Category: Uncategorized

Dalam ekosistem digital modern, GitHub memegang posisi yang sangat strategis sebagai platform terbesar untuk pengembangan perangkat lunak global. Dengan ratusan juta repository aktif, GitHub bukan hanya tempat kolaborasi developer, tetapi juga fondasi dari banyak sistem teknologi dunia. Namun, laporan ThreatMon mengungkap sebuah insiden serius: source code internal GitHub dilaporkan bocor dan diperdagangkan di pasar gelap, setelah kelompok peretas mengklaim berhasil mengakses repositori internal perusahaan. GitHub sendiri telah mengonfirmasi adanya insiden keamanan tersebut, meskipun ruang lingkup dampaknya diklaim terbatas pada sistem internal. Peristiwa ini menyoroti risiko yang semakin meningkat dari software supply chain attack, di mana serangan tidak lagi menargetkan aplikasi akhir, tetapi langsung menyerang ekosistem pengembang yang menjadi fondasi seluruh industri digital. 1. Kronologi Insiden: Dari Akses Internal hingga Penjualan Data Menurut laporan ThreatMon dan sumber keamanan lainnya, insiden ini bermula ketika aktor ancaman berhasil mengkompromikan lingkungan internal GitHub melalui: Kompromi perangkat developer Penyalahgunaan akses melalui tool atau ekstensi pengembangan Eksfiltrasi data dari repositori internal Kelompok yang bertanggung jawab kemudian mengklaim telah memperoleh akses ke ribuan repository internal dan menawarkan data tersebut untuk dijual dengan harga tertentu di forum underground. GitHub mengonfirmasi bahwa insiden tersebut: Telah terdeteksi dan ditangani Sistem yang terdampak telah diisolasi Kredensial dan secret internal telah di-rotate Tidak ada bukti kompromi terhadap repository publik pelanggan 2. Apa yang Bocor? Fokus pada Internal Repositories Berbeda dengan kebocoran data pelanggan, insiden ini terutama melibatkan: Internal source code GitHub Tooling dan infrastruktur internal Konfigurasi sistem pengembangan Artefak operasional internal Walaupun tidak langsung berdampak pada repository pengguna, kebocoran ini tetap berbahaya karena: Memberikan insight terhadap arsitektur internal GitHub Membuka potensi eksploitasi zero-day Memungkinkan rekayasa serangan lanjutan terhadap developer ecosystem Menjadi bahan untuk supply chain attack berikutnya 3. Supply Chain Attack: Serangan yang Mengincar Developer Ecosystem Insiden ini merupakan contoh klasik dari software supply chain attack, yaitu serangan yang menargetkan: Developer tools (VS Code extension, CI/CD pipeline) Package manager (npm, PyPI, Maven) Source repository platform (GitHub, GitLab) Dalam kasus ini, serangan diduga menggunakan: Ekstensi pengembangan berbahaya Credential theft dari environment developer Eksfiltrasi melalui akses sah yang sudah terkompromi Jenis serangan ini sangat berbahaya karena: Satu kompromi kecil pada tool developer dapat berdampak pada ribuan aplikasi downstream. 4. Aktor Ancaman: Organized Cybercrime dengan Model Monetisasi Data ThreatMon dan laporan lain mengaitkan insiden ini dengan kelompok cybercrime yang memiliki pola operasi: Menjual data hasil curian di forum gelap Menggunakan model “leak or sell” Mengincar perusahaan teknologi besar Memanfaatkan supply chain untuk akses massal Motivasi utama bukan hanya spionase, tetapi juga: Monetisasi langsung (penjualan data) Pemerasan (extortion) Reputational damage terhadap target 5. Dampak Strategis bagi Ekosistem Developer Global Meskipun GitHub menyatakan bahwa dampaknya terbatas, implikasi strategisnya sangat luas: A. Risiko kepercayaan platform GitHub adalah “single point of trust” untuk ekosistem open source global. B. Potensi eksploitasi arsitektur internal Penyerang dapat mempelajari: Struktur CI/CD internal Mekanisme deployment Sistem autentikasi internal C. Peningkatan risiko supply chain attack lanjutan Data internal dapat digunakan untuk: Menyusup ke pipeline build Menargetkan dependency populer Menyebarkan malware melalui update sah 6. Respons GitHub: Incident Containment dan Credential Rotation GitHub merespons insiden ini dengan langkah-langkah standar enterprise security: Isolasi endpoint yang terkompromi Penghapusan akses ekstensi berbahaya Rotasi credential dan secret internal Investigasi forensik mendalam Monitoring aktivitas lanjutan Langkah ini menunjukkan bahwa meskipun serangan berhasil menembus perimeter awal, sistem deteksi internal mampu membatasi dampak lebih luas. 7. Tabel Ringkasan Insiden GitHub Source Code Leak Aspek Deskripsi Dampak Risiko Lanjutan Sumber serangan Kompromi developer environment / ekstensi Akses awal ke sistem internal Supply chain compromise Data terdampak Internal repository GitHub Kebocoran arsitektur internal Eksploitasi sistem internal Aktor ancaman Cybercrime group Monetisasi data Penjualan di dark web Respons GitHub Incident response & credential rotation Mitigasi cepat Menurunkan dampak langsung Dampak utama Supply chain exposure Risiko ekosistem developer Serangan lanjutan ke OSS 8. Implikasi Lebih Luas: Era Baru Ancaman Platform Developer Insiden ini menunjukkan bahwa: Platform seperti GitHub kini menjadi target strategis Serangan tidak lagi fokus pada user, tetapi pada infrastructure provider Developer tools adalah entry point baru bagi attacker Supply chain security menjadi area kritikal cybersecurity modern Dalam konteks ini, keamanan tidak lagi hanya tentang aplikasi, tetapi tentang keamanan ekosistem pengembangan software secara keseluruhan. Kesimpulan Kebocoran source code internal GitHub menandai pergeseran penting dalam lanskap ancaman siber modern. Serangan tidak lagi sekadar mencuri data pengguna, tetapi mulai menargetkan platform inti yang menopang seluruh ekosistem digital. Dengan meningkatnya kompleksitas supply chain attack, organisasi kini harus memperkuat: Security posture pada developer tools Monitoring terhadap ekstensi dan dependency Zero trust model pada environment internal Continuous threat intelligence berbasis ekosistem Peristiwa ini menjadi pengingat bahwa bahkan platform paling aman sekalipun tetap memiliki titik lemah—dan dalam dunia digital modern, keamanan hanya sekuat rantai terlemahnya. Threatmon Indonesia merupakan bagian dari PT. iLogo Infralogy Indonesia, yang bertindak sebagai partner resmi Threatmon. Selain itu, kami juga berperan sebagai penyedia layanan (vendor) sekaligus distributor berbagai produk Infrastruktur IT dan Cybersecurity terbaik di Indonesia.

Apa Itu ChatGPT? ChatGPT adalah chatbot berbasis AI yang dikembangkan oleh OpenAI dan diluncurkan pada November 2022. ChatGPT merupakan versi dari model bahasa GPT (Generative Pre-training Transformer) yang telah disesuaikan khusus untuk membuat respon dalam percakapan. Seperti model GPT lainnya, ChatGPT menggunakan arsitektur transformer untuk memproses dan menghasilkan teks. Namun, ChatGPT telah dilatih dengan dataset besar yang berisi percakapan manusia, sehingga mampu memahami konteks dan nuansa dalam komunikasi alami. Model ini juga dilatih menggunakan metode Reinforcement Learning from Human Feedback (RLHF). Keunggulan utama ChatGPT adalah kemampuannya untuk memberikan jawaban yang relevan dan nyambung dengan konteks percakapan. ChatGPT juga bisa menangani berbagai topik dan gaya bahasa, sehingga cocok digunakan dalam chatbot, layanan pelanggan, atau penerjemahan bahasa. Terdapat juga beberapa versi lanjutan dari ChatGPT seperti ChatGPT-2 dan ChatGPT-3 yang memiliki kemampuan lebih besar dan telah dilatih dengan data yang lebih luas. Secara keseluruhan, ChatGPT adalah model bahasa yang sangat kuat dan dapat memahami serta menghasilkan respon yang mirip manusia dalam konteks percakapan, menjadikannya alat yang berguna dalam berbagai aplikasi. Bagaimana ChatGPT Digunakan untuk Analisis Malware? Pertama-tama, kami menanyakan langsung ke ChatGPT 🙂 Berikut jawaban yang diberikan: Tanya: Bagaimana kami bisa menggunakan ChatGPT untuk keperluan analisis malware dan reverse engineering? Jawaban: Selain penjelasan sebelumnya, ChatGPT juga dapat digunakan untuk: Menganalisis data dari analisis statis sederhana dan memberikan komentar logis. Misalnya dari struktur kode dan pemanggilan fungsi. Menganalisis kode macro berbahaya yang ditemukan dalam dokumen Office. Mendeobfuscate kode (membuat kode yang sulit dipahami jadi mudah dibaca). Menjelaskan tujuan dari kode yang dianalisis. Memberikan rekomendasi mitigasi atau pencegahan terhadap kerentanan yang ditemukan. Contoh Kasus: Analisis Eksekusi File Kita punya sebuah file executable yang mencurigakan. Berikut beberapa string mencurigakan yang ditemukan: exe /C ping 1.1.1.1 -n 1 -w 3000 > Nul & Del /f /q “%s” http://ssl-345345345.helpdeskbros.local/favicon.ico C:\Users\Public\Documents\CR43333.dat.exe Mozilla/5.0 http://verysuspicioussite.com ping 1.1.1.1 -n 1 -w 3000 > Nul & C:\Users\Public\Documents\CR43333.dat.exe open ineIGenu Tanya ke ChatGPT: Kami punya string yang diambil dari file yang kami curigai sebagai malware. Bisakah Anda meninjaunya dan beri komentar? Kira-kira tujuannya apa? Contoh API Calls yang Mencurigakan Berikut adalah daftar API yang juga ditemukan: GetCurrentProcessId URLDownloadToFileW InternetOpenW InternetOpenUrlW CreateProcessW GetCurrentThreadId TerminateProcess ShellExecuteW IsProcessorFeaturePresent IsDebuggerPresent QueryPerformanceCounter Tanya ke ChatGPT: Ada banyak pemanggilan API mencurigakan, kira-kira kenapa digunakan? Analisis Dokumen Berbahaya Misalnya kita punya dokumen Office dengan ekstensi “.docm” (macro enabled). Pertama kita ekstrak macro dari file tersebut. Kode Macro: Sub OpenCalculatorAndCreateFile() Dim FilePath As String Shell “calc.exe”, vbNormalFocus FilePath = CreateObject(“WScript.Shell”).SpecialFolders(“Desktop”) & “\HAHAHA.txt” Open FilePath For Output As #1 Print #1, “YOU ARE HACKED XD” Close #1 End Sub Tanya ke ChatGPT: Kami punya kode macro dari file docm yang mencurigakan. Apa tujuan kode ini? Jawaban ChatGPT: Kode ini membuka kalkulator (calc.exe), lalu membuat file teks di desktop dengan isi “YOU ARE HACKED XD”. Ini menunjukkan perilaku tidak wajar dan bisa jadi bagian dari serangan untuk menguji akses. Kasus Lanjutan: Serangan Lewat File CHM Tanya ke ChatGPT: Kami mendapati grup APT menggunakan file CHM berbahaya. File CHM ini berisi file HTM berbahaya yang menampilkan jendela umpan pengalih (decoy) dan menjalankan kode berbahaya. Kode ini menggunakan HHCtrl ActiveX dan MSHTA untuk mengeksekusi file HTM dari internet. File HTM ini menjalankan VBScript yang menggunakan WMI (Windows Management Instrumentation) untuk membuat proses baru melalui: WbemScripting.SWbemLocator untuk menghubungkan ke sistem lokal. Win32_ProcessStartup dan Win32_Process untuk konfigurasi dan menjalankan proses baru. Tanya: Berikan mitigasi secara rinci! Kesimpulan ChatGPT adalah chatbot berbasis AI dari OpenAI yang dapat memahami konteks percakapan dan memberikan respon layaknya manusia. Selain digunakan untuk layanan pelanggan dan penerjemahan, ChatGPT juga berguna dalam analisis malware dan reverse engineering. Beberapa kemampuan ChatGPT dalam analisis malware: Menganalisis hasil analisis statis dan memberi penjelasan logis Menganalisis macro berbahaya di dokumen Mendeobfuscate kode yang disamarkan Menjelaskan maksud dari sebuah kode Memberikan rekomendasi mitigasi terhadap potensi ancaman keamanan Dengan kemampuan ini, ChatGPT dapat menjadi alat bantu yang sangat bermanfaat dalam pekerjaan keamanan siber dan analisis malware. Infrastruktur IT yang kuat adalah kunci produktivitas perusahaan. Dengan threatmon indonesia, Anda bisa mendapatkan solusi IT lengkap yang sesuai dengan kebutuhan Anda. iLogo Indonesia sebagai mitra terpercaya siap mengintegrasikan semuanya agar bisnis Anda tetap berjalan lancar dan aman. Hubungi kami sekarang atau kunjungi threatmon.ilogoindonesia.com untuk informasi lebih lanjut!

Ringkasan PetitPotam Exploit Eksploitasi PetitPotam memanfaatkan kerentanan pada Active Directory Certificate Services (AD CS), khususnya pengaturan default pada layanan Web Enrollment. Penyerang bisa mengambil alih penuh Domain Controller (DC) dari Active Directory target dengan memanfaatkan kerentanan ini. Eksploitasi ini menarik perhatian geng ransomware karena memungkinkan mereka mendapatkan akses ke DC, lalu membuat Group Policy untuk menyebarkan ransomware ke seluruh jaringan internal. Bagaimana Serangan Ini Bekerja Penyerang dapat mengirim permintaan ke Domain Controller (DC) menggunakan PetitPotam untuk memaksa DC mengirim kredensial NTLM ke host yang dipilih penyerang. Kredensial NTLM dari DC ini lalu diteruskan (NTLM relay) ke halaman Web Enrollment milik AD CS. Setelah itu, penyerang bisa mendaftarkan sertifikat untuk server DC. Sertifikat ini kemudian digunakan untuk meminta Ticket Granting Ticket (TGT), yang memungkinkan penyerang mengakses seluruh domain menggunakan teknik DCsync dan Pass The Ticket. Mengapa Bisa Diserang AD CS (Active Directory Certificate Services) memiliki layanan yang secara default menerima otentikasi berbasis NTLM. Dua layanan yang dimanfaatkan dalam serangan ini: Certificate Authority Web Enrollment Certificate Enrollment Web Service Langkah-Langkah Serangan Gunakan PetitPotam untuk memicu otentikasi NTLM dari Domain Controller ke mesin attacker (contoh: Kali Linux yang menjalankan Responder atau ntlmrelayx). Gunakan ntlmrelayx untuk meneruskan kredensial NTLM dari DC ke server AD CS dengan Web Enrollment aktif. Pastikan template seperti KerberosAuthentication atau DomainControllers digunakan. Dapatkan sertifikat Base64 PKCS12 hasil dari NTLM relay. Impor sertifikat ini ke alat seperti Kekeo untuk meminta Ticket Granting Ticket (TGT). Gunakan Mimikatz untuk melakukan DCsync dan mengambil data penting seperti password hash dari akun penting (misalnya Administrator atau krbtgt). Catat NT hash dari user Administrator dan lakukan Pass The Hash. Gunakan wmiexec untuk eksekusi perintah sebagai admin di Domain Controller dan dapatkan akses shell. Jika semua langkah sukses, Anda berhasil mengambil alih akun Domain Administrator! Kesimpulan Eksploitasi ini memungkinkan eskalasi hak akses dari pengguna biasa ke Domain Administrator secara instan. Ini adalah kerentanan yang sangat kritis, dan berdasarkan riset di DarkNet, serangan ini mulai disalahgunakan secara luas oleh kelompok kriminal siber. Cara Mengurangi Risiko Serangan PetitPotam (ADV210003 – KB5005413) ✅ Blokir Traffic Keluar dari DC Batasi koneksi keluar dari Domain Controller hanya ke host tertentu seperti DC lainnya atau sistem yang sangat dipercaya. Gunakan kontrol akses jaringan yang ketat agar hanya komunikasi penting yang diizinkan. ✅ Blokir RPC [MS-EFSRPC] Gunakan RPC filters untuk memblokir UUID layanan \pipe\lsarpc dan \pipe\efsrpc: netsh.exe -f block_efsr.txt File block_efsr.txt bisa ditemukan di sini: 🔗 https://gist.github.com/whichbuffer/8c16d0a394be36bf525aca85e4dd652b ✅ Nonaktifkan Layanan yang Tidak Diperlukan Hapus layanan Web Enrollment jika tidak dibutuhkan secara bisnis. Ganti dengan API atau interface lain yang lebih aman. ✅ Batasi NTLM Masuk Atur kebijakan “Network security: Restrict NTLM: Incoming NTLM traffic” untuk membatasi otentikasi NTLM masuk. ✅ Nonaktifkan NTLM di IIS Nonaktifkan NTLM sebagai metode otentikasi di layanan Web IIS untuk AD CS. ✅ Aktifkan Perlindungan Tambahan Aktifkan Extended Protection for Authentication (EPA) dan wajibkan penggunaan TLS di layanan Web Enrollment. Pastikan akses ke layanan ini dibatasi dengan kontrol jaringan yang ketat. Pembaruan dari Microsoft Microsoft telah merilis pembaruan dan panduan resmi: ADV210003 KB5005413 Pastikan sistem Anda mengikuti rekomendasi tersebut untuk mengurangi risiko serangan. Infrastruktur IT yang kuat adalah kunci produktivitas perusahaan. Dengan threatmon indonesia, Anda bisa mendapatkan solusi IT lengkap yang sesuai dengan kebutuhan Anda. iLogo Indonesia sebagai mitra terpercaya siap mengintegrasikan semuanya agar bisnis Anda tetap berjalan lancar dan aman. Hubungi kami sekarang atau kunjungi threatmon.ilogoindonesia.com untuk informasi lebih lanjut!