Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Security

Security

Bagaimana data poisoning menyerang model pembelajaran mesin yang korup

by

Apa itu data poisoning?

Data poisoning atau serangan poisoning model melibatkan pencemaran data pelatihan model pembelajaran mesin. Data posoning dianggap sebagai serangan integritas karena gangguan pada data pelatihan memengaruhi kemampuan model untuk menghasilkan prediksi yang benar. Jenis serangan lain dapat diklasifikasikan dengan cara yang sama berdasarkan dampaknya:

  • Kerahasiaan (Confidentiality), di mana penyerang dapat menyimpulkan informasi yang berpotensi rahasia tentang data pelatihan dengan memasukkan input ke model
  • Ketersediaan (Availability), tempat penyerang menyamarkan input mereka untuk mengelabui model guna menghindari klasifikasi yang benar
  • Replikasi (Replication), di mana penyerang dapat merekayasa balik model untuk mereplikasi dan menganalisisnya secara lokal untuk menyiapkan serangan atau mengeksploitasinya untuk keuntungan finansial mereka sendiri

Contoh data poisoning

Contoh nyata dari hal ini adalah serangan terhadap filter spam yang digunakan oleh penyedia email. Dalam postingan blog 2018 tentang serangan pembelajaran mesin, Elie Bursztein, yang memimpin tim riset anti-penyalahgunaan di Google mengatakan: “Dalam praktiknya, kami secara teratur melihat beberapa grup spammer tercanggih mencoba membuat filter Gmail keluar jalur dengan melaporkan email spam dalam jumlah besar sebagai bukan spam […] Antara akhir November 2017 dan awal 2018, ada setidaknya empat upaya berbahaya berskala besar untuk membelokkan pengklasifikasi kami.”

Tidak ada perbaikan yang mudah

Masalah utama dengan data poisoning adalah tidak mudah untuk memperbaikinya. Model dilatih ulang dengan data yang baru dikumpulkan pada interval tertentu, bergantung pada tujuan penggunaan dan preferensi pemiliknya. Karena poisoning biasanya terjadi seiring waktu, dan selama beberapa siklus pelatihan, sulit untuk mengetahui kapan akurasi prediksi mulai bergeser.

Cegah dan deteksi

Mengingat kesulitan dalam memperbaiki model yang diracuni, pengembang model perlu fokus pada tindakan yang dapat memblokir upaya serangan atau mendeteksi input berbahaya sebelum siklus pelatihan berikutnya terjadi — hal-hal seperti pemeriksaan validitas masukan, pembatasan kecepatan, pengujian regresi, moderasi manual, dan menggunakan berbagai statistik teknik untuk mendeteksi anomali.

Untuk melakukan data poisoning, penyerang juga perlu mendapatkan informasi tentang cara kerja model, jadi penting untuk membocorkan informasi sesedikit mungkin dan memiliki kontrol akses yang kuat untuk model dan data pelatihan. Dalam hal ini, pertahanan pembelajaran mesin terikat dengan praktik keamanan dan kebersihan umum — hal-hal seperti membatasi izin, mengaktifkan logging, dan menggunakan file dan data versioning.

Selengkapnya: CSO Online

Peretas Korea Utara menggunakan malware Vyveva baru untuk menyerang kapal barang

by

Grup peretasan Lazarus yang didukung Korea Utara menggunakan malware baru dengan kemampuan backdoor yang dijuluki Vyveva dan menargetkan serangan terhadap perusahaan logistik pengiriman Afrika Selatan.

Meskipun ESET hanya menemukan dua mesin yang terinfeksi malware ini, keduanya milik perusahaan pengiriman Afrika Selatan yang sama, backdoor kemungkinan digunakan dalam kampanye spionase yang ditargetkan sejak pertama kali digunakan di alam liar.

Malware ini hadir dengan serangkaian kemampuan spionase dunia maya yang memungkinkan operator Lazarus memanen dan mengekstrak file dari sistem yang terinfeksi ke server di bawah kendali mereka menggunakan jaringan anonim Tor sebagai saluran komunikasi yang aman.

Lazarus juga dapat menggunakan Vyveva untuk mengirim dan mengeksekusi kode berbahaya sewenang-wenang pada sistem yang dikompromikan di jaringan korban.

Sementara backdoor akan terhubung ke server command-and-control (C2) setiap tiga menit, ia juga menggunakan pengawas yang dirancang untuk melacak drive yang baru terhubung atau sesi pengguna aktif untuk memicu koneksi C2 baru pada sesi baru atau drive event.

Sumber: Bleeping Computer

Indikator gangguan, termasuk hash sampel Vyveva yang digunakan selama serangan yang menargetkan perusahaan angkutan Afrika Selatan, tersedia di akhir laporan ESET.

Peretas mengambil data dari 500 juta pengguna LinkedIn dan telah mempostingnya untuk dijual secara online

by

Data dari 500 juta pengguna LinkedIn telah dihapus dan dijual secara online, menurut laporan dari Cyber News. Seorang juru bicara LinkedIn mengonfirmasi kepada Insider bahwa ada kumpulan data informasi publik yang diambil dari platform tersebut.

“Sementara kami masih menyelidiki masalah ini, kumpulan data yang diposting tampaknya menyertakan informasi yang dapat dilihat publik yang diambil dari LinkedIn digabungkan dengan data yang dikumpulkan dari situs web atau perusahaan lain,” kata juru bicara LinkedIn kepada Insider dalam sebuah pernyataan. “Scraping data anggota kami dari LinkedIn melanggar persyaratan layanan kami dan kami terus bekerja untuk melindungi anggota kami dan datanya.”

LinkedIn memiliki 740 juta pengguna, menurut situs webnya, jadi data yang dilaporkan dari 500 juta pengguna berarti sekitar dua pertiga dari basis pengguna platform dapat terpengaruh.

Data tersebut mencakup akun ID, nama lengkap, alamat email, nomor telepon, informasi tempat kerja, jenis kelamin, dan tautan ke akun media sosial lainnya.

Data tersebut telah diposting untuk dijual di forum peretas, dan penulis posting juga membocorkan sampel 2 juta catatan sebagai bukti konsep, menurut CyberNews. Peretas mencoba menjual kumpulan data dengan jumlah 4 digit, per outlet, dan berpotensi dalam bentuk bitcoin.

Paul Prudhomme, seorang analis di perusahaan intelijen keamanan IntSights, mengatakan kepada Insider bahwa data yang terungkap itu penting karena pelaku kejahatan dapat menggunakannya untuk menyerang perusahaan melalui informasi karyawan mereka.

Selengkapnya: Business Insider

Konten dewasa dari ratusan pembuat konten OnlyFans bocor secara online

by

Setelah Google Drive yang dibagikan diposting secara online yang berisi video dan gambar pribadi dari ratusan akun OnlyFans, seorang peneliti telah membuat alat yang memungkinkan pembuat konten untuk memeriksa apakah mereka adalah salah satu dari korban kebocoran.

Bulan lalu, para peneliti di perusahaan keamanan siber BackChannel menemukan postingan di forum peretasan tempat seorang anggota membagikan Google Drive yang berisi konten bertema dewasa OnlyFans dengan anggota lain di forum tersebut.

Tidak mungkin untuk melihat seberapa besar folder itu tanpa mengunduhnya. Namun, pendiri BackChannel Aaron DeVera mengatakan kepada BleepingComputer bahwa folder Google Drive awalnya berisi folder untuk 279 creator OnlyFans, dengan salah satu folder tersebut memiliki lebih dari 10GB video dan foto.

Dari tanggal file di share folder, sebagian besar konten tampaknya telah diupload pada Oktober 2020.

Karena banyaknya creator yang bocor di share folder ini, BackChannel yakin itu telah dikompilasi oleh banyak orang.

Untuk membantu pembuat konten OnlyFans menentukan apakah konten mereka adalah bagian dari kebocoran ini, BackChannel telah membuat halaman web ‘Alat Pencarian OnlyFans‘. Alat ini memungkinkan pembuat OnlyFans untuk memasukkan nama membernya dan menentukan apakah konten mereka telah dibagikan tanpa izin.

Jika creator memasukkan member mereka dan konten mereka ditemukan dalam kebocoran, situs akan merekomendasikan agar pengguna mengunjungi https://labac.dev/content, yang berisi template pemberitahuan pelanggaran DMCA yang dapat digunakan untuk menghapus konten.

Selengkapnya: Bleeping Computer

Have I Been Pwned menambahkan pencarian untuk nomor telepon Facebook yang bocor

by

Pengguna Facebook sekarang dapat menggunakan situs pemberitahuan pelanggaran data Have I Been Pwned untuk memeriksa apakah nomor telepon mereka terungkap dalam kebocoran data terbaru situs sosial tersebut.

Akhir pekan lalu, seorang pelaku ancaman merilis bocoran data berisi informasi bagi 533 juta pengguna Facebook. Informasi ini termasuk nomor telepon dan ID Facebook untuk hampir semua akun yang terbuka dan informasi opsional lainnya seperti nama, jenis kelamin, status hubungan, lokasi, pekerjaan, tanggal lahir, dan alamat email.

Data ini awalnya dikumpulkan pada 2019 dan dijual secara pribadi pada saat itu. Seiring waktu, data diperdagangkan dan dijual antara pelaku ancaman yang berbeda dengan harga yang lebih rendah dan lebih rendah sampai akhirnya dirilis secara gratis di forum peretas akhir pekan ini.

Ketika dirilis, data telah ditambahkan ke layanan pemberitahuan pelanggaran data Have I Been Pwned sehingga pengguna dapat mencari tahu apakah email mereka ada di kebocoran data Facebook.

Namun, komponen utama kebocoran ini adalah nomor telepon pengguna Facebook, bukan alamat email, dan oleh karena itu Have I Been Pwned tidak dapat secara akurat memberi tahu pengguna jika mereka terungkap dalam pelanggaran.

Untuk lebih akurat mengingatkan pengguna, Hunt telah memperbarui Have I Been Pwned sehingga pengguna sekarang dapat mencari nomor telepon mereka di situs tersebut untuk menentukan apakah kebocoran tersebut mengungkap info Facebook mereka.

Saat mencari nomor telepon, pengguna harus memasukkan kode negara mereka karena kebocoran data menyimpan nomor tersebut.

Sumber: BleepingComputer

Sumber: Bleeping Computer

Microsoft berbagi intelijen tentang aktivitas pasca-kompromi Serangan Exchange Server

by Leave a Comment

Awal pekan ini, Microsoft mengatakan bahwa 92% dari server Exchange yang rentan telah ditambal atau telah diterapkan mitigasi. Namun, firma keamanan siber F-Secure mengatakan “puluhan ribu” server Exchange telah dibobol. Dalam posting blog baru, Microsoft menegaskan kembali peringatannya bahwa “menambal sistem tidak serta merta menghapus akses penyerang”.

“Banyak dari sistem yang disusupi belum menerima tindakan sekunder, seperti serangan ransomware yang dioperasikan oleh manusia atau eksfiltrasi data, yang menunjukkan bahwa penyerang dapat menetapkan dan mempertahankan akses mereka untuk kemungkinan tindakan selanjutnya,” catat Microsoft 365 Defender Threat Intelligence Team.

Jika sistem telah disusupi, Microsoft mendesak admin untuk mempraktikkan prinsip hak istimewa paling rendah dan mengurangi pergerakan lateral pada jaringan.

Hak istimewa terkecil akan membantu mengatasi praktik umum di mana layanan Exchange atau tugas terjadwal telah dikonfigurasi dengan akun dengan hak istimewa tinggi untuk melakukan tugas-tugas seperti pencadangan.

Menggunakan ransomware DoejoCrypt, alias DearCry, sebagai contoh, Microsoft mencatat bahwa web shell yang digunakan oleh strain tersebut menulis file batch ke C: \ Windows \ Temp \ xx.bat. Ini ditemukan di semua sistem yang terkena DoejoCrypt dan mungkin menawarkan penyerang rute untuk mendapatkan kembali akses di mana infeksi telah terdeteksi dan dihapus.

“File batch ini melakukan backup database Security Account Manager (SAM) dan kumpulan registri Sistem dan Keamanan, yang memungkinkan penyerang nanti mengakses sandi pengguna lokal di sistem dan, yang lebih penting, di LSA [Otoritas Keamanan Lokal] Bagian rahasia dari registri, di mana kata sandi untuk layanan dan tugas terjadwal disimpan, “catatan Microsoft.

Meskipun korban belum mendapatkan tebusan, penggunaan file xx.bat oleh penyerang memungkinkan mereka menjelajahi jaringan melalui kerangka web yang meletakkan file tersebut pada awalnya. Shell web juga mengunduh kit pengujian penetrasi Cobalt Strike sebelum mengunduh muatan ransomware dan mengenkripsi file. Dengan kata lain, korban mungkin belum ditebus hari ini, tetapi penyerang telah meninggalkan alat di jaringan untuk melakukannya besok.

Ancaman kejahatan dunia maya lainnya ke server Exchange berasal dari penambang mata uang kripto yang berbahaya. Botnet cryptocurrency Lemon Duck diamati mengeksploitasi server Exchange yang rentan. Menariknya, operator Lemon Duck membersihkan server Exchange dengan file xx.bat dan web shell, memberinya akses eksklusif ke server Exchange. Microsoft juga menemukan bahwa itu digunakan untuk menginstal malware lain, bukan hanya menambang cryptocurrency.

Source : ZDnet

Genshin Impact Account Hacks: miHoYo memberikan pernyataan tentang kebocoran data, akan meningkatkan keamanan

by

Pemain sangat bersemangat untuk pembaruan yang akan datang, serta pembaruan di luar itu karena miHoYo akan merilis pembaruan setiap enam minggu. Di tengah semua itu, ada satu masalah yang sangat mengganggu para pemain. Sejumlah besar pemain telah menjadi sasaran serangan peretas akhir-akhir ini, dan mereka kehilangan akses ke akun mereka atau akun mereka telah benar-benar dihancurkan. Hal ini membuat komunitas cukup cemas karena banyak pemain yang enggan untuk mengambil bagian dalam acara resmi miHoYo sendiri, karena mengira itu mungkin tautan phishing.

Komunitas telah meminta autentikasi dua faktor cukup lama sekarang, tetapi kami belum menerima pembaruan apa pun dari miHoYo tentang hal itu. Sekarang, miHoYo akhirnya merilis pernyataan tentang peretasan yang sedang berlangsung. Banyak yang percaya bahwa ada kebocoran data dari akhir miHoYo, tetapi sepertinya bukan itu masalahnya. Berikut adalah versi terjemahan dari pernyataan yang diposting di Genshin Thailand Group.

Terima kasih telah menghubungi kami, saat ini pengembang sedang membahas tentang peningkatan sistem keamanan. Dari informasi yang kami miliki saat ini, kami memiliki banyak lapisan keamanan dan tidak ada tanda-tanda kebocoran. Sebagian besar pemain yang diretas, dan [sic] kebanyakan karena memberikan informasi mereka ke situs web palsu. Kami berharap pelancong tidak akan membuka situs palsu tersebut. Kami juga akan meningkatkan keamanan akun, harap tunggu pembaruan baru.

Apa yang tidak tersirat dari peningkatan keamanan ini, tetapi ada spekulasi bahwa 2FA akan menjadi opsi paling logis di sini. Mempertimbangkan tingkat di mana akun diretas, kami dapat mengharapkan ini segera. Game ini akan menerima pembaruan besar berikutnya, Pembaruan 1.4 pada 17 Maret, dan akan menambahkan karakter baru Rosaria, item baru, senjata, dan banyak lagi.

Bug kernel Linux berusia 15 tahun memungkinkan penyerang mendapatkan hak akses root

by

Tiga kerentanan yang ditemukan di subsistem iSCSI dari kernel Linux dapat memungkinkan penyerang lokal dengan hak pengguna dasar untuk mendapatkan hak akses root pada sistem Linux yang belum ditambal.

Bug keamanan ini hanya dapat dieksploitasi secara lokal, yang berarti bahwa penyerang potensial harus mendapatkan akses ke perangkat yang rentan dengan mengeksploitasi kerentanan lain atau menggunakan vektor serangan alternatif.

Peneliti GRIMM menemukan bug 15 tahun setelah diperkenalkan pada tahun 2006 selama tahap pengembangan awal subsistem kernel iSCSI.
Menurut peneliti keamanan GRIMM Adam Nichols, kelemahan tersebut mempengaruhi semua distribusi Linux, tetapi untungnya, modul kernel scsi_transport_iscsi yang rentan tidak dimuat secara default.
Namun, bergantung pada distribusi Linux yang mungkin ditargetkan penyerang, modul dapat dimuat dan dieksploitasi untuk eskalasi hak istimewa.

“Kernel Linux memuat modul baik karena perangkat keras baru terdeteksi atau karena fungsi kernel mendeteksi bahwa ada modul yang hilang,” kata Nichols.
“Kasus pemuatan otomatis implisit yang terakhir lebih mungkin untuk disalahgunakan dan dengan mudah dipicu oleh penyerang, memungkinkan mereka untuk meningkatkan permukaan serangan di kernel.”
Pada sistem CentOS 8, RHEL 8, dan Fedora, pengguna yang tidak memiliki hak istimewa dapat secara otomatis memuat modul yang diperlukan jika paket rdma-core diinstal, “tambah Nichols.
“Pada sistem Debian dan Ubuntu, paket rdma-core hanya akan secara otomatis memuat dua modul kernel yang diperlukan jika perangkat keras RDMA tersedia. Dengan demikian, cakupan kerentanannya jauh lebih terbatas.”

Penyerang dapat menyalahgunakan bug untuk melewati fitur keamanan yang memblokir eksploitasi seperti Kernel Address Space Layout Randomization (KASLR), Supervisor Mode Execution Protection (SMEP), Supervisor Mode Access Prevention (SMAP), dan Kernel Page-Table Isolation (KPTI).

Tiga kerentanan dapat menyebabkan peningkatan lokal hak istimewa, kebocoran informasi, dan penolakan layanan:

CVE-2021-27365: heap buffer overflow (Eskalasi Hak Istimewa Lokal, Kebocoran Informasi, Denial of Service)
CVE-2021-27363: kebocoran penunjuk kernel (Kebocoran Informasi)
CVE-2021-27364: pembacaan di luar batas (Kebocoran Informasi, Penolakan Layanan)

Ketiga kerentanan ditambal pada kernel versi 5.11.4, 5.10.21, 5.4.103, 4.19.179, 4.14.224, 4.9.260, dan 4.4.260, dan tambalan tersedia di kernel Linux jalur utama pada 7 Maret. Tidak ada patch yang akan dirilis untuk versi kernel yang tidak didukung EOL seperti 3.x dan 2.6.23. kami sarankan untuk segera melakukan patch pada kernel anda.

Source : Bleeping Computer