Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Supply Chain Attack

Supply Chain Attack

Vietnam menjadi sasaran dalam serangan rantai pasokan yang kompleks

by

Sekelompok peretas misterius telah melakukan serangan rantai pasokan yang cerdik terhadap perusahaan swasta dan lembaga pemerintah Vietnam dengan memasukkan malware ke dalam perangkat lunak resmi milik pemerintah.

Serangan itu, ditemukan oleh firma keamanan ESET dan dirinci dalam laporan bernama “Operation SignSight,” menargetkan Otoritas Sertifikasi Pemerintah Vietnam (VGCA), organisasi pemerintah yang menerbitkan sertifikat digital yang dapat digunakan untuk menandatangani dokumen resmi secara elektronik.

Setiap warga negara Vietnam, perusahaan swasta, dan bahkan lembaga pemerintah lainnya yang ingin mengirimkan file ke pemerintah Vietnam harus menandatangani dokumen mereka dengan sertifikat digital yang kompatibel dengan VGCA.

ESET mengatakan bahwa sekitar tahun ini, peretas masuk ke situs web agensi, yang terletak di ca.gov.vn, dan memasukkan malware ke dalam dua aplikasi klien VGCA yang ditawarkan untuk diunduh di situs tersebut.

Kedua file tersebut adalah aplikasi klien 32-bit (gca01-client-v2-x32-8.3.msi) dan 64-bit (gca01-client-v2-x64-8.3.msi) untuk pengguna Windows.

ESET mengatakan bahwa antara 23 Juli dan 5 Agustus tahun ini, kedua file tersebut berisi trojan backdoor bernama PhantomNet, juga dikenal sebagai Smanager.

Malware itu tidak terlalu rumit namun hanyalah kerangka gambar untuk plugin yang lebih kuat, kata para peneliti.

Plugin tersebut memiliki fungsionalitas untuk mengambil pengaturan proxy untuk melewati firewall perusahaan dan kemampuan untuk mengunduh dan menjalankan aplikasi (berbahaya) lainnya.

Pada hari ESET menerbitkan laporannya, VGCA juga secara resmi mengakui pelanggaran keamanan dan menerbitkan tutorial tentang bagaimana pengguna dapat menghapus malware dari sistem mereka.

Sumber: ZDNet

VMware mengkonfirmasi adanya pelanggaran dalam kampanye peretasan SolarWinds

by

VMware adalah perusahaan terbaru yang mengonfirmasi bahwa sistemnya telah dilanggar dalam serangan SolarWinds baru-baru ini tetapi membantah upaya eksploitasi lebih lanjut.

Perusahaan mengatakan bahwa para peretas tidak melakukan upaya apa pun untuk mengeksploitasi akses mereka lebih lanjut setelah menggunakan backdoor yang sekarang dilacak sebagai Sunburst atau Solarigate.

“Meskipun kami telah mengidentifikasi contoh terbatas dari perangkat lunak SolarWinds Orion yang rentan di lingkungan internal kami sendiri, penyelidikan internal kami sendiri belum mengungkapkan indikasi eksploitasi,” kata perusahaan itu dalam sebuah pernyataan.

“Ini juga telah dikonfirmasi oleh investigasi SolarWinds sendiri hingga saat ini,” tambah VMware.

VMware juga membantah laporan media bahwa kerentanan zero-day di beberapa produk VMware yang dilaporkan oleh NSA digunakan sebagai vektor serangan tambahan selain platform SolarWinds Orion untuk mengganggu target profil tinggi.

Kerentanan yang dilacak sebagai CVE 2020-4006 telah diungkapkan secara publik pada bulan November dan ditangani selama awal Desember.

Meskipun CVE-2020-4006 tidak disalahgunakan dalam pelanggaran apa pun yang terkait dengan serangan rantai pasokan SolarWinds, VMware mengatakan bahwa semua pelanggan harus menerapkan pembaruan keamanan untuk produk yang terpengaruh.

Sumber: Bleeping Computer

Grup peretasan kedua telah menargetkan sistem SolarWinds

by

Ketika bukti forensik perlahan-lahan digali setelah serangan rantai pasokan SolarWinds, peneliti keamanan telah menemukan pelaku ancaman kedua yang telah mengeksploitasi perangkat lunak SolarWinds untuk menanam malware di jaringan perusahaan dan pemerintah.

Rincian tentang aktor ancaman kedua ini masih langka, tetapi peneliti keamanan tidak percaya entitas kedua ini terkait dengan dugaan peretas yang didukung pemerintah Rusia yang melanggar SolarWinds untuk memasukkan malware ke dalam aplikasi resmi Orion.

Malware yang digunakan dalam serangan asli, dengan nama sandi Sunburst (atau Solorigate), dikirimkan ke pelanggan SolarWinds sebagai pembaruan yang di-boobytrapped untuk aplikasi Orion.

Tetapi dalam beberapa hari pertama setelah pengungkapan publik dari peretasan SolarWinds, laporan awal menyebutkan dua muatan tahap kedua.

Laporan dari Guidepoint, Symantec, dan Palo Alto Networks merinci bagaimana penyerang juga menanam web shell .NET bernama Supernova. Peneliti keamanan percaya bahwa penyerang menggunakan web shell Supernova untuk mengunduh, mengkompilasi, dan mengeksekusi skrip Powershell yang berbahaya (yang oleh beberapa orang dinamai CosmicGale).

Namun, dalam analisis tindak lanjut dari tim keamanan Microsoft, sekarang diklarifikasi bahwa web shell Supernova bukan bagian dari rantai serangan asli.

Kebingungan bahwa Supernova terkait dengan rantai serangan Sunburst + Teardrop berasal dari fakta bahwa sama seperti Sunburst, Supernova menyamar sebagai DLL untuk aplikasi Orion – dengan Sunburst disembunyikan di dalam file SolarWinds.Orion.Core.BusinessLayer.dll dan Supernova di dalam App_Web_logoimagehandler.ashx.b6031896.dll.

Sumber: ZDNet

Pemerintah Inggris, NATO Bergabung dengan AS dalam Memantau Risiko Dari Peretasan

by

Instansi pemerintah dan perusahaan besar di luar AS sedang meninjau sistem komputer mereka untuk mencari tanda-tanda pelanggaran keamanan, setelah kampanye peretasan yang memasukkan malware ke dalam pembaruan perangkat lunak dari perusahaan AS SolarWinds Corp.

Pemerintah AS pada hari Minggu mengatakan telah dilanda serangan siber, dan semua badan sipil federal diperintahkan oleh Badan Keamanan Siber dan Infrastruktur AS untuk meninjau jaringan mereka dan memutuskan atau mematikan produk SolarWinds Orion segera.

NATO mengatakan dalam sebuah pernyataan bahwa pihaknya “saat ini sedang menilai situasi, dengan tujuan untuk mengidentifikasi dan mengurangi potensi risiko apa pun pada jaringan kami”.

Seorang pejabat pemerintah Inggris, yang berbicara tanpa menyebut nama, mengatakan bahwa pemerintah sedang menilai tingkat infiltrasi di jaringan Inggris, dan menambahkan bahwa kelompok APT29 – kelompok peretas terkenal yang terkait dengan pemerintah Rusia – adalah tersangka potensial.

SolarWinds yang berbasis di Austin, Texas, menjual produk teknologi ke banyak target sensitif, termasuk kelima cabang militer AS. Di luar AS, SolarWinds telah mengambil kontrak untuk Layanan Kesehatan Nasional Inggris Raya, Parlemen Eropa, dan NATO, menurut perincian di situs webnya. Perusahaan tersebut mengatakan memiliki lebih dari 300.000 pelanggan di seluruh dunia, termasuk sejumlah besar anggota Fortune 500 AS.

SolarWinds menyatakan di situs webnya bahwa mereka membantu pelanggannya mengelola jaringan komputer mereka dan memantau mereka untuk potensi pelanggaran data.

Sumber: Bloomberg

Microsoft, FireEye mengkonfirmasi serangan rantai pasokan SolarWinds

by

Peretas yang diyakini beroperasi atas nama pemerintah asing telah melanggar penyedia perangkat lunak SolarWinds dan kemudian menyebarkan pembaruan yang mengandung malware untuk perangkat lunak Orionnya untuk menginfeksi jaringan beberapa di perusahaan AS dan jaringan pemerintahan, kata firma keamanan AS FireEye.

Serangan rantai pasokan SolarWinds juga merupakan cara peretas memperoleh akses ke jaringan FireEye sendiri, yang diungkapkan perusahaan awal pekan ini.

The Washington Post mengutip sumber yang mengklaim bahwa beberapa lembaga pemerintah lainnya juga terkena dampak.

Reuters melaporkan bahwa insiden itu dianggap sangat serius sehingga menyebabkan pertemuan langka Dewan Keamanan Nasional AS di Gedung Putih, sehari sebelumnya, pada hari Sabtu.

Sumber yang berbicara dengan Washington Post mengaitkan gangguan tersebut dengan APT29, codename yang digunakan oleh industri keamanan siber untuk menggambarkan peretas yang terkait dengan Badan Intelijen Luar Negeri Rusia (SVR).

Dalam peringatan keamanan yang dikirim ke pelanggannya secara pribadi pada hari Minggu, Microsoft juga mengkonfirmasi kompromi SolarWinds dan memberikan tindakan pencegahan kepada pelanggan yang mungkin terpengaruh.

SolarWinds mengatakan bahwa pembaruan Orion versi 2019.4 hingga 2020.2.1, yang dirilis antara Maret 2020 dan Juni 2020, telah tercemar malware. FireEye menamai malware ini SUNBURST dan telah menerbitkan laporan teknis, bersama dengan aturan deteksi di GitHub. Microsoft menamai malware ini Solorigate dan menambahkan aturan deteksi ke antivirus Defender-nya.

Sumber: Microsoft

“Korban termasuk pemerintah, konsultan, teknologi, telekomunikasi dan entitas ekstraktif di Amerika Utara, Eropa, Asia dan Timur Tengah. Kami mengantisipasi ada korban tambahan di negara dan vertikal lain,” tambah FireEye.

Sumber: ZDNet