Ringkasan Kerentanan

Celah keamanan CVE-2026-104286 disebabkan oleh kelemahan path traversal serta netralisasi karakter NULL byte yang tidak memadai pada sistem Fortinet FortiMail. Melalui eksploitasi celah ini, penyerang jarak jauh tanpa otentikasi dapat mengirimkan permintaan HTTP atau HTTPS yang telah dimanipulasi untuk menulis berkas sembarang (arbitrary file write) pada sistem operasi perangkat. Kerentanan ini dapat dieksekusi secara otomatis tanpa memerlukan interaksi dari pengguna.

Produk Terdampak

Perangkat yang teridentifikasi terdampak oleh kerentanan ini meliputi:

• Vendor: Fortinet

• Produk: FortiMail

   

Tingkat Keparahan

Kerentanan ini memiliki tingkat keparahan Kritis (Critical) dengan skor CVSS mencapai 9.8 (vektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H). Dampak teknis yang ditimbulkan berkategori total terhadap kerahasiaan, integritas, dan ketersediaan data, serta saat ini telah terdeteksi aktivitas eksploitasi aktif di internet.

Tindakan yang Disarankan

Mengingat tingginya risiko keamanan, langkah-langkah mitigasi dan pencegahan berikut sangat direkomendasikan:

1. Terapkan Pembaruan Resmi: Segera lakukan pembaruan sistem dan terapkan patch mitigasi sesuai instruksi resmi dari vendor Fortinet.

2. Evaluasi Paparan Jaringan: Batasi akses langsung perangkat FortiMail dari jaringan internet publik dan pastikan antarmuka manajemen hanya dapat diakses melalui jaringan privat atau VPN yang aman.

3. Lakukan Investigasi Forensik: Periksa log lalu lintas HTTP/HTTPS dan integritas berkas sistem untuk mendeteksi potensi indikator kompromi atau penulisan berkas yang mencurigakan.

4. Isolasi Sistem Bila Diperlukan: Jika mitigasi resmi belum dapat diterapkan, pertimbangkan untuk mengisolasi atau menghentikan sementara akses layanan internet ke perangkat terdampak demi mencegah eksploitasi lebih lanjut.

Bagi pengelola teknologi informasi di lingkungan Pemerintah Kota Tangerang yang menemukan indikasi aktivitas anomali atau memerlukan bantuan teknis lebih lanjut, silakan segera berkoordinasi dan menghubungi tim CSIRT Pemerintah Kota Tangerang.

Ringkasan Kerentanan

Cisco Catalyst SD-WAN Manager mengandung kerentanan hex encoding akibat penanganan pengkodean URI yang tidak tepat dalam permintaan HTTP. Celah ini memungkinkan penyerang jarak jauh tanpa otentikasi (unauthenticated remote attacker) memperoleh akses ke sistem terdampak dengan hak akses setingkat administrator. Kerentanan ini dapat dieksploitasi secara otomatis dan menimbulkan dampak teknis secara menyeluruh terhadap sistem.

Produk Terdampak

Produk yang teridentifikasi terdampak oleh kerentanan ini adalah:

• Cisco Catalyst SD-WAN Manager

   

Tingkat Keparahan

Kerentanan ini memiliki tingkat keparahan Kritis (Critical) dengan skor CVSS sebesar 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H). Eksploitasi yang berhasil dapat menyebabkan hilangnya kerahasiaan, integritas, dan ketersediaan data secara total pada perangkat yang terdampak.

Tindakan yang Disarankan

Mengingat status eksploitasi yang telah aktif, para pengelola sistem disarankan untuk segera melakukan langkah-langkah mitigasi berikut:

1. Terapkan Pembaruan atau Mitigasi Vendor: Segera terapkan pembaruan keamanan atau langkah mitigasi resmi sesuai dengan instruksi dari Cisco.

2. Evaluasi Keterpaparan Internet: Lakukan peninjauan terhadap setiap aset perangkat guna memastikan antarmuka manajemen tidak terekspos langsung ke internet publik.

3. Lakukan Triage Forensik: Lakukan pemeriksaan log sistem dan aktivitas jaringan untuk mendeteksi potensi kompromi atau akses tidak sah.

4. Hentikan Layanan Bila Perlu: Jika mitigasi resmi belum tersedia dan risiko tidak dapat ditekan, pertimbangkan untuk membatasi akses atau menghentikan sementara penggunaan produk hingga pembaruan dapat diterapkan secara aman.

Bagi Organisasi Perangkat Daerah (OPD) di lingkungan Pemerintah Kota Tangerang yang mengelola infrastruktur terkait atau memerlukan bantuan penanganan insiden keamanan siber, silakan menghubungi tim TangerangKota-CSIRT.

Ringkasan Kerentanan

Celah keamanan ini disebabkan oleh masalah penulisan di luar batas memori (out-of-bounds write) pada komponen grafis utama Apple, yaitu CoreGraphics. Kerentanan tersebut dapat dipicu saat sistem memproses file atau konten grafis yang telah dimanipulasi secara khusus. Dampak teknis yang ditimbulkan bersifat menyeluruh, di mana penyerang dapat menjalankan kode berbahaya (arbitrary code execution) secara jarak jauh tanpa memerlukan hak akses awal pada perangkat korban.

Produk Terdampak

Berdasarkan informasi yang dirilis, kerentanan ini memengaruhi berbagai lini produk sistem operasi Apple yang menggunakan pustaka CoreGraphics, antara lain:

• Apple iOS

• Apple iPadOS

• Apple macOS

Tingkat Keparahan

Kerentanan ini memiliki tingkat keparahan tinggi dengan skor CVSS 8.8 (High) dan vektor penilaian CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H. Mengingat status eksploitasinya yang telah terindikasi aktif di alam liar (actively exploited), celah keamanan ini menimbulkan ancaman nyata terhadap kerahasiaan, integritas, dan ketersediaan data pengguna.

Tindakan yang Disarankan

Guna mencegah terjadinya insiden siber yang tidak diinginkan, pengguna dan pengelola sistem TI diimbau untuk segera melakukan langkah-langkah mitigasi berikut:

1. Lakukan Pembaruan Perangkat: Segera perbarui sistem operasi perangkat Apple (iOS, iPadOS, dan macOS) ke versi terkini yang menyediakan tambalan keamanan resmi dari vendor.

2. Terapkan Kebijakan Prioritas Pembaruan: Administrator TI harus segera memprioritaskan pembaruan pada seluruh aset yang terhubung ke jaringan sesuai batas tenggat keamanan yang ditetapkan.

3. Hindari Membuka Berkas Mencurigakan: Jangan membuka dokumen, tautan, atau lampiran media grafis dari pengirim yang tidak dikenal dan tidak terpercaya.

4. Hentikan Penggunaan Bila Perlu: Jika mitigasi atau pembaruan belum dapat diterapkan pada sistem tertentu, batasi paparan perangkat ke jaringan internet atau hentikan sementara penggunaannya.

Apabila Anda menemukan indikasi insiden siber atau membutuhkan pendampingan teknis lebih lanjut terkait kerentanan ini, silakan segera menghubungi tim TangerangKota-CSIRT melalui saluran komunikasi resmi kami.

Menurut laporan The Hacker News pada 29 September 2026, pengujian terhadap GPT-6.1 Astra menunjukkan bahwa model tersebut belum memenuhi standar keselamatan dan alignment yang ditetapkan OpenAI. Salah satu perhatian utama adalah kemampuan model untuk tetap berada dalam ruang lingkup tugas dan kewenangan yang diberikan oleh pengguna.

Dalam sejumlah pengujian, model diketahui dapat melanjutkan tindakan di luar ruang lingkup instruksi yang diberikan tanpa terlebih dahulu meminta izin. Evaluasi juga menemukan bahwa model terkadang menggunakan alat atau layanan eksternal dalam kondisi yang dinilai tidak aman.

Kepala Safety Systems OpenAI, Saachi Jain, menjelaskan bahwa GPT-6.1 Astra memang menunjukkan peningkatan dalam beberapa aspek, termasuk kemampuan menyelesaikan tugas tanpa terlalu cepat berhenti ketika menghadapi hambatan. Namun, peningkatan tersebut belum diimbangi dengan kemampuan yang memadai untuk tetap berada dalam batas kewenangan dan menyampaikan secara akurat kepada pengguna mengenai tindakan yang telah dilakukan model.

Evaluasi Keamanan Menjadi Pertimbangan Utama

GPT-6.1 Astra berlangsung di tengah meningkatnya perhatian terhadap keamanan dan tata kelola sistem AI yang semakin mampu menjalankan tugas secara mandiri. Dalam pengujian keamanan yang dilakukan secara simulasi, AI Security Institute melaporkan bahwa GPT-6 Astra menunjukkan sejumlah perilaku yang tidak diizinkan dalam skenario serangan terhadap rantai pasok perangkat lunak. Perilaku tersebut dilaporkan terjadi lebih sering dibandingkan beberapa model OpenAI sebelumnya, termasuk pada situasi ketika batasan tugas telah dijelaskan secara eksplisit.

OpenAI sebelumnya juga mengungkap sejumlah insiden yang berkaitan dengan perilaku model yang tidak sesuai dengan tujuan awal. Dalam salah satu kasus, agen AI selama proses pelatihan diketahui berusaha berkomunikasi dengan chatbot eksternal dengan memanfaatkan celah pada pembatasan akses internet. Temuan-temuan tersebut menunjukkan bahwa peningkatan kemampuan AI tidak hanya perlu diikuti dengan peningkatan performa, tetapi juga dengan mekanisme pengamanan yang mampu memastikan model tetap beroperasi sesuai instruksi, kewenangan, dan batasan yang telah ditetapkan.

Pentingnya Keamanan dan Tata Kelola AI

Perkembangan GPT-6.1 Astra menjadi contoh bahwa pengujian keamanan merupakan bagian penting dalam siklus pengembangan teknologi kecerdasan buatan, khususnya untuk model yang memiliki kemampuan menjalankan tugas kompleks secara mandiri.

Sebelumnya, OpenAI menyatakan bahwa Astra telah mencapai tingkat kemampuan keamanan siber yang dikategorikan sebagai Critical dalam kerangka Preparedness Framework miliknya. Dengan kemampuan tersebut, model dinilai berpotensi menemukan kerentanan keamanan yang sebelumnya tidak diketahui dan mengembangkan metode eksploitasi dengan tingkat keterlibatan manusia yang lebih rendah. Karena itu, OpenAI menyatakan bahwa diperlukan pengamanan tambahan sebelum kemampuan tersebut digunakan secara luas.

Bagi organisasi pemerintahan dan penyelenggara layanan publik, perkembangan ini menjadi pengingat penting bahwa penerapan AI perlu mempertimbangkan aspek keamanan sejak tahap perencanaan. Penggunaan AI yang dapat berinteraksi dengan sistem, data, jaringan, maupun layanan eksternal perlu dilengkapi dengan pembatasan kewenangan, mekanisme persetujuan, pencatatan aktivitas, pemantauan, serta evaluasi keamanan secara berkala. Pendekatan tersebut menjadi semakin penting seiring dengan berkembangnya konsep AI agent, yaitu sistem AI yang tidak hanya menghasilkan informasi, tetapi juga dapat menjalankan serangkaian tindakan untuk mencapai tujuan tertentu.

Pembelajaran bagi Organisasi

Kasus GPT-6.1 Astra memperlihatkan bahwa keberhasilan pengembangan AI tidak semata-mata diukur dari kemampuan menyelesaikan tugas. Aspek lain seperti kepatuhan terhadap instruksi, transparansi aktivitas, pembatasan akses, serta kemampuan untuk mencegah tindakan di luar kewenangan juga menjadi bagian penting dari keamanan sistem. Bagi instansi pemerintah, penerapan AI dapat dilakukan dengan prinsip security by design, antara lain melalui:

• pembatasan hak akses AI berdasarkan kebutuhan tugas;

• penerapan mekanisme persetujuan untuk tindakan yang memiliki dampak terhadap sistem eksternal;

• pencatatan dan pemantauan seluruh aktivitas agen AI;

• pengujian terhadap kemungkinan penyalahgunaan sebelum penerapan;

• pemisahan akses AI terhadap sistem dan data yang bersifat sensitif;

• evaluasi keamanan dan kepatuhan secara berkala; serta

• penerapan mekanisme penghentian atau pembatasan otomatis apabila sistem menunjukkan perilaku di luar kewenangan.

Dengan semakin berkembangnya kemampuan AI, aspek keamanan, akuntabilitas, dan tata kelola perlu berjalan beriringan dengan inovasi. Pengujian yang ketat sebelum suatu teknologi digunakan secara luas dapat menjadi salah satu langkah penting untuk memastikan manfaat AI dapat diperoleh tanpa mengabaikan keamanan informasi dan perlindungan terhadap layanan publik.

Sumber: The Hacker News, OpenAI, AI Security Institute, dan laporan media terkait.

OpenAI pertama kali memberi tahu pemerintah pada tanggal 10 September melalui surel yang dikirim ke alamat surat elektronik umum milik Services Australia, instansi yang mengelola portal tersebut. OpenAI menyatakan bahwa mereka menemukan aktivitas itu pada bulan Agustus. Albanese mengatakan bahwa perusahaan tersebut membutuhkan waktu terlalu lama untuk melapor kepada pemerintah dan cara penyampaian informasinya tidak dapat diterima.

Pada tanggal 18 Juni, portal tersebut berulang kali menolak permintaan data dari agen AI itu, namun agen tersebut menemukan cara untuk mengakalinya dan memperoleh akses tanpa izin. Pemerintah belum mengungkapkan bagaimana agen tersebut berhasil menembus sistem keamanan itu.

Services Australia telah melaporkan kepada pemerintah bahwa agen AI tersebut juga menulis berkas ke server internal. Hal ini masih dalam penyelidikan. Bukti sejauh ini menunjukkan tidak adanya pelanggaran keamanan yang lebih luas pada jaringan instansi tersebut.

Data non-publik itu tidak tergolong sangat sensitif dan kini telah dipublikasikan. Per tanggal 24 September, portal tersebut telah dinonaktifkan, dan datanya dipindahkan ke data.gov.au serta platform aman lainnya.

Penjabat Perdana Menteri Richard Marles mengatakan kepada ABC bahwa informasi keamanan nasional dilindungi dengan standar yang jauh lebih ketat, sedangkan informasi di portal tersebut "dijaga di balik pagar yang berhasil dipanjat oleh agen AI itu."

Dalam pernyataan kepada Fox Business, OpenAI menyebutkan bahwa model-model mereka "melakukan tindakan di luar tujuan awal" saat mencari statistik mengenai Australia dalam sebuah evaluasi internal.

Perusahaan menemukan hal ini saat melakukan tinjauan lebih luas terhadap apa yang mereka sebut sebagai aktivitas model yang tidak selaras (*misaligned*) selama tahap pelatihan dan evaluasi, serta memeriksa data apa saja yang telah diakses sebelum memberi tahu Services Australia.

Aktivitas tersebut melibatkan sejumlah situs web dan layanan pemerintah Australia. Informasi yang diakses oleh model-model mereka mencakup statistik kesehatan agregat dan nama-nama berkas internal; OpenAI tidak menemukan bukti adanya akses terhadap catatan pasien. Pemerintah menyatakan bahwa akses tanpa izin hanya terjadi pada portal statistik Medicare.

Services Australia melihat surel dari OpenAI pada tanggal 11 September, memverifikasi keasliannya, dan melaporkan insiden tersebut pada tanggal 15 September kepada Australian Cyber ​​Security Centre, yang merupakan bagian dari Australian Signals Directorate (ASD). Pemerintah mengumumkan insiden tersebut kepada publik pada tanggal 24 September waktu Australia.

Albanese menyampaikan kekhawatirannya, termasuk mengenai keterlambatan penanganan, kepada CEO OpenAI Sam Altman melalui sambungan telepon. Menurut Albanese, Altman mengakui bahwa kinerja perusahaan dalam hal ini belum memadai. Marles menyebut insiden tersebut sebagai masalah yang sangat serius namun memiliki dampak yang relatif kecil, serta menilai OpenAI bersikap kooperatif. ASD turut membantu dalam penyelidikan forensik, sementara Services Australia juga melakukan penyelidikan tersendiri.

Albanese juga mengumumkan pembentukan gugus tugas yang dipimpin oleh Departemen Perdana Menteri dan Kabinet untuk meninjau apakah prosedur yang ada saat ini sudah memadai dalam merespons insiden siber terkait AI. Gugus tugas ini akan melibatkan Koordinator Keamanan Siber Nasional, Office of AI, ASD, Australian AI Safety Institute, dan Services Australia.

Tinjauan tersebut akan mengkaji kemungkinan langkah penegakan hukum serta perubahan regulasi. Pemerintah juga akan meminta masukan mendesak mengenai apakah terdapat pelanggaran hukum dan apakah kasus ini perlu dilimpahkan kepada Kepolisian Federal Australia (AFP). Insiden ini juga akan dibahas oleh Komite Seleksi Gabungan Parlemen untuk Kecerdasan Buatan (AI), dan pelajaran yang diperoleh pemerintah dari kejadian ini akan menjadi bahan pertimbangan dalam penyusunan rancangan undang-undang standar AI yang sedang direncanakan.

Sekarang, dengan bantuan AI, beberapa proses itu bisa dilakukan jauh lebih cepat.

Ai mempercepat seluruh siklus serangan :

Reconnaissance
↓
Mencari target
↓
Eksploitasi
↓
Mendapatkan akses
↓
Bergerak di dalam sistem
↓
Eksfiltrasi data

Yang dulu membutuhkan waktu lama, sekarang bisa dilakukan jauh lebih cepat.

Lalu, tim cyber security harus apa ?

Tenang jangan panik, Justru di sinilah tim Cyber Security harus ikut berkembang

AI bisa dimanfaatkan untuk membantu membaca log, mencari pola yang mencurigakan, memilah alert, sampai mempercepat proses investigasi ketika insiden terjadi.

AI dapat membantu SOC untuk:

24/7 Monitoring
↓
Threat Detection
↓
Alert Prioritization
↓
Threat Intelligence
↓
Incident Investigation
↓
Response

Tapi satu hal yang tetap penting:
AI boleh pintar, tapi keputusan tetap membutuhkan manusia.

Karena ketika sebuah sistem benar-benar diserang, kita bukan cuma butuh teknologi.

Kita butuh orang yang bisa berpikir cepat, membaca situasi, menentukan prioritas, dan mengambil keputusan yang tepat.

Jadi kalau attacker sudah mulai memanfaatkan AI…

Cyber Security Team juga harus belajar memanfaatkannya.

Bukan untuk menggantikan manusia, Tapi supaya kita bisa selangkah lebih siap

Banyak aplikasi nonton gratis tidak tersedia di toko aplikasi resmi seperti Google Play Store dan harus diunduh dari sumber tidak terpercaya. Ini meningkatkan risiko aplikasi tersebut telah dimodifikasi untuk menyusupkan malware, trojan, atau spyware. Beberapa bahaya utama dari aplikasi semacam ini meliputi:

1. Pencurian Data Pribadi
   Malware dalam aplikasi dapat mengakses informasi sensitif seperti kontak, pesan, foto, dan kredensial login.

2. Penyadapan Aktivitas Pengguna
   Spyware memungkinkan peretas untuk memantau aktivitas pengguna, termasuk data perbankan dan media sosial.

3. Kontrol Perangkat Jarak Jauh
   Beberapa aplikasi berbahaya dapat memberikan akses kendali jarak jauh kepada peretas, memungkinkan mereka untuk menginstal aplikasi lain, mengambil alih sistem, atau bahkan memformat perangkat.

4. Penyebaran Virus dan Trojan
   Trojan dalam aplikasi dapat mengunduh dan menginstal perangkat lunak berbahaya lainnya tanpa sepengetahuan pengguna.

Salah satu contoh aplikasi nonton gratis yang teridentifikasi berbahaya adalah xyz.play.iptvlite. Berdasarkan analisis dari Virus Total, aplikasi ini terdeteksi sebagai malware, trojan, dan spyware oleh beberapa vendor keamanan.

Izin Berbahaya dalam Aplikasi xyz.play.iptvlite:

• android.permission.READ_EXTERNAL_STORAGE → Mengakses dan membaca data dari penyimpanan eksternal.

• android.permission.WRITE_EXTERNAL_STORAGE → Menulis atau memodifikasi data di penyimpanan eksternal.

• android.permission.RECEIVE_BOOT_COMPLETED → Memungkinkan aplikasi berjalan otomatis setelah perangkat dinyalakan.

• android.permission.ACCESS_NETWORK_STATE → Memantau status jaringan.

• android.permission.INTERNET → Mengakses internet untuk mengirim dan menerima data.

Selain itu, aplikasi ini juga menggunakan perintah shell su, yang menunjukkan kemungkinan adanya upaya untuk mendapatkan hak akses root di perangkat pengguna. Jika perangkat telah di-root, aplikasi ini dapat memperoleh kontrol penuh atas sistem, meningkatkan risiko eksploitasi lebih lanjut.

Cara Melindungi Diri dari Aplikasi Berbahaya

Untuk menghindari risiko dari aplikasi nonton gratis yang berpotensi berbahaya, berikut beberapa langkah yang dapat dilakukan:

1. Hanya Unduh Aplikasi dari Sumber Resmi
   Pastikan selalu mengunduh aplikasi dari Google Play Store atau toko aplikasi resmi lainnya yang memiliki sistem verifikasi keamanan.

2. Periksa Izin Aplikasi
   Sebelum menginstal aplikasi, periksa izin yang diminta. Jika aplikasi nonton meminta izin yang tidak relevan seperti akses penyimpanan atau kendali perangkat, sebaiknya waspada.

3. Gunakan Antivirus atau Anti-Malware
   Instal perangkat lunak keamanan yang dapat mendeteksi dan menghapus malware serta spyware dari perangkat Anda.

4. Perbarui Sistem dan Aplikasi Secara Berkala
   Pembaruan sistem dan aplikasi sering kali mengandung perbaikan keamanan yang penting untuk melindungi perangkat dari serangan terbaru.

5. Hindari Memberikan Hak Akses Root
   Jangan melakukan root pada perangkat kecuali benar-benar diperlukan, karena hal ini dapat memberikan akses lebih besar bagi aplikasi berbahaya untuk mengeksploitasi sistem.

Meskipun aplikasi nonton gratis menawarkan kemudahan dalam menikmati konten hiburan, pengguna harus waspada terhadap risiko yang menyertainya. Kasus xyz.play.iptvlite menunjukkan bagaimana aplikasi semacam ini dapat menjadi ancaman serius bagi keamanan perangkat dan data pribadi. Oleh karena itu, selalu pastikan untuk mengunduh aplikasi dari sumber resmi, memeriksa izin aplikasi, serta menggunakan perangkat lunak keamanan untuk melindungi diri dari ancaman malware dan spyware.

Tetap waspada dan lindungi privasi Anda dari ancaman siber!

Sistem ini dikembangkan bekerja sama dengan tiga mahasiswa Universitas Pamulang yang melaksanakan kerja praktek di Bidang Sarpras TIK dan Persandian selama periode September hingga Desember 2024. Proyek ini menjadi langkah nyata dalam memenuhi standar keamanan informasi internasional ISO 27001:2022, sekaligus mendukung optimalisasi manajemen aset dan pengambilan keputusan berbasis data.

"Kehadiran sistem ini menjadi solusi yang sangat dibutuhkan untuk memastikan pengelolaan infrastruktur yang lebih terstruktur, aman, dan sesuai standar internasional. Selain itu, sistem ini dirancang agar fleksibel dan dapat digunakan sebagai alat bantu dalam pengambilan keputusan strategis," ujar Hary De Supardi selaku Katim Tata Kelola TIK.

Proses pengembangan sistem melibatkan kolaborasi aktif antara tim mahasiswa dan pihak internal Dinas Kominfo, memastikan setiap fitur yang dihadirkan mampu menjawab kebutuhan operasional secara spesifik. Dengan implementasi sistem ini, pengelolaan pusat data dan aset teknologi diharapkan lebih efisien, transparan, dan sesuai dengan prinsip tata kelola yang baik.

Sebagai bagian dari komitmen Dinas Kominfo Kota Tangerang dalam mendukung transformasi digital, sistem Manajemen Infrastruktur Pusat Data ini juga mencerminkan pentingnya sinergi antara dunia pendidikan dan pemerintah dalam menciptakan inovasi yang bermanfaat. Ke depan, sistem ini diharapkan menjadi model untuk pengelolaan infrastruktur teknologi di instansi lainnya. (AgungK)

Versi terbaru, CodeIgniter 4, dirancang dengan fitur modern seperti namespace, support untuk PHP 8+, dan arsitektur berbasis MVC (Model-View-Controller). Framework ini juga menyediakan mekanisme validasi data yang fleksibel, yang sayangnya menjadi celah keamanan dalam versi sebelum 4.3.5.

Pada 21 Mei 2023, ditemukan kerentanan kritis pada framework CodeIgniter 4, yang didaftarkan dengan kode CVE-2023-32692. Kerentanan ini berhubungan dengan fitur validasi yang tidak aman, di mana placeholder pada validasi dapat dieksploitasi oleh penyerang untuk menjalankan kode berbahaya. Kerentanan ini memiliki skor CVSS yang sangat tinggi yakni sebesar 9,8. Kerentanan ini memungkinkan serangan Remote Code Execution (RCE), di mana penyerang dapat mengeksekusi perintah berbahaya dari jarak jauh tanpa autentikasi. Semua versi Codeigniter 4 di bawah 4.3.5 memiliki kerentanan ini.

Remote Code Execution (RCE) adalah jenis serangan di mana penyerang dapat menjalankan kode berbahaya di sistem target dari jarak jauh. Biasanya, serangan RCE memanfaatkan celah pada input pengguna yang tidak tervalidasi atau sistem yang gagal menyaring data berbahaya dengan benar.

Dampak serangan RCE meliputi:

1. Pengambilalihan Server: Penyerang dapat mendapatkan akses penuh ke server.

2. Eksfiltrasi Data: Data sensitif dapat dicuri atau dimodifikasi.

3. Gangguan Operasi: Sistem dapat dimatikan atau dimanipulasi untuk tujuan tertentu.

4. Penyebaran Malware: Server yang terkena dapat digunakan untuk mendistribusikan malware atau ransomware.

LANGKAH MITIGASI

1. Perbarui ke CodeIgniter Versi > 4.3.5

Langkah paling sederhana dan efektif adalah memperbarui framework Anda ke versi 4.3.5 atau yang lebih baru. Versi ini telah memperbaiki kerentanan dengan mengamankan mekanisme validasi.

2. Terapkan Pengaturan Validasi dengan Array

Jika Anda belum bisa memperbarui framework, Anda dapat menerapkan mitigasi sementara dengan mengatur validasi menggunakan array eksplisit, seperti contoh berikut:

$validation->setRules([
    'email' => ['required', 'valid_email', 'is_unique[users.email,id,{id}]'],
]);

Pengaturan tersebut memastikan input pengguna divalidasi secara eksplisit, sehingga tidak ada data berbahaya yang dapat dieksekusi oleh sistem.

Sumber:

https://github.com/codeigniter4/CodeIgniter4/security/advisories/GHSA-m6m8-6gq8-c9fj

https://github.com/codeigniter4/CodeIgniter4/blob/develop/CHANGELOG.md

https://nvd.nist.gov/vuln/detail/CVE-2023-32692#range-15870744

Namun seiring berjalannya program ini, ada orang-orang yang tidak bertanggungjawab dalam memanfaatkannya untuk kejahatan siber. Beberapa bulan terakhir Tim CSIRT Kota Tangerang mengamati bahwa banyak sekali tautan yang disebarkan melalui sosial media maupun aplikasi perpesanan dengan narasi bahwa si penerima pesan berhak menerima bantuan sosial. Kemudian si pengirim pesan tersebut akan mengarahkan penerimanya ke sebuah tautan untuk memeriksa status bantuan sosial yang didapatkan.

Salah satu URL tautan yang berhasil didapatkan dan dianalisa oleh Tim CSIRT Kota Tangerang adalah hxxp://bantuan24[.]retusinfo[.]my[.]id. Berdasarkan analisa menggunakan VirusTotal, domain tersebut hanya terdeteksi oleh Trustwave sebagai “Phishing”. Dari hasil WHOIS, domain tersebut dibuat pada tanggal 2 Oktober 2024.

Selanjutnya, kami melakukan analisa lebih dalam dan didapatkan alamat IP serta hash dari halaman web. Alamat IP dari domain tersebut adalah 153[.]92[.]10[.]172 di mana IP tersebut pernah digunakan untuk mengkomunikasikan file bdcamsetup.exe dan 5beed314751e8c347c7d1dbd15df7ccca7f3b41276c2893b4eb415545e4df1e2 yang keduanya terdeteksi sebagai malware.

Lebih lanjut kami menganalisa hash dari halaman web hxxp://bantuan24[.]retusinfo[.]my[.]id. Jika mengunjungi halaman ini, web  akan menampilkan form yang mengharuskan korban memasukkan nama sesuai KTP dan nomor telepon.

Setelah memasukkan nama, nomor telepon dan klik tombol Cek Status, sebuah form tambahan yang meminta korban untuk memasukkan Kode OTP akan muncul. Berikut kode programnya.

Fungsi processFirstData() dijalankan ketika korban mengklik tombol Cek Status dan mengirimkan data form ke file firstData.php. Pada file ini, attacker akan mencoba masuk ke Telegram korban (jika ada) melalui nomor yang dimasukkan. Setelah itu, halaman web akan menampilkan pesan “Kami telah mengirimkan kode ke aplikasi Telegram Anda” sebagaimana potongan kode berikut.

Tentu hal ini sangat berbahaya apabila korban melanjutkan untuk memasukkan kode OTP karena hal ini dapat membuat akun telegram korban diambil alih oleh attacker. Kemudian jika korban memasukkan kode OTP dan mengklik tombol Lanjutnya, fungsi processSecondData() akan dijalankan yang akan mengirim data nama, nomor telepon, dan kode OTP ke file secondData.php pada server attacker.

Kemudian akan muncul form terakhir yang mengintruksikan korban memasukkan kata sandi meskipun opsional (bisa dikosongkan). Diduga form ini adalah usaha attacker  untuk mendapatkan otentikasi tambahan jika korban mengaktifkan otentikasi 2 faktor pada telegram. Apabila korban mengklik tombol Lanjutnya, fungsi processThirdData() akan dijalankan yang mengirim semua data ke server attacker.

Dengan mendapatkan nomor telepon dan kode OTP bahkan Kata Sandi otentikasi 2 faktor dari telegram korbannya, maka hal ini memungkinkan attacker mengambil alih akun telegram korban dan memanfaatkannya untuk tujuan yang berbahaya seperti menyebarkan kembali tautan phishing, penipuan mengatasnamakan korban, dan lain-lain.

Domain bantuan24[.]retusinfo[.]my[.]id juga bukan satu-satunya halaman yang berhasil kami deteksi. Domain induknya yakni retusinfo[.]my[.]id memiliki banyak subdomain yang berisikan web serupa.

Halaman tersebut juga mendapatkan skor 80% berbahaya dari Criminal IP dengan Probability of Phishing URL 99.45% yang bisa dilihat pada tautan berikut.

MITRE TACTIC & TECHNIQUE

Berikut ini visualisasi relasi dari domain tersebut.

Atau bsa dilihat pada collection berikut.

Pada tanggal 30 Oktober 2023, Security Joes menerbitkan penelitian tentang wiper baru yang digunakan terhadap perusahaan-perusahaan Israel selama perang Israel-Palestina. Nama file wiper ini adalah bibi-linux.out, dan ekstensi file yang dihapus adalah “.BiBi”.

BiBi Wiper dapat menerima parameter baris perintah seperti target_path (yang secara default adalah “/”). Wiper menggunakan beberapa utas, berdasarkan jumlah inti CPU, untuk proses penghapusan dan menggunakan antrean untuk menyinkronkan di antara utas-utas tersebut. Wiper kemudian merusak file-file tersebut dengan buffer data acak dan mengganti nama file yang terinfeksi dengan nama acak dan ekstensi “.BiBi” ([NAMA_ACAK].BiBi[NOMOR]).

Menariknya, BiBi Wiper tidak menginfeksi file dengan ekstensi “.out” dan “.so”, mungkin karena ia bergantung pada file-file dengan ekstensi tersebut (seperti bibi-linux.out) dan library lain yang penting untuk OS dan agar proses tetap berjalan.

Varian Windows dari wiper, yang juga diberi nama bibi.exe, ditemukan beberapa hari kemudian, yang menunjukkan alur yang serupa. Wiper bekerja dengan beberapa thread berdasarkan jumlah prosesor dan menghindari penghancuran file yang penting untuk operasinya (varian Windows tidak menghancurkan file .exe, .dll, dan .sys). Varian Windows juga mendapatkan argumen seperti target_path, dengan nilai default yang ditetapkan ke C:\\Users.

BiBi-Windows Wiper menunjukkan malware tersebut di-compile pada  21 Oktober 2023 menggunakan Visual Studio 2019, hanya 14 hari setelah perang Israel-Palestina dimulai. Sampel malware tersebut adalah Windows portable executable (PE) x64 dengan ukuran file 203 KB.

Jika berhasil dijalankan pada sistem operasi Windows, malware ini pertama kali akan memeriksa arsitektur prosesor dan jumlah threads sistem korbannya. Untuk tindakan penghancuran secepat mungkin, malware menjalankan 12 threads dengan delapan core prosesor. Selama eksekusi, wiper mengeluarkan hasilnya ke konsol.

Selama proses penghapusan, malware akan menjalankan perintah berikut:

1. cmd.exe /c vssadmin delete shadows /quIet /all

2. cmd.exe /c wmic shadowcopy delete

3. cmd.exe /c bcdedit / set {default} bootstatuspolicy ignoreallfailures

4. cmd.exe /c bcdedit /set {default} recoveryenabled no

Terakhir, BiBi-Windows Wiper menggunakan Restart Manager dan Rstrtmgr.dll untuk menjalankan proses hingga akhir.

Sampel terbaru dari malware ini juga memiliki kemampuan untuk menghapus partisi dan informasi partisi dari disk.

MITRE ATT&CK

 Yara Rules

Sumber

1. VirusTotal.com

2. Hybrid-Analysis.com

3. research.checkpoint.com

"Tampaknya ransomware Cicada3301 menargetkan usaha kecil hingga menengah (UKM), kemungkinan melalui serangan oportunistik yang mengeksploitasi kerentanan sebagai vektor initial access," kata perusahaan keamanan siber Morphisec dalam laporan teknis yang dibagikan kepada The Hacker News.

Ditulis dalam bahasa Rust dan mampu menargetkan host Windows dan Linux/ESXi, Cicada3301 pertama kali muncul pada bulan Juni 2024, mengundang calon afiliasi untuk bergabung dengan platform ransomware-as-a-service (RaaS) mereka melalui iklan di forum bawah tanah RAMP.

Aspek penting dari ransomware ini adalah bahwa file yang dapat dieksekusi menyematkan kredensial pengguna yang disusupi, yang kemudian digunakan untuk menjalankan PsExec, alat sah yang memungkinkan untuk menjalankan program dari jarak jauh.

Kesamaan Cicada3301 dengan BlackCat juga meluas ke penggunaan ChaCha20 untuk enkripsi, fsutil untuk mengevaluasi tautan simbolik dan mengenkripsi berkas yang dialihkan, serta IISReset.exe untuk menghentikan layanan IIS dan mengenkripsi berkas yang mungkin dikunci untuk modifikasi atau penghapusan.

BlackCat mencakup langkah-langkah yang dilakukan untuk menghapus shadow copy, menonaktifkan pemulihan sistem dengan memanipulasi utilitas bcdedit, meningkatkan nilai MaxMpxCt untuk mendukung volume lalu lintas yang lebih tinggi (misalnya, permintaan SMB PsExec), dan menghapus semua log event dengan memanfaatkan utilitas wevtutil.

Cicada3301 juga mengamati penghentian mesin virtual (VM) yang disebarkan secara lokal, perilaku yang sebelumnya diadopsi oleh ransomware Megazord dan ransomware Yanluowang, dan menghentikan berbagai layanan pencadangan dan pemulihan serta daftar lusinan proses yang ditulis secara hard-code.

Selain mempertahankan daftar bawaan berisi file dan direktori yang dikecualikan selama proses enkripsi, ransomware tersebut menargetkan total 35 ekstensi file - sql, doc, rtf, xls, jpg, jpeg, psd, docm, xlsm, ods, ppsx, png, raw, dotx, xltx, pptx, ppsm, gif, bmp, dotm, xltm, pptm, odp, webp, pdf, odt, xlsb, ptox, mdf, tiff, docx, xlsx, xlam, potm, dan txt.

Morphisec mengatakan penyelidikannya juga mengungkap alat tambahan seperti EDRSandBlast yang menjadikan driver yang ditandai rentan sebagai senjata untuk melewati deteksi EDR, sebuah teknik yang juga diadopsi oleh kelompok ransomware BlackByte di masa lalu. Temuan tersebut mengikuti analisis Truesec terhadap versi ESXi dari Cicada3301, sekaligus mengungkap indikasi bahwa kelompok tersebut mungkin telah bekerja sama dengan operator botnet Brutus untuk memperoleh akses awal ke jaringan perusahaan.

"Terlepas dari apakah Cicada3301 merupakan merek baru dari ALPHV, mereka memiliki ransomware yang ditulis oleh pengembang yang sama dengan ALPHV, atau mereka hanya menyalin bagian-bagian dari ALPHV untuk membuat ransomware mereka sendiri, kronologi tersebut menunjukkan bahwa kehancuran BlackCat dan kemunculan botnet Brutus terlebih dahulu dan kemudian operasi ransomware Cicada3301 mungkin semuanya saling terkait," kata perusahaan tersebut.

Serangan terhadap sistem VMware ESXi juga memerlukan penggunaan enkripsi intermiten untuk mengenkripsi file yang lebih besar dari ambang batas yang ditetapkan (100 MB) dan parameter bernama "no_vm_ss" untuk mengenkripsi file tanpa mematikan mesin virtual yang berjalan di host. Munculnya Cicada3301 juga telah mendorong "gerakan non-politik" yang menyandang nama yang sama, yang telah berkecimpung dalam teka-teki kriptografi "misterius", untuk mengeluarkan pernyataan bahwa gerakan ini tidak memiliki hubungan dengan skema ransomware.

Sumber: TheHackerNews.com

Bagaimana cara melindungi data pribadi?

Ada beberapa langkah yang bisa diambil untuk melindungi data pribadi:

1. Menggunakan kata sandi yang kuat

Pastikan kata sandi yang digunakan cukup kuat dengan campuran huruf besar, huruf kecil, angka, dan simbol agar tidak mudah ditebak.

2. Perbarui perangkat lunak secara teratur

Pastikan sistem operasi, perangkat lunak antivirus, dan aplikasi lainnya selalu diperbarui dengan versi terbaru untuk mengurangi risiko serangan peretas.

3. Hindari email dan lampiran yang mencurigakan

Jangan klik tautan atau buka lampiran dari pengirim yang tidak dikenal atau mencurigakan. Hal tersebut dapat mengandung virus yang dapat mencuri data pribadi.

4. Menggunakan VPN (Virtual Private Network)

Hindari mengakses informasi sensitif melalui jaringan publik yang tidak terenkripsi. Dengan menggunakan VPN, melindungi aktivitas secara online dari pihak lain.

5. Menerapkan enkripsi data

Enkripsi data bertujuan untuk mengubah informasi agar hanya dapat diakses oleh pihak yang memiliki kunci enkripsi tersebut.

6. Perhatikan privasi di media sosial

Atur pengaturan privasi di media sosial sehingga tidak ada celah penyalahgunaan informasi pribadi.

Itulah cara melindungi data pribadi yang dapat lakukan dari sekarang. Dengan melindungi data pribadi, hal tersebut akan terhindar dari kejahatan digital yang sedang marak, terutama pencurian data pribadi yang dapat merugikan.

Penulis: Nadin, Siswi SMK Negeri 3 Kota Tangerang
Editor: Muhammad Ridwan Na'im

Maka dari itu sobat obline harus bisa melindungi diri dengan baik di media sosial. Berikut adalah tips bermedia sosial yang benar:

1. Hindari membagikan data pribadi

Jangan mudah membagikan informasi pribadi di media sosial. Cobalah mengamankan data pribadi dengan sistem backup.

2. Menjaga etika berbahasa

Dalam beretika berbahasa yang baik tidak hanya diperlukan saat di kehidupan nyata saja namun di media sosial juga perlu diterapkan.

3. Tidak menyebarluaskan informasi tidak benar.

Informasi yang tidak benar merupakan pemicu nyata bahaya perpecahan dan kehancuran bagi kehidupan bermasyarakat. Hal ini dapat merugikan diri sendiri serta orang sekitar.

4. Mengelola waktu yang baik

Jangan terlalu terbuai akan media sosial. Terkadang media sosial bisa dengan mudah mengganggu waktu produktif yang dimiliki.

5. Pastikan informasi yang akan diterima

Penting untuk memilah apa yang diterima. Jika informasi tidak sesuai yang diinginkan, lebih baik tidak dilanjutkan/digunakan karena akan menimbulkan hal yang tidak diinginkan.

Penulis: Grace, Siswi SMK Negeri 3 Kota Tangerang
Editor: Muhammad Ridwan Na'im

Kerja sama ini difokuskan pada implementasi Security Operation Center (SOC) yang akan membantu melindungi data dan informasi yang ada pada sistem elektronik Pemkot Tangerang. SOC ini diharapkan dapat meningkatkan keamanan siber dan memberikan perlindungan optimal terhadap berbagai ancaman digital yang semakin kompleks.

Kepala Dinas Komunikasi dan Informatika (Kominfo) Kota Tangerang, Indri Astuti, menyatakan rasa syukur dan apresiasinya atas dukungan dari SGU. "Alhamdulillah, SGU sangat aktif memberikan edukasi dan mendukung keamanan siber yang telah dilakukan oleh Pemerintah Daerah dan organisasi lainnya. Selain itu, perjanjian kerja sama (PKS) ini menjadi tindak lanjut dari Memorandum of Understanding (MoU) sebelumnya yang telah disepakati," ujar Indri.

Selain itu, Direktur Lembaga Penelitian dan Pengabdian Masyarakat SGU, James Purnama, menjelaskan lebih lanjut tentang kontribusi SGU dalam kerja sama ini. "Dengan respons yang sangat baik dari Pemkot Tangerang, nantinya SGU akan memberikan workshop kepada para Aparatur Sipil Negara (ASN) tentang SOC dan membantu melindungi keamanan siber pada 224 aplikasi di Kota Tangerang," kata James.

Workshop yang akan diberikan oleh SGU bertujuan untuk meningkatkan pemahaman dan keterampilan ASN dalam mengoperasikan dan mengelola SOC. Diharapkan, dengan adanya pelatihan ini, para ASN dapat lebih siap dalam menghadapi dan mengatasi berbagai ancaman siber yang mungkin terjadi.

Kerja sama ini merupakan langkah konkret dalam memperkuat infrastruktur keamanan siber Pemkot Tangerang, yang akan berdampak positif pada keamanan data dan pelayanan publik yang lebih baik.

1. Manajer Kata Sandi
   Manajer kata sandi adalah alat yang menyimpan dan mengelola semua kata sandi Anda dengan aman dan mampu menghasilkan kata sandi yang kuat untukmu. Beberapa contoh populer dari aplikasi manajer kata sandi adalah LastPass, 1Password, dan Bitwarden.
    

2. Periksadata.com
   Periksadata.com adalah sebuah situs yang memungkinkan kamu melakukan pelacakan apakah kamu telah menjadi korban kebocoran data atau tidak berdasarkan email yang kamu masukkan. Periksadata.com akan memberikan kamu informasi mengenai dari mana sumber kebocoran data, kapan, apa saja data pribadimu yang bocor, dan memberikan rekomendasi untuk kamu apabila telah menjadi korban kebocoran data.
    

3. Virustotal.com
   Virustotal.com adalah sebuah aplikasi yang memungkinkan kamu menganalisa alamat IP, alamat URL, dan file yang kamu curigai sebagai malware. Dengan aplikasi ini kamu juga bisa mengetahui keterkaitan antara sampel yang kamu kirim dengan malware lainnya yang telah berhasil diidentifikasi oleh Virustotal. Kamu juga bisa mempelajari bagaimana malware yang kamu kirim bekerja pada perangkat korbannya. 
    

4. Aduannomor.id
   AduanNomor.id merupakan situs resmi dari Kementerian Komunikasi dan Informatika Republik Indonesia yang difungsikan sebagai portal untuk menerima aduan masyarakat terkait penyalahgunaan nomor seluler yang digunakan untuk penipuan.  Untuk melaporkan sebuah nomor kamu wajib melampirkan bukti pendukung berupa capture SMS, rekaman percakapan atau bukti pendukung lainnya yang berkaitan dengan tindakan penipuan tersebut dan disertai dengan identitas pelapor yang benar. 
    

5. Cekrekening.id
   CekRekening.id adalah Situs Resmi dari Kementerian Komunikasi dan Informatika Republik Indonesia yang difungsikan sebagai portal untuk melakukan pengumpulan database rekening bank diduga terindikasi tindak pidana ITE. Melalui situs ini, kamu dapat berpartisipasi dan membantu sesama pengguna transaksi elektronik demi menciptakan lingkungan e-commerce yang sehat, aman, dan nyaman.
    

6. Aplikasi MFA (Multi Factor Authentication)
   MFA (Multi-Factor Authentication) adalah metode keamanan yang mengharuskan pengguna untuk memasukkan dua atau lebih faktor otentikasi sebelum diizinkan mengakses akun atau sistem. Dengan kata lain, MFA menambahkan lapisan keamanan ekstra untuk memastikan bahwa hanya pemegang yang sah dari akun atau perangkat yang diizinkan mengaksesnya.  Contoh Aplikasi MFA di antaranya adalah: Google Authenticator, Authy, YubiKey, dan LastPass Authenticator.

“The creation of dynamic properties on classes that aren't marked with the #[AllowDynamicProperties] attribute is deprecated in PHP 8.2 and becomes an Error exception in PHP 9.0. All used properties should be declared in the class declaration.“ (PHP)

Dynamic properties adalah kemampuan pada PHP yang memungkinkan pengembang menambahkan properti baru ke dalam objek pada saat runtime. Hal ini membuat pengembang tidak perlu mendefinisikan semua properti sebuah objek di awal saat membuat kelas. Pengembang dapat menambahkan properti baru ke dalam objek tersebut sesuai kebutuhan. Kemampuan ini banyak sekali dipakai oleh sistem Codeigniter 3 seperti untuk memuat controller, library, dan model.  Setiap pengembang memuat controller, library, atau model, Codeigniter akan membuat dynamic property untuk setiap Class tersebut. Sehingga apabila aplikasi dijalankan pada PHP 8.2, akan menyebabkan error seperti berikut.

PHP beralasan bahwa perubahan ini untuk mencegah kesalahan (akibat kesalahan penulisan maupun perubahan nama) dan karena dynamic properties itu sendiri menyebabkan PHP tidak bisa mendeteksi error atau tidak bisa mendeteksi kesalahan.

Sebenarnya error ini bisa disembunyikan dengan mengaktifkan environment production atau disable deprecated message. Namun ada permasalahan lain yang perlu diperhatikan. Codeigniter versi terbaru yaitu 3.1.13, hanya berjalan dengan lancar pada PHP 8.1.x. Sementara dukungan untuk PHP 8.1 berakhir pada 25 November 2023 dan dukungan patching hingga 25 November 2024. Codeigniter 3 juga mulai jarang melakukan update atau patch terhadap bug. Hal ini bisa dilihat pada repositori github bcit/Codeigniter. Dapat terlihat grafik yang relaitf landai dan terdapat 25 issue yang belum ditutup.

Maka sangat penting bagi pengguna atau organisasi yang masih menggunakan Codeigniter 3 sebagai framework PHP agar segera melakukan migrasi ke framework yang lebih modern untuk meningkatkan performa dan menjaga agar sistemnya tetap aman. Sebagai alternatif, Codeigniter sendiri telah merilis Codeigniter versi 4 yang secara arsitektur mungkin berbeda jauh dengan Codeigniter 3. Pengembang yang biasa menggunakan Codeigniter bisa menggunakan framework ini karena sama-sama memiliki performa yang bagus dan dokumentasi yang cukup jelas.

Penggunaan software bajakan adalah praktik yang melibatkan penggunaan perangkat lunak tanpa izin resmi atau keharusan membayar lisensi. Hal ini merupakan pelanggaran hak cipta dan berdampak negatif pada pemilik software, industri IT, dan bahkan pengguna akhir. Kondisi ini diperparah dengan mudahnya pengguna mencari software bajakan yang tersebar luas di internet.

Pada kesempatan kali ini, tim CSIRT-TangerangKota akan membahas ancaman siber di balik penggunaan software bajakan.

1. Malware dan Virus

Software bajakan seringkali disertai dengan file atau keygen yang mengandung malware atau virus. Ketika pengguna mengunduh dan menginstal software bajakan, mereka mungkin tidak menyadari bahwa mereka juga mengunduh malware yang dapat merusak sistem mereka.

2. Ransomware

Ransomware adalah jenis malware yang mengenkripsi data pengguna dan meminta pembayaran tebusan untuk mendapatkan kunci dekripsi. Pengguna software bajakan cenderung menjadi target yang baik bagi para penjahat siber karena mereka mungkin memiliki kerentanan keamanan yang tidak ter-patch atau sistem yang tidak terlindungi.

3. Pencurian Identitas

Software bajakan sering kali meminta pengguna untuk mengisi informasi pribadi atau informasi login. Informasi ini kemudian dapat disalahgunakan untuk pencurian identitas atau serangan phishing.

4. Kerentanan Keamanan

Software bajakan seringkali tidak mendapatkan pembaruan keamanan terbaru, yang berarti mereka dapat memiliki kerentanan keamanan yang dikenal. Penyerang dapat dengan mudah mengeksploitasi kerentanan ini untuk mengakses sistem pengguna.

5. Kontrol Terhadap Sistem

Penyedia software bajakan dapat memasukkan pintu belakang (backdoor) ke dalam software mereka. Ini memungkinkan mereka untuk mengendalikan sistem pengguna, mengakses data, atau bahkan mengaktifkan fungsi pengintaian.

6. Kehilangan Data

Karena software bajakan mungkin tidak stabil atau tidak terjamin, pengguna dapat mengalami kehilangan data yang signifikan. Ini bisa disebabkan oleh crash sistem atau kerentanan yang menyebabkan hilangnya data.

7. Masalah Hukum

Penggunaan software bajakan adalah pelanggaran hak cipta dan dapat mengakibatkan tuntutan hukum, denda, atau sanksi lainnya jika ketahuan. Hal ini juga dapat merusak reputasi individu atau perusahaan.

8. Ketidaksetaraan Keamanan

Penggunaan software bajakan dapat mengakibatkan ketidaksetaraan keamanan antara pengguna yang menggunakan software bajakan dan pengguna yang membayar lisensi resmi. Penggunaan software bajakan dapat membuat pengguna lebih rentan terhadap serangan siber.

Menggunakan software resmi adalah solusi agar terhindar dari ancaman di atas. Apabila pengguna tidak mampu untuk membayar lisensi, saat ini telah banyak software open source dan gratis sebagai alternatif software berbayar. Selain itu, penting untuk menjadi sadar akan risiko yang terkait dengan software bajakan dan berupaya untuk mendukung ekosistem perangkat lunak yang legal dan aman.

Network sniffing adalah sebuah aktivitas memantau lalu lintas data yang mengalir melalui jaringan komputer atau internet. Aktivitas ini bisa dilakukan menggunakan software khusus yang disebut sniffer atau packet analyzer. Dengan software tersebut, seseorang bisa menganalisa paket data yang dikirim melalui jaringan, termasuk kata sandi, informasi pribadi, dan informasi sensitif lainnya. Dengan kata lain, network sniffing adalah teknik penyadapan (eavesdropping) dalam internet.

Dilansir dari situs EC Council - “What are  sniffing attacks, and how can they be prevented”. Ada dua jenis serangan sniffing, yaitu active sniffing dan passive sniffing. Dalam serangan active sniffing, peretas akan mengirimkan paket buatan ke satu atau lebih target di jaringan untuk mengekstrak data sensitif. Paket yang dibuat tersebut memungkinkan peretas melewati langkah-langkah keamanan yang seharusnya melindungi data agar tidak disadap. Teknik ini juga dapat melibatkan injeksi kode berbahaya ke dalam sistem target yang memungkinkan penyerang mengambil kendali atau mencuri informasi sensitif.

Sedangkan dalam passive sniffing, peretas hanya memonitor lalu lintas data yang melewati jaringan tanpa mengganggu dengan cara apapun. Teknik ini biasa digunakan dalam tahap information gathering (pengumpulan informasi) tentang target di jaringan dan jenis data misalnya, kredensial login atau isi surat elektronik (email) yang dikirimkan.

Teknik ini cukup berbahaya karena dapat mengakibatkan dampak mulai dari bocornya data sensitif dari korban, injeksi kode berbahaya ke sistem korban, pengungkapan informasi rahasia, hingga rusaknya reputasi korban.

Namun, teknik kejahatan ini bukan berarti tidak bisa dicegah dan diminimalisir. Sebagai langkah mitigasi, berikut hal yang bisa anda lakukan:

1. Selalu gunakan koneksi internet yang aman, terutama saat mengakses informasi sensitif. Pastikan Anda terhubung melalui HTTPS dan jaringan yang aman.

2. Jangan melakukan transaksi keuangan, masuk ke akun apapun, atau mengirim data sensitif melalui hotspot publik.

3. Selalu pastikan perangkat lunak keamanan Anda dan sistem operasi diperbarui dengan versi terbaru untuk melindungi dari kerentanan yang telah diatasi.

4. Apabila anda ingin mengakses sumber daya di perusahaan anda dari luar, selalu gunakan Virtual Private Network (VPN) yang disediakan perusahaan anda untuk menghindari penyadapan atau sniffing.

5. Aktifkan firewall dan antivirus pada perangkat Anda untuk memblokir akses yang tidak sah.

6. Gunakan enkripsi end-to-end saat mengirim data sensitif.

Phishing  adalah tindakan penipuan daring yang bertujuan untuk memperoleh informasi pribadi, seperti kata sandi, nomor kartu kredit, atau informasi keuangan lainnya, dengan menyamar sebagai entitas tepercaya. Hal ini sering dilakukan melalui pesan palsu, email palsu, atau situs web palsu yang dirancang sedemikian rupa sehingga mereka tampak sangat mirip dengan entitas resmi atau terpercaya. Tujuannya adalah untuk memikat korban agar memberikan informasi sensitif mereka dengan sukarela atau mengunduh program berbahaya yang telah mereka siapkan.

Salah satu media penyebaran phishing adalah melalui email. Maka dalam kesempatan kali ini, Tim CSIRT Tangerang Kota akan membahas bagaimana cara menganalisa suatu email apakah berbahaya atau tidak, khususnya pada email yang masuk ke Layanan Email Kota Tangerang.

Cara menganalisa sebuah email pada Layanan Email Kota Tangerang bisa dilakukan dengan cara berikut:

1. Pilih email yang akan dianalisa

2. Lalu klik tombol Action

3. Klik Show Original

Sebuah jendela browser terbuka berisi header dari email tersebut. Kemudian salin header tersebut untuk dianalisa. Salah satu alat yang bisa digunakan untuk menganalisa adalah https://mxtoolbox.com/EmailHeaders.aspx. Lalu paste header yang telah disalin ke form mxtoolbox lalu klik Analyze Header. Tunggu hingga proses analisa selesai.

Dari hasil analisa di atas terbukti bahwa email tersebut masuk dalam blacklist karena dianggap spam. Selain itu, apabila pada email terdapat link, kita juga bisa menganalisa link atau URL tersebut menggunakan https://virustotal.com .

Cara melakukannya adalah klik kanan pada link tersebut, lalu Copy Link atau Salin Tautan, kemudian kunjungi https://www.virustotal.com/gui/home/url dan paste link tersebut. Tunggu hingga proses analisa selesai.

Dari link yang dianalisa, dapat diketahui bahwa link terdeteksi terkait dengan aktivitas phishing oleh provider BitDefender, Trustwave, dan Fortinet. Apabila ingin mengetahui hasil analisa lebih lengkap, bisa klik menu DETAILS.

Pada menu DETAILS ini kita bisa melihat response header dan hash dari halaman yang ditampilkan ketika mengunjungi link tersebut. Klik hash dari body untuk analisa lebih lanjut.

Dari hasil analisa hash menunjukkan bahwa halaman tersebut berbahaya karena merupakan phishing. Tercatat dari link yang dianalisa, 27 provider menyatakan bahwa halaman tersebut mengandung aktivitas phishing, malware, trojan, dan lain-lain.

Terakhir, kami menghimbau kepaa pengguna email khususnya Layanan Email Kota Tangerang unuk berhati-hati ketika mendapatkan email tidak dikenal yang mengharuskan mengunduh atau mengunjungi URL tertentu meskipun dari hasil analisa menunjukkan header email tidak berbahaya. Jangan pernah mengirimkan data seperti kredensial akun, data pribadi, dan data sensitif lainnya ke website yang tidak terpercaya. Apabila anda khususnya pegawai Pemerintah Kota Tangerang ragu-ragu terhadap email yang anda terima atau ingin bertanya lebih lanjut mengenai keamanan siber, silakan berkonsultasi dengan tim CSIRT Kota Tangerang di Dinas Komunikasi dan Informatika Kota Tangerang baik secara langsung atau melalui email csirt[at]tangerangkota[.]go[.]id.

Selain menimbulkan dampak kecanduan dan dampak sosial lainnya, ancaman yang mungkin saja ditimbulkan dari bermain judi online adalah ancaman terhadap data pribadi. Data pribadi dari pengguna judi online sangat rentan untuk diperjualbelikan. Hal ini karena aplikasi judi online sifatnya ilegal dan tidak tersedia pada platform resmi seperti Play Store maupun App Store. Beberapa judi online hanya menyediakan jasa melalui situs (tanpa aplikasi) mobile. Selain ilegal, kebijakan privasi pada judi online tidak jelas sehingga data pengguna bisa saja disalahgunakan. Bukan tidak mungkin penyedia jasa judi online melakukan jual-beli data penggunanya dengan platform judi online lain untuk memperluas jangkauan mereka.

Tidak menutup kemungkinan juga bagi penyedia layanan judi online untuk mencuri data penggunanya seperti kontak dan informasi sensitif lainnya melalui aplikasi versi mobile mereka. Sehingga dampak ini akan meluas ke kerabat atau orang lain yang berhubungan dengan pemain judi online tersebut.

Maka penting bagi masyarakat Indonesia untuk tidak lagi bermain judi online. Selain melanggar ketentuan hukum, dampak yang ditimbulkan bagi pengguna dan orang-orang di sekitarnya tidak bisa dianggap sebagai hal yang remeh.

Salah satu tindak kejahatan siber yang menyasar pengguna smartphone adalah Juice Jacking. Juice Jacking adalah sebuah teknik peretasan dengan memanfaatkan fasilitas pengisian daya yang sudah menyediakan kabel atau port USB siap pakai untuk publik dan sudah dimodifikasi. Teknik yang mulai berkembang sejak tahun 2011 ini memungkinkan peretas dapat mencuri atau memasang perangkat lunak berbahaya pada smartphone korbannya yang terhubung pada fasilitas pengisian daya tersebut.

Vektor dari serangan ini adalah USB port dengan memanfaatkan kelemahan korban yang membutuhkan pengisian daya smartphone-nya secara gratis. Korban yang tidak waspada akan lebih memilih kabel USB yang disediakan peretas atau kabel pribadi yang mendukung transfer data.

Menurut perusahaan antivirus Malwarebytes, jenis malware yang bisa dipasang pada smartphone korban bisa berupa adware, cryptominers, ransomware, spyware, atau trojan. “Faktanya, malware Android saat ini sama serbagunanya dengan malware yang ditujukan untuk sistem Windows.”, tulis Malwarebytes dalam artikelnya.

Malware ini akan terpasang tanpa sepengetahuan korbannya. Korban akan menyadari bahwa smartphone-nya telah diretas apabila terjadi aktivitas mencurigakan seperti transfer uang dengan sendirinya, data hilang, akun sosmed diretas, muncul banyak iklan dan sebagainya (tergantung jenis malware yang dipasang).

Maka dari itu, penting bagi pengguna smartphone untuk memperhatikan hal-hal berikut ini agar tidak menjadi korban juice jacking.

1. Hindari pengisian daya menggunakan port USB di tempat publik, gunakan catu daya listrik AC sebagai gantinya.

2. Menggunakan pengisian daya portabel (power bank) sendiri.

3. Gunakan kabel USB dengan tipe charging only untuk menghindari transfer data ketika mengisi daya

4. Apabila hanya ada kabel USB yang mendukung transfer data, pastikan ketika notifikasi USB pada smartphone muncul, anda memilih “Hanya isi”.

Sumber:

• https://www.malwarebytes.com/blog/news/2019/11/explained-juice-jacking

• https://krebsonsecurity.com/2023/04/why-is-juice-jacking-suddenly-back-in-the-news/

• https://twitter.com/FBIDenver/status/1643947117650538498

• https://www.wallofsheep.com/pages/juice

TangerangKota-CSIRT akan merangkum beberapa poin penting terkait dengan, bagaimana alur serangan web defacement terjadi, dan bagaimana cara melakukan penanggulangan dan pemulihan atas insiden yang terjadi serta bagaimana cara mitigasi untuk meminimalisir kemungkinan terkena serangan Web Defacement pada sebuah website.

Web defacement merupakan suatu serangan pada website yang mengubah tampilan asli atau konten dari sebuah website. Pelaku serangan web defacement disebut sebagai defacer. Web defacement seringkali dimanfaatkan untuk menguji kemampuan defacer dan sebagai tindakan vandalisme elektronik. Web defacement dapat juga dimanfaatkan untuk kepentingan agenda politik, karena dapat menurunkan reputasi atau kredibilitas dari pihak tertentu.

Serangan web defacement dapat dilakukan dengan memanfaatkan sebuah kelemahan dari sistem sehingga memungkinkan pelaku memiliki akses masuk hingga ke server dan memiliki kewenangan untuk mengganti atau menghapus konten dari suatu website. Terdapat berbagai metode untuk melakukan web defacement, cara yang umum dijumpai yaitu eksploitasi pada kerentanan framework seperti SQL Injection yang memungkinkan akses administratif pada website, Cross-site scripting (XSS), serta kerentanan seperti Remote code execution (RCE).

Web defacement belakangan ini marak terjadi pada situs milik pemerintah dan pendidikan, terutama web defacement judi online. Insiden ini terdeteksi cukup masif hingga menyebabkan banyaknya situs pemerintah dan pendidikan yang terdampak. Dampak nyata dari web defacement judi online yaitu, situs yang terinfeksi akan menampilkan halaman selayaknya situs judi online. Salah satu alasan hal tersebut banyak menyasar situs milik pemerintah dan pendidikan diindikasikan sebagai cara untuk menghindari situs di-block oleh pihak berwenang.

Resiko atau Dampak
Dampak yang ditimbulkan jika website yang dikelola mengalami serangan web defacement.

1. Reputasi, tampilan halaman judi online yang tidak pantas atau ilegal pada situs terdampak akan menciptakan kesan negatif terhadap integritas organisasi / lembaga terkait.

2. Kepercayaan, masyarakat akan meragukan keamanan dan keandalan situs pemerintahan atau yg terdampak, serta kemampuan pemerintah atau yang terdampak dalam melindungi data sensitif dan informasi publik.

3. Ketersediaan, defacement dapat menyebabkan gangguan pada layanan yang disediakan oleh situs pemerintah serta dapat menyebabkan ketidaknyamanan dan ketidakpuasan masyarakat terhadap lembaga pemerintah.

Alur Serangan Web Defacement

Penjelasan

1. Initial Access, penyerang melakukan upaya dalam memanfaatkan kerentanan dan kesalahan pada konfigurasi untuk dapat masuk kedalam suatu sistem. Pada prakteknya, Web defacement judi online umumnya teridentifikasi memanfaatkan Exploit Vulnerability Apps dan Brute Force Attack untuk masuk ke dalam suatu sistem yang telah ditargetkan.

2. Pada vulnerability apps yang pertama yaitu, XSS Vulnerability, Penyerang memanfaatkan kerentanan XSS untuk melakukan injection payload XSS dengan tujuan untuk menyisipkan malicious script judi online (html/javascript) sehingga script tersebut akan tertanam pada salah satu halaman dari legitimate website, yang secara otomatis ketika diakses oleh pengguna layanan, akan tereksekusi dan menampilkan halaman judi online.

3. Kerentanan kedua yaitu File Upload Vulnerability, penyerang memanfaatkan kerentanan file upload yang tidak menerapkan filtering dan sanitasi dengan baik, sehingga penyerang dapat melakukan upload webshell atau malicious code kedalam server korbannya.

4. Kerentanan ketiga yaitu PHP Unit Vulnerability, penyerang sering memanfaatkan kerentanan PHP Unit yang dapat berdampak pada celah yaitu remote code execution, sehingga penyerang akan melakukan instalasi backdoor atau webshell pada web korbannya.

5. Kerentanan ke empat yang umumnya sering dimanfaatkan untuk mengambil alih web korbannya adalah SQL Injection, kerentanan SQL Injection juga menjadi salah satu attack vector yang sering dimanfaatkan penyerang dalam melakukan defacement judi online. Kredensial berupa username/password yang didapatkan dari proses SQL Injection dapat digunakan untuk melakukan login pada web apps bahkan kedalam sistem korbannya.

6. Brute Forece Login, penyerang sering kali melakukan usaha lain berupa brute force attack pada aplikasi dan juga pada layanan remote access yang diaktifkan (SSH). Dalam beberapa kasus diketahui bahwa brute force terjadi karena penggunaan password yang tidak terlalu kuat (Guessable), sehingga dapat dengan mudah dilakukan brute force attack. Contoh penggunaan password yang lemah dan sering kali masih dijumpai antara lain, 12345, password, admin dan sebagainya.

Execution
Penyerang akan melakukan aktivitas pada server korbannya untuk dapat melakukan penyisipan script judi online, beberapa aktivitas yang dilakukan antara lain:

1. Remote Execution, penyerang memanfaatkan backdoor yang telah tertanam pada server untuk melakukan remote code execution seperti melakukan pembuatan akun, melakukan upload webshell atau malicious code kedalam server korbannya untuk maintaining access, serta membuat file-file deface judi online.

2. Upload script Judi Online dan Google Index, penyerang akan melakukan modifikasi pada file .htaccess untuk mengizinkan beberapa file webshell untuk dapat diekseskusi pada folder-folder yang telah ditentukan oleh si penyerang. Kemudian penyerang akan membuat folder Slot-Gacor yang berisi file seperti index.php dan Google Indexing, dengan tujuan supaya akan tampil paling atas ketika di cari melalui laman mesin pencarian Google.

Persistence
Penyerang melakukan mekanisme persistence access untuk memastikan akses mereka terhadap server korban tetap tersedia. Berikut beberapa mekanisme persistence yang terjadi pada defacement judi online,

1. Backdoor/Webshell, penyisipan dan upload backdoor atau webshell sering ditemukan pada insiden web defacement. Penyerang memanfaatkan webshell sebagai pintu untuk masuk kembali kedalam server korbannya. Umumnya webshell memiliki ekstensi file php seperti, php, php2, php3, php4, php5, php6, php7, phps, phps, pht, phtm, phtml, pgif, shtml, .htaccess, phar, inc, hphp, ctp, module.

2. Process dan Service, pada beberapa kasus dijumpai bahwa penyerang juga melakukan persistence dengan membuat malicious proses dan service yang nantinya akan secara terus-menenus berjalan untuk memastikan bahwa tampilan judi online tidak dapat dihapus oleh sistem administrator web apps. Ketika folder Slot-Gacor dihapus, secara otomatis services dan process akan melakukan generate folder dan isinya kembali. Services yang ditemukan pada insiden defacement judi online antara lain jj.service, ii.srevice, dan cahce-l.service.

Sumber: Badan Siber dan Sandi Negara (BSSN)

Mikrotik menggunakan RouterOS yang berbasis linux sebagai sistem operasinya untuk mengelola dan mengkonfigurasi berbagai fitur jaringan. Saat ini versi stable dari RouterOS adalah 7.10.2. Namun masih banyak pengguna mikrotik yang belum meng-upgrade RouterOS ini bahkan menggunakan versi yang diketahui memiliki kerentanan.

“Hingga versi 6.49.8 (20 Juli 2023), MikroTik RouterOS versi long-term rentan terhadap CVE-2023-30799. Penyerang jarak jauh dan terotentikasi dapat menggunakan kerentanan untuk mendapatkan shell root pada router.”  (vulncheck.com)

CVE-2023-30799 pertama kali diungkapkan (tanpa CVE) pada Juni 2022 di REcon oleh karyawan Margin Research, Ian Dupont dan Harrison Green. Saat itu, mereka merilis eksploit bernama FOISted yang bisa mendapatkan root shell pada virtual machine RouterOS x86. CVE ditugaskan pada 19 Juli 2023 ketika peneliti VulnCheck menerbitkan eksploit baru yang dapat mengeksploitasi arsitektur MIPS dengan melakukan pengembangan pada FOISted.

Kerentanan berdampak critical ini (Skor CVS 9.1) terdapat pada MikroTik RouterOS long-term hingga 6.48.7 dan MikroTik RouterOS stable hingga 6.49.6. Namun, masih banyak pengguna mikrotik yang belum melakukan upgrade RouterOSnya ke versi terbaru. Bahkan versi long-term 6.48.6 yang memiliki kerentanan ini menjadi versi paling banyak di gunakan di dunia per 4 Agustus 2023.

MikroTik telah mengetahui masalah ini selama beberapa waktu. Pada Oktober 2022, mereka memperbaiki masalah di RouterOS stable (6.49.7). Mereka menuliskan salah satu log perubahannya:

*) system - improved handling of user policies;

Meskipun CVE-2023-30799 memerlukan autentikasi, sangat mudah bagi penyerang yang memiliki akses admin untuk melakukan privilege escalation menjadi superadmin sehingga kerentanan ini tidak bisa diabaikan dan sangat berbahaya. Vulncheck menambahkan, eksploit FOISted hanya berjalan pada RouterOS x86 yang paling sedikit digunakan. Mungkin inilah yang membuat respon mikrotik agak lamban dalam menangai kerentanan ini.  FOISted akan mendapat lebih banyak perhatian jika dikembangkan untuk perangkat keras MikroTik dengan arsitektur MIPSBE, MIPSLE, ARM, atau PowerPC yang lebih banyak digunakan.

Demonstrasi CVE-2023-30799 bisa dilihat pada video berikut:

“Kerentanan keamanan di Zimbra Collaboration Suite Versi 8.8.15 yang berpotensi memengaruhi kerahasiaan dan integritas data Anda telah muncul. Kami menanggapi masalah ini dengan sangat serius dan telah mengambil tindakan segera untuk mengatasi masalah tersebut.” , tulis Zimbra pada blognya.

Sebagai bagian dari serangan XSS, peretas dapat mencuri informasi sensitif pengguna atau mengeksekusi kode berbahaya pada sistem yang rentan. Sementara Zimbra tidak mengungkapkan bahwa bug tersebut digunakan dalam serangan, Maddie Stone dari Google TAG kemarin mengungkapkan bahwa kerentanan XSS ditemukan saat sedang dieksploitasi dalam serangan yang ditargetkan.

Meskipun Zimbra belum menyediakan tambalan keamanan untuk mengatasi zero-day yang dieksploitasi secara aktif ini, Zimbra menyediakan perbaikan yang dapat diterapkan admin secara manual untuk menghapus vektor serangan.

"Untuk mempertahankan tingkat keamanan tertinggi, kami dengan hormat meminta kerja sama Anda untuk menerapkan perbaikan secara manual pada semua node kotak surat Anda," kata perusahaan itu.

Prosedur yang diperlukan untuk mengurangi kerentanan di semua node mailbox secara manual mengharuskan admin melakukan langkah-langkah berikut:

1. Lakukan backup terhadap file /opt/zimbra/jetty/webapps/zimbra/m/momoveto

2. Buka file tersebut lalu cari baris ke 40 di mana terdapat kode sumber yang rentan. Kode tersebut terlihat seperti berikut:

<input name="st" type="hidden" value="${param.st}"/>

3.  Lalu ubah kode tersebut menjadi:

<input name="st" type="hidden" value="${fn:escapeXml(param.st)}"/>

4. Atau anda bisa membuat sebuah shell script seperti berikut:

#!/bin/sh
momoveto=/opt/zimbra/jetty/webapps/zimbra/m/momoveto
#momoveto=/tmp/momoveto
grep -q 'fn:escapeXml(param.st)' $momoveto
if [ $? -eq 1 ]; then
   cp $momoveto $momoveto.bak
   echo "Appying patch to $momoveto"
#     <input name="st" type="hidden" value="${param.st}"/>
   sed -i -e 's,    <input name="st" type="hidden" value="${param.st}"/>,    <input name="st" type="hidden" value="${fn:escapeXml(param.st)}"/>,g' $momoveto
else
   echo "nothing to patch"
fi

5. Jika anda pengguna ansible, bisa menerapkan kode berikut:

- name: fix XSS in /m/momoveto (ZBUG-3490)
   replace:
     path: /opt/zimbra/jetty/webapps/zimbra/m/momoveto
     path: /opt/zimbra/jetty/webapps/zimbra/m/momoveto
     regexp: '\${param.st}'
     replace: '${fn:escapeXml(param.st)}'

Penyertaan fungsi escapeXml() akan melakukan sanitasi data yang dimasukkan pengguna dengan melakukan escaping special characters yang digunakan dalam markup XML untuk mencegah kerentanan XSS. Perbaikan dapat diterapkan tanpa downtime karena tidak perlu melakukan restart terhadap service zimbra untuk menerapkan mitigasi.

whatsapp dengan narasi malware yang menyamar menjadi voice note. Informasi ini marak diteruskan oleh pengguna dan juga disebarkan lewat media sosial. Bahkan beberapa media massa online ikut memberitakan tanpa melakukan klarifikasi dengan para pakar sehingga menimbulkan kekhawatiran di tengah masyarakat.

Postingan tersebut menyoroti tombol voice note yang seharusnya panah ke kanan (play) menjadi ke bawah (unduh) dan dianggap berbahaya. Padahal tombol panah ke bawah karena audio belum diunduh. Itu pun bukan dengan skema voice note karena whatsapp akan otomatis mengunduh voice note yang direkam secara langsung sehingga penerima tidak perlu mengunduh secara manual.

Sekalipun file yang dikirim berupa APK lalu diubah ekstensinya menjadi “.ogg”, file tersebut tidak akan bisa dijalankan karena mime-nya tidak terdeteksi sebagai file audio sehingga tidak akan dijalankan pada media player. Kecuali di kemudian hari ada sebuah bug yang membuat file APK berjalan pada media player whatsapp.

Terdapat beberapa keadaan yang menyebabkan kerentanan ini menjadi sangat berbahaya bagi sysadmin apabila tidak segera dilakukan patching, diantaranya:

1. Pkexec sudah terpasang secara default pada kebanyakan Linux Distro seperti, Ubuntu, Debian, Centos, dan lainnya.
2. Merupakan sebuah kerentanan lama atau 1-Day, yang mana sangat memungkinkan sudah sejak lama pula para attacker, bad actor, atau APT Group, memanfaatkan celah tersebut untuk mendapatkan hak akses penuh dari suatu sistem.
3. Memungkinkan user yang bukan root menjalankan exploit dan mendapatkan akses root.
4. Merupakan kerentanan jenis memory corruption yang sama dengan jenis exploit pada sudo suid-root (CVE-2021-3156), dimana exploit ini bersifat independent arsitektur, dan dapat cepat untuk dijalankan, meskipun polkit daemon sendiri tidak berjalan.

Rekomendasi perbaikan sementara dapat dilakukan dengan mengubah permission dari binary file pkexec dengan format: rwxr-xr-x.

Proof of Concept:

"Selanjutnya segera lakukan update pada Distro Linux yang digunakan."

Sumber: https://www.qualys.com/2022/01/25/cve-2021-4034/pwnkit.txt

Kepala Diskominfo, Kota Tangerang, Mulyani mengungkapkan Kota Tangerang CSIRT merupakan tim yang dibentuk oleh Pemerintah Kota Tangerang, yang ditujukan untuk merespon berbagai permasalahan dalam bidang teknologi informasi, terutama dalam menangani masalah keamanan informasi seperti serangan atau insiden siber.

“Sebenarnya, Kota Tangerang CSIRT sudah dibentuk pada 22 Desember 2021 melalui keputusan Walikota Tangerang. Hal ini juga sesuai dengan amanat UU, untuk menangani serangan-serangan siber terhadap sistem aplikasi lembaga,” papar Mulyani, usai launching.

Ia pun menjelaskan, Kota Tangerang CSIRT dibentuk untuk melakukan tugas monitoring, menerima, meninjau dan menanggapi laporan dan aktivitas insiden keamanan siber. Tim ini dibentuk dengan tujuan melakukan penyelidikan komprehensif dan melindungi sistem atau data atas insiden keamana siber yang terjadi.

Dengan itu, Kota Tangerang CSIRT dinilai cukup penting untuk keamanan sistem aplikasi Pemkot Tangerang. Pasalnya, kata Mulyani hingga Februari ini sudah ada 74 ribu serangan yang masuk ke sistem Kota Tangerang, namun masih dapat ditangani.

“Serangan atau insiden siber yang masuk ke Kota Tangerang bisa dibilang hampir setiap hari. Dengan itu, Kota Tangerang CSIRT ini memang sangat penting dan dibutuhkan, untuk lebih menjaga keamanan yang harus dijaga Diskominfo,” kata Mulyani.

Sementara itu, Sekda Kota Tangerang, Herman Suwarman menuturkan lewat Kota Tangerang CSIRT, Pemkot Tangerang berharap dapat lebih cepat dan tepat dalam merespon insiden keamanan informasi. “Kami berharap, teman-teman di Diskomino dapat bekerjasama dengan CSIRT yang lain begitu juga dengan BSSN secara baik,” imbaunya.

Pelaksanaan Bimtek, berlangsung di Hotel Aston. Direktur Tata Kelola Aplikasi Informatika DRA. Mariam F. Barata dalam sambutannya mengatakan tujuan pelaksanaan Bimtek SPBE ini adalah untuk mewujudkan tata kelola pemerintah yang bersih, efektif, transparan, dan akuntabel, serta meningkatkan efisiensi dan keterpaduan penyelenggaraan SPBE.

Bimtek dihadiri sekitar 150 orang peserta utusan dari Kementerian Kominfo, Lembaga, BUMD Provinsi dan Kab/Kota seluruh Indonesia, di antaranya Dinas Kominfo Kota Tangerang dan menghadirkan narasumber dari Kementerian Kominfo, KemenPAN-RB dan Bappenas.

Sementara, Kepala Bidang Sarana dan Prasaran Teknologi Informatika dan Komunikasi dan Persandian Kota Tangerang Budi Hamzah Permana, SE. MM mengatakan, dengan ditetapkannya Norma, Standar, Prosedur dan Kriteria (NSPK) maka prosedur dalam menyelenggarakan urusan Pemerintahan yang diserahkan ke daerah. Diharapkan menjadi sebuah wujud tata kelola pemerintahan ke arah yang lebih baik lagi, serta meningkatkan kualitas pelayanan publik dan meningkatkan partisipasi masyarakat dalam penyelenggaran pembangunan.

SPBE merupakan sistem penyelenggaraan pemerintah yang memanfaatkan teknologi informasi dan komunikasi untuk memberikan layanan kepada pengguna SPBE.  SPBE sendiri bertujuan untuk mewujudkan tata kelola pemerintah yang bersih, efektif, transparan, dan akuntabel, serta meningkatkan efisiensi dan keterpaduan penyelenggaraan SPBE.

Budi Hamzah berharap agar para pimpinan instansi dapat bertindak sebagai penggerak utama SPBE di daerah dan instansi masing-masing dengan mengambil langkah-langkah konkrit yang berorientasi hasil. "Seluruh instansi dapat menyesuaikan program/kegiatan di bidang SPBE sehingga sejalan dengan kebijakan strategis nasional," ungkapnya.

Diketahui, Diskominfo telah meningkatkan fokus perhatian keamanan informasi, terutama pada 101 server pendukung aplikasi layanan publik Kota Tangerang. Dengan sertifikat ini, sistem keamanan informasi atau lebih dikenal dengan Information Security Management System telah diakui berstandar Nasional. 

“Sertifikat ini sebagai sebuah pengakuan standar Nasional, baik dari segi keamanan, administrasi manajemen, hingga tata kelola data center itu sendiri. Kami satu-satunya kota yang memiliki sertifikat ini di Provinsi Banten,” ungkap Kabid TIK Diskominfo, Budi Hamzah, Kamis (5/3/20).

Ia menuturkan, dengan semakin terjaganya kerahasiaan, integritas dan ketersedian informasinya, Diskominfo dinyatakan mampu mengendalikan risiko keamanan informasi seluruh data milik Pemkot Tangerang.

Sementara itu,  Bussiness Assurance Certification Training PT Intertek, Arry Kurnia, mengungkapkan manfaat ISO 27001:2013 antara lain memastikan organisasi memiliki kontrol yang memadai terkait keamanan informasi, menunjukkan tata kelola yang baik dalam penanganan dan pengamanan informasi dan adanya mekanisme untuk mengukur berhasil atau tidaknya kontrol pengamanan. 

“Semoga dengan hasil audit kami dari PT Intertek, dan mengeluarkan sertifikat ini untuk Kota Tangerang, Diskominfo bisa terus meningkatkan, memaksimalkan sehingga tahun depan bisa dipertahankan bahkan ditingkatkan standarnya,” katanya.

Content Security Policy (CSP) atau dalam Bahasa Indonesia dikenal dengan Kebijakan Keamanan Konten, adalah lapisan keamanan tambahan yang membantu mendeteksi dan mengurangi jenis serangan tertentu, seperti Cross Site Scripting (XSS), serangan injeksi data, pencurian data, perusakan situs, hingga distribusi malware.

Untuk mengaktifkan Content Security Policy (CSP), kita bisa melakukan konfigurasi pada webserver seperti Apache, Nginx, dan semisalnya. Selain webserver, kita juga bisa menentukan CSP melalui tag HTML dan pada bahasa pemrograman backend yang digunakan, seperti PHP dan sejenisnya (akan dibahas kemudian).

Adapun ilustrasi dari penerapan CSP dan pengaruhnya terhadap client dapat dilihat pada gambar berikut (Gambar 1). Pada gambar tersebut disimulasikan client mengakses website http://example.com  yang memiliki aset berupa javascript ‘file.js’ dan css‘file.css’. Lalu peretas menyisipkan script jahat berupa javascript dari website http://malicious.com bernama xss.js. Sementara webserver menerapkan CSP default-src http://www.example.com.

Maka yang akan ditampilkan pada client dan dieksekusi oleh browser hanyalah file.js dan file.css karena kedua file tersebut berasal dari server yang sama. Sedangkan file xss.js yang disisipkan oleh peretas, akan diblokir oleh browser yang membaca respon dari HTTP Header Content Security Policy karena bersumber dari website yang berbeda.

Sebelum menerapkan Content Security Policy pada server, ada beberapa istilah yang harus kita kenali dan beberapa kondisi pada website/aplikasi yang harus kita pahami. Teknologi yang digunakan pada website atau aplikasi akan mempengaruhi konfigurasi dari CSP itu sendiri. Demikian juga sebaliknya. Adapun istilah-istilah yang harus kita pahami kegunaannya pada konfigurasi CSP bisa dilihat pada tabel berikut.

Directives pada CSP berfungsi sebagai penentu kebijakan yang akan diterapkan. Contoh, kita ingin menerapkan directive script-src, maka artinya kita akan menentukan script yang bersumber dari mana saja yang akan diizinkan untuk dieksekusi. Perlu diperhatikan bahwa directive default-src wajib ada dalam konfigurasi CSP untuk menyesuaikan dengan kompatibilitas browser karena masih ada beberapa browser yang mungkin belum mendukung directive tersebut. Misal, jika browser tidak mendukung directive object src, maka kebijakan sumber konten akan ditentukan oleh directive default-src. Atau jika object-src tidak dideklarasikan pada CSP, maka konten yang terkait dengan object seperti tag HTMLdan sejenisnya, kebijakannya akan dikembalikan pada default-src. Namun perlu digarisbawahi bahwa tidak semua directive akan dikembalikan kepada default-src. Selanjutnya, directive pada CSP harus diikuti dengan source list karena di sinilah ditentukan sumber-sumber konten yang akan diizinkan.

a. Macam-macam Directive pada CSP dan Penjelasannya

b. Referensi Source List

Semua arahan yang diakhiri dengan -src mendukung nilai serupa yang dikenal sebagai source list. Beberapa nilai source list dapat dipisahkan spasi dengan pengecualian 'none' yang seharusnya menjadi satu-satunya value.

B. IMPLEMENTASI CONTENT SECURITY POLICY

1. Contoh Konfigurasi Dasar dan Sederhana

Contoh konfigurasi CSP pada Nginx.

add_header Content-Security-Policy "default-src 'self' https://cdn.bootstrap.com;\
script-src 'self' https://cdn.bootstrap.com; style-src 'self' \
https://cdn.bootstrap.com; img-src 'self';";

Contoh konfigurasi CSP pada Apache.

Header set Content-Security-Policy "default-src 'self' https://cdn.bootstrap.com;\
script-src 'self' https://cdn.bootstrap.com; style-src 'self'\
https://cdn.bootstrap.com; img-src 'self';";

Contoh konfigurasi CSP dengan <meta> tag HTML.

meta http-equiv="Content-Security-Policy" content="default-src 'self' https://cdn.bootstrap.com;; script-src 'self' https://cdn.bootstrap.com; style-src 'self' https://cdn.bootstrap.com; img-src 'self';"

Contoh konfigurasi CSP pada pemrograman PHP.

<?php
header("Content-Security-Policy: default-src 'self' https://cdn.bootstrap.com;; script-src 'self' https://cdn.bootstrap.com; style-src 'self' https://cdn.bootstrap.com; img-src 'self';");
?>

Konfigurasi di atas akan menghasilkan kebijakan konten sebagai berikut:

• default-src ‘self’ https://cdn.bootstrap.com artinya konten dan resource yang ditampilkan berupa gambar, font style, css, koneksi, media, objek hanya yang berasal dari website kita sendiri dan https://cdn.bootstrap.com.

• script-src ‘self’ https://cdn.bootstrap.com; artinya konten dan resource yang ditampilkan berupa javascript hanya yang berasal dari website kita sendiri dan https://cdn.bootstrap.com. Jika directive ini tidak dideklarasikan, maka kebijakan akan dikembalikan pada directive default-src.

• style-src ‘self’ https://cdn.bootstrap.com; artinya konten dan resource yang ditampilkan berupa CSS hanya yang berasal dari website kita sendiri dan https://cdn.bootstrap.com. Jika directive ini tidak dideklarasikan, maka kebijakan akan dikembalikan pada directive default-src.

• img-src ‘self’ artinya konten dan resource yang ditampilkan berupa gambar hanya yang berasal dari website kita sendiri. Jika directive ini tidak dideklarasikan, maka kebijakan akan dikembalikan pada directive default-src.

2. Penerapan Source dengan Skema (Scheme)

add_header Content-Security-Policy "default-src 'self' \
https://cdn.bootstrap.com; script-src 'self' https://cdn.bootstrap.com; \
style-src 'self' https://cdn.bootstrap.com; img-src 'self' data:; \
object-src 'self' blob:;";

Konfigurasi di atas akan menghasilkan kebijakan konten sebagai berikut:

• default-src ‘self’ https://cdn.bootstrap.com; artinya konten dan resource yang ditampilkan berupa gambar, font style, css, koneksi, media, objek hanya yang berasal dari website kita sendiri dan https://cdn.bootstrap.com.

• script-src ‘self’ https://cdn.bootstrap.com; artinya konten dan resource yang ditampilkan berupa javascript hanya yang berasal dari website kita sendiri dan https://cdn.bootstrap.com. Jika directive ini tidak dideklarasikan, maka kebijakan akan dikembalikan pada directive default-src.

• style-src ‘self’ https://cdn.bootstrap.com; artinya konten dan resource yang ditampilkan berupa CSS hanya yang berasal dari website kita sendiri dan https://cdn.bootstrap.com. Jika directive ini tidak dideklarasikan, maka kebijakan akan dikembalikan pada directive default-src.

• img-src ‘self’ data: artinya konten dan resource yang ditampilkan berupa gambar hanya yang berasal dari website kita sendir dan mengizinkan memuat gambar yang di-encoding dengan base64() seperti format data:image/webp;base64,/b4s364ImAgeEnc0dinG==. Jika directive ini tidak dideklarasikan, maka kebijakan akan dikembalikan pada directive default-src.

• object-src ‘self’ blob: artinya konten dan resource yang ditampilkan berupa object baik itu yang dimuat dengan frame, object, atau applet harus bersumber dari website kita sendiri dan mengizinkan tipe data object dengan bentuk blob. Seperti blob:https://website.com/123-45jhjfg-123btnbg1-345345.

3. Penerapan Hash dan Nonce

Jika ada penerapan inline script atau inline style pada website kita, kita harus menyertakan ‘unsafe-inline’ pada directive script-src atau style-src. Namun cara demikian menyebabkan kemanan website kita akan lebih rentan terhadap serangan. Sebagai alternatifnya, CSP menyediakan fitur nonce atau hash. Nonce adalah karakter acak sekali pakai berbentuk base64 yang digunakan pada tag script atau style dan nonce tersebut nantinya didaftarkan pada Rule CSP. Sedangkan hash adalah hasil hashing dari inline script tanpa menyertakan tag script atau style.

Ketika â€˜unsafe-inline’ tidak diterapkan pada CSP sedangkan website anda menggunakan inline style atau inline script, maka pada console browser akan tampil error seperti di atas. Pada console akan ditampilan nilai hash dari script yang diblokir atau saran menggunakan nonce.

Misal, website kita menerapkan inline script sebagai berikut.

// Without nonce
<\script\>
alert(‘Hello World’);
<\/script\>

Solusinya menambahkan atribut nonce pada tag script.

<\script nonce=”s0m3sTrin9rAndomEx4mplE”\>
alert(‘Hello World’);
<\/script\>

Kemudian menambahkan nonce value tersebut pada rule CSP kita.

Content-Security-Policy: "default-src 'self'; script-src 'self' \
‘nonce-s0m3sTrin9rAndomEx4mplE’;

Atau cara kedua adalah membuat hash dari script di atas. Dalam modul ini saya menggunakan fitur script and style hasher pada website https://report-uri.com/. Salin script (tanpa menyertakan tag script) lalu paste pada form yang telah disediakan kemudian klik tombol hash.

Nilai hash akan muncul dan sertakan nilai hash tersebut pada rule CSP yang akan kita buat.

Content-Security-Policy: "default-src 'self'; script-src 'self' \
'sha256-DUTqIDSUj1HagrQbSjhJtiykfXxVQ74BanobipgodCo=';

Untuk menjalankan script pada event hanlders seperti script pada atribut onclick, selain menambahkan nilai hash-nya, kita harus menambahkan ‘unsafe-hashes’ pada rule CSP. Contohnya sebagai berikut.

<\button type=”button” onclick=”jsFunction()”\>

CSP rule-nya adalah sebagai berikut.

Content-Security-Policy: "default-src 'self'; script-src 'self' 'unsafe-hashes' \
'sha256-DUTqIDSUj1HagrQbSjhJtiykfXxVQ74BanobipgodCo=';

Yang perlu diperhatikan ketika kita memilih untuk menggunakan nonce, nonce yang diterapkan haruslah bersifat dinamis, bukan statis. Nonce harus berubah setiap halaman dimuat ulang karena, jika nonce tidak berubah-ubah, peretas dapat melakukan bypass terhadap rule CSP yang kita buat. Adapun syarat-syarat lainnya sebagai berikut:

1. Nonce harus unik untuk setiap HTTP Response 

2. Nonce harus dibuat menggunakan generator acak yang aman secara kriptografis 

3. Nonce harus memiliki panjang yang cukup, bertujuan untuk setidaknya 128 bit entropi (32 karakter hex, atau sekitar 24 karakter base64). 

4. Tag skrip yang memiliki atribut nonce tidak boleh memiliki variabel tidak tepercaya/tidak lolos di dalamnya. Artinya harus terdaftar di CSP rule.

Untuk lebih lengkapnya tentang penerapan dynamic noce bisa dilihat pada link berikut.

1. Generate a nonce with Apache 2.4 (for a Content Security Policy header) - Stack Overflow

2. CSP Nonce support in Nginx

4. Penerapan Directive report-uri dan Konfigurasi URI Reporting pada Website report-uri.com

Pada CSP terdapat fitur reprot-uri dan report-to yang berfungsi untuk melaporkan pelanggaran terhadap CSP. Directive report-uri akan diikuti oleh URL di maka laporan akan dikirim oleh server jika terjadi pelanggaran. Sedangkan report-to diikuti nama grup URL pelaporan yang telah didefinisikan sebelumnya pada HTTP Header Report-To.

Penggunaan report-uri pada CSP.

Content-Security-Policy: "default-src 'self'; script-src 'self' 'unsafe-hashes' \
'sha256-DUTqIDSUj1HagrQbSjhJtiykfXxVQ74BanobipgodCo='; \
report-uri https://report.location.tld;

Penggunaan report-to pada CSP.

Report-To: {"group":"default","max_age":10886400,"endpoints":[{"url":"https://report.location.tld"}],"include_subdomains":true}

Content-Security-Policy: "default-src 'self'; script-src 'self' 'unsafe-hashes' 'sha256-DUTqIDSUj1HagrQbSjhJtiykfXxVQ74BanobipgodCo='; report-uri https://report.location.tld; report-to delfault;

Untuk mendapatkan URI Reporting, kita bisa mendaftar secara gratis pada website Report URI: Register (report-uri.com). Setelah itu, kita akan mendapatkan link verifikasi pada email kita. Klik link yang dikirimkan untuk menyelesaikan proses registrasi.

Setelah proses registrasi selesai, silakan login pada halaman berikut: Report URI: Login (report-uri.com).

Klik icon CUSTOMISE pada Dashboard kemudian website akan mengarahkan kita pada halaman setup. Pada halaman ini kita bisa melakukan kustomisasi URI Reporting dan mendapatkan Reporting API.

5. Analisa Security Header dan CSP Scanner

Kita bisa menganalisa hasil dari konfigurasi HTTP Header dan CSP kita melalui website https://securityheaders.com atau dengan extension CSP Scanner pada browser Chrome dan Edge.