Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Vulnerability

Vulnerability

Lookout Menemukan ‘BouldSpy’, Android Spyware Terkait dengan Polisi Iran yang Menargetkan Minoritas

by

Para peneliti di Lookout Threat Lab telah menemukan alat pengawasan Android baru yang penulis kaitkan dengan keyakinan sedang kepada Komando Penegakan Hukum Republik Islam Iran (FARAJA).

Spyware BouldSpy untuk kelas “BoulderApplication” yang mengonfigurasi perintah dan kontrol alat (C2), telah dilacak sejak Maret 2020. Mulai tahun 2023, malware tersebut telah menarik perhatian peneliti keamanan di Twitter dan oleh orang lain dalam ancaman tersebut.

Komunitas intelijen mencirikannya sebagai botnet Android dan ransomware. Sementara BouldSpy menyertakan kode ransomware, peneliti Lookout menilai bahwa itu tidak digunakan dan tidak berfungsi, tetapi dapat menunjukkan pengembangan yang sedang berlangsung atau upaya penyesatan dari pihak aktor.

Berdasarkan analisis kami terhadap data yang dieksfiltrasi dari server C2 untuk spyware, BouldSpy telah mengorbankan lebih dari 300 orang, termasuk kelompok minoritas seperti Kurdi Iran, Baluchis, Azeri, dan kemungkinan kelompok Kristen Armenia.

Bukti yang dikumpulkan menyiratkan bahwa spyware mungkin juga telah digunakan dalam upaya melawan dan memantau aktivitas perdagangan ilegal yang berkaitan dengan senjata, narkoba, dan alkohol.

Penulis meyakini bahwa FARAJA menggunakan akses fisik ke perangkat untuk menginstal BouldSpy guna memantau target lebih jauh saat dirilis.

Spyware ‘BouldSpy’ mewakili alat pengawasan lain yang memanfaatkan sifat pribadi perangkat seluler.

Beberapa aplikasi yang ditiru oleh BouldSpy termasuk CPU-Z, alat perbandingan CPU seluler, Konverter Mata Uang Pro, kalkulator bunga berbahasa Persia, dan aplikasi Fake Call.

Ikon aplikasi yang terkait dengan varian BouldSpy, dari kiri ke kanan: CPU-Z, Interest Calculator, Currency Converter Pro, Fake Call, Call Service, Psiphon
Ikon aplikasi yang terkait dengan varian BouldSpy, dari kiri ke kanan: CPU-Z, Interest Calculator, Currency Converter Pro, Fake Call, Call Service, Psiphon

Kemampuan penting dari BouldSpy adalah dapat merekam panggilan suara melalui beberapa aplikasi Voice over IP (VoIP) serta aplikasi ponsel Android standar, termasuk WhatsApp, Kakao, LINE, Telegram VoIP, Microsoft Office 365 VoIP functionality, Skype, Slack VoIP, WeChat, dan lainnya.

Selengkapnya: Lookout

CISA, FDA memperingatkan tentang kerentanan perangkat DNA Illumina baru

by

Beberapa lembaga AS memperingatkan minggu ini tentang kerentanan yang memengaruhi perangkat lunak pada perangkat yang digunakan untuk penelitian DNA yang akan memungkinkan peretas mengakses informasi pasien yang sensitif.

Food and Drug Administration (FDA) dan perusahaan di belakang perangkat tersebut – Illumina – mengatakan mereka belum menerima laporan yang mengindikasikan kerentanan telah dieksploitasi.

Illumina adalah salah satu produsen perangkat medis terbesar di dunia yang menangani bioanalisis dan pengurutan DNA.

Penasihat dari Cybersecurity and Infrastructure Security Agency (CISA) mengatakan bug, CVE-2023-1968, memiliki skor dasar CVSS 10, peringkat tertinggi yang mungkin.

Kerentanan mempengaruhi Layanan Salinan Universal (UCS) Illumina, yang digunakan dalam peralatan “yang dapat ditentukan baik untuk penggunaan diagnostik klinis dalam mengurutkan DNA seseorang untuk berbagai kondisi genetik atau hanya untuk penggunaan penelitian.”

Produk-produknya termasuk Illumina MiSeqDx, NextSeq 550Dx, iScan, iSeq 100, MiniSeq, MiSeq, NextSeq 500, NextSeq 550, NextSeq 1000/2000, dan instrumen pengurutan NovaSeq 6000.

“Pengguna yang tidak sah dapat mengeksploitasi kerentanan dengan: mengambil kendali dari jarak jauh; mengubah pengaturan, konfigurasi, perangkat lunak, atau data pada instrumen atau jaringan pelanggan; atau memengaruhi hasil data genom dalam instrumen yang ditujukan untuk diagnosis klinis, termasuk menyebabkan instrumen tidak memberikan hasil, hasil yang salah, hasil yang berubah, atau potensi pelanggaran data,” kata FDA.

Illumina telah mengembangkan tambalan dan mengirimkan pesan tentang hal itu kepada pelanggan yang terpengaruh pada 5 April.

Mereka mendesak pelanggan untuk menghubungi mereka jika mereka belum menerima tambalan atau jika perangkat mereka disusupi. FDA juga menawarkan perusahaan cara untuk melaporkan kompromi jika diperlukan.

CISA mencatat bahwa “tidak ada eksploitasi publik yang diketahui secara khusus menargetkan kerentanan ini.”

Ini bukan pertama kalinya Illumina melaporkan kerentanan yang memengaruhi alatnya yang digunakan untuk analisis genetik.

Selengkapnya: The Record

Banyak Situs Salesforce Publik Membocorkan Data Pribadi

by

Salesforce Community adalah produk perangkat lunak berbasis cloud yang banyak digunakan yang memudahkan organisasi membuat situs web dengan cepat. Pelanggan dapat mengakses situs web Komunitas Salesforce dengan dua cara: Akses terotentikasi (memerlukan login), dan akses pengguna tamu (tidak perlu login). Fitur akses tamu memungkinkan pengguna yang tidak diautentikasi untuk melihat konten dan sumber daya tertentu tanpa perlu masuk.

Namun, terkadang administrator Salesforce secara keliru memberikan akses kepada pengguna tamu ke sumber daya internal, yang dapat menyebabkan pengguna yang tidak sah mengakses informasi pribadi organisasi dan menyebabkan potensi kebocoran data.

Hingga dihubungi oleh reporter ini pada hari Senin, negara bagian Vermont memiliki setidaknya lima situs Komunitas Salesforce terpisah yang memungkinkan akses tamu ke data sensitif, termasuk program Bantuan Pengangguran Pandemi yang mengungkap nama lengkap pemohon, nomor Jaminan Sosial, alamat, nomor telepon , email, dan nomor rekening bank.

Data itu kemudian dijual di forum kejahatan dunia maya teratas. Associated Press melaporkan bahwa pelanggaran DC Health Link juga merupakan hasil dari kesalahan manusia, dan mengatakan penyelidikan mengungkapkan penyebabnya adalah server DC Health Link yang “salah dikonfigurasi untuk mengizinkan akses ke laporan di server tanpa otentikasi yang tepat.”

Salesforce mengatakan paparan data bukanlah hasil dari kerentanan yang melekat pada platform Salesforce, tetapi hal itu dapat terjadi ketika izin kontrol akses pelanggan salah dikonfigurasi.

selengkapnya : krebsonsecurity

Security expert menemukan bug besar di Google Cloud

by

Security expert SADA mengklain telah menemukan kerentanan di Google Cloud Platform yang telah ditambal oleh raksasa teknolog tersebut.

Dikenal sebagai Asset Key Theft, kerentanan berpotensi memungkinkan pelaku encaman untuk mencuri kunci pribadi akun layanan Google Cloud. Dalam sebuah pernyataan (dibuka di tab baru), SADA mengatakan percaya bahwa cacat tersebut “akan member penyerang metode yang gigih dan andal untuk menyelahgunakan lingkungan Google CLoud.”

Sada memberi tahu Google tentang masalah ini dalam bisnis cloud hosting-nya melalui program hadiah Bug Hunters, di mana peneliti dapat memberi tahu raksasa teknologi itu tentang kekurangan yang mereka temukan dalam produknya dengan cara yang aman dan terjamin.

SADA percaya bahwa masalah ini kritis “karena kesamaan izin dengan alat kemanan cloud pihaj ketiga, seperti alat Cloud Security Posture Management (CSPM), untuk mengumpulkan data inventris cloud dari API.\

Cacat itu ditemukan di Google Cloud Platform API yang dikenal sebagai Cloud Asset Inventory API. Kerentanan ini memengaruhi semua pengguna Google Cloud yang telah mengaktifkan API ini dan yang memiliki izin cloudasset.assets.searchAllResources di lingkungan Google Cloud yang berlaku.

selengkapnya : techradar.com

Kerentanan Kritis dalam Produk Hikvision

by

Kerentanan tersebut dilacak sebagai CVE-2023-28808, telah dijelaskan oleh vendor sebagai masalah kontrol akses yang dapat dimanfaatkan untuk mendapatkan izin administrator dengan mengirimkan pesan yang dibuat khusus ke perangkat target.

Produk yang terpengaruh digunakan oleh organisasi untuk menyimpan data keamanan video, dan penyerang yang mengeksploitasi kerentanan dapat memperoleh akses ke data tersebut.

Dalam pemberitahuan yang dikirim oleh Hikvision kepada mitra – salinannya juga dibagikan dengan SecurityWeek – perusahaan mengatakan tidak mengetahui eksploitasi di alam liar.

“Meskipun Hikvision tidak mengetahui kerentanan ini dieksploitasi di lapangan, kami menyadari bahwa beberapa mitra kami mungkin telah memasang peralatan Hikvision yang terpengaruh oleh kerentanan ini dan kami sangat menganjurkan mereka untuk bekerja sama dengan pelanggan mereka untuk memasang tambalan dan memastikan perbaikan yang tepat. kebersihan dunia maya, ”perusahaan itu memberi tahu para mitra.

Hikvision mencatat dalam penasehatnya bahwa penyerang perlu memiliki akses jaringan ke perangkat yang ditargetkan untuk mengeksploitasi CVE-2023-28808.

Namun, Arko Dhar, CTO Redinent, perusahaan keamanan siber CCTV dan IoT yang berbasis di India yang dikreditkan untuk menemukan kerentanan tersebut, mengatakan kepada SecurityWeek bahwa banyak sistem yang terkena dampak terpapar ke internet dan eksploitasi jarak jauh dimungkinkan.

“Penyimpanan Hybrid SAN terutama dimaksudkan untuk menyimpan rekaman video CCTV. Tetapi juga dapat dikonfigurasi untuk menyimpan data bisnis. Dampaknya sangat luas – penyerang dapat menghapus rekaman video dan data bisnis pada saat yang sama, menghapus cadangan, dan menyebabkan dampak yang signifikan bagi bisnis,” Dhar memperingatkan.

Peneliti Redinent menemukan kerentanan tersebut pada akhir Desember 2022 dan cacat tersebut dilaporkan ke vendor melalui CERT India pada bulan Januari.

Hikvision mengumumkan pada 10 April bahwa patch disertakan dalam versi 2.3.8-8 untuk Hybrid SAN dan versi 1.1.4 untuk perangkat penyimpanan klaster. Vendor telah memberikan instruksi terperinci untuk menginstal pembaruan.

Selengkapnya: Security Week

CISA Memperingatkan 5 Kelemahan Keamanan yang Dieksploitasi Secara Aktif: Diperlukan Tindakan Mendesak

by

Badan Keamanan Siber dan Infrastruktur A.S. (CISA) pada hari Jumat menambahkan lima kelemahan keamanan ke dalam katalog Kerentanan Eksploitasi yang Diketahui (KEV), mengutip bukti eksploitasi aktif di alam liar.

Kerentanan yang diperbaiki dalam tambalan pada Maret 2021 oleh Veritas antara lain:
– CVE-2021-27876 (skor CVSS: 8.1): Kerentanan Akses File Veritas Backup Exec Agent
– CVE-2021-27877 (skor CVSS: 8.2): Veritas Backup Exec Agent Kerentanan Otentikasi Tidak Benar
– CVE-2021-27878 (skor CVSS: 8.8): Kerentanan Eksekusi Perintah Veritas Backup Exec Agent

Ini termasuk tiga kelemahan tingkat tinggi dalam perangkat lunak Veritas Backup Exec Agent (CVE-2021-27876, CVE-2021-27877, dan CVE-2021-27878) yang dapat menyebabkan eksekusi perintah hak istimewa pada sistem yang mendasarinya.

CISA juga menambahkan CVE-2019-1388 (skor CVSS: 7,8) ke katalog KEV, cacat eskalasi hak istimewa yang memengaruhi Dialog Sertifikat Microsoft Windows yang dapat dieksploitasi untuk menjalankan proses dengan izin yang lebih tinggi pada host yang sudah disusupi.

Kerentanan kelima yang termasuk dalam daftar adalah cacat pengungkapan informasi di Arm Mali GPU Kernel Driver (CVE-2023-26083) yang diungkapkan oleh Google Threat Analysis Group (TAG) sebagai disalahgunakan oleh vendor spyware, bagian dari eksploit rantai untuk membobol smartphone Android Samsung.

Agen Cabang Eksekutif Sipil Federal (FCEB) memiliki waktu hingga 28 April 2023, untuk menerapkan tambalan guna mengamankan jaringan mereka dari potensi ancaman.

Selengkapnya: The Hacker News

Perbaikan Apple baru-baru ini mengungkapkan zero-days pada iPhone dan iPad lama

by

Apple telah merilis pembaruan darurat untuk mendukung patch keamanan yang dirilis pada hari Jumat, menangani dua kelemahan zero-day yang dieksploitasi secara aktif yang juga memengaruhi iPhone, iPad, dan Mac lama.

“Apple mengetahui laporan bahwa masalah ini mungkin telah dieksploitasi secara aktif,” kata perusahaan itu dalam penasihat keamanan yang diterbitkan pada hari Senin.

Yang pertama (dilacak sebagai CVE-2023-28206) adalah kelemahan tulis di luar batas di IOSurfaceAccelerator yang memungkinkan pelaku ancaman mengeksekusi kode arbitrer dengan hak istimewa kernel pada perangkat yang ditargetkan melalui aplikasi yang dibuat dengan jahat.

Zero-day kedua (CVE-2023-28205) adalah penggunaan WebKit setelah bebas yang memungkinkan pelaku ancaman mengeksekusi kode berbahaya pada iPhone, Mac, atau iPad yang dikompromikan setelah mengelabui target mereka agar memuat halaman web berbahaya.

Hari ini, Apple menangani zero-days di iOS 15.7.5 dan iPadOS 15.7.5, macOS Monterey 12.6.5, dan macOS Big Sur 11.7.6 dengan meningkatkan validasi input dan manajemen memori.

Cacat tersebut dilaporkan oleh peneliti keamanan dengan Grup Analisis Ancaman Google dan Lab Keamanan Amnesty International, yang menemukan mereka dieksploitasi dalam serangan sebagai bagian dari rantai eksploitasi.

Kedua organisasi sering melaporkan aktor ancaman yang didukung pemerintah yang menggunakan taktik dan kerentanan serupa untuk menginstal spyware ke perangkat individu berisiko tinggi di seluruh dunia, seperti jurnalis, politisi, dan pembangkang.

Misalnya, mereka baru-baru ini membagikan detail tentang kampanye yang menyalahgunakan dua rantai eksploit yang menargetkan bug Android, iOS, dan Chrome untuk menginstal malware pengawasan komersial.

CISA juga memerintahkan agen federal untuk menambal perangkat mereka terhadap dua kerentanan keamanan ini, yang dikenal sebagai dieksploitasi secara aktif untuk meretas iPhone, Mac, dan iPad.

Pada pertengahan Februari, Apple menambal WebKit zero-day (CVE-2023-23529) lain yang sedang dalam serangan untuk memicu crash dan mendapatkan eksekusi kode pada perangkat iOS, iPadOS, dan macOS yang rentan.

selengkapnya : bleepingcomputer.com

Apple memperbaiki dua zero-days yang dieksploitasi untuk meretas iPhone dan Mac

by

Apple telah merilis pembaruan keamanan darurat untuk mengatasi dua kerentanan zero-day baru yang dieksploitasi dalam serangan untuk mengkompromikan iPhone, Mac, dan iPad.

“Apple mengetahui laporan bahwa masalah ini mungkin telah dieksploitasi secara aktif,” kata perusahaan tersebut saat menjelaskan masalah tersebut dalam penasihat keamanan yang diterbitkan pada hari Jumat.

Cacat keamanan pertama (dilacak sebagai CVE-2023-28206) adalah penulisan di luar batas IOSurfaceAccelerator yang dapat menyebabkan kerusakan data, kerusakan, atau eksekusi kode.

Eksploitasi yang berhasil memungkinkan penyerang menggunakan aplikasi perusak yang berbahaya untuk mengeksekusi kode arbitrer dengan hak istimewa kernel pada perangkat yang ditargetkan.

Zero-day kedua (CVE-2023-28205) adalah penggunaan WebKit setelah kelemahan gratis yang memungkinkan korupsi data atau eksekusi kode arbitrer saat menggunakan kembali memori yang dibebaskan.

Cacat ini dapat dieksploitasi dengan mengelabui target agar memuat halaman web berbahaya di bawah kendali penyerang, yang dapat menyebabkan eksekusi kode pada sistem yang disusupi.

Dua kerentanan zero-day telah diatasi di iOS 16.4.1, iPadOS 16.4.1, macOS Ventura 13.3.1, dan Safari 16.4.1 dengan validasi input dan manajemen memori yang ditingkatkan.

Apple mengatakan daftar perangkat yang terpengaruh cukup luas, dan itu termasuk:

  • iPhone 8 dan yang lebih baru,
  • iPad Pro (semua model),
  • iPad Air generasi ke-3 dan lebih baru,
  • iPad generasi ke-5 dan lebih baru,
  • iPad mini generasi ke-5 dan lebih baru,
  • dan Mac yang menjalankan macOS Ventura.

Selengkapnya: Bleeping Computer