Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat / Spyware

Spyware

Investigasi menemukan spyware yang dirancang Israel digunakan untuk meretas jurnalis dan aktivis di seluruh dunia

by

Tiga puluh tujuh smartphone milik jurnalis, aktivis hak asasi manusia, eksekutif bisnis, dan dua wanita yang terkait dengan jurnalis Saudi yang terbunuh Jamal Khashoggi menjadi sasaran “spyware kelas militer” yang dilisensikan oleh perusahaan Israel kepada pemerintah, menurut penyelidikan oleh konsorsium organisasi media, termasuk The Washington Post, diterbitkan hari Minggu.

The Post melaporkan hari Minggu bahwa ponsel itu “ada dalam daftar lebih dari 50.000 nomor yang terkonsentrasi di negara-negara yang diketahui terlibat dalam pengawasan warganya” dan diketahui sebagai klien perusahaan, NSO Group, yang spyware Pegasusnya seolah-olah dilisensikan untuk melacak teroris dan penjahat besar.

Surat kabar itu melaporkan bahwa melalui penyelidikan, yang juga dilakukan dengan bantuan Amnesty International dan Forbidden Stories, sebuah organisasi nirlaba jurnalisme yang berbasis di Paris, outlet tersebut “mampu mengidentifikasi lebih dari 1.000 orang yang tersebar di lebih dari 50 negara melalui penelitian dan wawancara di empat benua: beberapa anggota keluarga kerajaan Arab, setidaknya 65 eksekutif bisnis, 85 aktivis hak asasi manusia, 189 jurnalis, dan lebih dari 600 politisi dan pejabat pemerintah — termasuk menteri kabinet, diplomat, dan perwira militer dan keamanan. Nomor beberapa kepala negara dan perdana menteri juga muncul dalam daftar.”

Nomor telepon wartawan yang bekerja di luar negeri untuk CNN, The Associated Press, Voice of America, The New York Times, The Wall Street Journal, Bloomberg News, Le Monde Prancis, Financial Times Inggris dan Al Jazeera Qatar adalah beberapa nomor yang muncul di daftar, yang berasal dari 2016, menurut Post. Surat kabar itu tidak menyebutkan nama wartawan dalam ceritanya.

Spyware, yang dikembangkan satu dekade lalu dengan bantuan mantan mata-mata Israel, dirancang untuk dengan mudah menghindari tindakan privasi ponsel cerdas, “seperti kata sandi dan enkripsi yang kuat,” menurut Post, yang mengatakan dapat “menyerang ponsel tanpa peringatan kepada pengguna” dan “membaca apa pun di perangkat yang dapat dilakukan pengguna, sementara juga mencuri foto, rekaman, catatan lokasi, komunikasi, kata sandi, log panggilan, dan pos media sosial.”

Selengkapnya: CNN

Perangkat Android Diburu oleh Malware Windows LodaRAT

by

Varian baru dari malware LodaRAT, yang secara historis menargetkan perangkat Windows, sedang didistribusikan dalam kampanye yang sedang berlangsung yang sekarang juga memburu perangkat Android dan memata-matai korban.

Bersamaan dengan ini, versi terbaru LodaRAT untuk Windows juga telah diidentifikasi; kedua versi terlihat dalam kampanye baru-baru ini yang menargetkan Bangladesh, kata para peneliti.

Kampanye tersebut mencerminkan perubahan menyeluruh dalam strategi untuk pengembang LodaRAT, karena serangan tersebut tampaknya didorong oleh spionase daripada tujuan keuangan sebelumnya. Sementara versi LodaRAT sebelumnya berisi kemampuan mencuri kredensial yang menurut para peneliti digunakan untuk menguras rekening bank korban, versi yang lebih baru ini hadir dengan kumpulan lengkap perintah pengumpulan informasi.

LodaRAT, pertama kali ditemukan pada September 2016, adalah trojan akses jarak jauh (RAT) yang hadir dengan berbagai kemampuan untuk memata-matai korban, seperti merekam mikrofon dan webcam perangkat korban. Nama “Loda” berasal dari direktori yang dipilih pembuat malware untuk menulis log keylogger.

Versi Android dari malware LodaRAT, yang oleh para peneliti disebut “Loda4Android,” “relatif sederhana jika dibandingkan dengan malware Android lainnya,” kata para peneliti. Misalnya, RAT secara khusus menghindari teknik yang sering digunakan oleh trojan perbankan Android, seperti memanfaatkan Accessibility API, untuk mencuri data.

selengkapnya : ThreatPost

Vendor Spyware Tampaknya Membuat WhatsApp Palsu untuk Meretas Target

by

Peretas mencoba mengelabui pengguna iPhone agar memasang versi palsu WhatsApp dalam upaya potensial untuk mengumpulkan informasi tentang mereka.

Analisis teknis oleh kedua peneliti dari pengawas hak digital Citizen Lab dan Motherboard menunjukkan bahwa versi palsu WhatsApp ini memiliki kaitan dengan perusahaan pengawasan Italia, Cy4Gate.

Berita tersebut menyoroti serangan yang terkadang terabaikan pada iPhone: menipu pengguna agar menginstal file konfigurasi atau yang disebut profil Manajemen Perangkat Seluler (MDM), yang kemudian berpotensi mendorong malware ke perangkat target.

Selasa lalu, perusahaan keamanan ZecOps mengatakan dalam sebuah tweet bahwa mereka telah mendeteksi serangan terhadap pengguna WhatsApp. Perusahaan menerbitkan domain — config5-dati[.]Com — dan alamat IP yang dikatakan memiliki kaitan dengan serangan tersebut.

Kemudian Marczak dan sesama peneliti Citizen Lab Bahr Abdul Razzak melihat ke dalam domain tersebut dan menemukan sesuatu yang lain tertaut ke domain tersebut, termasuk salah satu yang menjadi host situs yang diklaim sebagai halaman untuk mengunduh WhatsApp.

Sumber: CITIZEN LAB

Marczak mengatakan file ini mengirimkan informasi ke server config1-dati, termasuk UDID, atau Pengenal Perangkat Unik yang ditetapkan ke setiap perangkat iOS oleh Apple; dan IMEI atau International Mobile Equipment Identity, kode unik lain yang mengidentifikasi sebuah ponsel.

Selengkapnya: Vice

DeathStalker APT Menambah Keseruan dengan Malware PowerPepper Malware

by

Serangkaian teknik obfuscation memanas untuk hacking-for-hire operation. Kelompok ancaman persisten lanjutan (APT) DeathStalker memiliki senjata baru yang menarik: Backdoor yang sangat tersembunyi yang oleh para peneliti dijuluki PowerPepper, digunakan untuk memata-matai sistem yang ditargetkan.

DeathStalker menawarkan layanan tentara bayaran, spionase untuk disewa yang menargetkan sektor keuangan dan hukum, menurut para peneliti di Kaspersky. Mereka mencatat bahwa grup tersebut telah ada setidaknya sejak 2012 (pertama kali terlihat pada 2018), menggunakan serangkaian teknik, taktik, dan prosedur (TTP) yang relatif dasar dan menjual jasanya kepada penawar tertinggi. Namun, pada November, kelompok itu ditemukan menggunakan implan malware baru, dengan taktik obfuscation yang berbeda.

“DeathStalker telah memanfaatkan beberapa jenis malware dan rantai pengiriman selama bertahun-tahun, dari Python dan Janicab berbasis VisualBasic, hingga Powersing berbasis PowerShell, melewati Evilnum berbasis JavaScript,” kata para peneliti dalam posting Kamis. “DeathStalker juga secara konsisten memanfaatkan teknik anti-deteksi dan penghindaran antivirus, serta rantai pengiriman yang rumit, yang akan menjatuhkan banyak file pada sistem file target.” Malware khusus ini menonjol, karena menaikkan level panas pada taktik obfuscation-nya.

sumber : ThreatPost

Aplikasi Threema & Telegram palsu yang menyembunyikan spyware untuk serangan yang ditargetkan

by

Dimulai dari sampel malware yang tidak banyak diketahui, peneliti keamanan melacak spyware Android baru yang didistribusikan melalui aplikasi perpesanan palsu seperti Threema, Telegram, dan WeMessage.

Pada April 2020, peneliti keamanan MalwareHunterTeam membuat tweet tentang spyware untuk Android yang memiliki tingkat deteksi sangat rendah di VirusTotal. Memeriksa sampel, para peneliti di ESET menemukan bahwa itu adalah bagian dari malware toolkit yang digunakan oleh aktor ancaman APT-C-23.

Sekitar dua bulan kemudian, pada bulan Juni, MalwareHunterTeam menemukan sampel baru dari malware yang sama yang disembunyikan di file instalasi aplikasi olahpesan Telegram yang tersedia dari DigitalApps, toko Android tidak resmi.

Karena solusi keamanan mereka termasuk di antara beberapa yang mendeteksi spyware baru dari APT-C-23, ESET mulai menyelidiki dan menemukan bahwa malware juga disembunyikan di aplikasi lain yang terdaftar di toko.

Mereka menemukannya di Threema, platform perpesanan yang aman, dan di AndroidUpdate, aplikasi yang menyamar sebagai pembaruan sistem untuk platform seluler.

Dengan Threema dan Telegram, korban akan mendapatkan fungsionalitas penuh dari aplikasi bersama dengan malware, sehingga menyembunyikan sifat jahat dari aplikasi palsu tersebut.

ESET mengamati bahwa daftar fitur sekarang mencakup kemungkinan aplikasi untuk membungkam pemberitahuan dari aplikasi keamanan yang terintegrasi dengan perangkat dari Samsung, Xiaomi, dan Huawei, memungkinkannya untuk tetap tersembunyi bahkan jika aktivitasnya terdeteksi.

Selain itu, spyware versi baru ini dapat membaca pemberitahuan dari aplikasi perpesanan (WhatsApp, Facebook, Telegram, Instagram, Skype, Messenger, Viber), secara efektif mencuri pesan masuk.

Spyware juga dapat merekam layar (video dan gambar) serta panggilan masuk dan keluar melalui WhatsApp. Itu juga dapat melakukan panggilan secara diam-diam, dengan membuat overlay layar hitam yang meniru telepon yang tidak aktif.

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: Bleeping Computer

Varian Spyware Android Mengintai di WhatsApp dan Telegram

by

Para peneliti mengatakan mereka telah menemukan varian spyware Android baru dengan strategi komunikasi perintah-dan-kontrol yang diperbarui dan kemampuan pengawasan yang diperluas yang dapat mengintip aplikasi media sosial WhatsApp dan Telegram.

Malware, Android/SpyC32.A, saat ini sedang digunakan dalam kampanye aktif yang menargetkan korban di Timur Tengah oleh kelompok ancaman APT-C-23 (juga dikenal sebagai Two-Tailed Scorpion dan Desert Scorpion).

Versi yang diperbarui, Android/SpyC23.A, telah ada sejak Mei 2019 dan pertama kali terdeteksi oleh para peneliti pada Juni 2020.

Versi terdokumentasi sebelumnya dari spyware ini memiliki berbagai kemampuan, termasuk kemampuan untuk mengambil gambar, merekam audio, mengeluarkan log panggilan, pesan SMS dan kontak, dan banyak lagi. Mereka akan melakukannya dengan meminta sejumlah izin invasif, menggunakan teknik mirip manipulasi psikologis untuk menipu pengguna yang tidak berpengalaman secara teknis.

Versi terbaru ini memiliki kemampuan pengawasan yang lebih luas, khususnya menargetkan informasi yang dikumpulkan dari media sosial dan aplikasi perpesanan. Spyware ini sekarang mampu merekam layar korban dan mengambil tangkapan layar, merekam panggilan masuk dan keluar di WhatsApp dan membaca teks pemberitahuan dari aplikasi media sosial, termasuk WhatsApp, Facebook, Skype dan Messenger.

Untuk menghindari menjadi korban spyware, peneliti menyarankan pengguna Android untuk hanya menginstal aplikasi dari toko aplikasi Google Play resmi dan untuk memeriksa izin aplikasi.

“Pada kasus dimana privasi, masalah akses, atau batasan lain yang menghalangi pengguna untuk mengikuti saran ini, pengguna harus lebih berhati-hati saat mengunduh aplikasi dari sumber tidak resmi,” kata peneliti.

“Kami merekomendasikan untuk memeriksa pengembang aplikasi, memeriksa ulang izin yang diminta, dan menggunakan solusi keamanan seluler yang tepercaya dan mutakhir.”

Naga Cyber Defense memiliki layanan mobile protection yang dapat melindungi Anda dari spyware. Hubungi kami atau cek daftar layanan kami untuk lebih datailnya.

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: The Threat Post

Pengguna Mac dan Linux Ditargetkan oleh Varian Baru FinSpy

by

Spyware komersial FinSpy kembali dalam kampanye yang baru-baru ini diamati terhadap organisasi dan aktivis di Mesir.

Sementara spyware sebelumnya menargetkan pengguna Windows, iOS, dan Android, para peneliti telah menemukan kampanye ini menggunakan varian baru yang menargetkan pengguna macOS dan Linux.

FinSpy adalah rangkaian perangkat lunak pengawasan lengkap, yang memiliki kemampuan untuk mencegat komunikasi korban, mengakses data pribadi, dan merekam audio dan video, menurut Amnesty International, yang mengungkap varian baru ini. Dan telah digunakan oleh penegak hukum dan lembaga pemerintah di seluruh dunia sejak 2011.

Namun, para peneliti baru-baru ini menemukan sampel FinSpy yang belum pernah dilihat sebelumnya yang telah digunakan dalam kampanye sejak Oktober 2019. Sampel ini mencakup “Jabuka.app,” varian FinSpy untuk macOS, dan “PDF”, varian FinSpy untuk Linux. Keduanya diungkapkan kepada publik Jumat lalu untuk pertama kalinya.

Peneliti mengatakan bahwa sampel FinSpy untuk macOS “menggunakan rantai yang cukup kompleks untuk menginfeksi sistem, dan pengembang mengambil tindakan untuk memperumit analisisnya.”

Sementara muatan Linux sangat mirip dengan versi macOS, yang menurut para peneliti menunjukkan potensi basis kode bersama. Namun, launcher dan rantai infeksi disesuaikan untuk bekerja pada sistem Linux, dengan file “PDF” yang diperoleh dari server menjadi skrip pendek yang berisi binari yang dikodekan untuk Linux 32bit dan 64bit.

Varian malware untuk macOS dan Linux menyertakan modul dengan kemampuan keylogging, penjadwalan, dan perekaman layar. Mereka juga memiliki kemampuan untuk mencuri email dengan memasang add-on berbahaya ke Apple Mail dan Thunderbird, yang mengirimkan email untuk dikumpulkan oleh FinSpy, dan kemampuan mengumpulkan informasi tentang jaringan Wi-Fi.

Baca berita selengkapnya pada tautan di bawah ini;
Source: The Threat Post

Sebuah Spyware Tersembunyi di Dalam Perangkat Lunak Perpajakan Cina Yang Diduga Ditanamkan Oleh Aktor Negara-Bangsa

by

Dilansir dari NBCnews.com, sebuah vendor teknologi multinasional yang melakukan bisnis di China diinstruksikan oleh bank China untuk menginstal perangkat lunak untuk membayar pajak lokal pada awal tahun ini.

Perangkat lunak pajak itu sebenarnya sah, tetapi di dalam nya tertanam sesuatu yang tidak menyenangkan, menurut laporan baru oleh sebuah perusahaan keamanan swasta, Trustwave: Sepotong malware canggih yang memberi para penyerang akses penuh ke jaringan perusahaan.

Trustwavejuga mengatakan malware itu, yang diberi nama GoldenSpy, telah aktif pada bulan April, dan karena terdeteksi awal, perusahaan tidak yakin apakah itu pekerjaan pemerintah Cina atau kelompok kriminal. Tetapi kecanggihan malware itu, dan kurangnya hasil finansial yang cepat dan jelas, tampaknya menunjuk pada aktor negara-bangsa sebagai pelakunya, kata Brian Hussey, mantan spesialis siber FBI dan wakil presiden Trustwave untuk deteksi dan respons ancaman.

Trustwave mendeteksi malware itu setelah melihat beberapa “suar” yang mencurigakan dari jaringan klien. Mereka juga menemukan bahwa spyware diaktifkan dua jam setelah perangkat lunak pajak diinstal, dan secara diam-diam memasang pintu belakang (backdoor) yang memungkinkan penyerang memasang malware lain di dalam jaringan.

Kode berbahaya itu sangat canggih, kata Hussey. Ia memiliki apa yang disebutnya sebagai triple layer of persistence. GoldenSpy menginstal dirinya sendiri pada dua lokasi berbeda di jaringan, dan jika satu dihapus, secera otomatis akan mengaktifkan yang lainnya. Ada juga yang disebut modul pelindung, yang akan mengunduh dan menginstal salinan lain jika keduanya dihapus.

“Pada titik ini, kami tidak dapat menentukan seberapa luas penyebaran perangkat lunak ini,” kata laporan itu. “Kami saat ini mengetahui satu vendor teknologi / perangkat lunak yang ditargetkan dan kejadian yang sangat mirip terjadi di sebuah lembaga keuangan besar, tetapi ini dapat dimanfaatkan terhadap banyak perusahaan yang beroperasi dan membayar pajak di Cina atau mungkin ditargetkan hanya pada beberapa organisasi terpilih dengan akses ke informasi penting.”

“Kampanye GoldenSpy memiliki karakteristik yang sama dengan kampanye Advanced Persistent Threat (APT) terkoordinasi yang menargetkan perusahaan asing yang beroperasi di China,” kata laporan Trustwave.

Berita selengkapnya dapat dibaca pada tautan dibawah ini;
Source: NBC News