Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for News

USB Rubber Ducky yang baru lebih berbahaya dari sebelumnya

by

Alat peretasan yang sangat disukai memiliki inkarnasi baru, dirilis bertepatan dengan konferensi peretasan Def Con tahun ini, dan pencipta Darren Kitchen siap menjelaskannya kepada The Verge.

APA ITU?

Di mata manusia, USB Rubber Ducky terlihat seperti flash drive USB yang biasa-biasa saja. Jika dipasangkan ke komputer, mesin melihatnya sebagai keyboard USB — yang berarti ia menerima perintah penekanan tombol dari perangkat sama seperti jika seseorang mengetiknya.

Rubber Ducky asli dirilis lebih dari 10 tahun yang lalu dan menjadi favorit penggemar di kalangan peretas (bahkan ditampilkan dalam adegan Mr. Robot). Ada sejumlah pembaruan tambahan sejak itu, tetapi Rubber Ducky terbaru membuat lompatan ke depan dengan serangkaian fitur baru yang membuatnya jauh lebih fleksibel dan kuat dari sebelumnya.

APA YANG RUBBER DUCKY BISA LAKUKAN?

versi Rubber Ducky sebelumnya dapat melakukan serangan seperti membuat kotak pop-up Windows palsu untuk memanen kredensial login pengguna atau menyebabkan Chrome mengirim semua kata sandi yang disimpan ke server web penyerang. Tetapi serangan ini harus dibuat dengan hati-hati untuk sistem operasi dan versi perangkat lunak tertentu dan tidak memiliki fleksibilitas untuk bekerja di seluruh platform.

Rubber Ducky terbaru bertujuan untuk mengatasi keterbatasan tersebut. Ini dibuat dengan peningkatan besar ke bahasa pemrograman DuckyScript, yang digunakan untuk membuat perintah yang akan dimasukkan Rubber Ducky ke mesin target.

Sementara versi sebelumnya sebagian besar terbatas pada penulisan urutan penekanan tombol, DuckyScript 3.0 adalah bahasa yang kaya fitur, memungkinkan pengguna menulis fungsi, menyimpan variabel, dan menggunakan kontrol aliran logika.

SEBERAPA BESAR ANCAMANNYA?

Singkatnya, ini bisa menjadi masalah besar, tetapi kebutuhan akan akses perangkat fisik berarti kebanyakan orang tidak berisiko menjadi target.

Menurut Kitchen, Rubber Ducky baru adalah produk perusahaannya yang paling laris di Def Con, dan 500 atau lebih unit yang dibawa Hak5 ke konferensi terjual habis pada hari pertama.

Selengkapnya: The Verge

Penipu menggunakan taktik licik ini untuk menipu Korban agar menyerahkan detail bank dan kata sandi

by

Ada peningkatan besar dalam kejahatan siber yang menggabungkan email penipuan dan panggilan telepon untuk mengelabui korban agar mengungkapkan informasi sensitif seperti kata sandi dan detail bank.

Dikenal sebagai serangan vishing, penjahat dan penipu menelepon korban dan mencoba menggunakan rekayasa sosial untuk mengelabui mereka agar menyerahkan data pribadi.

Sekarang, dalam upaya untuk membuat serangan vishing terlihat lebih sah, penjahat siber menggunakan apa yang peneliti keamanan siber di Agari, oleh HelpSystems gambarkan sebagai serangan vishing ‘hybrid’.

Ini berbeda dengan serangan vishing biasa karena mereka menggunakan beberapa tahapan yang berbeda, pertama menghubungi korban dengan iming-iming email phishing yang berisi nomor telepon yang diminta untuk mereka hubungi. Email akan sering mengklaim keadaan mendesak untuk membuat target panik untuk memanggil nomor tersebut.

Saat korban menelepon, mereka terhubung dengan scammer yang mengklaim mencoba mengekstrak informasi sensitif dari mereka dengan alasan palsu untuk membantu korban memperbaiki masalah palsu yang telah diberitahukan kepada mereka.

Tidak seperti banyak email phishing, email tersebut tidak berisi lampiran atau tautan berbahaya, sehingga lebih mudah melewati filter spam dan perlindungan anti-virus.

Para peneliti memperingatkan bahwa vishing dan serangan phishing berbasis email lainnya akan terus menjadi masalah. Ada beberapa langkah yang dapat dilakukan oleh organisasi untuk membantu mencegah serangan seperti, kemampuan untuk secara otomatis mendeteksi dan menghapus ancaman dari semua kotak masuk karyawan yang terinfeksi sebelum pengguna dapat berinteraksi dengan mereka. Serta pelatihan keamanan yang tepat, untuk mempersiapkan pengguna agar waspada terhadap ancaman tersebut.

Selengkapnya: ZDNet

Twilio hack mengekspos nomor telepon Signal dari 1.900 pengguna

by

Nomor telepon hampir 1.900 pengguna Signal terkena pelanggaran data yang diderita perusahaan komunikasi awan Twilio pada awal bulan.

Twilio menyediakan layanan verifikasi nomor telepon untuk Signal dan minggu lalu mengungkapkan bahwa seorang penyerang meretas jaringannya pada 4 Agustus.

Perusahaan komunikasi mengkonfirmasi bahwa data milik 125 pelanggannya terungkap setelah peretas memperoleh akses ke akun karyawan Twilio dengan mengirimi mereka pesan teks dengan tautan berbahaya.

Signal hari ini menerbitkan sebuah nasihat untuk penggunanya yang memberi tahu mereka bagaimana serangan siber di Twilio berdampak pada mereka:

Tetapi untuk sekitar 1.900 pengguna Signal, nomor telepon mereka berpotensi terpapar ke penyerang Twilio, yang bisa saja mencoba mendaftarkan mereka ke perangkat lain.

Penyelidikan Signal atas insiden tersebut menyimpulkan bahwa akses peretas ke konsol dukungan pelanggan Twilio memungkinkan mereka untuk melihat bahwa nomor telepon ditautkan ke akun Signal atau mengungkapkan kode verifikasi SMS untuk mendaftar ke layanan tersebut.

Layanan pesan instan terenkripsi mengatakan bahwa dari 1.900 nomor telepon, penyerang “mencari secara eksplisit” untuk tiga di antaranya. Salah satu pengguna ini melaporkan bahwa akun mereka telah didaftarkan ulang.

Signal meyakinkan pengguna bahwa riwayat pesan tetap aman setiap saat karena hanya tersedia di perangkat tanpa salinan di server layanan.

Daftar kontak dan informasi profil dilindungi oleh PIN Sinyal, yang tidak dapat diakses selama pelanggaran data Twilio.

Perusahaan memperingatkan bahwa jika penyerang mendaftarkan ulang akun ke salah satu perangkat mereka, mereka akan dapat mengirim dan menerima pesan Signal dari nomor telepon itu.

Semua 1.900 pengguna Signal yang terpengaruh akan dibatalkan pendaftarannya di semua perangkat dan mereka harus melalui proses pendaftaran di perangkat mereka.

Signal sekarang dalam proses mengirim pesan SMS ke pengguna yang terkena dampak untuk memberi tahu mereka tentang risikonya dan berharap untuk menyelesaikan prosesnya besok.

Pengguna yang terkena dampak akan menerima pesan yang berbunyi: “Ini dari Signal Messenger. Kami menghubungi Anda agar Anda dapat melindungi akun Signal Anda. Buka Signal dan daftar lagi. Info lebih lanjut: https://support.signal.org/hc/en-us/articles/4850133017242

Saat membuka aplikasi Signal, mereka juga akan melihat spanduk yang memberi tahu mereka bahwa perangkat mereka tidak lagi terdaftar, jika mereka menggunakan layanan baru-baru ini.

Signal mendorong pengguna untuk mengaktifkan opsi kunci pendaftaran, yang memungkinkan pemulihan profil, pengaturan, kontak, dan pengguna yang diblokir. Fitur ini dapat diaktifkan atau dinonaktifkan hanya dari perangkat dan memerlukan PIN Sinyal sebagai lapisan verifikasi tambahan.

Sumber: Bleeping Computer

Google Didenda $40 juta+ Karena Menyesatkan Pengaturan Pelacakan Lokasi di Android

by

Google telah dikenai sanksi A $ 60 juta (sekitar $ 40 juta +) di Australia atas pengaturan Android yang telah diterapkannya, sejak sekitar lima tahun, yang ditemukan – dalam putusan pengadilan 2021 – telah menyesatkan konsumen tentang pengumpulan data lokasinya.

Komisi Persaingan & Konsumen Australia (ACCC) memulai proses hukum terhadap Google dan anak perusahaannya di Australia pada Oktober 2019, membawa raksasa teknologi itu ke pengadilan karena membuat pernyataan menyesatkan kepada konsumen tentang pengumpulan dan penggunaan data lokasi pribadi mereka di ponsel Android, antara Januari 2017 dan Desember 2018.

Pada April 2021, pengadilan menemukan Google telah melanggar Undang-Undang Konsumen Australia ketika menyatakan kepada beberapa pengguna Android bahwa pengaturan “Riwayat Lokasi” adalah satu-satunya pengaturan akun Google yang memengaruhi apakah itu mengumpulkan, menyimpan, dan menggunakan data pengenal pribadi tentang lokasi mereka.

Sebenarnya, pengaturan lain — yang disebut ‘Aktivitas Web & Aplikasi’ — juga memungkinkan Google untuk mengambil data lokasi pengguna Android dan ini diaktifkan secara default, seperti yang dicatat oleh ACCC dalam siaran pers hari ini. Alias, pola gelap klasik.

Regulator memperkirakan bahwa pengguna sekitar 1,3 juta akun Google di Australia mungkin telah melihat layar yang ditemukan oleh Pengadilan telah melanggar Undang-Undang Konsumen.

“Hukuman signifikan yang dijatuhkan oleh Pengadilan hari ini mengirimkan pesan yang kuat ke platform digital dan bisnis lain, besar dan kecil, bahwa mereka tidak boleh menyesatkan konsumen tentang bagaimana data mereka dikumpulkan dan digunakan,” kata ketua ACCC, Gina Cass-Gottlieb, dalam sebuah pernyataan.

“Google, salah satu perusahaan terbesar di dunia, dapat menyimpan data lokasi yang dikumpulkan melalui pengaturan ‘Aktivitas Web & Aplikasi’ dan data yang disimpan tersebut dapat digunakan oleh Google untuk menargetkan iklan ke beberapa konsumen, bahkan jika konsumen tersebut memiliki ‘ Setelan Riwayat Lokasi dimatikan.”

“Data lokasi pribadi sensitif dan penting bagi beberapa konsumen, dan beberapa pengguna yang melihat representasi mungkin telah membuat pilihan berbeda tentang pengumpulan, penyimpanan, dan penggunaan data lokasi mereka jika representasi yang menyesatkan tidak dibuat oleh Google,” dia ditambahkan.

Menurut ACCC, Google mengambil langkah-langkah untuk memperbaiki perilaku yang melanggar pada 20 Desember 2018, yang berarti konsumen di negara tersebut tidak lagi diperlihatkan layar yang menyesatkan.

Pada saat putusan pengadilan tahun lalu, Google mengatakan tidak setuju dengan temuan tersebut dan sedang mempertimbangkan banding. Tapi, dalam acara tersebut, ia memutuskan untuk mengambil benjolan.

(Ini tidak seberat jika pelanggaran terjadi baru-baru ini: ACCC mencatat bahwa sebagian besar tindakan yang dikenai sanksi terjadi sebelum September 2018 sebelum hukuman maksimum untuk pelanggaran Undang-Undang Konsumen ditingkatkan secara substansial — dari $1,1 juta per pelanggaran hingga — sejak saat itu — lebih tinggi dari $10 juta, 3x nilai manfaat yang diperoleh atau, jika nilainya tidak dapat ditentukan, 10% dari omset.)

Pengadilan juga telah memerintahkan Google untuk memastikan kebijakannya mencakup komitmen terhadap kepatuhan, dan persyaratan bahwa Google melatih staf tertentu tentang Hukum Konsumen negara tersebut, serta membayar kontribusi untuk biaya ACCC.

Google dihubungi untuk mengomentari sanksi tersebut. Seorang juru bicara perusahaan mengirimi kami pernyataan ini:

Kami dapat mengonfirmasi bahwa kami telah setuju untuk menyelesaikan masalah tentang perilaku historis dari 2017-2018. Kami telah banyak berinvestasi dalam membuat informasi lokasi mudah dikelola dan mudah dipahami dengan alat pertama di industri seperti kontrol hapus otomatis, sekaligus meminimalkan jumlah data yang disimpan secara signifikan. Seperti yang telah kami tunjukkan, kami berkomitmen untuk membuat pembaruan berkelanjutan yang memberikan kontrol dan transparansi kepada pengguna, sekaligus menyediakan produk yang paling bermanfaat.

Selengkapnya: TechCrunch

Peretas di Balik Serangan Ransomware Kuba Menggunakan Malware RAT Baru

by

Pelaku ancaman yang terkait dengan ransomware Kuba telah dikaitkan dengan taktik, teknik, dan prosedur (TTP) yang sebelumnya tidak terdokumentasi, termasuk trojan akses jarak jauh baru yang disebut ROMCOM RAT pada sistem yang disusupi.

Temuan baru datang dari tim intelijen ancaman Unit 42 Palo Alto Networks, yang melacak kelompok ransomware pemerasan ganda di bawah moniker bertema konstelasi Tropical Scorpius.

Cuba ransomware (alias COLDDRAW), yang pertama kali terdeteksi pada Desember 2019, muncul kembali di lanskap ancaman pada November 2021 dan telah dikaitkan dengan serangan terhadap 60 entitas di lima sektor infrastruktur penting, mengumpulkan setidaknya $ 43,9 juta dalam pembayaran tebusan.

Dari 60 korban yang terdaftar di situs kebocoran datanya, 40 berada di AS, menunjukkan distribusi global organisasi yang ditargetkan tidak seperti geng ransomware lainnya.

“Ransomware Kuba didistribusikan melalui malware Hancitor, pemuat yang dikenal menjatuhkan atau mengeksekusi pencuri, seperti Remote Access Trojans (RAT) dan jenis ransomware lainnya, ke jaringan korban,” menurut peringatan Desember 2021 dari Biro Federal AS. Investigasi (FBI).

“Aktor malware Hancitor menggunakan email phishing, kerentanan Microsoft Exchange, kredensial yang disusupi, atau alat Remote Desktop Protocol (RDP) yang sah untuk mendapatkan akses awal ke jaringan korban.”

Dalam bulan-bulan berikutnya, operasi ransomware menerima peningkatan substansial dengan tujuan untuk “mengoptimalkan pelaksanaannya, meminimalkan perilaku sistem yang tidak diinginkan, dan memberikan dukungan teknis kepada korban ransomware jika mereka memilih untuk bernegosiasi,” kata Trend Micro pada bulan Juni.

Perubahan utama meliputi penghentian lebih banyak proses sebelum enkripsi (yaitu Microsoft Outlook, Exchange, dan MySQL), memperluas jenis file yang akan dikecualikan, dan revisi catatan tebusan untuk menawarkan dukungan korban melalui quTox.

Tropical Scorpius juga diyakini berbagi koneksi dengan pasar pemerasan data yang disebut Industrial Spy, seperti yang dilaporkan oleh Bleeping Computer pada Mei 2022, dengan data yang dieksfiltrasi menyusul serangan ransomware Kuba yang diposting untuk dijual di portal terlarang alih-alih situs kebocoran datanya sendiri.

Pembaruan terbaru yang diamati oleh Unit 42 pada Mei 2022 berkaitan dengan taktik penghindaran pertahanan yang digunakan sebelum penyebaran ransomware untuk terbang di bawah radar dan bergerak secara lateral melintasi lingkungan TI yang disusupi.

Tropical Scorpius memanfaatkan penetes yang menulis driver kernel ke sistem file yang disebut ApcHelper.sys,” kata perusahaan itu. “Ini menargetkan dan menghentikan produk keamanan. Dropper tidak ditandatangani, namun driver kernel ditandatangani menggunakan sertifikat yang ditemukan di kebocoran LAPSUS$ NVIDIA.”

Tugas utama driver kernel adalah untuk menghentikan proses yang terkait dengan produk keamanan untuk menghindari deteksi. Juga tergabung dalam rantai serangan adalah alat eskalasi hak istimewa lokal yang diunduh dari server jauh untuk mendapatkan izin SISTEM.

Ini, pada gilirannya, dicapai dengan memicu eksploitasi untuk CVE-2022-24521 (skor CVSS: 7.8), sebuah cacat pada Sistem File Log Umum Windows (CLFS) yang ditambal oleh Microsoft sebagai cacat nol hari pada April 2022 .

Langkah eskalasi hak istimewa diikuti dengan melakukan pengintaian sistem dan aktivitas gerakan lateral melalui alat seperti ADFind dan Net Scan, sementara juga menggunakan utilitas ZeroLogon yang mengeksploitasi CVE-2020-1472 untuk mendapatkan hak administrator domain.

Lebih lanjut, penyusupan tersebut membuka jalan bagi penyebaran pintu belakang baru yang disebut ROMCOM RAT, yang dilengkapi untuk memulai shell terbalik, menghapus file arbitrer, mengunggah data ke server jauh, dan memanen daftar proses yang sedang berjalan.

Trojan akses jarak jauh, per Unit 42, dikatakan sedang dalam pengembangan aktif, ketika perusahaan keamanan siber menemukan sampel kedua yang diunggah ke database VirusTotal pada 20 Juni 2022.

Varian yang ditingkatkan hadir dengan dukungan untuk serangkaian 22 perintah yang diperluas, menghitung kemampuan untuk mengunduh muatan yang dipesan lebih dahulu untuk menangkap tangkapan layar serta mengekstrak daftar semua aplikasi yang diinstal untuk dikirim kembali ke server jarak jauh.

“Scorpius tropis tetap menjadi ancaman aktif,” kata para peneliti. “Aktivitas grup memperjelas bahwa pendekatan untuk tradecraft menggunakan hibrida dari alat yang lebih bernuansa yang berfokus pada internal Windows tingkat rendah untuk penghindaran pertahanan dan eskalasi hak istimewa lokal bisa sangat efektif selama intrusi.

Temuan ini muncul saat kelompok ransomware yang muncul seperti Stormous, Vice Society, Luna, SolidBit, dan BlueSky terus berkembang biak dan berkembang di ekosistem kejahatan dunia maya, pada saat yang sama menggunakan teknik enkripsi dan mekanisme pengiriman canggih.

Sumber: The Hacker News

Aplikasi Facebook dan Instagram Dapat Melacak Pengguna Melalui Browser dalam Aplikasi Mereka

by

Jika Anda mengunjungi situs web yang Anda lihat di Facebook dan Instagram, Anda mungkin memperhatikan bahwa Anda tidak diarahkan ke browser pilihan Anda melainkan browser dalam aplikasi khusus. Ternyata browser tersebut menyuntikkan kode javascript ke setiap situs web yang dikunjungi, memungkinkan induk Meta untuk berpotensi melacak Anda di seluruh situs web, peneliti Felix Krause telah menemukan.

“Aplikasi Instagram menyuntikkan kode pelacakan mereka ke setiap situs web yang ditampilkan, termasuk saat mengklik iklan, memungkinkan mereka [untuk] memantau semua interaksi pengguna, seperti setiap tombol dan tautan yang diketuk, pilihan teks, tangkapan layar, serta input formulir apa pun, seperti kata sandi, alamat dan nomor kartu kredit,” kata Krause dalam sebuah posting blog.

Penelitiannya berfokus pada Facebook dan Instagram versi iOS. Itu kuncinya karena Apple memungkinkan pengguna untuk memilih masuk atau keluar dari pelacakan aplikasi ketika mereka pertama kali membuka aplikasi, melalui Transparansi Pelacakan Aplikasi (ATT) yang diperkenalkan di iOS 14.5. Meta sebelumnya telah mengatakan bahwa fitur tersebut adalah “penghambat bisnis kami 2022… pada urutan $ 10 miliar.”

Meta mengatakan bahwa kode pelacakan yang disuntikkan mematuhi preferensi pengguna pada ATT. “Kode ini memungkinkan kami untuk mengumpulkan data pengguna sebelum menggunakannya untuk tujuan periklanan atau pengukuran yang ditargetkan,” kata seorang juru bicara kepada The Guardian. “Kami tidak menambahkan piksel apa pun. Kode dimasukkan sehingga kami dapat menggabungkan peristiwa konversi dari piksel. Untuk pembelian yang dilakukan melalui browser dalam aplikasi, kami meminta persetujuan pengguna untuk menyimpan informasi pembayaran untuk tujuan pengisian otomatis.”

Krause mencatat bahwa Facebook tidak selalu menggunakan injeksi javascript untuk mengumpulkan data sensitif. Namun, jika aplikasi membuka browser pilihan pengguna seperti Safari atau Firefox, tidak akan ada cara untuk melakukan injeksi javascript serupa di situs aman mana pun. Sebaliknya, pendekatan yang digunakan oleh browser dalam aplikasi Instagram dan Facebook “berfungsi untuk situs web apa pun, tidak peduli apakah itu dienkripsi atau tidak,” katanya.

Menurut penelitian Krause, WhatsApp tidak memodifikasi situs web pihak ketiga dengan cara yang sama. Karena itu, ia menyarankan agar Meta melakukan hal yang sama dengan Facebook dan Instagram, atau cukup gunakan Safari atau browser lain untuk membuka tautan. “Itu yang terbaik bagi pengguna, dan hal yang benar untuk dilakukan.” Untuk lebih lanjut, lihat ringkasan temuannya di sini.

Sumber: Endgadget

Lebih dari 9.000 Server VNC Terbuka Secara Online Tanpa Kata Sandi

by

Para peneliti telah menemukan setidaknya 9.000 titik akhir VNC (komputasi jaringan virtual) terbuka yang dapat diakses dan digunakan tanpa otentikasi, yang memungkinkan pelaku ancaman akses mudah ke jaringan internal.

VNC (komputasi jaringan virtual) adalah sistem platform-independen dimaksudkan untuk membantu pengguna terhubung ke sistem yang memerlukan pemantauan dan penyesuaian, menawarkan kontrol komputer jarak jauh melalui RFB (protokol penyangga bingkai jarak jauh) melalui koneksi jaringan.

Jika titik akhir ini tidak diamankan dengan benar dengan kata sandi, yang sering kali merupakan akibat dari kelalaian, kesalahan, atau keputusan yang diambil untuk kenyamanan, titik akhir ini dapat berfungsi sebagai titik masuk bagi pengguna yang tidak sah, termasuk pelaku ancaman dengan niat jahat.

Temuan yang mengkhawatirkan

Pemburu kelemahan keamanan di Cyble memindai web untuk mencari instans VNC yang terhubung ke internet tanpa kata sandi dan menemukan lebih dari 9.000 server yang dapat diakses.

Lebih buruk lagi, Cybcle menemukan beberapa contoh VNC yang terbuka ini untuk sistem kontrol industri, yang tidak boleh diekspos ke Internet.

Untuk melihat seberapa sering penyerang menargetkan server VNC, Cyble menggunakan alat intelijen sibernya untuk memantau serangan pada port 5900, port default untuk VNC. Cyble menemukan bahwa ada lebih dari enam juta permintaan selama satu bulan.

Sebagian besar upaya untuk mengakses server VNC berasal dari Belanda, Rusia, dan Amerika Serikat.

Permintaan untuk akses VNC

Permintaan untuk mengakses jaringan kritis melalui VNC yang terbuka atau retak sangat tinggi di forum peretas, karena jenis akses ini, dalam keadaan tertentu, dapat digunakan untuk penyusupan jaringan yang lebih dalam.

“Musuh dapat menyalahgunakan VNC untuk melakukan tindakan jahat sebagai pengguna yang masuk seperti membuka dokumen, mengunduh file, dan menjalankan perintah sewenang-wenang,” kata seorang peneliti Cyble kepada Bleeping Computer selama diskusi pribadi.

“Seorang musuh dapat menggunakan VNC untuk mengontrol dan memantau sistem dari jarak jauh guna mengumpulkan data dan informasi untuk beralih ke sistem lain di dalam jaringan.”

Sumber: BleepingComputer

Malware SOVA menambahkan fitur ransomware untuk mengenkripsi perangkat Android

by

Trojan perbankan Android SOVA terus berkembang dengan fitur baru, peningkatan kode, dan penambahan fitur ransomware baru yang mengenkripsi file di perangkat seluler.

Dengan rilis terbaru, malware SOVA sekarang menargetkan lebih dari 200 aplikasi perbankan, pertukaran cryptocurrency, dan dompet digital, mencoba mencuri data pengguna dan cookie sensitif dari mereka.

Selain itu, fitur refactored dan kode yang ditingkatkan yang membantunya beroperasi lebih tersembunyi pada perangkat yang disusupi, sementara versi terbarunya, 5.0, menambahkan modul ransomware.

Analis ancaman di perusahaan keamanan seluler Cleafy telah mengikuti evolusi SOVA sejak pengumuman proyek pada September 2021 dan melaporkan bahwa perkembangannya meningkat pesat pada 2022.

Pada Maret 2022, SOVA merilis versi 3, menambahkan intersepsi 2FA, pencurian cookie, dan suntikan baru untuk banyak bank di seluruh dunia. Suntikan adalah hamparan yang ditampilkan di atas permintaan masuk yang sah yang digunakan untuk mencuri kredensial, seperti untuk aplikasi bank online.

Pada Juli 2022, tim pengembangan SOVA merilis versi 4, yang mengambil hingga 200 aplikasi yang ditargetkan, dan menambahkan kemampuan VNC (komputasi jaringan virtual) untuk penipuan di perangkat.

Aplikasi bank yang ditargetkan oleh SOVA v3 (kiri) dan SOVA v4 (kanan) (Cleafy)

Malware mengirimkan daftar aplikasi yang diinstal ke C2 dan menerima XML yang berisi daftar alamat yang mengarah ke overlay yang benar untuk dimuat saat korban membuka aplikasi yang ditargetkan.

Versi utama keempat juga menambahkan dukungan untuk perintah seperti mengambil tangkapan layar, melakukan klik dan gesekan, menyalin dan menempel file, dan menyajikan layar overlay sesuka hati.

Rilis ini juga melihat pemfaktoran ulang kode yang signifikan dalam mekanisme pencuri cookie, sekarang menargetkan Gmail, GPay, dan Google Password Manager.

Kode pencuri cookie yang difaktorkan ulang (Cleafy)

SOVA v4 menambahkan beberapa perlindungan terhadap tindakan defensif, menyalahgunakan izin Aksesibilitas untuk mendorong pengguna kembali ke layar beranda jika mereka mencoba mencopot pemasangan aplikasi secara manual.

Terakhir, versi keempat berfokus pada Binance dan aplikasi ‘Trust Wallet’ platform, menggunakan modul khusus yang dibuat untuk mencuri frase benih rahasia pengguna.

Baru-baru ini, Cleafy mengambil sampel rilis awal SOVA v5, yang dilengkapi dengan banyak perbaikan kode dan penambahan fitur baru seperti modul ransomware.

Modul ransomware baru SOVA (Cleafy)

Modul ini menggunakan enkripsi AES untuk mengunci semua file di perangkat yang terinfeksi dan menambahkan ekstensi “.enc” pada file yang telah diubah namanya dan dienkripsi.

Versi kelima belum diedarkan secara luas, dan modul VNC-nya hilang dari sampel awal, jadi kemungkinan versi ini masih dalam pengembangan.

Bahkan dalam bentuknya yang belum selesai saat ini, SOVA v5 siap untuk penyebaran massal, menurut Cleafy, jadi kewaspadaan disarankan untuk semua pengguna Android.

Hal ini membuat SOVA menjadi ancaman dengan intensitas yang semakin meningkat, karena trojan perbankan sekarang menetapkan dirinya sebagai salah satu pelopor ruang ransomware seluler yang masih belum dijelajahi.

Sumber: Bleeping Computer