Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for OAuth

OAuth

GitHub: Bagaimana token OAuth yang dicuri membantu menembus lusinan organisasi

by

GitHub telah membagikan garis waktu pelanggaran keamanan bulan ini ketika seorang aktor ancaman memperoleh akses ke dan mencuri repositori pribadi milik lusinan organisasi.

Penyerang menggunakan token aplikasi OAuth curian yang dikeluarkan untuk Heroku dan Travis-CI untuk melanggar akun pelanggan GitHub.com dengan integrasi aplikasi OAuth Heroku atau Travis CI resmi.

Chief Security Officer GitHub Mike Hanley mengatakan perusahaan belum menemukan bukti bahwa sistemnya telah dibobol sejak insiden itu pertama kali ditemukan pada 12 April 2022.

GitHub masih bekerja untuk memperingatkan semua pengguna dan organisasi yang terkena dampak, dengan perusahaan sedang dalam proses mengirimkan pemberitahuan terakhir kepada pengguna GitHub.com yang terpengaruh mulai hari ini.

Analisis perilaku penyerang, sementara ia memiliki akses ke akun Github yang disusupi, menunjukkan bahwa aktivitas berikut dilakukan di GitHub.com menggunakan token aplikasi OAuth yang dicuri:

  • Penyerang mengautentikasi ke GitHub API menggunakan token OAuth curian yang dikeluarkan untuk Heroku dan Travis CI.
  • Bagi kebanyakan orang yang memiliki aplikasi Heroku atau Travis CI OAuth yang terpengaruh yang diotorisasi di akun GitHub mereka, penyerang mencantumkan semua organisasi pengguna.
  • Penyerang kemudian secara selektif memilih target berdasarkan organisasi yang terdaftar.
  • Penyerang mendaftarkan repositori pribadi untuk akun pengguna yang diminati.
  • Penyerang kemudian melanjutkan untuk mengkloning beberapa repositori pribadi tersebut.

GitHub mengungkapkan pelanggaran pada malam tanggal 15 April, tiga hari setelah menemukan serangan itu, ketika aktor jahat mengakses infrastruktur produksi npm GitHub.

Pada tahap awal serangan, pelaku ancaman menggunakan kunci API AWS yang dikompromikan yang diperoleh setelah mengunduh beberapa repositori npm pribadi menggunakan token pengguna OAuth yang dicuri.

Sementara GitHub, Travis CI, dan Heroku telah mencabut semua token OAuth untuk memblokir akses lebih lanjut setelah menemukan serangan tersebut, organisasi yang terpengaruh disarankan untuk terus memantau log audit dan log keamanan akun pengguna mereka untuk aktivitas yang berpotensi berbahaya yang terkait dengan insiden ini.

GitHub membagikan panduan berikut kepada pelanggan yang berpotensi terkena dampak untuk membantu mereka menyelidiki log untuk bukti eksfiltrasi data atau aktivitas berbahaya:

  • Tinjau semua repositori pribadi Anda untuk mengetahui rahasia atau kredensial yang tersimpan di dalamnya. Ada beberapa alat yang dapat membantu tugas ini, seperti pemindaian rahasia GitHub dan trufflehog.
  • Tinjau aplikasi OAuth yang telah Anda otorisasi untuk akun pribadi Anda atau yang diotorisasi untuk mengakses organisasi Anda dan hapus apa pun yang tidak lagi diperlukan.
  • Ikuti panduan GitHub untuk memperkuat postur keamanan organisasi GitHub Anda.
  • Tinjau aktivitas akun Anda, token akses pribadi, aplikasi OAuth, dan kunci SSH untuk aktivitas atau perubahan apa pun yang mungkin berasal dari penyerang.

    • Sumber: Bleeping Computer

Microsoft, kelemahan Google OAuth dapat disalahgunakan dalam serangan phishing

by

Para peneliti telah menemukan serangkaian metode yang sebelumnya tidak diketahui untuk meluncurkan serangan pengalihan URL terhadap implementasi OAuth 2.0 yang lemah.

Serangan-serangan ini dapat mengarah pada pengabaian deteksi phishing dan solusi keamanan email, dan pada saat yang sama, memberikan legitimasi palsu pada URL phishing kepada para korban.

Kampanye yang relevan dideteksi oleh Proofpoint, dan menargetkan Outlook Web Access, PayPal, Microsoft 365, dan Google Workspace.

OAuth 2.0 adalah protokol otorisasi yang diadopsi secara luas yang memungkinkan aplikasi web atau desktop mengakses sumber daya yang dikendalikan oleh pengguna akhir, seperti email, kontak, informasi profil, atau akun sosial mereka.

Saat mengembangkan aplikasi OAuth, pengembang diberi kebebasan untuk memilih di antara berbagai jenis flow yang tersedia, bergantung pada kebutuhan mereka, seperti yang diilustrasikan di bawah ini.

Sumber: BleepeingComputer

Flow ini mengharuskan pengembang aplikasi untuk menentukan parameter tertentu, seperti ID klien unik, cakupan, dan URL pengalihan dibuka setelah autentikasi berhasil.

Namun, Proofpoint menemukan bahwa penyerang dapat memodifikasi beberapa parameter dalam alur otorisasi yang valid, memicu pengalihan korban ke situs yang disediakan penyerang atau mengarahkan ulang URL di aplikasi OAuth berbahaya yang terdaftar.

Karena ini terjadi setelah korban mengeklik URL yang tampak sah milik Microsoft, korban secara keliru menganggap bahwa URL itu sah, meskipun mereka sedang diarahkan ke situs jahat.

Pengalihan ini dapat dipicu dengan memodifikasi parameter kueri ‘response_type’ agar berisi nilai yang tidak valid, dan korban akan dibawa ke halaman phishing oleh Microsoft setelah autentikasi.

Selengkapnya: Bleeping Computer

Bagaimana Penyerang Menggunakan Akun yang Disusupi untuk Membuat dan Mendistribusikan Aplikasi OAuth Berbahaya

by

Open authorization atau aplikasi “OAuth” menambahkan fitur bisnis dan peningkatan antarmuka pengguna ke platform cloud utama seperti Microsoft 365 dan Google Workspace. Sayangnya, mereka juga merupakan vektor ancaman baru karena semakin banyak pelaku kejahatan yang menggunakan aplikasi OAuth 2.0 berbahaya (atau malware cloud) untuk menyedot data dan mengakses informasi sensitif.

Proofpoint telah mengamati banyak bentuk serangan phishing token OAuth dan penyalahgunaan aplikasi OAuth, yang ideal bagi penyerang untuk melakukan pengintaian, meluncurkan serangan antar karyawan, dan mencuri file serta email dari platform cloud.

Serangan aplikasi berbahaya sering kali menargetkan akun wakil presiden, pengelola akun, perwakilan sumber daya manusia, dan kepala bagian keuangan — jenis pengguna yang memiliki akses ke data yang sangat sensitif. Jika berhasil, penyerang mendapatkan akses persisten dan independen ke email (termasuk membaca, menulis, mengirim, dan mengatur aturan kotak surat), file, kontak, catatan, obrolan Microsoft Teams, dan lainnya. Dalam beberapa kasus, mereka mengalihkan pengguna ke situs phishing setelah pengguna menyetujui aplikasi tersebut.

Penyerang pertama-tama akan membuat kode berbahaya mereka dan menyimpannya di server web, yang dapat diakses melalui URL (URL aplikasi berbahaya). Setelah menyusupi akun cloud target, penyerang kemudian membuat aplikasi di bagian “pendaftaran aplikasi” di portal Azure, menandai aplikasi tersebut sebagai “aplikasi multi-tenant” dengan pengaturan “web”, menambahkan URL berbahaya dari kode mereka ke aplikasi. Karena kode berbahaya memerlukan izin akses ke sumber daya, penyerang menambahkan izin yang relevan pada halaman aplikasi, di bawah tab “Izin API”.

Sumber: Proofpoint

Selengkapnya: ProofPoint

Aplikasi OAuth sedang dieksploitasi untuk meluncurkan serangan dunia maya

by

Penjahat dunia maya semakin menyalahgunakan aplikasi OAuth untuk meluncurkan serangan terhadap bisnis perusahaan menurut penelitian baru dari Proofpoint.

Bagi mereka yang tidak terbiasa, aplikasi OAuth adalah aplikasi yang terintegrasi dengan layanan komputasi awan dan mungkin disediakan oleh vendor berbeda selain penyedia layanan awan. Aplikasi ini dapat digunakan untuk menambahkan fitur bisnis serta peningkatan antarmuka pengguna ke layanan cloud seperti Microsoft 365 atau Google Workspace.

Agar aplikasi OAuth dapat bekerja dengan layanan cloud, kebanyakan dari mereka meminta izin untuk mengakses dan mengelola informasi dan data pengguna serta masuk ke aplikasi cloud lain atas nama pengguna. OAuth bekerja melalui HTTPS dan menggunakan token akses, bukan kredensial masuk untuk memberi otorisasi perangkat, API, server, dan aplikasi.

Namun, mengingat izin luas yang dimiliki aplikasi ini untuk aplikasi cloud inti organisasi, aplikasi tersebut telah menjadi permukaan dan vektor serangan yang berkembang. Penjahat dunia maya menggunakan berbagai metode untuk menyalahgunakan aplikasi OAuth termasuk meretas sertifikat aplikasi yang digunakan dalam peretasan SolarWinds baru-baru ini.

Karena aplikasi OAuth dapat dengan mudah dieksploitasi, penyerang dapat menggunakan akses OAuth untuk menyusup dan mengambil alih akun cloud pengguna. Lebih buruk lagi, penyerang masih dapat mengakses akun dan data pengguna sampai token OAuth secara eksplisit dicabut.

Aplikasi hasad atau malware cloud menggunakan sejumlah trik seperti phishing token OAuth dan peniruan aplikasi untuk memanipulasi pemilik akun menjadi persetujuan. Pada tahun 2020 saja, Proofpoint menemukan lebih dari 180 aplikasi berbahaya dan sebagian besar dari mereka ditemukan menyerang banyak penyewa.

Pengodean atau desain yang buruk sering kali menyebabkan aplikasi rentan terhadap pengambilalihan yang tidak bersahabat dan dalam kasus ini penyerang akan menyusupi aset atau mekanisme aplikasi alih-alih berinteraksi dengan akun target itu sendiri. Salah satu contoh baru-baru ini terjadi pada bulan Maret tahun lalu ketika ditemukan bahwa berbagi GIF di Microsoft Teams dapat mengakibatkan pengambilalihan akun.

sumber : TechRadar

Phishing menggunakan OAuth meningkat dengan Serangan Microsoft Office 365

by

APT yang dikenal sebagai TA2552 telah terlihat menggunakan OAuth2 atau metode otorisasi berbasis token lainnya untuk mengakses akun Office 365, dengan tujuan mencuri kontak dan email pengguna.

OAuth adalah standar terbuka untuk delegasi akses, biasanya digunakan sebagai cara bagi orang untuk masuk ke layanan tanpa memasukkan sandi – menggunakan status masuk di layanan atau situs web tepercaya lainnya. Contohnya seperti “Sign in with Google” atau “Sign in with Facebook”.

Menurut peneliti dari Proofpoint, target menerima umpan yang dibuat dengan baik yang meminta mereka untuk mengklik tautan yang membawa mereka ke halaman persetujuan aplikasi pihak ketiga Microsoft yang sah.

Di sana, mereka diminta untuk memberikan izin hanya-baca ke aplikasi pihak ketiga (berbahaya) yang menyamar sebagai aplikasi organisasi nyata.

Aplikasi berbahaya meminta akses hanya baca ke kontak, profil, dan email pengguna – semuanya dapat digunakan untuk mengintip akun, diam-diam mencuri data, atau bahkan mencegat pesan reset password dari akun lain, seperti perbankan online.

Peneliti Proofpoint menambahkan bahwa pengguna harus mengetahui izin yang diminta ini, dan semua aplikasi pihak ketiga lainnya.

Jika persetujuan diberikan, aplikasi pihak ketiga akan diizinkan untuk mengakses akun Office 365 yang saat ini diautentikasi. Jika persetujuan ditolak, browser akan dialihkan ke halaman yang dikendalikan penyerang, memberikan aktor kesempatan untuk mencoba lagi dengan taktik yang berbeda.

Proofpoint menambahkan bahwa meskipun pesan bertema pajak dan pemerintah Meksiko adalah target spoofing normal untuk kampanye tersebut, peneliti juga mengamati iming-iming dan aplikasi yang meniru Netflix Mexico dan Amazon Prime Mexico.

Pengguna dapat melindungi diri mereka dengan memastikan bahwa aplikasi apa pun yang mereka masuki benar-benar sah. Mereka juga dapat menerapkan strategi kesadaran phishing dasar, seperti mencari ejaan dan tata bahasa yang buruk pada email. Selain itu, nama aplikasi dan URL domain dapat memberikan tanda bahaya.

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: The Threat Post