Ketika Anda menginap di hotel selanjutnya, Anda mungkin ingin menggunakan palang pintu yang mati. Sebuah kelompok peneliti keamanan minggu ini mengungkapkan sebuah teknik yang menggunakan serangkaian kerentanan keamanan yang memengaruhi 3 juta kunci kamar hotel di seluruh dunia. Meskipun perusahaan sedang berusaha memperbaiki masalah ini, banyak kunci masih rentan terhadap teknik intrusi yang unik.
Apple sedang menghadapi minggu yang sulit. Selain peneliti keamanan mengungkapkan kerentanan mayor yang hampir tidak dapat diperbaiki di perangkat kerasnya (lebih lanjut tentang itu di bawah), Departemen Kehakiman Amerika Serikat dan 16 jaksa agung mengajukan gugatan antitrust terhadap raksasa teknologi tersebut, dengan tuduhan bahwa praktiknya terkait bisnis iPhone-nya adalah anti kompetitif secara ilegal. Bagian dari gugatan tersebut menyoroti apa yang disebut Apple sebagai “pelukan” yang elastis terhadap keputusan privasi dan keamanan—terutama enkripsi ujung ke ujung iMessage, yang Apple menolak untuk membuat tersedia untuk pengguna Android.
Berbicara tentang privasi, perubahan terbaru pada pemberitahuan pop-up cookie mengungkapkan jumlah perusahaan yang setiap situs web bagikan data Anda. Analisis WIRED terhadap 10.000 situs web paling populer menemukan bahwa beberapa situs membagikan data dengan lebih dari 1.500 pihak ketiga. Sementara itu, situs ulasan pengusaha Glassdoor, yang telah lama memungkinkan orang untuk memberikan komentar tentang perusahaan secara anonim, telah mulai mendorong orang untuk menggunakan nama asli mereka.
Dan itu belum semuanya. Setiap minggu, kami merangkum berita keamanan dan privasi yang tidak kami bahas secara mendalam sendiri. Klik judul untuk membaca cerita lengkap. Dan tetap aman di luar sana.
Seri chip M Apple mengandung kelemahan yang dapat memungkinkan penyerang untuk menipu prosesor agar mengungkapkan kunci enkripsi ujung ke ujung rahasia pada Mac, menurut penelitian baru. Eksploit yang dikembangkan oleh tim peneliti, yang dinamai GoFetch, memanfaatkan prefetcher data bergantung memori dari chip-seri M, atau DMP. Data yang disimpan dalam memori komputer memiliki alamat, dan DMP mengoptimalkan operasi komputer dengan memprediksi alamat data yang kemungkinan akan diakses selanjutnya. DMP kemudian menempatkan “penunjuk” yang digunakan untuk menemukan alamat data dalam cache memori mesin. Cache ini dapat diakses oleh penyerang dalam apa yang dikenal sebagai serangan saluran samping. Kelemahan dalam DMP membuat mungkin untuk menipu DMP agar menambahkan data ke cache, yang berpotensi mengungkapkan kunci enkripsi.
Kelemahan, yang hadir dalam chip M1, M2, dan M3 Apple, pada dasarnya tidak dapat diperbaiki karena hadir dalam silikon itu sendiri. Ada teknik mitigasi yang pengembang kriptografi dapat ciptakan untuk mengurangi efektivitas eksploitasi, tetapi seperti yang ditulis Kim Zetter di Zero Day, “intinya bagi pengguna adalah bahwa tidak ada yang bisa Anda lakukan untuk mengatasi ini.”
Dalam surat yang dikirim kepada gubernur di seluruh AS minggu ini, pejabat di Badan Perlindungan Lingkungan dan Gedung Putih memperingatkan bahwa peretas dari Iran dan Tiongkok dapat menyerang “sistem air dan air limbah di seluruh Amerika Serikat.” Surat tersebut, yang dikirim oleh administrator EPA Michael Regan dan penasihat keamanan nasional Gedung Putih Jake Sullivan, mengatakan bahwa peretas yang terkait dengan Garda Revolusioner Islam Iran dan kelompok peretas yang didukung negara Tiongkok yang dikenal sebagai Volt Typhoon sudah menyerang sistem air minum dan infrastruktur kritis lainnya. Serangan masa depan, demikian surat tersebut, “memiliki potensi untuk mengganggu jalur kehidupan kritis air minum bersih dan aman, serta memberlakukan biaya signifikan pada masyarakat yang terkena dampak.”
Ada versi baru dari malware penghapus yang tampaknya telah digunakan oleh peretas Rusia dalam serangan terhadap beberapa penyedia layanan internet dan seluler Ukraina. Dikategorikan sebagai AcidPour oleh peneliti dari perusahaan keamanan SentinelOne, malware ini kemungkinan adalah versi yang diperbarui dari malware AcidRain yang melumpuhkan sistem satelit Viasat pada Februari 2022, dengan dampak besar pada komunikasi militer Ukraina. Menurut analisis SentinelOne tentang AcidPour, malware ini memiliki “kemampuan yang diperluas” yang dapat memungkinkannya untuk “lebih baik menonaktifkan perangkat terbenam termasuk jaringan, IoT, penyimpanan besar (RAID), dan mungkin perangkat ICS yang menjalankan distribusi Linux x86.” Para peneliti memberitahu CyberScoop bahwa AcidPour mungkin digunakan untuk melancarkan serangan yang lebih luas.
Volt Typhoon bukanlah satu-satunya kelompok peretas yang terkait Tiongkok yang menyebabkan kerusakan luas. Peneliti dari perusahaan keamanan TrendMicro mengungkapkan kampanye peretasan oleh kelompok yang dikenal sebagai Earth Krahang yang telah menargetkan 116 organisasi di 48 negara. Dari 116 organisasi tersebut, Earth Krahang telah berhasil meretas 70 organisasi, termasuk 48 entitas pemerintah. Menurut TrendMicro, para peretas mendapatkan akses melalui server yang rentan di internet atau melalui serangan spear-phishing. Mereka kemudian menggunakan akses ke sistem yang ditargetkan untuk melakukan spionase dan merebut infrastruktur korban untuk melancarkan serangan lebih lanjut. Trend Micro, yang telah memantau Earth Krahang sejak awal 2022, juga mengatakan bahwa mereka menemukan “hubungan potensial” antara kelompok tersebut dan I-Soon, sebuah firma peretasan Tiongkok yang baru-baru ini terungkap melalui bocoran misterius dokumen internal.