Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for News

Aplikasi Google Play Store Berbahaya Terlihat Mendistribusikan Trojan Xenomorph Banking

by

Google telah menghapus dua aplikasi dropper jahat baru yang telah terdeteksi di Play Store untuk Android, salah satunya dianggap sebagai aplikasi gaya hidup dan diketahui mendistribusikan malware perbankan Xenomorph.

“Xenomorph adalah trojan yang mencuri kredensial dari aplikasi perbankan di perangkat pengguna,” kata peneliti Zscaler ThreatLabz Himanshu Sharma dan Viral Gandhi dalam analisis yang diterbitkan Kamis.

dua aplikasi malicious/berbahaya adalah sebagai berikut

  • Todo: Day manager (com.todo.daymanager)
  • 経費キーパー (com.setprice.expenses)

Xenomorph, pertama kali didokumentasikan oleh ThreatFabric awal Februari ini, diketahui menyalahgunakan izin aksesibilitas Android untuk melakukan serangan overlay, di mana layar login palsu ditampilkan di atas aplikasi bank yang sah untuk mencuri kredensial korban.

Terlebih lagi, malware memanfaatkan deskripsi saluran Telegram untuk memecahkan kode dan membangun domain command-and-control (C2) yang digunakan untuk menerima perintah tambahan.

Perkembangan tersebut mengikuti penemuan empat aplikasi jahat di Google Play yang ditemukan mengarahkan korban ke situs web jahat sebagai bagian dari kampanye pencurian informasi dan adware. Google mengatakan kepada The Hacker News bahwa sejak itu mereka telah melarang pengembang.

sumber : the hacker news

Penipuan pemerasan baru mengancam merusak reputasi situs, membocorkan data

by

Penipuan pemerasan aktif menargetkan pemilik situs web dan admin di seluruh dunia, mengklaim telah meretas server mereka dan menuntut $2.500 agar tidak membocorkan data.

Para penyerang (dijuluki sendiri Tim Montesano) mengirim email dengan subjek “Situs web, basis data, dan email Anda telah diretas”.

Email tersebut tampaknya tidak ditargetkan, dengan penerima permintaan tebusan dari semua vertikal, termasuk blogger pribadi, lembaga pemerintah, dan perusahaan besar.

Penipuan ini begitu tersebar luas sehingga reporter kami sendiri Axe Sharma dan Apakah Saya Telah Dilanggar menciptakan Troy Hunt juga telah menerima upaya pemerasan ini.

Pesan spam memperingatkan bahwa peretas akan membocorkan data yang dicuri, merusak reputasi mereka, dan membuat situs tersebut masuk daftar hitam spam jika target tidak melakukan pembayaran sebesar $2.500.

Email pemerasan reputasi situs web (Ax Sharma)

untuk email yang lengkap dapat dilihat dari

email lengkap : bleeping computer

Dari email pemerasan yang dilihat oleh BleepingComputer, pelaku ancaman saat ini menggunakan dua alamat bitcoin.

  • 3Fyjqj5WutzSVJ8DnKrLgZFEAxVz6Pddn7
  • 3PmYSqtG5x5bGNrsYUy5DGtu93qNtsaPRH

Sayangnya, transaksi bitcoin ke dompet 3Fyjqj5WutzSVJ8DnKrLgZFEAxVz6Pddn7 menunjukkan bahwa seseorang mungkin telah membayar permintaan pemerasan tersebut.

Meskipun email ini bisa menakutkan bagi pemilik situs web yang menerimanya, penting untuk diingat bahwa itu hanyalah penipuan.

Sejak musim panas 2018, ketika BleepingComputer mulai melaporkan penipuan ini, pelaku ancaman berada di balik berbagai macam penipuan pemerasan email.

sumber : bleeping computer

Pemilik ponsel Android Secara Tidak Sengaja menemukan cara untuk melewati layar kunci

by

Peneliti keamanan siber David Schütz secara tidak sengaja menemukan cara untuk melewati layar kunci pada ponsel cerdas Google Pixel 6 dan Pixel 5 yang sepenuhnya ditambal, memungkinkan siapa pun yang memiliki akses fisik ke perangkat untuk membuka kuncinya.

Memanfaatkan kerentanan untuk melewati layar kunci pada ponsel Android adalah proses lima langkah sederhana yang tidak akan memakan waktu lebih dari beberapa menit.

Temuan tidak disengaja
setelah Pixel 6 kehabisan baterai, salah memasukkan PIN tiga kali, dan memulihkan kartu SIM yang terkunci menggunakan kode PUK (Personal Unblocking Key).

Yang mengejutkan, setelah membuka kunci SIM dan memilih PIN baru, perangkat tidak meminta kata sandi layar kunci tetapi hanya meminta pemindaian sidik jari.

Perangkat Android selalu meminta kata sandi layar kunci atau pola saat reboot untuk alasan keamanan, jadi langsung membuka kunci sidik jari tidak normal.

Penyerang dapat dengan mudah menggunakan kartu SIM mereka sendiri pada perangkat target, menonaktifkan otentikasi biometrik (dengan mencoba membuka kunci sidik jari terlalu sering), memasukkan PIN yang salah tiga kali, memberikan nomor PUK, dan mengakses perangkat korban tanpa batasan.

Google’s patching

Schütz melaporkan kelemahan tersebut ke Google pada Juni 2022, dan meskipun raksasa teknologi tersebut mengakui penerimaan tersebut dan menetapkan ID CVE dari CVE-2022-20465, mereka tidak merilis perbaikan hingga 7 November 2022.

Solusi Google adalah menyertakan parameter baru untuk metode keamanan yang digunakan di setiap panggilan “tutup” sehingga panggilan tersebut menutup jenis layar keamanan tertentu dan bukan hanya yang berikutnya dalam tumpukan.

Pada akhirnya, meskipun laporan Schütz merupakan duplikat, Google membuat pengecualian dan memberi peneliti $70.000 untuk penemuannya.

sumber : bleeping computer

Dua Kampanye Spyware Android yang Menargetkan Uyghurs

by Leave a Comment

Dua kampanye pengawasan jangka panjang telah ditemukan menargetkan komunitas Uyghur di China dan di tempat lain dengan alat spyware Android yang dirancang untuk mengumpulkan informasi sensitif dan melacak keberadaan mereka.

Ini mencakup jenis malware yang sebelumnya tidak terdokumentasi yang disebut BadBazaar dan varian terbaru dari artefak spionase yang dijuluki MOONSHINE oleh para peneliti dari Citizen Lab Universitas Toronto pada September 2019.

BadBazaar, setelah diinstal, hadir dengan beberapa fitur yang memungkinkannya mengumpulkan log panggilan, lokasi GPS, pesan SMS, dan file yang diinginkan; merekam panggilan telepon; ambil foto; dan mengekstrak metadata perangkat yang substansial.

Serangan yang menggunakan MOONSHINE, dalam nada yang sama, telah menggunakan lebih dari 50 aplikasi berbahaya sejak Juli 2022 yang direkayasa untuk mengumpulkan data pribadi dari perangkat yang terinfeksi, selain merekam audio dan mengunduh file sewenang-wenang.

Perkembangan ini juga mengikuti laporan dari Google Project Zero minggu lalu, yang mengungkap bukti vendor pengawasan komersial yang tidak disebutkan namanya mempersenjatai tiga kelemahan keamanan zero-day di ponsel Samsung dengan chip Exynos yang menjalankan kernel versi 4.14.113. Lubang keamanan dipasang oleh Samsung pada Maret 2021.

Yang mengatakan, raksasa pencarian mengatakan eksploitasi mencerminkan pola yang mirip dengan kompromi baru-baru ini di mana aplikasi Android berbahaya disalahgunakan untuk menargetkan pengguna di Italia dan Kazakhstan dengan implan yang disebut Hermit, yang telah dikaitkan dengan perusahaan Italia RCS Lab.

sumber : the hacker news

Departemen Kesehatan AS memperingatkan tentang ransomware Venus yang menargetkan organisasi perawatan kesehatan

by

Departemen Kesehatan dan Layanan Kemanusiaan AS (HHS) hari ini memperingatkan bahwa serangan ransomware Venus juga menargetkan organisasi perawatan kesehatan negara itu.

Dalam catatan analis yang dikeluarkan oleh Pusat Koordinasi Keamanan Siber Sektor Kesehatan (HC3), tim keamanan HHS juga menyebutkan bahwa mereka mengetahui setidaknya satu insiden di mana ransomware Venus dikerahkan pada jaringan organisasi perawatan kesehatan AS.

Namun, tidak ada situs kebocoran data yang diketahui bahwa aktor ancaman yang menyebarkan ransomware Venus diketahui digunakan untuk menerbitkan data curian secara online, menurut laporan HC3.

“HC3 mengetahui setidaknya satu entitas perawatan kesehatan di Amerika Serikat yang menjadi korban ransomware Venus baru-baru ini,” laporan itu memperingatkan.

“Operator Venus ransomware tidak diyakini beroperasi sebagai model ransomware-as-a-service (RaaS) dan tidak ada situs kebocoran data (DLS) terkait saat ini.”

Otoritas federal AS telah memperingatkan tentang operasi ransomware lain yang menargetkan organisasi perawatan kesehatan di seluruh Amerika Serikat tahun ini.

Peringatan sebelumnya termasuk peringatan aktor ancaman yang menyebarkan muatan ransomware Maui dan Zeppelin dalam serangan terhadap organisasi Kesehatan dan Kesehatan Masyarakat (HPH).

CISA, FBI, dan HHS juga memperingatkan bulan lalu bahwa kelompok kejahatan dunia maya yang dikenal sebagai Tim Daixin menargetkan sektor HPH dalam serangan ransomware yang sedang berlangsung.

Last but not least, perusahaan manajemen piutang layanan lengkap Professional Finance Company Inc (PFC) mengungkapkan dalam pemberitahuan pelanggaran data bahwa serangan ransomware Quantum dari akhir Februari menyebabkan pelanggaran data yang berdampak pada 657 organisasi perawatan kesehatan.

Namun, serangan itu bisa memiliki dampak yang jauh lebih signifikan karena PFC membantu ribuan organisasi layanan kesehatan, pemerintah, dan utilitas AS untuk memastikan bahwa pelanggan mereka membayar tagihan tepat waktu.

Selengkapnya: Bleeping Computer

Google mengatakan vendor pengawasan menargetkan ponsel Samsung dengan zero-days

by

Google mengatakan memiliki bukti bahwa vendor pengawasan komersial mengeksploitasi tiga kerentanan keamanan zero-day yang ditemukan di smartphone Samsung yang lebih baru.

Kerentanan, ditemukan dalam perangkat lunak yang dibuat khusus Samsung, digunakan bersama sebagai bagian dari rantai eksploitasi untuk menargetkan ponsel Samsung yang menjalankan Android. Kerentanan yang dirantai memungkinkan penyerang untuk mendapatkan hak baca dan tulis kernel sebagai pengguna root, dan pada akhirnya mengekspos data perangkat.

Peneliti keamanan Google Project Zero Maddie Stone mengatakan dalam sebuah posting blog bahwa rantai eksploitasi menargetkan ponsel Samsung dengan chip Exynos yang menjalankan versi kernel tertentu. Ponsel Samsung dijual dengan chip Exynos terutama di Eropa, Timur Tengah, dan Afrika, yang kemungkinan merupakan lokasi target pengawasan.

Stone mengatakan ponsel Samsung yang menjalankan kernel yang terpengaruh pada saat itu termasuk S10, A50, dan A51.

Cacatnya, sejak ditambal, dieksploitasi oleh aplikasi Android berbahaya, yang mungkin telah ditipu oleh pengguna untuk dipasang dari luar app store. Aplikasi berbahaya memungkinkan penyerang untuk keluar dari kotak pasir aplikasi yang dirancang untuk menampung aktivitasnya, dan mengakses sistem operasi perangkat lainnya. Hanya komponen dari aplikasi exploit yang diperoleh, kata Stone, jadi tidak diketahui apa muatan terakhirnya, bahkan jika tiga kerentanan membuka jalan untuk pengiriman akhirnya.

“Kerentanan pertama dalam rantai ini, file arbitrer membaca dan menulis, adalah dasar dari rantai ini, digunakan empat kali berbeda dan digunakan setidaknya sekali dalam setiap langkah,” tulis Stone. “Komponen Java di perangkat Android cenderung tidak menjadi target paling populer bagi peneliti keamanan meskipun berjalan pada tingkat yang sangat istimewa,” kata Stone.

Selengkapnya: Tech Crunch

Thales mengonfirmasi peretas telah merilis datanya di DarkWeb

by

11 November (Reuters) – Kelompok pertahanan dan teknologi Prancis Thales (TCFP.PA) mengatakan pada hari Jumat data yang berkaitan dengan kelompok tersebut telah dirilis pada “platform publikasi” dari kelompok peretas LockBit 3.0, membenarkan laporan media.

Data tersebut dirilis pada 10 November, kata Thales, yang menyediakan teknologi canggih dalam pertahanan, aeronautika, luar angkasa, transportasi, dan keamanan digital.

“Pada tahap ini, Thales dapat memastikan bahwa tidak ada gangguan pada sistem TI-nya,” tambahnya.

Dikatakan saat ini tidak ada dampak pada operasinya.

Pakar kelompok telah mengidentifikasi satu dari dua kemungkinan sumber pencurian data dan terus menyelidiki yang kedua, katanya. Hal ini juga bekerja untuk meminimalkan dampak potensial.

Perusahaan itu mengatakan pada hari Selasa bahwa pihaknya telah membuka penyelidikan internal dan memberi tahu badan keamanan siber nasional ANSSI

Thales mengatakan minggu ini bahwa kelompok pemerasan dan ransomware berbahasa Rusia telah mengklaim telah mencuri beberapa datanya, dengan rencana untuk mempublikasikannya pada 7 November.

Sahamnya, yang turun sebanyak 8,5%, adalah yang berkinerja terburuk pada indeks SBF 120 berkapitalisasi besar dan menengah Prancis (.SBF120).

Selengkapnya: Reuters

Driver utama Lenovo menimbulkan risiko keamanan bagi pengguna 25 model notebook

by

Lebih dari dua lusin model notebook Lenovo rentan terhadap peretasan berbahaya yang menonaktifkan proses boot aman UEFI dan kemudian menjalankan aplikasi UEFI yang tidak ditandatangani atau memuat bootloader yang secara permanen menutup perangkat.

Peneliti keamanan ESET juga mengungkapkan kerentanan, pembuat notebook merilis pembaruan keamanan untuk 25 model, termasuk ThinkPads, Yoga Slims, dan IdeaPads. Kerentanan yang merusak boot aman UEFI bisa serius karena memungkinkan penyerang untuk menginstal firmware berbahaya yang bertahan dari beberapa penginstalan ulang sistem operasi.

Unified Extensible Firmware Interface UEFI adalah perangkat lunak yang menjembatani firmware perangkat komputer dengan sistem operasinya. Sebagai bagian kode pertama yang dijalankan ketika hampir semua mesin modern dihidupkan, ini adalah tautan pertama dalam rantai keamanan.

Karena UEFI berada dalam chip flash pada motherboard, infeksi sulit untuk dideteksi dan dihilangkan. Tindakan umum seperti menghapus hard drive dan menginstal ulang OS tidak memiliki dampak yang berarti karena infeksi UEFI hanya akan menginfeksi ulang komputer setelahnya.

ESET mengatakan kerentanan—dilacak sebagai CVE-2022-3430, CVE-2022-3431, dan CVE-2022-3432—“memungkinkan penonaktifan UEFI Secure Boot atau memulihkan database Secure Boot default pabrik (termasuk dbx): semuanya hanya dari OS .” Boot aman menggunakan database untuk mengizinkan dan menolak mekanisme. Basis data DBX, khususnya, menyimpan hash kriptografi dari kunci yang ditolak. Menonaktifkan atau memulihkan nilai default dalam database memungkinkan penyerang menghapus batasan yang biasanya ada.

Menonaktifkan UEFI Secure Boot membebaskan penyerang untuk mengeksekusi aplikasi UEFI berbahaya, sesuatu yang biasanya tidak mungkin dilakukan karena boot aman memerlukan aplikasi UEFI untuk ditandatangani secara kriptografis.

Memulihkan DBX default pabrik, sementara itu, memungkinkan penyerang memuat bootloader yang rentan. Pada bulan Agustus, peneliti dari perusahaan keamanan Eclypsium mengidentifikasi tiga driver perangkat lunak terkemuka yang dapat digunakan untuk mem-bypass boot aman ketika penyerang memiliki hak yang lebih tinggi, yang berarti administrator di Windows atau root di Linux.

Kerentanan dapat dieksploitasi dengan mengutak-atik variabel di NVRAM, RAM non-volatil yang menyimpan berbagai opsi boot. Kerentanan adalah hasil dari Lenovo keliru mengirimkan Notebook dengan driver yang dimaksudkan untuk digunakan hanya selama proses pembuatan. Kerentanannya adalah:

  • CVE-2022-3430: Potensi kerentanan dalam driver Pengaturan WMI pada beberapa perangkat Notebook Lenovo konsumen dapat memungkinkan penyerang dengan hak istimewa yang lebih tinggi untuk mengubah pengaturan boot aman dengan mengubah variabel NVRAM.
  • CVE-2022-3431: Potensi kerentanan pada driver yang digunakan selama proses pembuatan pada beberapa perangkat Notebook Lenovo konsumen yang secara keliru tidak dinonaktifkan dapat memungkinkan penyerang dengan hak istimewa yang lebih tinggi untuk mengubah pengaturan boot aman dengan mengubah variabel NVRAM.
  • CVE-2022-3432: Potensi kerentanan pada driver yang digunakan selama proses pembuatan pada Ideapad Y700-14ISK yang secara keliru tidak dinonaktifkan dapat memungkinkan penyerang dengan hak istimewa yang lebih tinggi untuk mengubah pengaturan boot aman dengan menyesuaikan variabel NVRAM.

Lenovo hanya menambal dua yang pertama. CVE-2022-3432 tidak akan ditambal karena perusahaan tidak lagi mendukung Ideapad Y700-14ISK, model notebook akhir masa pakai yang terpengaruh.

Sumber: Arstechnica