malware, memungkinkan mereka untuk mendapatkan akses dari jarak jauh.

Peringatan oleh Pusat Keamanan Siber Nasional Inggris (NCSC), Badan Keamanan Siber dan Infrastruktur (CISA), Badan Keamanan Nasional (NSA) dan Biro Investigasi Federal (FBI) telah merinci malware baru, Cyclops Blink, yang menghubungkannya ke Sandworm, operasi peretasan ofensif yang sebelumnya mereka tautkan ke GRU Rusia.

Analisis oleh NCSC menggambarkan Cyclops Blink sebagai “malware yang sangat canggih” yang telah “dikembangkan secara profesional”.

Cyclops Blink tampaknya menjadi pengganti VPNFilter, malware yang digunakan oleh kelompok peretas Rusia yang terkait dengan negara dalam serangan luas yang digunakan untuk mengkompromikan perangkat jaringan, terutama router, untuk mengakses jaringan.

Menurut NCSC, CISA, FBI dan NSA, Cyclops Blink telah aktif setidaknya sejak Juni 2019, dan seperti VPNFilter sebelumnya, penargetan digambarkan sebagai “tidak pandang bulu dan tersebar luas” dengan kemampuan untuk mendapatkan akses jarak jauh yang persisten ke jaringan.

Itu juga dapat mengunggah dan mengunduh file dari mesin yang terinfeksi dan bersifat modular, memungkinkan fungsionalitas baru ditambahkan ke malware yang sudah berjalan.

Serangan dunia maya terutama difokuskan pada perangkat firewall WatchGuard, tetapi agensi memperingatkan bahwa Sandworm mampu mengarahkan kembali malware untuk menyebarkannya melalui arsitektur dan firmware lain.

Cyclops Blink tetap ada saat reboot dan selama proses pembaruan firmware yang sah. Ini menargetkan perangkat WatchGuard yang dikonfigurasi ulang dari pengaturan default pabrikan untuk membuka antarmuka manajemen jarak jauh ke akses eksternal.

Infeksi tidak berarti organisasi adalah target utama, tetapi mungkin saja mesin yang terinfeksi dapat digunakan untuk melakukan serangan tambahan.

NCSC mendesak organisasi yang terkena dampak untuk mengambil langkah-langkah untuk menghapus malware, yang telah dirinci oleh WatchGuard.

NCSC memperingatkan bahwa setiap kata sandi yang ada pada perangkat yang terinfeksi oleh Cyclops Blink harus dianggap telah disusupi dan harus diubah.

Saran lain tentang melindungi jaringan dari serangan dunia maya termasuk menghindari paparan antarmuka manajemen perangkat jaringan ke internet, menjaga perangkat tetap up to date dengan patch keamanan terbaru dan menggunakan otentikasi multi-faktor.

Sumber :

Google Chrome untuk memungkinkan pengguna menambahkan catatan ke kata sandi yang disimpan

by

Google sedang menguji fitur Chrome baru yang memungkinkan pengguna untuk menambahkan catatan pada kata sandi yang disimpan di browser web.

Fitur baru ini ditemukan oleh pengguna Reddit (u/Leopeva64-2) di Google Chrome Canary (versi 101), yang merupakan versi masa depan eksperimental tiga rilis dari cabang stabil, saat ini di versi 98.

Fitur ini akan memungkinkan pengguna untuk mengedit kata sandi tersimpan yang ada untuk menambahkan informasi tambahan, seperti alamat email yang terkait dengan akun, pertanyaan/jawaban keamanan, atau informasi lain yang mungkin diperlukan saat masuk atau menggunakan situs.

Catatan kata sandi di Chrome Canary
Sumber: Reddit | u/Leopeva64-2)

Google saat ini sedang menguji fitur ini dengan sebagian pengguna karena tidak muncul di semua browser. Ada banyak alasan yang sah untuk menggunakan fitur ini, tetapi pada titik ini, tidak jelas seberapa baik perlindungan catatan ini.

Malware pencuri informasi seperti RedLine sudah dapat mencuri basis data kata sandi Chrome, jadi jika catatan tersebut dibundel dengan mereka, mereka juga akan rentan.

Bagi mereka yang memasukkan informasi berisiko yang terkait langsung dengan kata sandi, fitur baru ini berpotensi meningkatkan risiko akun mereka disusupi.

Bahkan jika seorang infostealer mengambil daftar kata sandi yang disimpan di Chrome, itu tidak akan membantu mereka melewati autentikasi multi-faktor yang mungkin telah dikonfigurasi pengguna di akun mereka.

Namun, jika pengguna menyimpan kode cadangan MFA atau informasi sensitif lainnya di bidang catatan, ini dapat memungkinkan pelaku ancaman meningkatkan akses ke akun.

Jika Anda benar-benar perlu menyimpan catatan di browser Anda, sebagian besar pengelola kata sandi menawarkan opsi ini bersama dengan enkripsi yang kuat dan perlindungan brankas rahasia, jadi ini mungkin cara yang lebih aman untuk melakukannya.

Sumber : Bleeping Computer

Metode phishing yang licik melewati MFA menggunakan perangkat lunak akses jarak jauh

by

Teknik phishing baru yang licik memungkinkan musuh untuk melewati otentikasi multi-faktor (MFA) dengan secara diam-diam meminta korban masuk ke akun mereka secara langsung di server yang dikendalikan penyerang menggunakan sistem berbagi layar VNC.

Untuk mendapatkan akses ke akun target yang dilindungi MFA, kit phishing telah diperbarui untuk menggunakan proxy terbalik atau metode lain untuk mengumpulkan kode MFA dari korban tanpa disadari.

Namun, perusahaan menangkap metode ini dan mulai memperkenalkan langkah-langkah keamanan yang memblokir login atau menonaktifkan akun ketika proxy terbalik terdeteksi.

Saat melakukan uji penetrasi untuk pelanggan, peneliti keamanan mr.d0x berusaha membuat serangan phishing pada karyawan klien untuk mendapatkan kredensial akun perusahaan.

Karena semua akun dikonfigurasi dengan MFA, mr.d0x menyiapkan serangan phishing menggunakan kerangka kerja serangan Evilginx2 yang bertindak sebagai proxy terbalik untuk mencuri kredensial dan kode MFA.

Saat melakukan pengujian, peneliti menemukan bahwa Google mencegah login saat mendeteksi proxy terbalik atau serangan man-in-the-middle (MiTM).

Masuk Google Chrome memblokir serangan MiTM
Sumber: mr.d0x

Untuk mengatasi kendala ini, mr.d0x datang dengan teknik phishing baru yang licik yang menggunakan perangkat lunak akses jarak jauh noVNC dan browser yang berjalan dalam mode kios untuk menampilkan permintaan login email yang berjalan di server penyerang tetapi ditampilkan di browser korban.

VNC adalah perangkat lunak akses jarak jauh yang memungkinkan pengguna jarak jauh untuk terhubung dan mengontrol desktop pengguna yang masuk. Kebanyakan orang terhubung ke server VNC melalui klien VNC khusus yang membuka desktop jarak jauh dengan cara yang mirip dengan Windows Remote Desktop.

Namun, sebuah program yang disebut noVNC memungkinkan pengguna untuk terhubung ke server VNC langsung dari dalam browser hanya dengan mengklik tautan, saat itulah teknik phishing baru peneliti ikut bermain.

Dengan menggunakan konfigurasi ini, pelaku ancaman dapat mengirimkan email spear-phishing yang ditargetkan yang berisi tautan yang secara otomatis meluncurkan browser target dan masuk ke server VNC jarak jauh penyerang.

Tautan ini sangat dapat disesuaikan dan memungkinkan penyerang membuat tautan yang tidak terlihat seperti URL masuk VNC yang mencurigakan, seperti di bawah ini:

Contoh[.]com/index.html?id=VNCPASSWORD
Contoh[.]com/auth/login?name=password

Karena server VNC penyerang dikonfigurasi untuk menjalankan browser dalam mode kios, yang menjalankan browser dalam mode layar penuh, ketika korban mengklik tautan, mereka hanya akan melihat layar login untuk layanan email yang ditargetkan dan login seperti biasa.

Demonstrasi teknik phishing VNC
Sumber: mr.d0x

Namun, karena prompt login sebenarnya sedang ditampilkan oleh server VNC penyerang, semua upaya login akan dilakukan langsung di server jauh. mr.d0x memberi tahu bahwa begitu pengguna masuk ke akun, penyerang dapat menggunakan berbagai alat untuk mencuri kredensial dan token keamanan.

Lebih berbahaya lagi, teknik ini akan melewati MFA karena pengguna akan memasukkan kode akses satu kali langsung di server penyerang, yang mengizinkan perangkat untuk mencoba login di masa mendatang.

Alternatif lain adalah saya menyuntikkan JS ke browser sebelum mengirim tautan phishing. Ketika pengguna mulai menggunakan browser, itu menjalankan JS saya. Ada lebih banyak opsi karena pada akhirnya pengguna mengautentikasi ke server Anda.”

Jika serangan digunakan secara terbatas untuk menargetkan hanya beberapa orang, cukup masuk ke akun email mereka melalui sesi VNC penyerang akan mengizinkan perangkat untuk terhubung ke akun di masa mendatang.

Karena VNC memungkinkan banyak orang untuk memantau sesi yang sama, penyerang dapat memutuskan sesi korban setelah akun masuk dan menyambung ke sesi yang sama nanti untuk mengakses akun dan semua emailnya.

Adapun cara melindungi diri Anda dari jenis serangan ini, semua saran phishing tetap sama: jangan klik URL dari pengirim yang tidak dikenal, periksa tautan yang disematkan untuk domain yang tidak biasa, dan perlakukan semua email sebagai mencurigakan, terutama saat meminta Anda untuk masuk ke akun Anda.

Sumber : Bleeping Computer

Kit Phishing Deteksi Rendah Semakin Melewati MFA

by

Semakin banyak kit phishing yang berfokus pada melewati metode otentikasi multi-faktor (MFA), para peneliti telah memperingatkan biasanya mereka mencuri token otentikasi melalui serangan man-in-the-middle (MiTM).

Menurut analisis dari Proofpoint, kit phishing bypass MFA berkembang biak dengan cepat, “mulai dari kit open-source sederhana dengan kode yang dapat dibaca manusia dan fungsionalitas tanpa embel-embel hingga kit canggih yang menggunakan banyak lapisan kebingungan dan modul bawaan yang memungkinkan untuk mencuri. nama pengguna, kata sandi, token MFA, nomor Jaminan Sosial, dan nomor kartu kredit.”

Para peneliti juga mencatat bahwa kit MFA-bypass mewakili titik buta keamanan, dengan alamat IP dan domain terkait yang sering kali diselingi oleh deteksi VirusTotal.

Trik Proxy Terbalik Transparan
Menurut Proofpoint, salah satu pendekatan kit phishing yang sangat populer adalah penggunaan transparent reverse proxies (TRPs), yang memungkinkan penyerang untuk memasukkan diri mereka ke dalam sesi browser yang ada. Pendekatan MiTM ini memungkinkan musuh bersembunyi dan mengumpulkan informasi saat informasi tersebut masuk atau muncul di layar.

Kit TRP menunjukkan “situs web sebenarnya kepada korban,” catat para peneliti dalam analisis hari Kamis. “Halaman web modern bersifat dinamis dan sering berubah. Oleh karena itu, menampilkan situs sebenarnya alih-alih faksimili sangat meningkatkan ilusi bahwa seseorang masuk dengan aman.”

Proofpoint mengatakan bahwa ada tiga kit TRP khususnya yang telah melihat peningkatan yang digunakan belakangan ini.

Modlishka
Proofpoint mengatakan bahwa ini memungkinkan pengguna untuk melakukan phishing hanya pada satu situs pada satu waktu. Ini menggunakan antarmuka baris perintah dan memiliki mekanisme berbasis GUI untuk mencuri kredensial dan informasi sesi, tambah mereka.

“Modlishka juga mengintegrasikan Let’s Encrypt sehingga dapat membuat halaman arahan domain palsu sedikit lebih dapat dipercaya dengan mengenkripsi lalu lintas dan memberikan gembok kecil di bilah web,” kata mereka.

Muraena/Necrobrowser
Muraena berjalan di sisi server dan menggunakan crawler untuk memindai situs target untuk memastikan situs tersebut dapat menulis ulang semua lalu lintas yang diperlukan dengan benar, untuk tidak memperingatkan korban. Ini memanen kredensial dan cookie sesi korban, lalu menyebarkan Necrobrowser.

Necrobrowser merupakan browser tanpa GUI yang digunakan untuk otomatisasi, yang memanfaatkan cookie sesi yang dicuri untuk masuk ke situs target dan melakukan hal-hal seperti mengubah kata sandi, menonaktifkan pemberitahuan Google Workspace, membuang email, mengubah kunci sesi SSH di GitHub dan unduh semua repositori kode.

Evilginx2

Keunggulannya adalah pengaturan yang mudah dan kemampuan untuk menggunakan “phishlet” yang telah diinstal sebelumnya, yaitu file konfigurasi yaml yang digunakan mesin untuk mengonfigurasi proxy ke situs target. Pengguna juga dapat membuat phishlet baru.

Setelah korban mengklik tautan berbahaya, mereka dibawa ke halaman aman untuk masuk, di mana penyerang mengangkat kredensial, kode MFA, dan cookie sesi.

Meskipun alat-alat ini bukan hal baru, mereka semakin sering digunakan untuk melewati MFA, perusahaan mencatat, yang mengkhawatirkan karena kurangnya deteksi. Peneliti dari Stony Brook University dan Palo Alto Networks mengembangkan alat yang berhasil mengidentifikasi 1.200 situs phishing MitM. Namun, hanya 43,7 persen dari domain tersebut dan 18,9 persen alamat IP mereka yang muncul di VirusTotal – meskipun memiliki masa hidup hingga 20 hari atau lebih.

Selengkapnya : Threat Post

Microsoft memperingatkan kampanye phishing multi-tahap yang memanfaatkan Azure AD

by

Analis ancaman Microsoft telah menemukan kampanye phishing multi-fase skala besar yang menggunakan kredensial curian untuk mendaftarkan perangkat ke jaringan target dan menggunakannya untuk mendistribusikan email phishing.

Serangan tersebut hanya terwujud melalui akun yang tidak memiliki perlindungan otentikasi multi-faktor (MFA), yang membuatnya lebih mudah untuk dibajak.

Pelaku ancaman menyebarkan serangan dalam dua tahap, yang pertama dirancang untuk mencuri kredensial email penerima, memikat mereka dengan email bertema DocuSign yang mendesak untuk meninjau dan menandatangani dokumen.

Umpan DocuSign dikirim dalam gelombang pertama serangan
Sumber: Microsoft

Tautan yang disematkan membawa korban ke URL phishing yang meniru halaman masuk Office 365 dan mengisi nama pengguna korban untuk meningkatkan kredibilitas.

Data telemetri Microsoft menunjukkan bahwa fase pertama serangan difokuskan terutama pada perusahaan yang berlokasi di Australia, Singapura, Indonesia, dan Thailand.

Para aktor berusaha untuk berkompromi dengan karyawan yang bekerja jarak jauh, titik layanan terkelola yang tidak terlindungi dengan baik, dan infrastruktur lain yang mungkin beroperasi di luar kebijakan keamanan yang ketat.

Penyelidikan selanjutnya mengungkapkan bahwa lebih dari seratus kotak surat di beberapa organisasi telah disusupi dengan aturan kotak surat berbahaya bernama “Filter Spam”.

Dengan kredensial di tangan, penyerang menginstal Outlook di mesin mereka sendiri (Windows 10) dan masuk ke akun email pengguna. Tindakan ini menyebabkan perangkat penyerang terhubung secara otomatis ke perusahaan Azure Active Directory dan mendaftarkannya.

Setelah perangkat penyerang ditambahkan ke jaringan organisasi, pelaku ancaman melanjutkan ke tahap kedua, mengirim email ke karyawan perusahaan yang ditargetkan dan target eksternal seperti kontraktor, pemasok, atau mitra.

Rantai serangan phishing
Sumber: Microsoft

Karena pesan ini berasal dari ruang kerja tepercaya, pesan tersebut tidak ditandai oleh solusi keamanan dan membawa elemen legitimasi intrinsik yang meningkatkan peluang keberhasilan aktor.

Azure AD memicu stempel waktu aktivitas saat perangkat mencoba mengautentikasi, yang merupakan kesempatan kedua bagi pembela HAM untuk menemukan pendaftaran yang mencurigakan.

Acara pendaftaran yang mencurigakan
Sumber: Microsoft

Jika pendaftaran tidak diketahui, aktor diizinkan untuk mengirim pesan dari bagian domain yang dikenali dan tepercaya menggunakan kredensial valid yang dicuri di Outlook.

Kampanye phishing ini licik dan cukup berhasil, tetapi tidak akan seefektif jika perusahaan yang ditargetkan mengikuti salah satu praktik berikut:

  • Semua karyawan telah mengaktifkan MFA di akun Office 365 mereka.
  • Terapkan solusi perlindungan titik akhir yang dapat mendeteksi pembuatan aturan kotak masuk.
  • Pendaftaran perangkat Azure AD dipantau secara ketat.
  • Pendaftaran Azure AD memerlukan MFA.
  • Kebijakan tanpa kepercayaan diterapkan di semua bagian jaringan organisasi.

Sumber : Bleeping Computer

API Baru Memungkinkan Pengembang Aplikasi Mengautentikasi Pengguna melalui Kartu SIM

by

Pembuatan akun online menimbulkan tantangan bagi para insinyur dan arsitek sistem: jika Anda memasang terlalu banyak penghalang, Anda berisiko menolak pengguna asli. Buat terlalu mudah, dan Anda berisiko dari penipuan atau akun palsu.

Model tradisional identitas online – nama pengguna/email dan kata sandi – telah lama tidak digunakan lagi. Beginilah cara otentikasi multi-faktor atau dua faktor (MFA atau 2FA) berperan, untuk menambal kerentanan yang disebut model berbasis pengetahuan, biasanya dengan kode sandi SMS untuk memverifikasi kepemilikan nomor ponsel.

Terkadang solusi paling sederhana sudah ada di tangan kita. SMS saja mungkin tidak aman, tetapi nomor ponsel yang ditambatkan ke kartu SIM adalah: pasangan unik yang sulit untuk diubah atau disalin.

Otentikasi berbasis SIM adalah terobosan identitas. Sekarang dimungkinkan untuk mencegah penipuan dan akun palsu sambil memverifikasi pengguna seluler dengan mulus menggunakan pengenal paling aman secara kriptografis yang sudah mereka miliki – kartu SIM yang tertanam di perangkat seluler mereka.

Jika Anda khawatir tentang penipuan pertukaran SIM sebagai ancaman bagi pengguna Anda, Anda benar.

Otentikasi berbasis SIM memberikan perbaikan sederhana, dengan respons langsung yang dapat ditindaklanjuti. Penipu berusaha mengakses akun korban mereka biasanya dalam waktu 24 jam, jadi dengan memeriksa aktivitas pertukaran SIM dalam 7 hari terakhir, SubscriberCheck oleh tru.ID dapat mendeteksi mereka di gerbang.

Kartu SIM di dalam telepon sudah diautentikasi dengan Operator Jaringan Seluler (MNO). Otentikasi SIM memungkinkan pelanggan seluler melakukan dan menerima panggilan telepon dan terhubung ke Internet.

SubscriberCheck dari tru.ID terhubung ke mekanisme otentikasi yang sama dengan MNO. Akibatnya, tru.ID API melakukan dua hal.

Pertama, memverifikasi bahwa nomor ponsel aktif dan dipasangkan ke kartu SIM di ponsel. Sebagai bagian dari verifikasi ini, API juga mengambil informasi jika kartu SIM yang terkait dengan nomor telepon baru saja diubah. Pemeriksaan ini dapat diintegrasikan dengan mudah dengan API dan SDK.

Selengkapnya: The Hacker News

SonicWall zero-day dieksploitasi di alam liar

by

Perusahaan keamanan siber NCC Group mengatakan pada hari Minggu bahwa mereka mendeteksi upaya eksploitasi aktif terhadap kerentanan zero-day di perangkat jaringan SonicWall.

Rincian tentang sifat kerentanan belum dipublikasikan untuk mencegah pelaku ancaman lainnya mempelajarinya dan meluncurkan serangan mereka sendiri.

Peneliti NCC mengatakan mereka memberi tahu SonicWall tentang bug dan serangan tersebut selama akhir pekan.

Para peneliti percaya mereka mengidentifikasi kerentanan zero-day yang sama yang digunakan aktor ancaman misterius untuk mendapatkan akses ke jaringan internal SonicWall sendiri dalam pelanggaran keamanan yang diungkapkan perusahaan pada 23 Januari.

Menanggapi permintaan di Twitter untuk membagikan lebih banyak detail mengenai serangan tersebut sehingga pakar keamanan dapat melindungi pelanggan mereka, tim NCC merekomendasikan agar pemilik perangkat membatasi alamat IP mana yang diizinkan untuk mengakses antarmuka manajemen perangkat SonicWall hanya ke IP personel yang berwenang.

Mereka juga merekomendasikan mengaktifkan dukungan otentikasi multi-faktor (MFA) untuk akun perangkat SonicWall.

Sumber: ZDNet

Microsoft: Bagaimana ‘zero trust’ dapat melindungi dari serangan peretasan yang canggih

by

Berbagai teknik yang digunakan oleh peretas SolarWinds sangat canggih namun dalam banyak hal juga biasa dan dapat dicegah, menurut Microsoft.

Untuk mencegah serangan di masa mendatang dengan tingkat kecanggihan yang serupa, Microsoft merekomendasikan organisasi untuk mengadopsi “mentalitas zero trust”, yang menyangkal asumsi bahwa segala sesuatu di dalam jaringan TI aman. Artinya, organisasi harus menganggap pelanggaran dan secara eksplisit memverifikasi keamanan akun pengguna, perangkat endpoint, jaringan, dan sumber daya lainnya.

Seperti yang dicatat oleh direktur keamanan identitas Microsoft, Alex Weinert dalam sebuah posting blog, tiga vektor serangan utama adalah akun pengguna yang disusupi, akun vendor yang disusupi, dan perangkat lunak vendor yang disusupi.

Ribuan perusahaan terkena dampak pelanggaran SolarWinds yang diungkapkan pada pertengahan Desember. Vendor keamanan AS Malwarebytes kemarin mengatakan bahwa mereka juga dilanggar oleh peretas yang sama tetapi tidak melalui pembaruan Orion yang tercemar.

Menurut Weinert, para penyerang mengeksploitasi celah dalam “verifikasi eksplisit” di setiap vektor serangan utama.

“Saat akun pengguna disusupi, teknik yang dikenal seperti password spray, phishing, atau malware digunakan untuk membobol kredensial pengguna dan memberi penyerang akses kritis ke jaringan pelanggan,” tulis Weinert.

Dalam kasus di mana aktor berhasil, Weinert mencatat bahwa akun vendor dengan hak istimewa tidak memiliki perlindungan tambahan seperti otentikasi multi-faktor (MFA), pembatasan rentang IP, kepatuhan perangkat, atau tinjauan akses.

MFA adalah kontrol penting, karena akun dengan hak istimewa tinggi yang disusupi dapat digunakan untuk memalsukan token SAML guna mengakses sumber daya cloud.

“Prinsip pertama Zero Trust adalah memverifikasi secara eksplisit – pastikan Anda memperluas verifikasi ini ke semua permintaan akses, bahkan dari vendor dan terutama yang berasal dari lingkungan lokal.”

Sumber: ZDNet