Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for SolarWindsHack

SolarWindsHack

Agensi Siber mengatakan peretasan SolarWinds dapat dicegah dengan langkah-langkah keamanan sederhana

by

Peretasan SolarWinds, salah satu insiden keamanan siber terbesar dalam sejarah AS, mungkin dapat dicegah atau diminimalkan jika langkah-langkah keamanan dasar telah diterapkan, kata seorang pejabat tinggi pemerintah awal bulan ini.

Dalam surat 3 Juni kepada Senator Ron Wyden (D-Ore.) yang diberikan kepada The Hill pada hari Senin, penjabat Direktur Cybersecurity and Infrastructure Security Agency (CISA) Brandon Wales setuju dengan pertanyaan Wyden mengenai apakah firewall yang ditempatkan di sistem agen korban dapat membantu memblokir virus malware yang digunakan dalam serangan SolarWinds.

“CISA setuju bahwa firewall yang memblokir semua koneksi keluar ke internet akan menetralkan malware,” tulis Wales.

Dia menekankan, bagaimanapun, bahwa sementara agensi “melakukan pengamatan jaringan korban dengan konfigurasi ini yang berhasil memblokir upaya koneksi dan tidak memiliki eksploitasi lanjutan, efektivitas tindakan pencegahan ini tidak berlaku untuk semua jenis intrusi dan mungkin tidak layak mengingat persyaratan operasional untuk beberapa lembaga”.

Wales mengatakan bahwa CISA tidak memiliki angka tentang berapa banyak agen federal yang mengelompokkan dan memisahkan jaringan mereka, pedoman keamanan utama yang telah lama direkomendasikan agen tersebut sebagai cara untuk mencegah peretas bergerak melalui jaringan sensitif.

Dia juga menekankan bahwa CISA membuat “perbaikan mendesak” untuk meningkatkan pemahamannya tentang ancaman dunia maya ke jaringan federal, termasuk menggunakan sebagian dari $650 juta yang termasuk dalam Undang-Undang Rencana Penyelamatan Amerika untuk memindahkan perlindungan keamanan di dalam jaringan agensi alih-alih hanya menjaga perimeter.

Selengkapnya: The Hill

Pelanggaran SolarWinds memperlihatkan kelemahan keamanan multicloud hybrid

by

Strategi multicloud hybrid dapat memanfaatkan data dan wawasan berharga dari sistem lama sambil menggunakan platform, aplikasi, dan alat berbasis cloud terbaru. Namun mendapatkan hak keamanan multicloud hybrid tidaklah mudah.

Mengekspos kelemahan keamanan yang parah di cloud hybrid, otentikasi, dan konfigurasi akses paling tidak istimewa, pelanggaran SolarWinds profil tinggi mengungkapkan betapa rentannya setiap bisnis.

Jelas, para pemimpin perusahaan harus melihat melampaui level dasar yang sangat digemari dari identitas dan manajemen akses (IAM) dan manajemen akses istimewa (PAM) yang sekarang ditawarkan oleh penyedia cloud.

Singkatnya, pelaku ancaman persisten tingkat lanjut (APT) menembus rantai pasokan perangkat lunak SolarWinds Orion tanpa terdeteksi, memodifikasi file pustaka yang terhubung secara dinamis (.dll), dan menyebarkan malware ke seluruh basis pelanggan SolarWinds sambil berhati-hati untuk meniru lalu lintas yang sah.

Dengan mempertimbangkan pelajaran SolarWinds, setiap organisasi perlu memverifikasi sejauh mana cakupan yang disediakan sebagai fungsionalitas dasar untuk IAM dan PAM oleh vendor cloud. Meskipun konsep model tanggung jawab bersama berguna, penting untuk melihat melampaui janji penyedia platform cloud berdasarkan kerangka kerja.

Serangan SolarWinds datang tepat ketika metode multicloud mulai mendapatkan daya tarik. Cloud sprawl didefinisikan sebagai pertumbuhan instance cloud yang tidak direncanakan dan seringkali tidak terkendali di seluruh platform cloud publik, pribadi, dan komunitas. Penyebab utama cloud sprawl adalah kurangnya kontrol, tata kelola, dan visibilitas tentang bagaimana instance dan resource komputasi cloud diperoleh dan digunakan

Selengkapnya: Venturebeat

Empat vendor keamanan mengungkapkan insiden terkait SolarWinds

by

Seperti yang diramalkan sebagian besar ahli bulan lalu, dampak dari serangan rantai pasokan SolarWinds semakin besar seiring berjalannya waktu, dan perusahaan memiliki waktu untuk mengaudit jaringan internal dan log DNS.

Minggu ini, empat vendor keamanan siber baru – Mimecast, Palo Alto Networks, Qualys, dan Fidelis – telah menambahkan nama mereka ke daftar perusahaan yang telah menginstal versi trojan dari aplikasi SolarWinds Orion.

Dua minggu lalu, Mimecast mengungkapkan pelanggaran keamanan besar di mana peretas membobol jaringannya dan menggunakan sertifikat digital yang digunakan oleh salah satu produk keamanannya untuk mengakses akun Microsoft 365 dari beberapa pelanggannya.

Dalam pembaruan di blognya, Mimecast mengatakan pihaknya menautkan insiden ini ke aplikasi SolarWinds Orion yang terinstal di jaringannya.

Vendor keamanan besar lainnya yang mengungkapkan insiden terkait SolarWinds adalah Palo Alto Networks, vendor perangkat lunak keamanan siber dan peralatan jaringan. Palo Alto Networks mengatakan mendeteksi dua insiden keamanan pada September dan Oktober 2020 yang terkait dengan perangkat lunak SolarWinds.

Laporan Forbes juga mengutip temuan Erik Hjelmvik, pendiri perusahaan keamanan jaringan Netresec, yang menerbitkan pada sebuah laporan hari Senin yang merinci 23 domain baru yang digunakan oleh peretas SolarWinds untuk menyebarkan muatan tahap kedua ke jaringan yang terinfeksi yang mereka anggap bernilai tinggi.

Dua dari 23 domain baru ini adalah “corp.qualys.com”, yang menunjukkan bahwa raksasa audit keamanan siber Qualys mungkin telah menjadi sasaran para penyerang.

Pengungkapan besar keempat dan terbaru datang dari Fidelis Cybersecurity dalam bentuk posting blog dari CISO perusahaan, Chris Kubic. Eksekutif Fidelis mengatakan bahwa mereka juga telah menginstal versi trojan dari aplikasi SolarWinds Orion pada Mei 2020 sebagai bagian dari “evaluasi perangkat lunak”.

Selengkapnya: ZDNet

Jenis malware ketiga ditemukan dalam serangan rantai pasokan SolarWinds

by

Perusahaan keamanan siber CrowdStrike, salah satu perusahaan yang terlibat langsung dalam penyelidikan serangan rantai pasokan SolarWinds, mengatakan mereka mengidentifikasi jenis malware ketiga yang terlibat langsung dalam peretasan tersebut.

Dinamakan Sunspot, temuan ini menambah strain malware Sunburst (Solorigate) dan Teardrop yang ditemukan sebelumnya.

Tapi sementara Sunspot adalah penemuan terbaru dalam peretasan SolarWinds, Crowdstrike mengatakan malware itu sebenarnya yang pertama digunakan.

Crowdstrike mengatakan bahwa Sunspot digunakan pada September 2019, ketika peretas pertama kali menembus jaringan internal SolarWinds.

Malware Sunspot diinstal pada build server SolarWinds, sejenis perangkat lunak yang digunakan oleh pengembang untuk merakit komponen yang lebih kecil menjadi aplikasi perangkat lunak yang lebih besar.

CrowdStrike mengatakan Sunspot memiliki satu tujuan tunggal – yaitu, untuk mengawasi build server untuk perintah build yang merakit Orion.

Setelah perintah build terdeteksi, malware akan secara diam-diam mengganti file source code di dalam aplikasi Orion dengan file yang memuat malware Sunburst, menghasilkan versi aplikasi Orion yang juga menginstal malware Sunburst.

Dalam pengumuman terpisah yang diterbitkan di blognya, SolarWinds juga menerbitkan timeline peretasan tersebut. SolarWinds mengatakan bahwa sebelum malware Sunburst disebarkan ke pelanggan antara Maret dan Juni 2020, peretas juga melakukan uji coba antara bulan September dan November 2019.

Sumber: SolarWinds

Sumber: ZDNet

Microsoft: Tujuan peretas SolarWinds adalah data cloud para korban

by

Seperti yang dijelaskan oleh Tim Defender Microsoft 365, setelah menyusup ke jaringan target dengan bantuan backdoor Sunburst, tujuan penyerang dibalik peretasan SolarWinds adalah untuk mendapatkan akses ke aset cloud korban.

“Dengan pijakan awal yang tersebar luas ini, para penyerang kemudian dapat memilih organisasi tertentu yang ingin mereka terus operasikan (sementara yang lain tetap menjadi pilihan kapan saja selama backdoor dipasang dan tidak terdeteksi)”, jelas Microsoft.

Artikel Microsoft sebelumnya tentang serangan rantai pasokan SolarWinds dan panduan dari Badan Keamanan Nasional (NSA) juga mengisyaratkan fakta bahwa tujuan akhir penyerang adalah menghasilkan token SAML (Security Assertion Markup Language) untuk memalsukan token otentikasi yang memungkinkan akses ke sumber daya cloud.

Sumber: Microsoft

Microsoft juga merinci prosedur langkah demi langkah yang digunakan oleh penyerang untuk mendapatkan akses ke aset cloud korban mereka:

  1. Menggunakan SolarWinds DLL yang telah dikompromikan untuk mengaktifkan backdoor yang memungkinkan penyerang untuk mengontrol dan mengoperasikan perangkat dari jarak jauh

  2. Menggunakan akses backdoor untuk mencuri kredensial, meningkatkan hak istimewa, dan bergerak secara lateral untuk mendapatkan kemampuan membuat token SAML yang valid menggunakan salah satu dari dua metode berikut:
    1. Mencuri sertifikat penandatanganan SAML (Jalur 1)
    2. Menambahkan atau mengubah kepercayaan federasi yang sudah ada (Jalur 2)

  3. Menggunakan token SAML yang dibuat penyerang untuk mengakses sumber daya cloud dan melakukan tindakan yang mengarah ke eksfiltrasi email dan persistensi di cloud

NSA merekomendasikan penerapan otentikasi multi-faktor, menghapus aplikasi yang tidak perlu dengan kredensial, menonaktifkan otentikasi lama, dan menggunakan Modul Keamanan Perangkat Keras (HSM) yang memvalidasi FIPS untuk mengamankan private key.

Sumber: Bleeping Computer

Perusahaan teknologi besar termasuk Intel, Nvidia, dan Cisco semuanya terinfeksi selama peretasan SolarWinds

by

Minggu lalu, tersiar kabar bahwa perusahaan manajemen TI SolarWinds telah diretas, diduga oleh pemerintah Rusia, dan departemen Keuangan, Perdagangan, Negara, Energi, dan Keamanan Dalam Negeri AS telah terpengaruh – dua di antaranya mungkin telah dicuri emailnya akibat peretasan tersebut.

The Wall Street Journal sekarang melaporkan bahwa beberapa perusahaan teknologi besar telah terinfeksi juga. Cisco, Intel, Nvidia, Belkin, dan VMware semuanya memiliki komputer di jaringan mereka yang terinfeksi malware.

Mungkin ada lebih banyak lagi: SolarWinds telah menyatakan bahwa “kurang dari 18.000” perusahaan terkena dampak, seolah-olah angka itu seharusnya meyakinkan, dan bahkan berusaha menyembunyikan daftar klien yang menggunakan perangkat lunak yang terinfeksi.

Ada berbagai macam alasan mengapa grup peretas mungkin ingin masuk ke sistem perusahaan teknologi besar, termasuk akses ke paket produk di masa mendatang atau informasi karyawan dan pelanggan yang dapat dijual atau ditahan untuk mendapatkan tebusan, dengan asumsi mereka benar-benar mencari info tersebut.

Namun, mungkin juga perusahaan-perusahaan ini hanyalah “bonus” karena kelompok peretas ini mengejar lembaga pemerintah, yang kebetulan menggunakan sistem manajemen TI yang disediakan SolarWinds.

Sumber: The Verge

VMware mengkonfirmasi adanya pelanggaran dalam kampanye peretasan SolarWinds

by

VMware adalah perusahaan terbaru yang mengonfirmasi bahwa sistemnya telah dilanggar dalam serangan SolarWinds baru-baru ini tetapi membantah upaya eksploitasi lebih lanjut.

Perusahaan mengatakan bahwa para peretas tidak melakukan upaya apa pun untuk mengeksploitasi akses mereka lebih lanjut setelah menggunakan backdoor yang sekarang dilacak sebagai Sunburst atau Solarigate.

“Meskipun kami telah mengidentifikasi contoh terbatas dari perangkat lunak SolarWinds Orion yang rentan di lingkungan internal kami sendiri, penyelidikan internal kami sendiri belum mengungkapkan indikasi eksploitasi,” kata perusahaan itu dalam sebuah pernyataan.

“Ini juga telah dikonfirmasi oleh investigasi SolarWinds sendiri hingga saat ini,” tambah VMware.

VMware juga membantah laporan media bahwa kerentanan zero-day di beberapa produk VMware yang dilaporkan oleh NSA digunakan sebagai vektor serangan tambahan selain platform SolarWinds Orion untuk mengganggu target profil tinggi.

Kerentanan yang dilacak sebagai CVE 2020-4006 telah diungkapkan secara publik pada bulan November dan ditangani selama awal Desember.

Meskipun CVE-2020-4006 tidak disalahgunakan dalam pelanggaran apa pun yang terkait dengan serangan rantai pasokan SolarWinds, VMware mengatakan bahwa semua pelanggan harus menerapkan pembaruan keamanan untuk produk yang terpengaruh.

Sumber: Bleeping Computer

Sekitar 50 perusahaan ‘benar-benar terpengaruh’ oleh serangan siber yang menimpa AS

by

Kevin Mandia, CEO FireEye, mengatakan bahwa sementara sekitar 18.000 organisasi memiliki kode berbahaya di jaringan mereka, ada 50 organisasi yang mengalami pelanggaran besar.

Departemen Keuangan AS dan departemen keamanan dalam negeri, negara bagian dan pertahanan diketahui telah menjadi sasaran. Menteri Luar Negeri AS Mike Pompeo menyalahkan Rusia atas peretasan tersebut.

Mr Mandia mengatakan kepada CBS News bahwa serangan siber “sangat konsisten” dan dikaitkan dengan pekerjaan badan intelijen luar negeri Rusia, SVR.

“Saya pikir ini adalah orang-orang yang kami tangani di tahun 90-an, di awal tahun 2000-an. Ini adalah permainan yang berkelanjutan di dunia maya,” katanya.

Terlepas dari penolakan Rusia atas klaim “tak berdasar”, banyak komunitas intelijen AS mencurigai pemerintah Rusia yang bertanggung jawab atas peretasan besar ini.

Seperti yang telah diberitakan baru-baru ini, peretas berhasil mendapatkan akses ke organisasi besar dengan mengorbankan perangkat lunak manajemen jaringan yang dikembangkan oleh perusahaan IT SolarWinds yang berbasis di Texas.

Akses tersebut dapat memungkinkan para peretas untuk mengambil kendali tingkat tinggi atas jaringan organisasi yang menggunakan perangkat lunak tersebut, namun tampaknya telah digunakan untuk mencuri data daripada untuk dampak yang mengganggu atau merusak.

Beberapa organisasi lain di seluruh dunia, termasuk di Inggris, diketahui telah menjadi sasaran peretas yang menggunakan perangkat lunak manajemen jaringan yang sama.

Sumber: BBC