Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Software / Application

Software / Application

Berapa Lama Sebelum VPN Dihentikan?

by

Sebuah survei CFO Gartner mengungkapkan 74% organisasi berencana untuk menjaga setidaknya sebagian dari karyawan mereka secara permanen jauh. Itu saja seharusnya sudah menjamin pasar VPN yang berkembang di masa depan. Namun, Gartner juga menunjukkan bahwa 60% perusahaan akan menghapus sebagian besar VPN akses jarak jauh mereka secara bertahap dalam beberapa tahun.

Serangan siber yang memanfaatkan kerentanan zero day meningkat sebesar 1916% dan 1527% untuk dua penyedia VPN perusahaan terkemuka. Lonjakan serangan siber baru-baru ini yang melibatkan VPN, ditambah dengan hilangnya produktivitas berbasis latensi dan biaya dukungan VPN yang tinggi, mengikis kepercayaan yang dimiliki organisasi terhadap VPN.

VPN pada dasarnya tidak memiliki kelincahan yang dibutuhkan untuk melindungi perangkat seluler koneksi VPN disetel ulang setiap kali pengguna mengganti jaringan yang terhubung dengan mereka dan juga setiap kali mereka menghidupkan perangkat seluler mereka dari mode tidur. Semua koneksi ulang ini membebani sumber daya jaringan, memengaruhi kinerja kerja, dan produktivitas karyawan, sesuatu yang tidak disukai bisnis modern.

VPN juga tidak cocok dengan kebijakan BYOD (bawa perangkat Anda sendiri) karena mereka sering menggunakan sertifikat autentikasi yang ada di perangkat tertentu yang biasanya milik perusahaan. Saat karyawan terus berpindah di antara beberapa perangkat untuk bekerja, VPN gagal mengejar semuanya dengan mulus. VPN tidak memberikan kontrol granular atas kebijakan keamanan karena pendekatan keamanannya yang sederhana, semua atau tidak sama sekali. Ketika kontraktor independen dan vendor pihak ketiga lainnya memerlukan akses ke beberapa sumber daya internal saja, VPN memberikan akses ke seluruh jaringan secara default.

Akhirnya, cloud secara efektif menjadi hukuman mati bagi VPN. Sekarang data tidak sepenuhnya berada dalam batas-batas jaringan perusahaan yang dilindungi oleh firewall perusahaan, terowongan aman VPN tidak dirancang untuk memperluas keamanannya ke semua tempat di mana data didistribusikan. Perusahaan modern memiliki sumber daya di cloud serta di edge, sehingga mereka membutuhkan ekosistem keamanan yang meresap seperti jejak TI mereka.

Bisnis harus memiliki kemampuan untuk memperluas perimeter keamanan mereka secara dinamis ke hampir di mana saja aset dan pekerja penting mereka berada. Untuk itu, mereka membutuhkan pola pikir keamanan di mana-mana yang mencakup BYOD, pekerja jarak jauh, sumber daya cloud, vendor pihak ketiga, dan inti jaringan juga.

Untuk itu, bisnis perlu melepaskan VPN lama mereka demi solusi mutakhir seperti SWG (gerbang web aman) untuk melindungi pengguna dan perangkat yang terhubung ke internet dan menegakkan kebijakan penggunaan yang dapat diterima untuk internet, CASB (keamanan akses cloud broker) untuk memperluas kebijakan keamanan dan akses ke aplikasi berbasis cloud mereka dan ZTNA (akses jaringan tanpa kepercayaan) untuk memverifikasi setiap pengguna sebelum memberikan akses ke aset penting bahkan jika mereka sudah berada di dalam perimeter jaringan aman.

Layanan dan kontrol yang diperlukan bisnis modern ini membuat tumpukan keamanan yang kompleks dengan banyak vendor dan manajemen yang sulit, karena setiap kontrol keamanan yang ditambahkan bisnis ke jaringannya pada dasarnya akan meningkatkan permukaan serangannya, menjadikannya lebih rentan. SASE (secure access service edge) berpotensi mengisi celah karena mengintegrasikan jaringan dengan kontrol keamanan yang disebutkan di atas. Gartner telah memprediksi kebangkitan SASE selama beberapa tahun sekarang. Namun, seperti teknologi baru lainnya, ada keraguan dan bahkan skeptisisme seputar adopsi model keamanan yang lebih baru.

Meskipun banyak yang tidak mau mengakuinya, VPN tidak cukup memenuhi tantangan keamanan masa depan. Faktor penentu bagi banyak bisnis mungkin adalah investasi yang telah mereka buat dan harus mereka lakukan untuk melanjutkan perjalanan transformasi mereka.

Sumber : Info Security

Malware Medusa Bergabung dengan Jaringan Distribusi Android Flubot

by

Flubot, spyware Android yang telah menyebar secara viral sejak tahun lalu, telah meningkatkan infrastrukturnya ke ancaman seluler lain yang dikenal sebagai Medusa.

Malware Flubot (alias Cabassous) dikirimkan ke target melalui teks SMS yang meminta mereka untuk menginstal aplikasi “pengiriman paket yang tidak terjawab” atau versi Flash Player palsu. Jika korban tertipu, malware diinstal, kemudian menambahkan perangkat yang terinfeksi ke botnet, setelah itu mendapatkan izin, mencuri informasi dan kredensial perbankan, mencabut kata sandi yang tersimpan di perangkat dan membuang berbagai informasi pribadi.

Rupanya, Medusa menyukai potongan jib Flubot: “Kecerdasan ancaman kami menunjukkan bahwa Medusa mengikuti dengan nama aplikasi, nama paket, dan ikon serupa yang persis sama,” catat peneliti ThreatFabric dalam analisis hari Senin. “Dalam waktu kurang dari sebulan, pendekatan distribusi ini memungkinkan Medusa menjangkau lebih dari 1.500 perangkat yang terinfeksi dalam satu botnet, menyamar sebagai DHL.”

Tidak seperti Flubot, yang terutama menyebar di Eropa, Medusa lebih merupakan ancaman dengan peluang yang sama dalam hal geografi. Kampanye terbaru menargetkan pengguna dari Kanada, Turki, dan Amerika Serikat.

“Setelah menargetkan organisasi keuangan Turki pada periode pertama kegiatannya pada tahun 2020, Medusa kini telah mengalihkan fokusnya ke Amerika Utara dan Eropa, yang menghasilkan [a] sejumlah besar perangkat yang terinfeksi,” catat peneliti ThreatFabric. “Didukung dengan beberapa fitur akses jarak jauh, Medusa menimbulkan ancaman kritis bagi organisasi keuangan di wilayah yang ditargetkan.”

Pertama kali ditemukan pada Juli 2020, Medusa (terkait dengan keluarga Tanglebot dari RAT) adalah trojan mobile banking yang dapat memperoleh kontrol hampir penuh atas perangkat pengguna, termasuk kemampuan untuk keylogging, aktivitas trojan perbankan, dan streaming audio dan video. Untuk boot, ia telah menerima beberapa pembaruan dan peningkatan dalam teknik pengaburannya saat ia melompat pada coattails infrastruktur Flubot, kata para peneliti.

Pertama, ia sekarang memiliki mesin skrip aksesibilitas yang memungkinkan aktor untuk melakukan serangkaian tindakan atas nama korban, dengan bantuan Layanan Aksesibilitas Android.

Pencatatan peristiwa aksesibilitas adalah peningkatan pendamping ke yang di atas. Dengan perintah khusus, Medusa dapat mengumpulkan informasi tentang jendela aktif, termasuk posisi bidang dan elemen tertentu dalam antarmuka pengguna, teks apa pun di dalam elemen tersebut, dan apakah bidang tersebut adalah bidang kata sandi.

Cuplikan berikut menunjukkan kode yang mengumpulkan informasi jendela aktif melalui node-nya:

Selanjutnya, dalam memeriksa panel back-end Medusa, peneliti mengamati operator malware yang menandai aplikasi perbankan dengan tag “BANK”, untuk mengontrol/mencatat bidang input.

Server perintah-dan-kontrol (C2) juga dapat memerintahkan Medusa untuk melakukan berbagai macam pekerjaan RAT, termasuk mengklik elemen UI tertentu, tidur, screenshot, mengunci layar, menyediakan daftar aplikasi terbaru dan membuka pemberitahuan terbaru. .

Flubot Mengembangkan Kemampuannya
Para peneliti juga memperhatikan bahwa penambahan Medusa ke dalam campuran tidak memperlambat pengembangan Flubot sendiri. Mereka menjelaskan bahwa sekarang memiliki “kemampuan baru yang belum pernah terlihat sebelumnya di malware mobile banking.”

Intinya: Dalam versi 5.4, Medusa mengambil kemampuan untuk menyalahgunakan fitur “Pemberitahuan Balasan Langsung” dari OS Android, yang memungkinkan malware untuk langsung membalas pemberitahuan push dari aplikasi yang ditargetkan pada perangkat korban. Pengguna tidak menyadari aktivitas tersebut, sehingga Flubot dapat mencegat mereka – membuka pintu untuk menggagalkan otentikasi dua faktor dan banyak lagi, kata para peneliti.

Potensi penyalahgunaan lain dari fungsi ini adalah untuk menanggapi interaksi aplikasi sosial dengan “pemberitahuan” yang berisi tautan phishing berbahaya.

Sumber : Threat Post

Miliarder Investor Facebook Peter Thiel Diam-diam Mendanai Startup ‘Cyber Warfare’ yang Meretas WhatsApp

by

Sejak didirikan pada tahun 2017 di San Diego, startup Boldend tetap low profile. Itu karena, menurut dua orang dalam perusahaan, itu harus, dengan misi untuk menciptakan alat yang membantu dalam misi perang cyber dengan fokus pada otomatisasi. Ini hanya memiliki satu pelanggan, yang menuntut kerahasiaan: pemerintah AS.

Meskipun menerima sedikit pers, itu berhasil masuk ke New York Times akhir pekan lalu, tepat di akhir fitur pada bisnis spyware Israel yang terkepung NSO Group. Boldend dilaporkan telah mengembangkan kemampuan untuk meretas WhatsApp, meskipun ditutup dalam pembaruan keamanan pada Januari 2021, menurut presentasi yang dibuat untuk raksasa pertahanan Raytheon. Ini adalah pertama kalinya perangkat lunak “perang cyber” telah diberi paparan publik di luar kemitraan dengan Raytheon, yang diumumkan pada tahun 2020 ketika pasangan itu mengatakan mereka akan membangun “produk otomatis yang mempercepat pengembangan dan penyebaran alat cyber untuk operasi dan sistem yang penting bagi keamanan nasional.” Mereka juga mengumumkan bahwa mereka akan mengintegrasikan teknologi Boldend yang disebut Origen ke dalam pipa pengembangan teknologi Raytheon. Teknologi perangkat lunak sebagai layanan, yang tampaknya merupakan platform pengembangan yang berfokus pada keamanan dan dengan cepat memutar produk cyber.

Ada sesuatu yang lain yang menggelitik perhatian orang ketika datang ke Boldend. Dalam presentasi yang sama kepada Raytheon, sebuah slide mengklaim bahwa Boldend didukung oleh Founders Fund, kendaraan investasi Peter Thiel. Itu adalah fakta yang belum diungkapkan meskipun perusahaan sebelumnya mengumumkan investor lain. Dua sumber yang akrab dengan perusahaan mengkonfirmasi kepada Forbes Boldend memang didanai oleh perusahaan Thiel, dengan satu mengklaim perusahaan memasukkan lebih dari $ 10 juta yang disuntikkan pada tahun-tahun awal bisnis, meskipun mereka tidak dapat memberikan nomor tertentu. (Baik Founders Fund maupun Boldend belum membalas email yang meminta komentar.)

Ini mungkin tampak ironis: Thiel, salah satu pendukung keuangan Facebook yang paling terkenal, sekarang menjadi investor perusahaan yang telah mencoba meretas teknologi perusahaan milik Facebook. Bukan berarti Thiel takut berinvestasi di perusahaan yang berisiko melanggar aturan Facebook untuk membantu penegakan hukum: Founders Fund mendukung ClearView AI, sebuah perusahaan pengenalan wajah yang mengikis Facebook untuk mengisi basis data wajah besar yang nantinya dapat digunakan polisi dalam penyelidikan.

Mengangkangi cyber ofensif dan defensif

Dengan ekstensi, Thiel juga sekarang menjadi investor di perusahaan anti-ransomware, Halcyon, yang sepenuhnya dimiliki oleh Boldend, sumber yang dekat dengan perusahaan mengatakan. Memang, situs web Halcyon.ai mencantumkan Founders Fund sebagai pendukung, bersama investor Boldend lainnya Ron Gula.

Dalam mengangkangi dunia ofensif dan defensif, Boldend memposisikan dirinya sebagai salah satu dari segelintir bisnis “cyber spektrum penuh” yang berfokus pada melindungi dan menyerang klien pemerintah dan perusahaan. Beberapa startup di bidang niche ini telah muncul dalam beberapa tahun terakhir, mencari dukungan keuangan dari pemodal ventura. Ini termasuk QOMPLX, startup cybersecurity senilai $ 1,4 miliar dengan pendapatan $ 96 juta, dan Blackhorse Solutions, yang telah mengumpulkan $ 9 juta sebelum diakuisisi oleh Parsons Corp. seharga $ 200 juta pada musim panas 2021. Keduanya berkerumun di sabuk kontraktor pertahanan Virginia.

BlackHorse, yang memiliki lebih banyak kontrak pemerintah publik daripada Boldend atau QOMPLX, berjanji untuk menyatukan “operasi cyber, perang elektromagnetik dan informasi untuk pelanggan Departemen Pertahanan dan Komunitas Intelijen.” Sebelumnya disebut White Canvas Group, Forbes memperoleh kontrak bagi perusahaan untuk meneliti Web gelap untuk militer AS dan untuk melatih Komando Cyberspace Pasukan Korps Marinir Amerika Serikat tentang cara memanfaatkan intelijen open source di Web. Ini telah mencetak banyak kontrak multi-juta dolar selama setengah dekade terakhir dengan Pentagon, termasuk kesepakatan $ 90 juta untuk memberikan “solusi otomatisasi untuk mendukung Komando Cyber AS.”

Meskipun dua sumber dengan pengetahuan tentang perusahaan mengatakan itu tidak khas boldend untuk mengembangkan eksploitasi seperti yang terjadi untuk WhatsApp, dan bahwa yang dijelaskan oleh New York Times mungkin tidak pernah digunakan, jika ditugaskan untuk melakukannya lagi, startup bisa bersaing dengan bisnis ofensif-terfokus lainnya dalam mencoba untuk memecahkan keamanan aplikasi terenkripsi seperti WhatsApp untuk pelanggan. Sekarang dapat mengklasifikasikan dirinya sebagai saingan NSO Group Israel dan startup yang didukung Amerika seperti Paragon. Yang terakhir, seperti yang dilaporkan Forbes tahun lalu, difokuskan untuk mencoba masuk ke aplikasi perpesanan seperti Signal, WhatsApp dan Telegram. Ini telah menerima dukungan keuangan dari Battery Ventures yang berbasis di Boston untuk melakukan pekerjaan itu.

Boldend tetap menjadi perusahaan kecil, dengan hanya $ 13 juta yang dikumpulkan hingga saat ini dan valuasi $ 31 juta, menurut data Pitchbook. Tetapi sebagai salah satu investor perusahaan (yang meminta untuk tetap anonim karena mereka tidak berwenang untuk berbicara dalam catatan) mengatakan kepada Forbes, Halcyon memiliki potensi untuk menjadi jauh lebih menguntungkan, mengingat itu bisa menjual produk komersial ke ribuan perusahaan, bukan hanya segelintir badan intelijen Barat.

Seperti banyak karyawan baru Halcyon, banyak staf di Boldend berasal dari Cylance, sebuah perusahaan keamanan defensif yang mengklaim menggunakan kecerdasan buatan untuk mengamankan jaringan. Itu termasuk CEO dan pendiri Jon Miller. Cylance diakuisisi oleh BlackBerry pada tahun 2019.

Boldend tidak pengadilan publisitas dan situs web dua halaman mengungkapkan sedikit di luar: “Solusi kami memadukan komponen perang elektronik mutakhir dengan operasi cyber generasi berikutnya.” Halaman “produk” mengharuskan pengunjung untuk memiliki kata sandi.

Ketika Forbes menghubungi CEO Boldend Miller, ia menyerahkan Forbes ke tim PR-nya, menambahkan bahwa pekerjaan perusahaan hanya mendukung pemerintah AS membutuhkan kebijaksanaan. Tim PR belum menanggapi permintaan komentar pada saat publikasi.

Sumber: Forbes

Pengguna Android memperingatkan tentang trik yang memungkinkan Anda membaca pesan WhatsApp yang dihapus

by

Pengguna Android diperingatkan tentang trik yang memungkinkan Anda membaca pesan WhatsApp yang dihapus yang dapat membahayakan data ponsel.

Beberapa aplikasi berbeda dapat digunakan untuk mengambil pesan yang dihapus.

Tetapi WAMR tampaknya mengambil data yang dihapus dari WhatsApp, Facebook Messenger, dan platform lainnya. Karena enkripsi pada perangkat Android, WAMR tidak dapat mengakses pesan secara langsung.

Sebagai gantinya, aplikasi menggunakan riwayat pemberitahuan Anda untuk membaca pesan dan membuat cadangan pesan, menurut informasi dari Google App store.

Aplikasi WAMR akan mendeteksi pesan yang dihapus dan kemudian menampilkan pemberitahuan kepada Anda.

Media tambahan, termasuk gambar, video, gif animasi, audio, catatan suara, dokumen, stiker, juga dapat dipulihkan dari pesan.

Namun, aplikasi ini mencatat bahwa ini bukan cara resmi untuk memulihkan pesan yang dihapus, dan memperingatkan bahwa itu dapat menghadapi batasan berdasarkan aplikasi tempat data pesan berada, atau bahkan dari sistem operasi Android.

ketika anda menginstal aplikasi WAMR, beberapa izin harus diberikan agar dapat beroperasi di perangkat Android Anda. Izin ini dapat membahayakan data dari aplikasi lain di ponsel Anda.

Koran Keamanan Informasi melaporkan bahwa riwayat pencarian internet dan daftar kontak termasuk di antara data yang dapat diakses oleh aplikasi WAMR.

Outlet tersebut juga melaporkan bahwa terlepas dari potensi risiko keamanan, aplikasi WAMR telah diunduh lebih dari 10 juta kali.

Memilih untuk mengunduh aplikasi seperti WAMR yang dapat membahayakan data dan keamanan di ponsel Anda adalah risiko yang harus dipertimbangkan dengan cermat.

Sumber : NEW YORK POST

Aplikasi 2FA Penuh dengan Trojan Perbankan Menyerang 10K Korban melalui Google Play

by

Setelah tersedia selama lebih dari dua minggu, aplikasi autentikasi dua faktor (2FA) yang berbahaya telah dihapus dari Google Play tetapi tidak sebelum diunduh lebih dari 10.000 kali. Aplikasi, yang berfungsi penuh sebagai autentikator 2FA, dilengkapi dengan malware pencuri Vultur yang menargetkan dan menyambar data keuangan.

Pelaku ancaman mengembangkan aplikasi operasional dan meyakinkan untuk menyamarkan penetes malware, menggunakan kode otentikasi Aegis open-source yang disuntikkan dengan add-on berbahaya.

Setelah diunduh, aplikasi menginstal trojan perbankan Vultur, yang mencuri data keuangan dan perbankan pada perangkat yang disusupi — tetapi dapat melakukan lebih banyak lagi.

Malware Vultur remote access trojan (RAT) adalah yang pertama dari jenisnya yang ditemukan menggunakan keylogging dan perekaman layar sebagai taktik utama untuk pencurian data perbankan, memungkinkan grup untuk mengotomatiskan proses pengambilan kredensial dan skala.

“Aktor memilih untuk menghindari strategi overlay HTML umum yang biasanya kita lihat di trojan perbankan Android lainnya: pendekatan ini biasanya membutuhkan lebih banyak waktu dan upaya dari para aktor untuk mencuri informasi yang relevan dari pengguna. Sebaliknya, mereka memilih untuk hanya merekam apa yang ditampilkan di layar, secara efektif mendapatkan hasil akhir yang sama,” kata ThreatFabric saat itu.

Autentikator 2FA scam juga meminta izin perangkat di luar apa yang diungkapkan di profil Google Play, kata tim Pradeo.

Hak istimewa yang ditinggikan dan licik itu memungkinkan penyerang melakukan berbagai fungsi di luar tarif trojan perbankan standar, seperti: Mengakses data lokasi pengguna, sehingga serangan dapat ditargetkan ke wilayah tertentu; menonaktifkan kunci perangkat dan keamanan kata sandi; mengunduh aplikasi pihak ketiga; dan mengambil alih kendali perangkat, bahkan jika aplikasi dimatikan, laporan itu menjelaskan.

Pradeo menemukan trik kotor lain yang dilakukan 2FA jahat dengan mengambil izin SYSTEM_ALERT_WINDOW, yang memberi aplikasi kemampuan untuk mengubah antarmuka aplikasi seluler lainnya. Seperti yang dijelaskan Google sendiri, “Sangat sedikit aplikasi yang harus menggunakan izin ini; jendela ini dimaksudkan untuk interaksi tingkat sistem dengan pengguna.”

Setelah perangkat sepenuhnya disusupi, aplikasi menginstal Vultur, “jenis malware yang canggih dan relatif baru yang sebagian besar menargetkan antarmuka perbankan online untuk mencuri kredensial pengguna dan informasi keuangan penting lainnya,” kata laporan itu.

Sumber : Threat Post

105 Juta Pengguna Android Ditargetkan oleh Kampanye Penipuan Berlangganan

by

Penipuan berlangganan layanan premium untuk Android telah beroperasi selama hampir dua tahun. Disebut ‘Dark Herring’, operasi ini menggunakan 470 aplikasi Google Play Store dan mempengaruhi lebih dari 100 juta pengguna di seluruh dunia, berpotensi menyebabkan ratusan juta USD dalam total kerugian.

‘Dark Herring’ hadir di 470 aplikasi di Google Play Store, sumber aplikasi resmi dan paling dapat dipercaya Android, dengan pengiriman paling awal berasal dari Maret 2020.

Secara total, aplikasi penipuan diinstal oleh 105 juta pengguna di 70 negara, berlangganan mereka ke layanan premium yang mengenakan biaya $ 15 per bulan melalui Direct Carrier Billing (DCB).

Bagaimana malware bekerja

Keberhasilan jangka panjang Dark Herring mengandalkan kemampuan anti-deteksi AV, propagasi melalui sejumlah besar aplikasi, kebingungan kode, dan penggunaan proxy sebagai URL tahap pertama.

Meskipun tidak ada hal di atas yang baru atau inovatif, melihat mereka digabungkan menjadi satu bagian dari perangkat lunak jarang terjadi untuk penipuan Android.

Selain itu, para aktor menggunakan infrastruktur canggih yang menerima komunikasi dari semua pengguna dari 470 aplikasi tetapi ditangani masing-masing secara terpisah berdasarkan pengenal unik.

Aplikasi yang diinstal tidak berisi kode berbahaya tetapi memiliki string terenkripsi berkode keras yang menunjuk ke URL tahap pertama yang dihosting di Amazon CloudFront.

Respons dari server berisi tautan ke file JavaScript tambahan yang dihosting pada instans AWS, yang diunduh ke perangkat yang terinfeksi.

Skrip ini mempersiapkan aplikasi untuk memperoleh konfigurasinya sehubungan dengan korban, menghasilkan pengidentifikasi unik, mengambil detail bahasa dan negara dan menentukan platform DCB mana yang berlaku dalam setiap kasus.

Akhirnya, aplikasi ini menyajikan halaman WebView yang disesuaikan yang meminta korban untuk memasukkan nomor telepon mereka, yang diduga menerima kode OTP (kode sandi satu kali) sementara untuk mengaktifkan akun pada aplikasi.

Aplikasi dan target

Dengan 470 aplikasi untuk mendistribusikan malware, demografi yang ditargetkan cukup beragam. Sebagian besar aplikasi ini termasuk dalam kategori “Hiburan” yang lebih luas dan lebih populer.

Aplikasi Dark Herring lainnya yang lazim adalah alat fotografi, game kasual, utilitas, dan aplikasi produktivitas.

Salah satu faktor kunci dalam konsekuensi dari operasi Dark Herring adalah tidak adanya undang-undang perlindungan konsumen DCB, sehingga beberapa negara menjadi sasaran lebih mantap daripada yang lain.

Mereka yang berisiko lebih besar adalah India, Pakistan, Arab Saudi, Mesir, Yunani, Finlandia, Swedia, Norwegia, Bulgaria, Irak, dan Tunisia.

Bahkan di negara-negara di mana aturan perlindungan DCB yang ketat berlaku, jika para korban terlambat menyadari penipuan, mengembalikan transaksi mungkin tidak mungkin.

Untuk mengakses seluruh daftar semua 470 aplikasi Android berbahaya, lihat halaman GitHub ini.

Sumber: Bleepingcomputer

Google Mendeskripsikan Dua Bug Zero-Day yang Dilaporkan di Klien Zoom dan Server MMR

by

Eksplorasi permukaan serangan nol klik untuk solusi konferensi video populer Zoom telah menghasilkan dua kerentanan keamanan yang sebelumnya tidak diungkapkan yang dapat dieksploitasi untuk merusak layanan, mengeksekusi kode berbahaya, dan bahkan membocorkan area sewenang-wenang dari memorinya.

Natalie Silvanovich dari Google Project Zero, yang menemukan dan melaporkan dua kekurangan tahun lalu, mengatakan masalah tersebut berdampak pada klien Zoom dan server Multimedia Router (MMR), yang mengirimkan konten audio dan video antara klien dalam penyebaran di tempat.

Kelemahan sejak itu telah ditangani oleh Zoom sebagai bagian dari pembaruan yang dikirim pada 24 November 2021.

Tujuan dari serangan nol-klik adalah untuk diam-diam mendapatkan kontrol atas perangkat korban tanpa memerlukan interaksi apa pun dari pengguna, seperti mengklik tautan.

Sementara spesifik dari eksploitasi akan bervariasi tergantung pada sifat kerentanan yang dieksploitasi, sifat kunci dari hacks nol-klik adalah kemampuan mereka untuk tidak meninggalkan jejak aktivitas berbahaya, membuat mereka sangat sulit untuk dideteksi.

Dua kelemahan yang diidentifikasi oleh Project Zero adalah sebagai berikut –

  • CVE-2021-34423 (skor CVSS: 9.8) – Kerentanan buffer overflow yang dapat dimanfaatkan untuk merusak layanan atau aplikasi, atau mengeksekusi kode sewenang-wenang.
  • CVE-2021-34424 (skor CVSS: 7.5) – Cacat paparan memori proses yang dapat digunakan untuk berpotensi mendapatkan wawasan tentang area sewenang-wenang dari memori produk.

Dengan menganalisis lalu lintas RTP (Real-time Transport Protocol) yang digunakan untuk mengirimkan audio dan video melalui jaringan IP, Silvanovich menemukan bahwa adalah mungkin untuk memanipulasi isi buffer yang mendukung membaca berbagai jenis data dengan mengirim pesan obrolan yang cacat, menyebabkan klien dan server MMR macet.

Selain itu, kurangnya pemeriksaan NULL – yang digunakan untuk menentukan akhir string – memungkinkan untuk membocorkan data dari memori saat bergabung dengan rapat Zoom melalui browser web.

Peneliti juga mengaitkan cacat korupsi memori dengan fakta bahwa Zoom gagal mengaktifkan ASLR, alias pengacakan tata letak ruang alamat, mekanisme keamanan yang dirancang untuk meningkatkan kesulitan melakukan serangan buffer overflow.

“Kurangnya ASLR dalam proses Zoom MMR sangat meningkatkan risiko bahwa penyerang dapat membahayakannya,” kata Silvanovich. “ASLR bisa dibilang mitigasi yang paling penting dalam mencegah eksploitasi korupsi memori, dan sebagian besar mitigasi lainnya bergantung padanya pada tingkat tertentu agar efektif. Tidak ada alasan yang baik untuk itu untuk dinonaktifkan di sebagian besar perangkat lunak. ”

Sementara sebagian besar sistem konferensi video menggunakan perpustakaan open-source seperti WebRTC atau PJSIP untuk menerapkan komunikasi multimedia, Project Zero menyebut penggunaan format dan protokol berpemilik Zoom serta biaya lisensinya yang tinggi (hampir $ 1.500) sebagai hambatan untuk penelitian keamanan.

“Perangkat lunak sumber tertutup menghadirkan tantangan keamanan yang unik, dan Zoom dapat berbuat lebih banyak untuk membuat platform mereka dapat diakses oleh peneliti keamanan dan orang lain yang ingin mengevaluasinya,” kata Silvanovich. “Sementara Tim Keamanan Zoom membantu saya mengakses dan mengkonfigurasi perangkat lunak server, tidak jelas bahwa dukungan tersedia untuk peneliti lain, dan lisensi perangkat lunak itu masih mahal.”

Sumber: The Hacker News

ProtonMail Memblokir Sistem Pelacakan Email

by

ProtonMail telah memperkenalkan sistem perlindungan pelacakan email yang disempurnakan untuk solusi email berbasis web yang mencegah pengirim dilacak oleh penerima yang membuka pesan mereka.

ProtonMail adalah layanan email terenkripsi end-to-end yang berbasis di Swiss dan menggunakan pendekatan enkripsi sisi klien untuk menjaga privasi pengguna dan melindungi komunikasi mereka dari perantara pengintaian.
40% dari semua email memiliki pelacak

Menurut sebuah studi tahun 2017, hampir setengah dari semua email dikirim dan menerima pelacak fitur yang mengirimkan informasi kembali ke pengirim.

Informasi tersebut mencakup waktu penerima membuka email, berapa kali ditinjau kembali, perangkat apa yang dihubungi, dan alamat IP penerima.

Pelacak ini praktis tidak terlihat karena mereka hanya piksel kecil dalam gambar yang tertanam di badan email, dan mereka mencatat data tentang aktivitas pengguna setiap kali pesan dibuka.

Pelacak email sebagian besar digunakan untuk iklan bertarget tetapi juga dapat digunakan untuk de-anonimisasi, untuk mengekspos informasi penerima kepada pihak ketiga, atau hanya untuk memantau ketika seseorang telah membaca email Anda.

Pengumpulan data ini terjadi tanpa persetujuan pengguna, tetapi sistem ini sulit diatur, jadi pendekatan terbaik adalah memblokirnya.

Memblokir pelacak untuk semua pengguna

ProtonMail sekarang akan mulai memblokir pelacak email secara default di semua akun, termasuk pengguna gratis (tidak membayar).

Layanan webmail akan memblokir piksel yang diidentifikasi sebagai piksel berisiko dan menyembunyikan alamat IP pengguna sehingga lokasi mereka tetap tersembunyi.

Setiap kali pelacak diblokir, pengguna akan mendapatkan pemberitahuan yang relevan dengan ikon yang dapat diklik yang menyimpan lebih banyak informasi tentang pelacak yang terdeteksi.

Seperti yang dijelaskan perusahaan, sistem baru ini tidak akan mempengaruhi berlangganan buletin atau mendaftar untuk layanan online.

Pengguna ProtonMail dapat memeriksa apakah fitur privasi ini diaktifkan dengan masuk ke Pengaturan > Privasi Email dan mengonfirmasi apakah pengaturan pelacakan email Blokir diaktifkan, seperti yang ditunjukkan di bawah ini.

Cara lain untuk melindungi diri sendiri

Jika Anda tidak menggunakan ProtonMail, tetapi Anda masih ingin melindungi diri dari pelacak email, coba nonaktifkan pemuatan gambar / sumber daya pada klien email Anda.

Opsi ini tersedia di Thunderbird, Outlook, Gmail, dan Apple Mail, dan seharusnya cukup untuk memblokir sebagian besar pelacak dari pemuatan.

Anda juga dapat mematikan email HTML sepenuhnya dan membaca pesan Anda dalam bentuk teks biasa untuk keamanan tambahan. Namun, langkah ini tidak dianjurkan untuk pengalaman pengguna yang menyenangkan tetapi dapat membantu dalam kasus-kasus di mana perlindungan privasi sangat penting.