Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Browser / Chrome

Chrome

Google, Microsoft Bisa Mendapatkan Kata Sandi Anda Melalui Periksa Ejaan Browser Web

by Leave a Comment

Fitur pemeriksa ejaan yang diperluas di browser web Google Chrome dan Microsoft Edge mengirimkan data formulir, termasuk informasi pengenal pribadi (PII) dan dalam beberapa kasus, kata sandi, masing-masing ke Google dan Microsoft.

Meskipun ini mungkin merupakan fitur yang diketahui dan dimaksudkan dari browser web ini, hal ini menimbulkan kekhawatiran tentang apa yang terjadi pada data setelah transmisi dan seberapa aman praktiknya, terutama jika menyangkut bidang kata sandi.

Baik Chrome dan Edge dikirimkan dengan pemeriksa ejaan dasar yang diaktifkan. Namun, fitur seperti Chrome’s Enhanced Spellcheck atau Microsoft Editor saat diaktifkan secara manual oleh pengguna, menunjukkan potensi risiko privasi ini.

Pembajakan ejaan: Itu pemeriksaan ejaan Anda mengirim PII ke Big Tech

Saat menggunakan browser web utama seperti Chrome dan Edge, data formulir Anda ditransmisikan ke Google dan Microsoft, masing-masing, jika fitur pemeriksa ejaan yang disempurnakan diaktifkan.

Bergantung pada situs web yang Anda kunjungi, data formulir itu sendiri dapat mencakup PII—termasuk namun tidak terbatas pada Nomor Jaminan Sosial (SSN)/Nomor Asuransi Sosial (SIN), nama, alamat, email, tanggal lahir (DOB), informasi kontak, informasi bank dan pembayaran, dan sebagainya.

Josh Summitt, salah satu pendiri & CTO perusahaan keamanan JavaScript otto-js menemukan masalah ini saat menguji deteksi perilaku skrip perusahaannya.

Jika Chrome Enhanced Spellcheck atau Edge’s Microsoft Editor (pemeriksa ejaan) diaktifkan, “pada dasarnya apa pun” yang dimasukkan dalam bidang formulir browser ini dikirim ke Google dan Microsoft.

“Selanjutnya, jika Anda mengklik ‘tampilkan kata sandi’, pemeriksa ejaan yang disempurnakan bahkan mengirimkan kata sandi Anda, pada dasarnya Membajak Eja data Anda,” jelas otto-js dalam sebuah posting blog.

“Beberapa situs web terbesar di dunia memiliki paparan untuk mengirimkan PII pengguna sensitif Google dan Microsoft, termasuk nama pengguna, email, dan kata sandi, saat pengguna masuk atau mengisi formulir. Kekhawatiran yang lebih signifikan bagi perusahaan adalah paparan yang disajikan untuk kredensial perusahaan perusahaan ke aset internal seperti database dan infrastruktur cloud.”

Pengguna mungkin sering mengandalkan opsi “tampilkan kata sandi” di situs tempat menyalin-menempelkan kata sandi tidak diperbolehkan, misalnya, atau ketika mereka menduga mereka salah ketik.

Untuk mendemonstrasikan, otto-js membagikan contoh pengguna yang memasukkan kredensial pada platform Cloud Alibaba di browser web Chrome—meskipun situs web apa pun dapat digunakan untuk demonstrasi ini.

Dengan mengaktifkan pemeriksaan ejaan yang disempurnakan, dan dengan asumsi pengguna mengetuk fitur “tampilkan kata sandi”, bidang formulir termasuk nama pengguna dan kata sandi dikirimkan ke Google di googleapis.com.

Sebuah demonstrasi video juga telah dibagikan oleh perusahaan:

BleepingComputer juga mengamati kredensial yang dikirimkan ke Google dalam pengujian kami menggunakan Chrome untuk mengunjungi situs-situs utama seperti:

CNN—nama pengguna dan kata sandi saat menggunakan ‘tampilkan kata sandi’
Facebook.com—nama pengguna dan kata sandi saat menggunakan ‘tampilkan kata sandi’
SSA.gov (Login Jaminan Sosial)—hanya kolom nama pengguna
Bank of America—hanya kolom nama pengguna
Verizon—bidang nama pengguna saja
Solusi HTML sederhana: ‘spellcheck=false’
Meskipun transmisi bidang formulir terjadi dengan aman melalui HTTPS, mungkin tidak segera jelas tentang apa yang terjadi pada data pengguna setelah mencapai pihak ketiga, dalam contoh ini, server Google.

“Fitur pemeriksaan ejaan yang disempurnakan memerlukan keikutsertaan dari pengguna,” juru bicara Google mengonfirmasi kepada BleepingComputer. Perhatikan, bahwa ini berbeda dengan pemeriksa ejaan dasar yang diaktifkan di Chrome secara default dan tidak mengirimkan data ke Google.

Untuk meninjau apakah Enhanced spell check diaktifkan di browser Chrome Anda, salin-tempel tautan berikut di bilah alamat Anda. Anda kemudian dapat memilih untuk mengaktifkan atau menonaktifkannya:

Seperti yang terlihat dari tangkapan layar, deskripsi fitur secara eksplisit menyatakan bahwa dengan Enhanced spell check diaktifkan, “teks yang Anda ketik di browser dikirim ke Google.”

“Teks yang diketik oleh pengguna mungkin merupakan informasi pribadi yang sensitif dan Google tidak melampirkannya ke identitas pengguna mana pun dan hanya memprosesnya di server untuk sementara. Untuk lebih memastikan privasi pengguna, kami akan berupaya untuk mengecualikan sandi secara proaktif dari pemeriksaan ejaan,” lanjut Google dalam pernyataannya yang dibagikan kepada kami.

“Kami menghargai kolaborasi dengan komunitas keamanan, dan kami selalu mencari cara untuk melindungi privasi pengguna dan informasi sensitif dengan lebih baik.”

Adapun Edge, Microsoft Editor Spelling & Grammar Checker adalah addon browser yang perlu diinstal secara eksplisit agar perilaku ini terjadi.

BleepingComputer menghubungi Microsoft jauh sebelumnya sebelum dipublikasikan. Kami diberitahu bahwa masalah ini sedang diselidiki tetapi kami belum mendengar kabar.

otto-js menjuluki vektor serangan “Spell-jacking” dan menyatakan keprihatinan bagi pengguna layanan cloud seperti Office 365, Alibaba Cloud, Google Cloud – Secret Manager, Amazon AWS – Secrets Manager, dan LastPass.

Bereaksi terhadap laporan otto-js, baik AWS dan LastPass mengurangi masalah tersebut. Dalam kasus LastPass, perbaikan dicapai dengan menambahkan atribut HTML sederhana spellcheck=”false” ke bidang kata sandi:

Atribut HTML ‘pemeriksaan ejaan’ ketika ditinggalkan dari bidang input teks formulir biasanya dianggap benar oleh browser web secara default. Bidang masukan dengan ‘pemeriksaan ejaan’ yang secara eksplisit disetel ke false tidak akan diproses melalui pemeriksa ejaan peramban web.

“Perusahaan dapat mengurangi risiko berbagi PII pelanggan mereka – dengan menambahkan ‘periksa ejaan = salah’ ke semua bidang input, meskipun ini dapat menimbulkan masalah bagi pengguna,” jelas otto-js merujuk pada fakta, pengguna sekarang tidak akan dapat lagi untuk menjalankan teks yang mereka masukkan melalui pemeriksa ejaan.

“Atau, Anda dapat menambahkannya hanya ke bidang formulir dengan data sensitif. Perusahaan juga dapat menghapus kemampuan ‘menampilkan kata sandi’. Itu tidak akan mencegah pembajakan ejaan, tetapi itu akan mencegah kata sandi pengguna dikirim.”

Cukup ironis, kami mengamati formulir login Twitter, yang dilengkapi dengan opsi “tampilkan kata sandi”, memiliki atribut HTML “pemeriksaan ejaan” bidang kata sandi yang secara eksplisit disetel ke true:

Sebagai perlindungan tambahan, pengguna Chrome dan Edge dapat mematikan Enhanced Spell Check (dengan mengikuti langkah-langkah yang disebutkan di atas) atau menghapus add-on Microsoft Editor dari Edge hingga kedua perusahaan merevisi pemeriksa ejaan yang diperluas untuk mengecualikan pemrosesan bidang sensitif, seperti kata sandi.

Sumber:

Chrome untuk Android Mendapatkan Tab Penyamaran yang Dilindungi Sidik Jari

by

Inilah fitur baru yang menyenangkan untuk Chrome untuk Android: tab penyamaran yang dilindungi sidik jari. 9to5Google menemukan fitur di saluran stabil Chrome 105, meskipun Anda harus menggali jauh ke dalam pengaturan untuk mengaktifkannya saat ini.

Jika Anda ingin menambahkan sedikit lebih banyak perlindungan ke sesi penjelajahan pribadi Anda, ketik “chrome://flags/#incognito-reauthentication-for-android” ke dalam bilah alamat dan tekan enter. Setelah mengaktifkan bendera dan memulai ulang Chrome, Anda akan melihat opsi untuk “Mengunci tab Penyamaran saat Anda meninggalkan Chrome”. Jika Anda meninggalkan sesi Penyamaran dan kembali, layar “buka kunci Penyamaran” akan muncul alih-alih tab Anda, dan Anda akan diminta untuk memindai sidik jari.

Chrome di iOS telah memiliki fitur Penyamaran yang didukung biometrik, yang disebut “Layar Privasi,” selama beberapa tahun. Ini adalah yang pertama untuk Android. Menu “bendera” Chrome secara teknis untuk eksperimen dan fitur dalam pengembangan, jadi ini tidak dijamin menjadi fitur pengguna yang mudah diakses, tetapi membuatnya ke saluran stabil—ditambah fitur yang sudah ada di iOS—adalah pertanda baik.

Sumber: ArsTechnica

Ekstensi Chrome dengan 1,4 juta pemasangan mencuri data penjelajahan

by

Analis ancaman di McAfee menemukan lima ekstensi Google Chrome yang mencuri aktivitas penelusuran pengguna yang telah diunduh lebih dari 1,4 juta kali.

Tujuan dari ekstensi jahat adalah untuk memantau saat pengguna mengunjungi situs web e-niaga dan untuk mengubah cookie pengunjung agar tampak seolah-olah mereka datang melalui tautan perujuk. Untuk ini, penulis ekstensi mendapatkan biaya afiliasi untuk setiap pembelian di toko elektronik.

Lima ekstensi berbahaya yang ditemukan oleh peneliti McAfee adalah sebagai berikut:

  • Netflix Party (mmnbenehknklpbendgmgneaignppnbe) – 800.000 unduhan
  • Netflix Party 2 (flijfnhifgdcbhglkneplegafminjnhn) – 300.000 unduhan
  • Full Page Screenshot Capture – Screenshotting (pojgkmkfincpdkdgjepkmdekcahmckjp) – 200.000 unduhan
  • FlipShope – Price Tracker Extension (adikhbfjdbjkhelbdnffogkobkekkkej) – 80.000 unduhan
  • AutoBuy Flash Sales (gbnahglfafmhaehbdmjedfhdmimjcbed) – 20.000 unduhan
Empat dari ekstensi berbahaya (McAfee)

Kelima ekstensi yang ditemukan oleh McAfee memiliki perilaku yang serupa. Manifes aplikasi web (file “manifest.json”), yang menentukan bagaimana ekstensi harus berperilaku pada sistem, memuat skrip multifungsi (B0.js) yang mengirimkan data penelusuran ke domain yang dikontrol penyerang (“langhort[.] com”).

Data dikirimkan melalui permintaan POST setiap kali pengguna mengunjungi URL baru. Info yang menjangkau penipu termasuk URL dalam bentuk base64, ID pengguna, lokasi perangkat (negara, kota, kode pos), dan URL rujukan yang disandikan.

Jika situs web yang dikunjungi cocok dengan entri apa pun pada daftar situs web yang pembuat ekstensinya memiliki afiliasi aktif, server akan merespons B0.js dengan salah satu dari dua kemungkinan fungsi.

Yang pertama, “Result[‘c’] – passf_url “, memerintahkan skrip untuk memasukkan URL yang disediakan (tautan rujukan) sebagai iframe di situs web yang dikunjungi.

Yang kedua, “Result[‘e’] setCookie”, memerintahkan B0.js untuk memodifikasi cookie atau menggantinya dengan cookie yang disediakan jika ekstensi telah diberikan izin terkait untuk melakukan tindakan ini.

Untuk menghindari deteksi, analisis, dan untuk membingungkan peneliti atau pengguna yang waspada, beberapa ekstensi menampilkan penundaan 15 hari sejak pemasangannya sebelum mulai mengirimkan aktivitas browser.

Pada saat penulisan ini, “Full Page Screenshot Capture – Screenshotting” dan “FlipShope – Price Tracker Extension” masih tersedia di Toko Web Chrome.

Kedua ekstensi Netflix Party telah dihapus dari toko, tetapi ini tidak menghapusnya dari browser web, jadi pengguna harus mengambil tindakan manual untuk mencopot pemasangannya.

Sumber: Bleeping Computer

Google menambal kekurangan Chrome zero-day baru yang dieksploitasi dalam serangan

by

Google telah merilis Chrome 103.0.5060.114 untuk pengguna Windows untuk mengatasi kerentanan zero-day dengan tingkat keparahan tinggi yang dieksploitasi oleh penyerang di alam liar, yang merupakan Chrome zero-day keempat yang ditambal pada tahun 2022.

Versi 103.0.5060.114 diluncurkan di seluruh dunia dan akan tersedia dalam hitungan hari atau minggu untuk mencapai seluruh basis pengguna.

Web browser juga akan memeriksa pembaruan baru secara otomatis dan menginstalnya secara otomatis setelah peluncuran berikutnya.

Bug zero-day yang diperbaiki hari ini (dilacak sebagai CVE-2022-2294) adalah kelemahan buffer overflow berbasis heap dengan tingkat keparahan tinggi di komponen WebRTC (Web Real-Time Communications), dilaporkan oleh Jan Vojtesek dari tim Avast Threat Intelligence pada hari Jumat , 1 Juli.

Dampak dari eksploitasi heap overflow yang berhasil dapat berkisar dari crash program dan eksekusi kode arbitrer hingga melewati solusi keamanan jika eksekusi kode tercapai selama serangan.

Meskipun Google mengatakan kerentanan zero-day ini dieksploitasi di alam liar, perusahaan belum membagikan detail teknis atau info apa pun mengenai insiden ini.

Dengan penundaan rilis info lebih lanjut tentang serangan ini, pengguna Chrome seharusnya memiliki cukup waktu untuk memperbarui dan mencegah upaya eksploitasi hingga Google memberikan detail tambahan.

Ini merupakan zero-day Chrome keempat yang diperbaiki sejak awal tahun. Tiga kerentanan zero-day sebelumnya yang ditemukan dan ditambal pada tahun 2022 adalah:

  • CVE-2022-1364 – 14 April
  • CVE-2022-1096 – 25 Maret
  • CVE-2022-0609 – 14 Februari

Yang diperbaiki pada bulan Februari, CVE-2022-0609, dieksploitasi oleh peretas negara yang didukung Korea Utara beberapa minggu sebelum patch Februari, menurut Google Threat Analysis Group (TAG). Tanda-tanda awal eksploitasi di alam liar ditemukan pada 4 Januari 2022.

Itu disalahgunakan oleh dua kelompok ancaman yang disponsori Korea Utara dalam kampanye yang mendorong malware melalui email phishing menggunakan umpan pekerjaan palsu dan situs web yang disusupi yang menghosting iframe tersembunyi untuk menyajikan kit eksploitasi.

Karena patch zero-day hari ini diketahui telah digunakan oleh penyerang di alam liar, sangat disarankan untuk menginstal pembaruan Google Chrome hari ini sesegera mungkin.

Sumber: Bleeping Computer

Ekstensi Google Chrome dapat mengambil fingerprint untuk melacak Anda secara online

by

Seorang peneliti telah membuat situs web yang menggunakan ekstensi Google Chrome yang Anda pasang untuk menghasilkan sidik jari perangkat Anda yang dapat digunakan untuk melacak Anda secara online.

Untuk melacak pengguna di web, dimungkinkan untuk membuat sidik jari, atau melacak hash, berdasarkan berbagai karakteristik perangkat yang terhubung ke situs web. Karakteristik ini mencakup kinerja GPU, aplikasi Windows yang diinstal, resolusi layar perangkat, konfigurasi perangkat keras, dan bahkan font yang diinstal.

Kemudian dimungkinkan untuk melacak perangkat di seluruh situs menggunakan metode sidik jari yang sama.

Kemarin, pengembang web ‘z0ccc’ membagikan situs sidik jari baru yang disebut ‘Sidik Jari Ekstensi’ yang dapat menghasilkan hash pelacakan berdasarkan ekstensi Google Chrome yang dipasang di browser.

Saat membuat ekstensi browser Chrome, Anda dapat mendeklarasikan aset tertentu sebagai ‘sumber daya yang dapat diakses web’ yang dapat diakses oleh halaman web atau ekstensi lainnya.

Sumber daya ini biasanya berupa file gambar, yang dideklarasikan menggunakan properti ‘web_accessible_resources’ dalam file manifes ekstensi browser.

Seperti yang diungkapkan sebelumnya pada tahun 2019, dimungkinkan untuk menggunakan sumber daya yang dapat diakses melalui web untuk memeriksa ekstensi yang diinstal dan menghasilkan sidik jari browser pengunjung berdasarkan kombinasi ekstensi yang ditemukan.

Untuk mencegah deteksi, z0ccc mengatakan bahwa beberapa ekstensi menggunakan token rahasia yang diperlukan untuk mengakses sumber daya web. Namun, peneliti menemukan metode ‘Perbandingan waktu sumber daya’ yang masih dapat digunakan untuk mendeteksi jika ekstensi dipasang.

Untuk mengilustrasikan metode sidik jari ini, z0ccc membuat situs web Extension Fingerprints yang akan memeriksa keberadaan sumber daya yang dapat diakses web di 1.170 ekstensi populer yang tersedia di Google Chrome Web Store di browser pengunjung.

Beberapa ekstensi yang akan diidentifikasi oleh situs web adalah uBlock, LastPass, Adobe Acrobat, Honey, Grammarly, Rakuten, dan ColorZilla.

Berdasarkan kombinasi ekstensi yang diinstal, situs web akan menghasilkan hash pelacakan yang dapat digunakan untuk melacak browser tertentu, seperti yang ditunjukkan di bawah ini.

Menghasilkan Sidik Jari Ekstensi
Sumber: BleepingComputer

Beberapa ekstensi populer, seperti MetaMask, tidak mengekspos sumber daya apa pun, tetapi z0ccc masih dapat mengidentifikasi apakah ekstensi tersebut diinstal dengan memeriksa apakah “typeof window.ethereum sama dengan undefined.”

Sementara mereka yang tidak memasang ekstensi akan memiliki sidik jari yang sama dan kurang berguna untuk pelacakan, mereka yang memiliki banyak ekstensi akan memiliki sidik jari yang kurang umum yang dapat digunakan untuk melacaknya di web.

Namun, menambahkan karakteristik lain ke model sidik jari dapat lebih menyempurnakan sidik jari, menjadikan hash unik per pengguna.

Situs Sidik Jari Ekstensi hanya berfungsi dengan browser Chromium yang memasang ekstensi dari Toko Web Chrome. Meskipun metode ini akan bekerja dengan Microsoft Edge, metode ini perlu dimodifikasi untuk menggunakan ID ekstensi dari toko ekstensi Microsoft.

Metode ini tidak berfungsi dengan add-on Mozilla Firefox karena ID ekstensi Firefox unik untuk setiap instance browser.

Sementara z0ccc tidak mengumpulkan data apa pun mengenai ekstensi yang diinstal, pengujiannya sendiri menunjukkan bahwa uBlock yang diinstal adalah sidik jari ekstensi yang paling umum.

Dalam pengujian kami, memasang tiga hingga empat ekstensi membawa persentase pengguna yang menggunakan ekstensi yang sama serendah 0,006%. Jelas, semakin banyak ekstensi yang dipasang, semakin sedikit orang yang memasang kombinasi yang sama.

z0ccc mengatakan persentase 0,006% menunjukkan bahwa Anda adalah satu-satunya pengguna dengan kombinasi ekstensi itu, tetapi ini akan berubah seiring semakin banyak orang mengunjungi situs tersebut.

Sidik Jari Ekstensi telah dirilis sebagai proyek React sumber terbuka di GitHub, memungkinkan siapa saja untuk melihat cara menanyakan keberadaan ekstensi yang diinstal.

Pembaruan 19/06/22: Mengklarifikasi bahwa z0ccc tidak menemukan metode untuk mendeteksi ekstensi yang diinstal melainkan metode perbandingan waktu.

Sumber: Bleeping Computer

Malware Emotet sekarang mencuri kartu kredit dari pengguna Google Chrome

by

Botnet Emotet sekarang mencoba menginfeksi calon korban dengan modul pencuri kartu kredit yang dirancang untuk mengumpulkan informasi kartu kredit yang disimpan di profil pengguna Google Chrome.

Setelah mencuri info kartu kredit (yaitu, nama, bulan dan tahun kedaluwarsa, nomor kartu), malware akan mengirimkannya ke server command-and-control (C2) yang berbeda dari yang digunakan modul pencuri kartu Emotet.

Perubahan perilaku ini terjadi setelah peningkatan aktivitas selama bulan April dan peralihan ke modul 64-bit, seperti yang terlihat oleh kelompok riset keamanan Cryptolaemus.

Satu minggu kemudian, Emotet mulai menggunakan file pintasan Windows (.LNK) untuk menjalankan perintah PowerShell untuk menginfeksi perangkat korban, menjauh dari makro Microsoft Office yang sekarang dinonaktifkan secara default mulai awal April 2022.

Gambar: Proofpoint

Malware Emotet dikembangkan dan disebarkan dalam serangan sebagai trojan perbankan pada tahun 2014. Malware Emotet telah berkembang menjadi botnet yang digunakan kelompok ancaman TA542 (alias Mummy Spider) untuk mengirimkan muatan tahap kedua.

Ini juga memungkinkan operatornya untuk mencuri data pengguna, melakukan pengintaian pada jaringan yang dilanggar, dan bergerak secara lateral ke perangkat yang rentan.

Emotet dikenal karena menjatuhkan muatan trojan malware Qbot dan Trickbot pada komputer korban yang disusupi, yang digunakan untuk menyebarkan malware tambahan, termasuk suar Cobalt Strike dan ransomware seperti Ryuk dan Conti.

Pada awal tahun 2021, infrastruktur Emotet diturunkan dalam tindakan penegakan hukum internasional yang juga berujung pada penangkapan dua orang.

Penegakan hukum Jerman menggunakan infrastruktur Emotet sendiri untuk melawan botnet, mengirimkan modul yang menghapus malware dari perangkat yang terinfeksi pada 25 April 2021.

Botnet kembali pada November 2021 menggunakan infrastruktur TrickBot yang sudah ada ketika grup riset Emotet Cryptolaemus, perusahaan keamanan komputer GData, dan perusahaan keamanan siber Advanced Intel semuanya mendeteksi malware TrickBot yang digunakan untuk mendorong pemuat Emotet.

Sumber: Bleeping Computer

Pakar Merincikan Kerentanan RCE Baru yang Mempengaruhi Google Chrome Developer Channel

by

Detail telah muncul tentang kerentanan eksekusi kode jarak jauh kritis yang baru-baru ini ditambal di JavaScript V8 dan mesin WebAssembly yang digunakan di Google Chrome dan browser berbasis Chromium.

Masalah ini berkaitan dengan kasus penggunaan-setelah-bebas dalam komponen pengoptimalan instruksi, eksploitasi yang berhasil dapat “memungkinkan penyerang untuk mengeksekusi kode arbitrer dalam konteks browser.”

Cacat, yang diidentifikasi dalam versi saluran Dev Chrome 101, dilaporkan ke Google oleh Weibo Wang, seorang peneliti keamanan di perusahaan keamanan siber Singapura Numen Cyber Technology dan sejak itu telah diperbaiki secara diam-diam oleh perusahaan.

“Kerentanan ini terjadi pada tahap pemilihan instruksi, di mana instruksi yang salah telah dipilih dan mengakibatkan pengecualian akses memori,” kata Wang.

Cacat penggunaan-setelah-bebas terjadi ketika memori yang sebelumnya dibebaskan diakses, menyebabkan perilaku tidak terdefinisi dan menyebabkan program macet, menggunakan data yang rusak, atau bahkan mencapai eksekusi kode arbitrer.

Yang lebih memprihatinkan adalah bahwa kelemahan tersebut dapat dieksploitasi dari jarak jauh melalui situs web yang dirancang khusus untuk melewati batasan keamanan dan menjalankan kode arbitrer untuk mengkompromikan sistem yang ditargetkan.

“Kerentanan ini dapat dieksploitasi lebih lanjut dengan menggunakan teknik penyemprotan heap, dan kemudian mengarah pada kerentanan ‘kebingungan tipe’,” jelas Wang. “Kerentanan memungkinkan penyerang untuk mengontrol pointer fungsi atau menulis kode ke lokasi arbitrer di memori, dan akhirnya mengarah pada eksekusi kode.”

Selengkapnya: The Hacker News

Lonjakan malware ChromeLoader baru mengancam browser di seluruh dunia

by

Malware ChromeLoader mengalami peningkatan deteksi bulan ini, mengikuti volume yang relatif stabil sejak awal tahun, menyebabkan pembajakan browser menjadi ancaman yang meluas.

ChromeLoader adalah pembajak peramban yang dapat mengubah setelan peramban web korban untuk menampilkan hasil penelusuran yang mempromosikan perangkat lunak yang tidak diinginkan, hadiah dan survei palsu, serta permainan dewasa dan situs kencan.

Ada banyak pembajak semacam ini, tetapi ChromeLoader menonjol karena kegigihan, volume, dan rute infeksinya, yang melibatkan penggunaan PowerShell secara agresif.

Menurut peneliti Red Canary, yang telah mengikuti aktivitas ChromeLoader sejak Februari tahun ini, operator pembajak menggunakan file arsip ISO berbahaya untuk menginfeksi korbannya.

ISO menyamar sebagai executable crack untuk game atau perangkat lunak komersial, sehingga korban kemungkinan mengunduhnya sendiri dari torrent atau situs berbahaya.

Para peneliti juga memperhatikan posting Twitter yang mempromosikan game Android yang retak dan menawarkan kode QR yang mengarah ke situs hosting malware.

Ketika seseorang mengklik dua kali pada file ISO di Windows 10 atau lebih baru, file ISO akan dipasang sebagai drive CD-ROM virtual. File ISO ini berisi executable yang berpura-pura menjadi game crack atau keygen, menggunakan nama seperti “CS_Installer.exe.”

Isi file ISO (Red Canary)

Terakhir, ChromeLoader mengeksekusi dan mendekode perintah PowerShell yang mengambil arsip dari sumber daya jarak jauh dan memuatnya sebagai ekstensi Google Chrome.

Setelah ini selesai, PowerShell akan menghapus tugas terjadwal yang membuat Chrome terinfeksi dengan ekstensi yang disuntikkan secara diam-diam yang membajak browser dan memanipulasi hasil mesin telusur.

PowerShell yang digunakan untuk melawan Chrome di Windows
(Kenari Merah)

Operator ChromeLoader juga menargetkan sistem macOS, yang ingin memanipulasi browser web Chrome dan Safari Apple.

Rantai infeksi pada macOS serupa, tetapi alih-alih ISO, pelaku ancaman menggunakan file DMG (Apple Disk Image), format yang lebih umum pada OS tersebut.

Selain itu, alih-alih penginstal yang dapat dieksekusi, varian macOS menggunakan skrip bash penginstal yang mengunduh dan mendekompresi ekstensi ChromeLoader ke direktori “private/var/tmp”.

Skrip bash digunakan di macOS (Red Canary)

“Untuk mempertahankan kegigihan, variasi macOS ChromeLoader akan menambahkan file preferensi (`plist`) ke direktori `/Library/LaunchAgents`,” jelas laporan Red Canary.

“Ini memastikan bahwa setiap kali pengguna masuk ke sesi grafis, skrip Bash ChromeLoader dapat terus berjalan.”

Untuk petunjuk tentang memeriksa ekstensi apa yang berjalan di browser web Anda dan cara mengelola, membatasi, atau menghapusnya, lihat panduan ini untuk Chrome atau yang ini untuk Safari.

Sumber: Bleeping Computer