Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat / Malware

Malware

Platform Telegram Disalahgunakan dalam Kampanye Malware ‘ToxicEye’

by

Peretas memanfaatkan aplikasi perpesanan Telegram yang populer dengan menyematkan kodenya di dalam trojan akses jarak jauh (RAT) yang dijuluki ToxicEye, penelitian baru telah ditemukan. Komputer korban yang terinfeksi malware ToxicEye dikendalikan melalui akun perpesanan Telegram yang dioperasikan oleh peretas.

Malware ToxicEye dapat mengambil alih sistem file, menginstal ransomware, dan membocorkan data dari PC korban, menurut peneliti di Check Point Software Technologies.

Dalam serangan yang diamati oleh Check Point, ToxicEye RAT digunakan untuk menemukan dan mencuri sandi, informasi komputer, riwayat browser, dan cookie dari perangkat orang; menghapus dan mentransfer file atau mematikan proses PC serta mengambil alih pengelola tugas PC; menyebarkan keylogger atau merekam audio dan video di sekitar korban serta mencuri konten papan klip; dan menggunakan ransomware untuk mengenkripsi dan mendekripsi file korban.

Check Point mengatakan indikasi infeksi pada PC adalah adanya file bernama “rat.exe” yang terletak di dalam direktori C: \ Users \ ToxicEye \ rat [.] Exe.

Organisasi juga harus memantau lalu lintas yang dihasilkan dari PC ke akun Telegram ketika aplikasi Telegram tidak diinstal pada sistem yang dimaksud, kata peneliti.

Peneliti mendorong kewaspadaan tinggi saat memeriksa email dengan cermat. Penerima harus selalu memeriksa baris penerima email yang tampak mencurigakan sebelum terlibat dengannya, kata Check Point. Jika tidak ada penerima bernama atau penerima tidak terdaftar atau tidak diungkapkan, ini mungkin menunjukkan bahwa email tersebut adalah pesan phishing atau berbahaya.

selengkapnya : threatpost.com

Microsoft Store, situs Spotify palsu menyebarkan malware pencuri info

by

Penyerang mempromosikan situs yang meniru Microsoft Store, Spotify, dan konverter dokumen online yang mendistribusikan malware untuk mencuri kartu kredit dan sandi yang disimpan di browser web.

Serangan itu ditemukan oleh perusahaan keamanan siber ESET yang mengeluarkan peringatan kemarin di Twitter untuk mewaspadai kampanye jahat tersebut.

Dalam percakapan dengan Jiri Kropac, Kepala ESET Lab Deteksi Ancaman, BleepingComputer mengetahui bahwa serangan tersebut dilakukan melalui iklan jahat yang mempromosikan apa yang tampak sebagai aplikasi yang sah.

Misalnya, salah satu iklan yang digunakan dalam serangan ini mempromosikan aplikasi Catur online. Namun, ketika pengguna mengklik iklan tersebut, mereka dibawa ke halaman Microsoft Store palsu untuk aplikasi catur online ‘xChess 3’ palsu, yang secara otomatis diunduh dari server Amazon AWS.

File zip yang diunduh bernama ‘xChess_v.709.zip’, yang sebenarnya adalah ‘Ficker’, atau ‘FickerStealer,’ malware pencuri informasi yang menyamar, seperti yang ditunjukkan oleh laporan Any.Run ini yang dibuat oleh BleepingComputer.

Iklan lain dari kampanye malware ini berpura-pura menjadi Spotify atau pengonversi dokumen online. Saat dikunjungi, halaman arahan mereka juga akan secara otomatis mendownload file zip yang berisi malware Ficker.

Sumber: Bleeping Computer

Selengkapnya: Bleeping Computer

Google Alerts terus menjadi sarang penipuan dan malware

by

Google Alerts terus menjadi sarang penipuan dan malware yang semakin disalahgunakan pelaku ancaman untuk mempromosikan situs web berbahaya.

Meskipun Google Alerts telah lama disalahgunakan, BleepingComputer melihat peningkatan aktivitas yang signifikan selama beberapa minggu terakhir.

Misalnya, saya menggunakan Google Alerts untuk memantau berbagai istilah yang terkait dengan serangan cyber, insiden keamanan, malware, dll. Dalam satu Google Alert tertentu, hampir setiap artikel baru yang dibagikan dengan saya hari ini oleh layanan menyebabkan situs web scam atau berbahaya, dengan dua dari mereka ditunjukkan di bawah ini.

Sumber: Bleeping Computer

Saat Anda membuka peringatan ini, alih-alih dibawa ke halaman web yang sah, Anda dialihkan melalui serangkaian situs sampai Anda mendarat di satu situs yang mempromosikan malware, situs dewasa palsu, aplikasi kencan palsu, game dewasa, giveaway dan penipuan undian, dan unwanted browser extensions.

Untuk menipu Google agar berpikir bahwa mereka adalah situs yang sah dan bukan penipuan, pelaku ancaman menggunakan teknik black hat search engine optimization (SEO) yang disebut ‘cloaking’.

Cloaking adalah ketika sebuah situs web menampilkan konten yang berbeda kepada pengunjung.

Penyelubungan ini memungkinkan situs web terlihat seperti teks biasa atau posting blog biasa saat spider mesin pencari Google mengunjungi halaman tersebut tetapi melakukan pengalihan berbahaya saat pengguna mengunjungi situs dari pengalihan Google.

Selengkapnya: Bleeping Computer

Malware QBot kembali menggantikan IcedID di kampanye malspam

by

Distributor malware memutar muatan sekali lagi, beralih di antara trojan yang sering kali merupakan tahap perantara dalam rantai infeksi yang lebih panjang.

Awal tahun ini, para peneliti mengamati kampanye email berbahaya yang menyebarkan dokumen Office yang mengirimkan trojan QBot, hanya untuk mengubah muatan setelah beberapa saat.

Pada bulan Februari, IcedID adalah malware baru yang berasal dari URL yang digunakan untuk melayani QBot. Brad Duncan dari Palo Alto Networks menangkap perubahan dan catatan dalam analisisnya pada saat itu:

“URL HTTPS yang dibuat oleh makro Excel diakhiri dengan /ds/2202.gif yang biasanya mengirimkan Qakbot, tetapi hari ini mengirimkan IcedID” – Brad Duncan

Peneliti ancaman James Quinn dari Binary Defense membuat pengamatan yang sama dalam posting blog pada bulan Maret, ketika perusahaan menemukan varian IcedID/BokBot baru saat melacak kampanye spam berbahaya dari distributor QakBot.

Peneliti malware dan reverse engineer reecDeep melihat pergantian tersebut pada hari Senin, mengatakan bahwa kampanye tersebut bergantung pada makro XLM yang diperbarui.

Sumber: Bleeping Computer

Seperti yang terlihat pada tangkapan layar di atas, file Office yang berbahaya berperan sebagai dokumen DocuSign untuk mengelabui pengguna agar mengaktifkan dukungan makro yang mengambil muatan pada sistem.

Menurut Intel 471, beberapa kelompok penjahat dunia maya mulai menggunakan layanan EtterSilent, termasuk IcedID, QakBot, Ursnif, dan Trickbot.

Selengkapnya: Bleeping Computer

Malware Linux, macOS baru disembunyikan dalam paket Browserify NPM palsu

by

Paket berbahaya baru telah terlihat minggu ini di registri npm, yang menargetkan pengembang NodeJS yang menggunakan sistem operasi Linux dan Apple macOS.

Paket jahat ini disebut “web-browserify”, dan meniru komponen npm Browserify yang populer diunduh lebih dari 160 juta kali selama masa pakainya.

web-browserify sendiri dibangun dengan menggabungkan ratusan komponen open-source yang sah, dan melakukan aktivitas pengintaian ekstensif pada sistem yang terinfeksi.

Selain itu, sampai hari ini, malware ELF yang terkandung dalam komponen tersebut tidak terdeteksi oleh semua mesin antivirus terkemuka.

Komponen tersebut terdeteksi oleh sistem deteksi malware otomatis Sonatype, Release Integrity, dan dianggap berbahaya setelah dianalisis oleh tim riset keamanan Sonatype.

“web-browserify” dibuat oleh penulis dengan nama samaran yang menggambarkan diri mereka sebagai Steve Jobs.

Paket ini terdiri dari file manifes, package.json, skrip postinstall.js, dan ELF yang dapat dieksekusi yang disebut “run” yang ada dalam arsip terkompresi, run.tar.xz di dalam komponen npm.

Segera setelah “web-browserify” diinstal oleh pengembang, skrip mengekstrak dan meluncurkan biner Linux “run” dari arsip, yang kemudian meminta root permission dari pengguna.

Run binary yang diekstrak berukuran sekitar 120 MB dan memiliki ratusan komponen npm open-source yang sah yang digabungkan di dalamnya, yang disalahgunakan untuk aktivitas berbahaya.

Selengkapnya: Bleeping Computer

Malware Joker menginfeksi lebih dari 500.000 perangkat Android Huawei

by

Lebih dari 500.000 pengguna Huawei telah mengunduh dari aplikasi toko Android resmi perusahaan yang terinfeksi malware Joker yang berlangganan layanan seluler premium.

Peneliti menemukan sepuluh aplikasi yang tampaknya tidak berbahaya di AppGallery yang berisi kode untuk menghubungkan ke server perintah dan kontrol yang berbahaya untuk menerima konfigurasi dan komponen tambahan.

Sebuah laporan dari pembuat antivirus Doctor Web mencatat bahwa aplikasi berbahaya tetap memiliki fungsionalitas yang diiklankan tetapi mengunduh komponen yang membuat pengguna berlangganan layanan seluler premium.

Menurut para peneliti, malware dapat membuat pengguna berlangganan maksimal lima layanan, meskipun pelaku ancaman dapat mengubah batasan ini kapan saja.

Daftar aplikasi berbahaya termasuk keyboard virtual, aplikasi kamera, peluncur, utusan online, koleksi stiker, program mewarnai, dan permainan.

Kebanyakan dari mereka berasal dari satu pengembang (Shanxi Kuailaipai Network Technology Co., Ltd.) dan dua dari pengembang yang berbeda. Sepuluh aplikasi ini diunduh oleh lebih dari 538.000 pengguna Huawei, kata Doctor Web.

Para peneliti mengatakan bahwa modul yang sama yang diunduh oleh aplikasi yang terinfeksi di AppGallery juga ada di aplikasi lain di Google Play, digunakan oleh versi lain dari malware Joker. Daftar lengkap IoC tersedia di sini.

Sumber: Bleeping Computer

Peretas Merusak Dengan APKPure Store untuk Mendistribusikan Aplikasi Malware

by

APKPure, salah satu toko aplikasi alternatif terbesar di luar Google Play Store, terinfeksi malware minggu ini, memungkinkan pelaku ancaman untuk mendistribusikan Trojan ke perangkat Android.

Dalam insiden yang mirip dengan yang terjadi pada produsen peralatan telekomunikasi Jerman Gigaset, aplikasi klien versi 3.17.18 dikatakan telah dirusak dalam upaya untuk mengelabui pengguna yang tidak curiga agar mengunduh dan menginstal aplikasi berbahaya yang ditautkan ke kode berbahaya yang ada di dalam APKpure aplikasi.

Perkembangan tersebut dilaporkan oleh peneliti dari Doctor Web dan Kaspersky.

“Trojan ini milik family malware Android.Triada berbahaya yang mampu mengunduh, menginstal, dan mencopot perangkat lunak tanpa izin pengguna,” kata peneliti Doctor Web.

Menurut Kaspersky, APKPure versi 3.17.18 telah di-tweak untuk memasukkan SDK iklan yang bertindak sebagai penetes Trojan yang dirancang untuk mengirimkan malware lain ke perangkat korban. “Komponen ini dapat melakukan beberapa hal: menampilkan iklan di layar kunci; membuka tab browser; mengumpulkan informasi tentang perangkat; dan, yang paling tidak menyenangkan, mengunduh malware lain,” kata Igor Golovin dari Kaspersky.

Menanggapi temuan tersebut, APKPure telah merilis versi baru dari aplikasi (versi 3.17.19) pada 9 April yang menghapus komponen berbahaya. “Memperbaiki masalah keamanan potensial, membuat APKPure lebih aman untuk digunakan,” kata pengembang di balik platform distribusi aplikasi dalam catatan rilis.

selengkapnya : thehackernews.com

Penjahat Dunia Maya Membeli Iklan Facebook untuk Aplikasi Clubhouse Palsu yang Penuh Dengan Perangkat Lunak Perusak

by

Penjahat dunia maya telah mendorong pengguna Facebook untuk mengunduh aplikasi Clubhouse “untuk PC”, sesuatu yang sebenarnya tidak ada. Aplikasi ini sebenarnya adalah trojan yang dirancang untuk menyuntikkan malware ke komputer Anda. Aplikasi obrolan khusus undangan baru yang populer hanya tersedia di iPhone tetapi minat di seluruh dunia terhadap platform tersebut telah meningkat dan pengguna berteriak-teriak untuk Android dan, mungkin, versi “PC”.

Menurut TechCrunch, kampanye jahat tersebut menggunakan iklan dan halaman Facebook untuk mengarahkan pengguna platform ke serangkaian situs web Clubhouse palsu. Situs-situs tersebut, yang dihosting di Rusia, meminta pengunjung untuk mengunduh aplikasi, yang mereka janjikan hanyalah versi terbaru dari produk tersebut: “Kami mencoba membuat pengalaman ini sehalus mungkin. Anda bisa memeriksanya sekarang! ” salah satu memproklamirkan.

Namun, setelah diunduh, aplikasi akan mulai memberi sinyal ke server perintah dan kontrol (C&C). Dalam serangan cyber, C&C biasanya adalah server yang memberi tahu malware apa yang harus dilakukan setelah menginfeksi sistem. Pengujian aplikasi melalui sandbox analisis malware VMRay tampaknya menunjukkan bahwa, dalam satu contoh, ia mencoba menginfeksi komputer dengan ransomware.

Memanfaatkan produk baru yang populer untuk menyebarkan perangkat lunak jahat adalah tindakan kriminal dunia maya yang cukup klasik — dan mengingat keunggulan Clubhouse saat ini, tidak mengherankan hal ini terjadi. Faktanya, para peneliti baru-baru ini menemukan aplikasi Clubhouse palsu yang berbeda. Lukas Stefanko dari firma keamanan ESET mengungkapkan bagaimana “versi Android” fiktif lain dari aplikasi tersebut bertindak sebagai front bagi penjahat yang ingin mencuri kredensial login pengguna dari layanan lain.

selengkapnya : gizmodo.com