Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat / Malware

Malware

Penjahat Dunia Maya Membeli Iklan Facebook untuk Aplikasi Clubhouse Palsu yang Penuh Dengan Perangkat Lunak Perusak

by

Penjahat dunia maya telah mendorong pengguna Facebook untuk mengunduh aplikasi Clubhouse “untuk PC”, sesuatu yang sebenarnya tidak ada. Aplikasi ini sebenarnya adalah trojan yang dirancang untuk menyuntikkan malware ke komputer Anda. Aplikasi obrolan khusus undangan baru yang populer hanya tersedia di iPhone tetapi minat di seluruh dunia terhadap platform tersebut telah meningkat dan pengguna berteriak-teriak untuk Android dan, mungkin, versi “PC”.

Menurut TechCrunch, kampanye jahat tersebut menggunakan iklan dan halaman Facebook untuk mengarahkan pengguna platform ke serangkaian situs web Clubhouse palsu. Situs-situs tersebut, yang dihosting di Rusia, meminta pengunjung untuk mengunduh aplikasi, yang mereka janjikan hanyalah versi terbaru dari produk tersebut: “Kami mencoba membuat pengalaman ini sehalus mungkin. Anda bisa memeriksanya sekarang! ” salah satu memproklamirkan.

Namun, setelah diunduh, aplikasi akan mulai memberi sinyal ke server perintah dan kontrol (C&C). Dalam serangan cyber, C&C biasanya adalah server yang memberi tahu malware apa yang harus dilakukan setelah menginfeksi sistem. Pengujian aplikasi melalui sandbox analisis malware VMRay tampaknya menunjukkan bahwa, dalam satu contoh, ia mencoba menginfeksi komputer dengan ransomware.

Memanfaatkan produk baru yang populer untuk menyebarkan perangkat lunak jahat adalah tindakan kriminal dunia maya yang cukup klasik — dan mengingat keunggulan Clubhouse saat ini, tidak mengherankan hal ini terjadi. Faktanya, para peneliti baru-baru ini menemukan aplikasi Clubhouse palsu yang berbeda. Lukas Stefanko dari firma keamanan ESET mengungkapkan bagaimana “versi Android” fiktif lain dari aplikasi tersebut bertindak sebagai front bagi penjahat yang ingin mencuri kredensial login pengguna dari layanan lain.

selengkapnya : gizmodo.com

Malware Android baru menggunakan WhatsApp untuk menyebar

by

Bentuk baru malware Android mulai menyebar dengan sendirinya dengan membuat balasan otomatis di WhatsApp. Check Point Research baru-baru ini menemukan malware dalam aplikasi palsu di Google Play.

Sekarang, setiap pengguna yang telah mengunduh aplikasi jahat dan diberikan izin yang diperlukan, malware dapat menggunakan pesan balasan otomatis di WhatsApp untuk mengirim muatan jahat kepada pengguna melalui server perintah-dan-kontrol (C&C). Strategi eklektik ini dapat membantu penyerang melakukan serangan phishing, mencuri kredensial dan data WhatsApp, serta informasi palsu, di antara aktivitas terlarang lainnya.

Aplikasi palsu di Google Play disebut “FlixOnline”, layanan palsu yang mengklaim mengizinkan pengguna memanfaatkan layanan streaming Netflix dari mana saja di dunia. Namun, alih-alih menyediakan akses ke Netflix, aplikasi sebenarnya berinteraksi dengan akun WhatsApp pengguna untuk mengirim balasan otomatis palsu tersebut. Bahkan, pelaku ancaman bahkan dapat memeras pengguna dengan mengancam akan menjual percakapan dan data WhatsApp pribadi mereka ke semua kontak pengguna.

Setelah pengguna mendownload dan menginstal aplikasi dari Play Store, malware memulai layanan yang meminta izin “Overlay”, “Battery Optimization Ignore”, dan “Notification”. Izin seperti Overlay memungkinkan penyerang membuka jendela baru di atas aplikasi yang ada untuk tujuan membuat portal login palsu untuk mencuri kredensial pengguna. Batter Optimization Ignore memungkinkan penyerang untuk tetap menjalankan malware bahkan setelah ponsel tidak digunakan untuk menghemat daya baterai. Terakhir, izin Pemberitahuan memungkinkan penyerang melihat semua pemberitahuan terkait pesan yang dikirim ke perangkat pengguna, termasuk kemampuan untuk menutup atau membalas pesan tersebut.

Setelah izin tersebut diperoleh, malware menyembunyikan ikonnya sehingga perangkat lunak tidak dapat dihapus dengan mudah. Aplikasi menyembunyikan dirinya sendiri menggunakan pembaruan dari server C&C yang secara rutin mengubah konfigurasi malware. Cara mengubah konfigurasi ini mungkin terjadi melibatkan server C&C yang melakukan pembaruan aplikasi setelah perangkat menjalankan malware. Secara khusus, server menggunakan callback OnNotificationPosted untuk memperbarui malware secara otomatis.

Faktanya, segera setelah malware mendeteksi pemberitahuan pesan baru, aplikasi jahat menyembunyikan pemberitahuan dari pengguna sehingga hanya malware yang dapat melihat pesan tersebut. Selanjutnya, malware memulai panggilan balik untuk mengirim balasan otomatis palsu kepada pengguna.

Sejak Check Point Research memberi tahu Google tentang aplikasi berbahaya ini, Google telah menghapus aplikasi jahat tersebut dari Play Store. Sebelum dihapus, aplikasi ini diunduh kira-kira 500 kali.

sumber : techxplore.com

Para peneliti mengungkap malware Iran baru yang digunakan dalam serangan siber baru-baru ini

by

Aktor ancaman Iran telah meluncurkan kampanye spionase siber baru terhadap kemungkinan target Lebanon dengan backdoor yang mampu mengekstrak informasi sensitif dari sistem yang dikompromikan.

Firma keamanan siber, Check Point, mengaitkan operasi tersebut dengan APT34, mengutip kemiripan dengan teknik sebelumnya yang digunakan oleh pelaku ancaman serta berdasarkan pola viktimologi.

APT34 (alias OilRig) dikenal karena kampanye pengintaiannya yang selaras dengan kepentingan strategis Iran, terutama mengenai industri keuangan, pemerintah, energi, kimia, dan telekomunikasi di Timur Tengah.

Grup tersebut biasanya menggunakan target individu melalui penggunaan dokumen tawaran pekerjaan palsu, dikirim langsung ke para korban melalui pesan LinkedIn, dan kampanye terbaru tidak terkecuali, meskipun cara pengirimannya masih belum jelas.

Dokumen Word yang dianalisis oleh Check Point mengklaim menawarkan informasi tentang posisi yang berbeda di perusahaan konsultan berbasis di AS bernama Ntiva IT, hanya untuk memicu rantai infeksi setelah mengaktifkan makro jahat yang disematkan, akhirnya menghasilkan pemasangan backdoor yang disebut “SideTwist”.

Selain mengumpulkan informasi dasar tentang mesin korban, backdoor tersebut membuat koneksi dengan server jarak jauh untuk menunggu perintah tambahan yang memungkinkannya mengunduh file dari server, mengunggah file sewenang-wenang, dan menjalankan perintah shell, yang hasilnya diposting kembali ke server.

Selengkapnya: The Hacker News

Malware Android menyamar sebagai Aplikasi mirip Netflix dan menginfeksi melalui WhatsApp

by

Malware Android yang baru ditemukan di Google Play Store yang menyamar sebagai alat Netflix dirancang untuk menyebar secara otomatis ke perangkat lain menggunakan balasan otomatis WhatsApp ke pesan masuk.

Para peneliti di Check Point Research (CPR) menemukan malware baru ini menyamar sebagai aplikasi bernama FlixOnline dan mencoba memikat calon korban dengan janji akses gratis ke konten Netflix.

Peneliti CPR secara bertanggung jawab mengungkapkan temuan penelitian mereka kepada Google yang dengan cepat menghapus dan menghapus aplikasi berbahaya tersebut dari Play Store.

Aplikasi FlixOnline yang berbahaya diunduh kira-kira 500 kali selama dua bulan ketika itu tersedia untuk diunduh di Play Store.

Setelah aplikasi diinstal pada perangkat Android dari Google Play Store, malware memulai layanan yang meminta overlay, pengabaian pengoptimalan baterai, dan izin pemberitahuan.

Setelah izin diberikan, malware akan dapat menghasilkan overlay di atas jendela aplikasi apa pun untuk tujuan pencurian kredensial, memblokir perangkat agar tidak mematikan prosesnya untuk mengoptimalkan konsumsi energi, mendapatkan akses ke notifikasi aplikasi, dan mengelola atau membalas pesan.

Kemudian aplikasi tersebut mulai memantau pemberitahuan WhatsApp baru untuk membalas otomatis semua pesan masuk menggunakan muatan teks khusus yang diterima dari server perintah dan kontrol dan dibuat oleh operatornya.

Check Point mengatakan bahwa balasan otomatis yang diamati dalam kampanye ini mengarahkan para korban ke situs Netflix palsu yang mencoba mengambil informasi identitas dan kartu kredit mereka.

Sumber: BleepingComputer

Sumber: Bleeping Computer

Cheat berbahaya untuk Call of Duty: Warzone beredar online

by

Penjahat telah menyembunyikan malware di dalam perangkat lunak yang tersedia untuk umum yang dimaksudkan sebagai cheat untuk Call of Duty: Warzone dari Activision, para peneliti dengan pembuat game memperingatkan awal pekan ini.

Pada hari Rabu, Activision mengatakan bahwa situs curang populer mengedarkan cheat palsu untuk Call of Duty: Warzone yang berisi dropper, istilah untuk jenis backdoor yang menginstal malware tertentu yang dipilih oleh orang yang membuatnya. Dinamakan Warzone Cheat Engine, cheat tersebut tersedia di situs pada April 2020 dan bulan lalu.

Orang-orang yang mempromosikan cheat tersebut menginstruksikan pengguna untuk menjalankan program sebagai administrator dan menonaktifkan antivirus. Meskipun setelan ini sering kali diperlukan agar cheat berfungsi, setelan ini juga memudahkan malware untuk bertahan dari reboot dan tidak terdeteksi, karena pengguna tidak akan mendapatkan peringatan tentang infeksi atau bahwa software mencari hak istimewa yang lebih tinggi.

Analisis Activision mengatakan bahwa beberapa forum malware secara teratur mengiklankan kit yang menyesuaikan cheat palsu. Kit ini memudahkan pembuatan versi Warzone Cheat Engine yang mengirimkan muatan berbahaya yang dipilih oleh penjahat yang menggunakannya.

Laporan Activision datang pada hari yang sama saat tim keamanan Cisco Talos mengungkapkan kampanye malware baru yang menargetkan pemain game yang menggunakan cheat.

Selengkapnya: Ars Technica

Malware BazarCall menggunakan call center berbahaya untuk menginfeksi korban

by

Selama dua bulan terakhir, peneliti keamanan telah melakukan pertempuran online melawan malware ‘BazarCall’ baru yang menggunakan pusat panggilan (call center) untuk mendistribusikan beberapa malware Windows yang paling merusak.

Malware baru ditemukan sedang didistribusikan oleh pusat panggilan pada akhir Januari dan diberi nama BazarCall, atau BazaCall, karena pelaku ancaman awalnya menggunakannya untuk menginstal malware BazarLoader.

Seperti banyak kampanye malware lainnya, BazarCall dimulai dengan email phishing tetapi dari sana menyimpang ke metode distribusi baru – menggunakan pusat panggilan telepon untuk mendistribusikan dokumen Excel berbahaya yang menginstal malware.

Alih-alih mengirimkan lampiran dengan email, email BazarCall meminta pengguna untuk menghubungi nomor telepon untuk membatalkan langganan sebelum mereka ditagih secara otomatis. Pusat panggilan ini kemudian akan mengarahkan pengguna ke situs web yang dibuat khusus untuk mengunduh “formulir pembatalan” yang menginstal malware BazarCall.

Sumber: BleepingComputer

Sementara sebagian besar email yang dilihat oleh BleepingComputer berasal dari perusahaan fiktif bernama “Medical reminder service, Inc.”, email tersebut juga menggunakan nama perusahaan palsu lainnya seperti ‘iMed Service, Inc.’, ‘Blue Cart Service, Inc . ‘, dan ‘iMers, Inc. ‘

Semua email ini menggunakan subjek yang mirip seperti “Terima kasih telah menggunakan uji coba gratis Anda” atau “Masa uji coba gratis Anda hampir berakhir!” Peneliti keamanan ExecuteMalware telah mengumpulkan daftar subjek email yang lebih luas yang digunakan oleh serangan ini.

Selengkapnya: Bleeping Computer

File jQuery palsu menginfeksi situs WordPress dengan malware

by

Peneliti keamanan telah menemukan versi palsu dari plugin jQuery Migrate yang disuntikkan ke lusinan situs web yang berisi kode yang dikaburkan (obfuscated) untuk memuat malware.

File-file ini diberi nama jquery-migrate.js dan jquery-migrate.min.js dan ada di lokasi yang tepat di mana file JavaScript biasanya ada di situs WordPress tetapi sebenarnya berbahaya.

Saat ini, lebih dari 7,2 juta situs web menggunakan plugin jQuery Migrate, yang menjelaskan mengapa penyerang menyamarkan malware mereka dengan nama plugin populer ini.

Peneliti keamanan Denis Sinegubko dan Adrian Stoian melihat file jQuery palsu yang meniru plugin jQuery Migrate di puluhan situs web minggu ini.

Meskipun skala penuh serangan ini belum ditentukan, Sinegubko membagikan kueri penelusuran yang menunjukkan lebih dari tiga lusin halaman yang saat ini terinfeksi skrip analitik berbahaya.

Bertentangan dengan namanya, bagaimanapun, file analitik tidak ada hubungannya dengan pengumpulan metrik situs web:

Sumber: BleepingComputer

BleepingComputer menganalisis beberapa kode yang dikaburkan yang ada di file.

Kode tersebut memiliki referensi ke “/wp-admin/user-new.php” yang merupakan halaman administrasi WordPress untuk membuat pengguna baru. Selain itu, kode mengakses variabel _wpnonce_create-user yang digunakan WordPress untuk menerapkan perlindungan Cross-Site Request Forgery (CSRF).

Secara umum, dapat memperoleh atau menyetel token CSRF akan memberi penyerang kemampuan untuk membuat permintaan palsu atas nama pengguna.

Menyuntikkan skrip seperti ini di situs WordPress memungkinkan penyerang melakukan berbagai aktivitas berbahaya termasuk apa pun dari penipuan Magecart untuk skimming kartu kredit hingga mengarahkan pengguna ke situs scam.

Namun, dalam kasus ini, fungsi checkme() mencoba mengalihkan jendela browser pengguna ke URL berbahaya yang diidentifikasi oleh BleepingComputer.

Selengkapnya: Bleeping Computer

Microsoft berbagi intelijen tentang aktivitas pasca-kompromi Serangan Exchange Server

by Leave a Comment

Awal pekan ini, Microsoft mengatakan bahwa 92% dari server Exchange yang rentan telah ditambal atau telah diterapkan mitigasi. Namun, firma keamanan siber F-Secure mengatakan “puluhan ribu” server Exchange telah dibobol. Dalam posting blog baru, Microsoft menegaskan kembali peringatannya bahwa “menambal sistem tidak serta merta menghapus akses penyerang”.

“Banyak dari sistem yang disusupi belum menerima tindakan sekunder, seperti serangan ransomware yang dioperasikan oleh manusia atau eksfiltrasi data, yang menunjukkan bahwa penyerang dapat menetapkan dan mempertahankan akses mereka untuk kemungkinan tindakan selanjutnya,” catat Microsoft 365 Defender Threat Intelligence Team.

Jika sistem telah disusupi, Microsoft mendesak admin untuk mempraktikkan prinsip hak istimewa paling rendah dan mengurangi pergerakan lateral pada jaringan.

Hak istimewa terkecil akan membantu mengatasi praktik umum di mana layanan Exchange atau tugas terjadwal telah dikonfigurasi dengan akun dengan hak istimewa tinggi untuk melakukan tugas-tugas seperti pencadangan.

Menggunakan ransomware DoejoCrypt, alias DearCry, sebagai contoh, Microsoft mencatat bahwa web shell yang digunakan oleh strain tersebut menulis file batch ke C: \ Windows \ Temp \ xx.bat. Ini ditemukan di semua sistem yang terkena DoejoCrypt dan mungkin menawarkan penyerang rute untuk mendapatkan kembali akses di mana infeksi telah terdeteksi dan dihapus.

“File batch ini melakukan backup database Security Account Manager (SAM) dan kumpulan registri Sistem dan Keamanan, yang memungkinkan penyerang nanti mengakses sandi pengguna lokal di sistem dan, yang lebih penting, di LSA [Otoritas Keamanan Lokal] Bagian rahasia dari registri, di mana kata sandi untuk layanan dan tugas terjadwal disimpan, “catatan Microsoft.

Meskipun korban belum mendapatkan tebusan, penggunaan file xx.bat oleh penyerang memungkinkan mereka menjelajahi jaringan melalui kerangka web yang meletakkan file tersebut pada awalnya. Shell web juga mengunduh kit pengujian penetrasi Cobalt Strike sebelum mengunduh muatan ransomware dan mengenkripsi file. Dengan kata lain, korban mungkin belum ditebus hari ini, tetapi penyerang telah meninggalkan alat di jaringan untuk melakukannya besok.

Ancaman kejahatan dunia maya lainnya ke server Exchange berasal dari penambang mata uang kripto yang berbahaya. Botnet cryptocurrency Lemon Duck diamati mengeksploitasi server Exchange yang rentan. Menariknya, operator Lemon Duck membersihkan server Exchange dengan file xx.bat dan web shell, memberinya akses eksklusif ke server Exchange. Microsoft juga menemukan bahwa itu digunakan untuk menginstal malware lain, bukan hanya menambang cryptocurrency.

Source : ZDnet