Mandiant

Internet Sehat : Peneliti keamanan membunyikan alarm tentang kerentanan kritis yang memengaruhi puluhan juta perangkat yang terhubung melalui platform cloud ThroughTek’s Kalay IoT di seluruh dunia.Masalah keamanan berdampak pada produk dari berbagai produsen yang menyediakan solusi video dan pengawasan serta sistem IoT otomatisasi rumah yang menggunakan jaringan Kalay untuk kemudahan koneksi dan komunikasi dengan aplikasi terkait.Penyerang jarak jauh dapat memanfaatkan bug untuk mendapatkan akses ke streaming audio dan video langsung atau untuk mengendalikan perangkat yang rentan.Para peneliti di Mandiant’s Red Team menemukan kerentanan tersebut pada akhir tahun 2020 dan bekerja sama dengan Cybersecurity and Infrastructure Security Agency Amerika Serikat dan ThroughTek untuk mengoordinasikan pengungkapan dan membuat opsi mitigasi.Bug yang dilacak sebagai CVE-2021-28372 adalah kerentanan peniruan identitas perangkat yang menerima skor keparahan 9,6 dari 10. Bug memengaruhi protokol Kalay yang diimplementasikan sebagai perangkat pengembangan perangkat lunak (SDK) yang dibangun ke dalam aplikasi seluler dan desktop.Jake Valletta, Erik Barzdukas, dan Dillon Franke dari Mandiant melihat protokol Kalay ThroughTek dan menemukan bahwa mendaftarkan perangkat di jaringan Kalay hanya memerlukan pengenal unik perangkat (UID). Dengan mengikuti petunjuk ini, para peneliti menemukan bahwa klien Kalay, seperti aplikasi seluler, biasanya menerima UID dari API web yang dihosting oleh vendor perangkat IoT.Penyerang dengan UID sistem target dapat mendaftarkan perangkat yang mereka kontrol di jaringan Kalay dan menerima semua upaya koneksi klien. Hal ini akan memungkinkan mereka untuk mendapatkan kredensial login yang menyediakan akses jarak jauh ke data audio-video perangkat korban. Para peneliti mengatakan bahwa jenis akses ini dikombinasikan dengan kerentanan dalam antarmuka RPC (panggilan prosedur jarak jauh) yang diterapkan perangkat dapat menyebabkan kompromi perangkat yang lengkap.Selama penelitian mereka tentang kerentanan ini, peneliti Mandiant mampu mengembangkan implementasi fungsional dari protokol Kalay, yang memungkinkan mereka menemukan perangkat, mendaftarkannya, terhubung ke klien jarak jauh, mengotentikasi, dan memproses data audio dan video. Mereka juga membuat kode eksploitasi proof-of-concept (PoC) yang memungkinkan mereka untuk meniru perangkat di jaringan Kalay. Sumber : Bleeping Computer

Bug Kritis Pengaruhi Jutaan Perangkat IoT Mungkinkan Peretas Memata-matai Pengguna

Internet Sehat : Oregon Anesthesiology Group (OAG) mengatakan pihaknya mengalami serangan ransomware pada bulan Juli 2021 yang lalu. Serangan ini menyebabkan pelanggaran informasi sensitif karyawan dan pasien. Pelanggaran data tersebut melibatkan informasi 750.000 pasien dan 522 karyawan saat ini dan mantan karyawan OAG.Dalam sebuah pernyataan, perusahaan mengatakan telah dihubungi oleh FBI pada 21 Oktober 2021. FBI menjelaskan bahwa mereka menyita akun yang berisi file pasien dan karyawan OAG dari HelloKitty, grup ransomware Ukraina.FBI mengatakan mereka yakin kelompok itu mengeksploitasi kerentanan di firewall pihak ketiga OAG, memungkinkan para peretas untuk masuk ke jaringan.OAG menjelaskan bahwa Informasi pasien yang berpotensi terlibat dalam insiden ini termasuk nama, alamat, tanggal layanan, diagnosis dan kode prosedur dengan deskripsi, nomor rekam medis, nama penyedia asuransi, dan nomor ID asuransi.Para penjahat dunia maya juga berpotensi mengakses data karyawan OAG saat ini dan sebelumnya, termasuk nama, alamat, nomor Jaminan Sosial, dan detail lainnya dari formulir W-2 yang ada di file.Serangan 11 Juli mengunci OAG dari servernya dan memaksa mereka untuk memulihkan sistem mereka dari cadangan di luar lokasi dan membangun kembali infrastruktur TI mereka dari bawah. Pakar keamanan siber luar disewa untuk membantu penyelidikan serangan tersebut.Menurut laporan forensik dunia maya yang diperoleh OAG pada akhir November, para penjahat dunia maya dapat menambang data kredensial administrator dan mengakses data terenkripsi OAG.Perusahaan sejak itu telah mengganti firewall pihak ketiga dan memperluas penggunaan otentikasi multifaktor.Korban dari insiden tersebut diberikan layanan perlindungan identitas Experian selama 12 bulan dan pemantauan kredit.OAG menambahkan bahwa korban harus waspada terhadap penipuan dan mendesak mereka untuk mendaftar dalam program IdentityWorks Experian, yang dilengkapi dengan asuransi pencurian identitas hingga 1 juta dollar AS.Mereka yang nomor jaminan sosialnya bocor didesak untuk membuat akun mySocial Security dengan Social Security Administration yang akan memungkinkan mereka untuk mengklaim SSN mereka.Ada sejumlah spin-off dari kelompok ransomware HelloKitty, termasuk varian ransomware baru yang tidak disebutkan namanya dan Vice Society. FBI mengirimkan peringatan tentang kelompok itu pada bulan Oktober, mencatat bahwa kelompok itu dikenal karena secara agresif menekan korbannya dengan teknik pemerasan ganda.FBI menambahkan bahwa kelompok tersebut biasanya menggunakan kredensial yang disusupi atau kerentanan yang diketahui dalam produk SonicWall dan begitu berada di dalam jaringan, mereka akan menggunakan rangkaian alat penetrasi yang tersedia untuk umum seperti Cobalt Strike, Mandiant’s Commando, atau PowerShell Empire yang telah dimuat sebelumnya dengan alat yang tersedia untuk umum seperti Bloodhound dan Mimikatz untuk memetakan jaringan dan meningkatkan hak istimewa sebelum eksfiltrasi dan enkripsi.Sumber : ZDNet

Oregon Anesthesiology Group (OAG) Alami Serangan Ransomware

Internet Sehat : Operasi ransomware Kuba mengeksploitasi kerentanan Microsoft Exchange untuk mendapatkan akses awal ke jaringan perusahaan dan mengenkripsi perangkat. Perusahaan keamanan siber Mandiant melacak geng ransomware tersebut sebagai UNC2596 dan ransomware itu sendiri sebagai COLDDRAW. Namun, ransomware ini lebih dikenal sebagai Kuba.Kuba adalah operasi ransomware yang diluncurkan pada akhir 2019 dan meskipun mulai lambat, kecepatannya mulai meningkat pada 2020 dan 2021. Peningkatan aktivitas ini menyebabkan FBI mengeluarkan peringatan ransomware Kuba pada Desember 2021 yang memperingatkan bahwa geng ransomware ini melanggar 49 organisasi infrastruktur penting di AS.Dalam sebuah laporan baru oleh Mandiant, para peneliti menunjukkan bahwa operasi Kuba terutama menargetkan Amerika Serikat diikuti oleh Kanada. Geng ransomware Kuba terlihat memanfaatkan kerentanan Microsoft Exchange untuk menyebarkan cangkang web, RAT, dan pintu belakang untuk membangun pijakan mereka di jaringan target sejak Agustus 2021. Mandiant juga telah mengidentifikasi eksploitasi kerentanan Microsoft Exchange, termasuk ProxyShell dan ProxyLogon, sebagai titik akses lain yang dimanfaatkan oleh UNC2596 kemungkinan pada awal Agustus 2021.Pintu belakang yang ditanam termasuk Cobalt Strike atau alat akses jarak jauh NetSupport Manager, tetapi grup juga menggunakan alat Bughatch, Wedgecut, dan eck.exe, serta Burntcigar mereka sendiri. Wedgecut hadir dalam bentuk executable bernama check.exe yang merupakan alat pengintai yang menghitung Active Directory melalui PowerShell.Bughatch adalah pengunduh yang mengambil skrip dan file PowerShell dari server C&amp;C. Untuk menghindari deteksi, Bughatch dimuat di memori dari URL jarak jauh. Burntcigar adalah utilitas yang dapat menghentikan proses di tingkat kernel dengan mengeksploitasi kelemahan pada driver Avast yang disertakan dengan alat untuk serangan.Terakhir, ada penetes khusus memori yang mengambil muatan di atas dan memuatnya, yang disebut Termite. Namun, alat ini telah diamati dalam kampanye berbagai kelompok ancaman sehingga tidak digunakan secara eksklusif oleh aktor ancaman Kuba.Pelaku ancaman meningkatkan hak istimewa menggunakan kredensial akun curian yang bersumber melalui alat Mimikatz dan Wicker yang tersedia. Kemudian mereka melakukan pengintaian jaringan dengan Wedgecut, dan selanjutnya, mereka bergerak secara lateral dengan RDP, SMB, PsExec, dan Cobalt Strike.Operasi Kuba kemungkinan akan mengalihkan perhatiannya ke kerentanan lain setelah tidak ada lagi target berharga yang menjalankan server Microsoft Exchange yang belum ditambal. Hal ini berarti bahwa menerapkan pembaruan keamanan yang tersedia segera setelah vendor perangkat lunak merilisnya adalah kunci dalam mempertahankan sikap keamanan yang kuat bahkan terhadap pelaku ancaman yang paling canggih sekalipun.Sumber : Bleeping Computer

Microsoft Exchange Server Diretas untuk Menyebarkan Ransomware Kuba

Internet Sehat : Analis ancaman melaporkan bahwa eksploitasi kerentanan zero-day sedang meningkat, dengan hacker China menggunakan sebagian besar dari mereka dalam serangan tahun lalu.Kerentanan zero-day adalah kelemahan keamanan dalam produk perangkat lunak yang tidak diketahui atau belum diperbaiki pada saat ditemukanPengungkapan zero-day sangat menarik bagi peretas karena mereka memiliki jendela eksploitasi yang lebih luas sampai saat vendor mengatasi kekurangannya dan klien mulai menerapkan pembaruan.Biasanya, jendela peluang ini berlangsung setidaknya selama beberapa hari dan karena tidak semua admin segera menerapkan pembaruan keamanan, jumlah target yang rentan tetap tinggi untuk sementara waktu.Menurut analisis dari perusahaan keamanan siber Mandiant, tahun lalu ada 80 kasus zero-days yang dieksploitasi, 18 lebih banyak dari gabungan tahun 2020 dan 2019. Sebagian besar dari mereka dikaitkan dengan operasi spionase dunia maya dari aktor yang didukung negara.Namun, perusahaan menemukan bahwa satu dari tiga pelaku jahat yang mengeksploitasi kerentanan zero-day bermotivasi finansial, sebuah statistik yang melanjutkan tren yang berkembang dari tahun-tahun sebelumnya.Dalam hal pelaku ancaman, China berada di urutan teratas dengan delapan zero-days yang digunakan dalam serangan siber pada tahun 2021, diikuti oleh Rusia yang menggunakan dua, dan Korea Utara dengan satu.Sumber : Bleeping Computer

Mandiant

Bug Kritis Pengaruhi Jutaan Perangkat IoT Mungkinkan Peretas Memata-matai Pengguna

Bug Kritis Pengaruhi Jutaan Perangkat IoT Mungkinkan Peretas Memata-matai Pengguna

Oregon Anesthesiology Group (OAG) Alami Serangan Ransomware

Oregon Anesthesiology Group (OAG) Alami Serangan Ransomware

Microsoft Exchange Server Diretas untuk Menyebarkan Ransomware Kuba

Microsoft Exchange Server Diretas untuk Menyebarkan Ransomware Kuba

Hacker China Paling Banyak Gunakan Kerentanan Zero Days di Tahun 2021

Hacker China Paling Banyak Gunakan Kerentanan Zero Days di Tahun 2021

Literasi Digital

Makin Cakap Digital

Menu

Informasi