Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Security

Security

Threat Assessment: Aktivitas Ransomware WastedLocker

by

WastedLocker adalah keluarga ransomware yang relatif baru yang telah dilacak sejak April / Mei 2020. Namanya berasal dari string ‘wasted’ yang ditambahkan ke file terenkripsi saat infeksi. Mirip dengan keluarga seperti Maze dan NetWalker, WastedLocker telah menyerang target bernilai tinggi di berbagai industri. Kampanye mereka telah menargetkan beberapa perusahaan Fortune 500 yang berbasis di Amerika Serikat juga.

Pada tanggal 23 Juni 2020, NCC Group menerbitkan laporan yang memberikan gambaran umum tentang ransomware WastedLocker, termasuk informasi tentang grup yang diyakini berada di belakangnya, Evil Corp. Sebelumnya, grup ini bertanggung jawab atas Trojan perbankan Dridex dan ancaman serta kampanye terkait lainnya.

WastedLocker juga adalah alasan mengapa Garmin harus menghentikan operasinya selama beberapa hari pada bulan Juli lalu, dirancang untuk menghindari alat keamanan dalam perangkat yang terinfeksi, menurut analisis dari para peneliti keamanan.

Unit 42 Paloalto telah mengamati peningkatan baru-baru ini dalam aktivitas ransomware WastedLocker, yang telah meningkat sejak sampel awal dianalisis oleh WildFire pada Mei 2020.

Rincian laporan ransomware WastedLocker dapat dibaca pada tautan berikut;
Source: Unit 42 Paloalto

Organisasi Besar Terganggu Oleh Bug, Mereka Menghadapi Patch Raksasa yang Menumpuk

by

Organisasi besar menemukan rata-rata 779.935 bug keamanan individu saat menjalankan pemindaian kerentanan rutin; dan selama enam bulan, rata-rata 28 persen dari kerentanan tersebut akan tetap ada. Hal ini membuat banyak dari organisasi ini berada dalam posisi tidak berdaya bagi penjahat siber, kata peneliti.

Itu menurut studi dari Ponemon Institute, The State of Vulnerability Management, yang mensurvei 1.800+ profesional TI di organisasi dengan lebih dari 1.000 karyawan. Survei tersebut menemukan bahwa rata-rata simpanan bug yang menumpuk untuk perusahaan-perusahaan ini berjumlah 57.555 kerentanan yang teridentifikasi.

Sudah jelas, aksi prioritas menjadi penting untuk manajemen kerentanan dalam skenario ini; namun, survei juga menemukan bahwa organisasi mengalami kesulitan dalam mencapainya. 57 persen responden penuh mengatakan organisasi mereka tidak tahu kerentanan mana yang menimbulkan risiko tertinggi bagi bisnis mereka. Dan hanya seperempat (25 persen) yang mengatakan bahwa mereka dapat memprioritaskan penambalan berdasarkan aset mana yang paling penting bagi bisnis.

Selain itu, survei tersebut menemukan bahwa sebagian besar organisasi tidak memiliki satu penglihatan pun dari siklus hidup manajemen kerentanan, termasuk penanganan pengecualian.

Baca berita selengkapnya pada tautan di bawah ini;
Source: The Threat Post

Worm Cryptojacking Menyebar Melalui Cloud AWS

by

Worm cryptomining dari grup yang dikenal sebagai TeamTNT menyebar melalui cloud Amazon Web Services (AWS) dan mencuri kredensial. Setelah kredensial login diambil, malware masuk dan menyebarkan alat penambangan XMRig untuk menambang cryptocurrency Monero.

Menurut peneliti di Cado Security, worm juga menyebarkan sejumlah malware yang tersedia secara terbuka dan alat keamanan ofensif, termasuk “punk.py,” alat pasca eksploitasi SSH; alat pembersih log; rootkit Diamorphine; dan backdoor IRC Tsunami.

Mereka mengatakan, ini adalah ancaman pertama yang diamati di alam liar yang secara khusus menargetkan AWS untuk tujuan cryptojacking.

Karena semakin banyak bisnis yang menggunakan cloud dan kontainer, hal itu telah membuka lanskap serangan baru bagi penjahat siber melalui kesalahan konfigurasi. Meskipun demikian, ancaman cryptomining yang menargetkan Docker dan Kubernetes bukanlah hal baru. Namun, serangan yang berfokus pada AWS dalam rangkaian kampanye terbaru ini unik, kata peneliti Cado.

TeamTNT sangat produktif, dan terlihat pertama kali di awal tahun. Pada bulan April, Trend Micro mengamati grup yang menyerang kontainer Docker.

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: The Threat Post

Google Mengatasi Kerentanan Kritis & Serius Yang Terkait Dengan 54 CVE Dalam Buletin Keamanan Android Bulan Ini.

by

Google telah merilis patch yang menangani masalah dengan tingkat keparahan tinggi dalam komponen Framework-nya. Kerentanan tersebut jika dieksploitasi dapat mengaktifkan eksekusi kode jarak jauh (RCE) di perangkat seluler Android.

Secara keseluruhan, 54 kerentanan dengan tingkat keparahan tinggi telah ditambal sebagai bagian dari pembaruan keamanan Google bulan Agustus untuk sistem operasi Android.

Sebagai bagian dari ini, Qualcomm, yang chipnya digunakan di perangkat Android, menambal campuran kerentanan kritis yang terkait dengan 31 CVE.

Produsen perangkat Android biasanya menerapkan patch mereka sendiri untuk menangani pembaruan bersamaan atau setelah Buletin Keamanan Google rilis.

Samsung mengatakan dalam rilis pemeliharaan keamanan Agustus bahwa mereka merilis beberapa patch buletin keamanan Android, termasuk CVE-2020-3699 dan CVE-2020-3698, ke model utama Samsung.

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: The Threat Post

Kerentanan Kubernetes Menempatkan Cluster pada Risiko Pengambilalihan (CVE-2020-8558)

by

Peneliti di Unit 42 dari Palo Alto Networks minggu ini mengeluarkan peringatan keamanan yang memperingatkan bahwa kerentanan Kubernetes yang diungkapkan sebelumnya mungkin lebih parah daripada yang diperkirakan sebelumnya.

Masalah yang dikenal sebagai CVE-2020-8558 baru-baru ini ditemukan di kube-proxy, komponen jaringan node Kubernetes. Layanan internal node Kubernetes sering berjalan tanpa autentikasi ketika disetel sebagai default. Ternyata pada versi Kubernetes tertentu, kerentanan ini dapat mengekspos server api Kubernetes, yang memungkinkan penyerang mendapatkan kendali penuh atas cluster.

Masalah inti CVE-2020-8558 adalah layanan localhost, yang seharusnya hanya dapat diakses dari node itu sendiri, menjadi terekspos ke host di jaringan lokal dan ke pod yang berjalan di node.

Jen Miller-Osborn, wakil direktur intelijen ancaman untuk Unit 42, mengatakan layanan terikat localhost mengharapkan bahwa hanya proses lokal tepercaya yang dapat berinteraksi dengannya sehingga mereka sering tidak dikonfigurasi tanpa persyaratan otentikasi apa pun.

Meskipun patch telah dirilis untuk mengatasi masalah CVE-2020-8558, Miller-Osborn mengatakan beberapa versi lama Kubernetes tidak menonaktifkan api-server insecure-port, yang biasanya hanya dapat diakses dari dalam node master.

Baca berita selengkapnya pada tautan di bawah ini;
Source: Unit 42

Eksploitasi Internet Explorer Dan Zero-day Windows Digunakan Dalam Operasi PowerFall

by

Aktor ancaman tingkat lanjut mengeksploitasi salah satu dari dua kerentanan zero-day yang ditambal Microsoft pada hari Selasa dalam serangan yang ditargetkan awal tahun ini.

Aktor tersebut menggunakan dua kelemahan di Windows, keduanya tidak diketahui pada saat serangan, dalam upaya untuk mencapai eksekusi kode jarak jauh dan meningkatkan hak istimewa mereka pada mesin yang dikompromikan.

Upaya jahat itu terjadi pada bulan Mei dan menargetkan perusahaan Korea Selatan. Peneliti dari Kaspersky percaya bahwa ini mungkin operasi DarkHotel, grup peretas yang telah beroperasi selama lebih dari satu dekade.

Dijuluki “Operation PowerFall”, serangan tersebut mengandalkan kerentanan eksekusi kode jarak jauh (RCE) di Internet Explorer 11, sekarang dilacak sebagai CVE-2020-1380, dan celah keamanan di Windows GDI Print / Print Spooler API yang memungkinkan eskalasi hak istimewa, sekarang diidentifikasi sebagai CVE-2020-0986.

Boris Larin dari Kaspersky, yang menemukan dan melaporkan CVE-2020-1380 ke Microsoft pada 8 Juni, telah merilis kode proof-of-concept untuk memicu kerentanan bersamaan dengan penjelasan teknis untuk membantu memahaminya dengan lebih baik.

Baca berita selengkapnya pada tautan di bawah ini;
Source: Bleeping Computer

Serangan Siber Menyerang Pemerintah Kanada

by

Pemerintah Kanada mengatakan pihaknya terpaksa menutup sebagian besar portal daringnya pada akhir pekan setelah serangan siber berkelanjutan selama beberapa hari terakhir.

Pada satu titik, pejabat Kanada mengungkapkan bahwa mereka mendeteksi sebanyak 300.000 upaya serangan untuk mengakses akun di setidaknya 24 sistem pemerintah.

“Pada Sabtu pagi, portal CRA (Canadian Revenue Agency) secara langsung ditargetkan dengan lalu lintas dalam jumlah besar menggunakan botnet untuk mencoba menyerang layanan melalui credential stuffing,” kata Marc Brouillard, pejabat Kepala Informasi untuk pemerintah Kanada.

Secara total, lebih dari 11.000 dari 12 juta akun pribadi terkompromi, termasuk akun pajak dan portal online yang mengakses program bantuan Covid-19.

Baca berita selengkapnya pada tautan di bawah ini;
Source: CNN

Microsoft Menunda Memperbaiki Kerentanan Zero Day Selama 2 Tahun

by

Cacat keamanan dalam cara Microsoft Windows menjaga pengguna dari file berbahaya secara aktif dieksploitasi dalam serangan malware selama dua tahun sebelum minggu lalu, ketika Microsoft akhirnya mengeluarkan pembaruan perangkat lunak untuk memperbaiki masalah tersebut.

Salah satu dari 120 celah keamanan yang diperbaiki Microsoft pada Patch Tuesday 11 Agustus adalah CVE-2020-1464, masalah dengan cara setiap versi Windows yang didukung memvalidasi tanda tangan digital untuk program komputer.

Microsoft mengatakan penyerang dapat menggunakan “kerentanan spoofing” ini untuk melewati fitur keamanan yang dimaksudkan untuk mencegah pemuatan file yang tidak ditandatangani dengan benar.

Faktanya, CVE-2020-1464 pertama kali terlihat dalam serangan yang digunakan di dunia nyata pada Agustus 2018. Dan beberapa peneliti memberi tahu Microsoft tentang kelemahan tersebut selama 18 bulan terakhir.

Baca berita selengkapnya pada tautan di bawah ini;
Source: Krebs On Security