Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for News

Microsoft: Malware baru menggunakan bug Windows untuk menyembunyikan tugas terjadwal

by

Microsoft telah menemukan malware baru yang digunakan oleh kelompok peretas Hafnium yang didukung China untuk mempertahankan kegigihan pada sistem Windows yang disusupi dengan membuat dan menyembunyikan tugas terjadwal.

Kelompok ancaman Hafnium sebelumnya menargetkan perusahaan pertahanan, think tank, dan peneliti AS dalam serangan spionase siber.

Ini juga merupakan salah satu grup yang disponsori negara yang dihubungkan oleh Microsoft dengan eksploitasi skala global tahun lalu dari kelemahan zero-day ProxyLogon yang berdampak pada semua versi Microsoft Exchange yang didukung.

“Ketika Microsoft terus melacak aktor ancaman yang disponsori negara dengan prioritas tinggi HAFNIUM, aktivitas baru telah ditemukan yang memanfaatkan kerentanan zero-day yang belum ditambal sebagai vektor awal,” kata Microsoft Detection and Response Team (DART).

“Investigasi lebih lanjut mengungkapkan artefak forensik dari penggunaan alat Impacket untuk gerakan lateral dan eksekusi dan penemuan malware penghindaran pertahanan yang disebut Tarrask yang menciptakan tugas terjadwal ‘tersembunyi’, dan tindakan selanjutnya untuk menghapus atribut tugas, untuk menyembunyikan tugas terjadwal dari alat identifikasi tradisional.”

Alat peretasan ini, dijuluki Tarrask, menggunakan bug Windows yang sebelumnya tidak dikenal untuk menyembunyikannya dari “schtasks/query” dan Penjadwal Tugas dengan menghapus nilai registri Security Descriptor yang terkait.

Grup ancaman menggunakan tugas terjadwal “tersembunyi” ini untuk mempertahankan akses ke perangkat yang diretas bahkan setelah reboot dengan membuat kembali koneksi yang terputus ke infrastruktur command-and-control (C2).

Sementara operator Hafnium dapat menghapus semua artefak di disk, termasuk semua kunci registri dan file XML yang ditambahkan ke folder sistem untuk menghapus semua jejak aktivitas jahat mereka, itu akan menghapus persistensi saat dimulai ulang.

Menghapus Security Descriptor untuk menyembunyikan tugas terjadwal (Microsoft)

Tugas “tersembunyi” hanya dapat ditemukan setelah pemeriksaan manual Windows Registry yang lebih dekat jika Anda mencari tugas terjadwal tanpa Nilai SD (deskriptor keamanan) di dalam Kunci Tugasnya.

Admin juga dapat mengaktifkan log Security.evtx dan Microsoft-Windows-TaskScheduler/Operational.evtx untuk memeriksa peristiwa penting yang terkait dengan tugas “tersembunyi” menggunakan malware Tarrask.

Microsoft juga merekomendasikan untuk mengaktifkan logging untuk ‘TaskOperational’ dalam log Microsoft-Windows-TaskScheduler/Operational Task Scheduler dan memantau koneksi keluar dari aset Tingkat 0 dan Tingkat 1 yang penting.

Sumber : Bleeping Computer

Forum peretasan RaidForums disita oleh polisi, pemiliknya ditangkap

by

Forum peretas RaidForums, yang digunakan terutama untuk berdagang dan menjual basis data curian, telah ditutup dan domainnya disita oleh penegak hukum AS selama Operasi TOURNIQUET, tindakan yang dikoordinasikan oleh Europol yang melibatkan lembaga penegak hukum di beberapa negara.

Administrator RaidForum dan dua kaki tangannya telah ditangkap, dan infrastruktur pasar ilegal sekarang berada di bawah kendali penegakan hukum.

Administrator dan pendiri RaidForums, Diogo Santos Coelho dari Portugal, alias Mahakuasa, telah ditangkap pada 31 Januari di Inggris dan menghadapi tuntutan pidana. Dia telah ditahan sejak penangkapan, sambil menunggu resolusi dari proses ekstradisinya.

Departemen Kehakiman A.S. hari ini mengatakan bahwa Coelho berusia 21 tahun, yang berarti dia baru berusia 14 tahun ketika meluncurkan RaidForums pada tahun 2015.

Tiga domain hosting RaidForums telah disita: “raidforums.com,” “Rf.ws,” dan “Raid.Lol.”

Menurut DoJ, pasar menawarkan untuk dijual lebih dari 10 miliar catatan unik dari ratusan basis data curian yang memengaruhi orang-orang yang tinggal di AS.

Dalam pengumuman terpisah hari ini, Europol mengatakan bahwa RaidForums memiliki lebih dari 500.000 pengguna dan “dianggap sebagai salah satu forum peretasan terbesar di dunia”.

Pembongkaran forum dan infrastrukturnya merupakan hasil perencanaan satu tahun antara aparat penegak hukum di Amerika Serikat, Inggris, Swedia, Portugal, dan Rumania.

Badan penegak hukum Eropa membagikan beberapa detail dalam siaran persnya tetapi mencatat bahwa orang-orang yang menjalankan RaidForums bekerja sebagai administrator, pencuci uang, mencuri dan mengunggah data, dan membeli informasi yang dicuri.

Coelho diduga mengendalikan RaidForums sejak 1 Januari 2015, dakwaan mengungkapkan, dan dia mengoperasikan situs tersebut dengan bantuan beberapa administrator, mengatur strukturnya untuk mempromosikan pembelian dan penjualan barang curian.

Untuk mendapatkan keuntungan, forum membebankan biaya untuk berbagai tingkatan keanggotaan dan menjual kredit yang memungkinkan anggota untuk mengakses area istimewa situs atau data curian yang dibuang di forum.

Coelho juga bertindak sebagai perantara terpercaya antara pihak-pihak yang melakukan transaksi, untuk memberikan keyakinan bahwa pembeli dan penjual akan menghormati kesepakatan mereka.

Pelaku ancaman dan peneliti keamanan pertama kali menduga bahwa RaidForums disita oleh penegak hukum pada bulan Februari ketika situs tersebut mulai menampilkan formulir login di setiap halaman.

Namun, ketika mencoba masuk ke situs, itu hanya menampilkan halaman masuk lagi.

Hal ini membuat para peneliti dan anggota forum percaya bahwa situs tersebut disita dan bahwa permintaan login adalah upaya phishing oleh penegak hukum untuk mengumpulkan kredensial pelaku ancaman.

Pada tanggal 27 Februari 2022, server DNS untuk raidforums.com tiba-tiba berubah menjadi server berikut:

jocelyn.ns.cloudflare.com
plato.ns.cloudflare.com

Karena server DNS ini sebelumnya digunakan dengan situs lain yang disita oleh penegak hukum, termasuk weleakinfo.com dan doublevpn.com, para peneliti percaya bahwa ini menambahkan dukungan lebih lanjut bahwa domain tersebut disita.

Sebelum menjadi tempat favorit para peretas untuk menjual data curian, RaidForums memiliki awal yang lebih sederhana dan digunakan untuk mengatur berbagai jenis pelecehan elektronik, termasuk memukul target (membuat laporan palsu yang mengarah pada intervensi penegakan hukum bersenjata) dan “menyerang,” yang DoJ menggambarkan sebagai “memposting atau mengirim sejumlah besar kontak ke media komunikasi online korban.”

Situs ini menjadi terkenal selama beberapa tahun terakhir dan sering digunakan oleh geng ransomware dan pemeras data untuk membocorkan data sebagai cara untuk menekan korban agar membayar uang tebusan, dan digunakan oleh geng ransomware Babuk dan Lapsus$ kelompok pemerasan di masa lalu.

Pasar telah aktif sejak 2015 dan untuk waktu yang lama merupakan rute terpendek bagi peretas untuk menjual basis data curian atau membaginya dengan anggota forum.

Data sensitif yang diperdagangkan di forum termasuk informasi pribadi dan keuangan seperti perutean bank dan nomor rekening, kartu kredit, informasi login, dan nomor jaminan sosial.

Setelah Rusia menginvasi Ukraina, dan banyak aktor ancaman mulai memihak, RaidForums mengumumkan bahwa mereka melarang setiap anggota yang diketahui terkait dengan Rusia.

Sumber : Bleeping Computer

Geng ransomware LockBit mengintai di jaringan pemerintah AS selama berbulan-bulan

by

Sebuah badan pemerintah regional A.S. yang dikompromikan dengan ransomware LockBit memiliki aktor ancaman di jaringannya setidaknya selama lima bulan sebelum muatan disebarkan, menurut temuan peneliti keamanan.

Log yang diambil dari mesin yang disusupi menunjukkan bahwa dua kelompok ancaman telah mengkompromikan mereka dan terlibat dalam operasi pengintaian dan akses jarak jauh.

Para penyerang mencoba menghapus jejak mereka dengan menghapus Log Peristiwa tetapi potongan-potongan file tetap memungkinkan analis ancaman untuk melihat sekilas aktor dan taktik mereka.

Akses awal yang memungkinkan serangan itu adalah fitur pelindung yang salah satu teknisi agensi biarkan dinonaktifkan setelah operasi pemeliharaan.

Menurut peneliti di perusahaan keamanan siber Sophos, pelaku mengakses jaringan melalui port desktop jarak jauh (RDP) terbuka pada firewall yang salah konfigurasi dan kemudian menggunakan Chrome untuk mengunduh alat yang diperlukan dalam serangan itu.

Toolset termasuk utilitas untuk brute-forcing, scanning, VPN komersial, dan alat gratis yang memungkinkan manajemen file dan eksekusi perintah, seperti PsExec, FileZilla, Process Explorer, dan GMER.

Selain itu, para peretas menggunakan desktop jarak jauh dan perangkat lunak manajemen jarak jauh seperti ScreenConnect, dan kemudian dalam serangan itu, AnyDesk.

Dari sana, para penyerang menghabiskan waktu untuk bersembunyi dan hanya mencoba mencuri kredensial akun yang berharga untuk memperluas kompromi jaringan mereka.

Pada titik tertentu, mereka mengambil kredensial dari admin server lokal yang juga memiliki izin Administrator Domain, sehingga mereka dapat membuat akun baru di sistem lain dengan hak administrator.

Pada tahap kedua serangan, dimulai lima bulan setelah kompromi awal, aktor yang lebih canggih tampaknya telah mengambil alih, membuat Sophos berasumsi bahwa aktor tingkat yang lebih tinggi sekarang bertanggung jawab atas operasi tersebut.

Fase baru dimulai dengan menginstal alat pasca-eksploitasi Mimikatz dan LaZagne untuk mengekstrak set kredensial dari server yang disusupi.

Penyerang membuat kehadiran mereka lebih jelas dengan menghapus log dan melakukan reboot sistem melalui perintah jarak jauh, memperingatkan admin sistem yang membuat 60 server offline dan membagi jaringan.

Kesalahan kedua selama respons insiden ini menonaktifkan keamanan titik akhir. Dari titik ini, kedua pihak terlibat dalam konfrontasi terbuka tentang tindakan dan tindakan balasan.

Sophos bergabung dengan upaya respons dan mematikan server yang menyediakan akses jarak jauh ke musuh, tetapi bagian dari jaringan telah dienkripsi dengan LockBit.

Pada beberapa mesin, meskipun file telah diganti namanya dengan akhiran LockBit, tidak ada enkripsi yang terjadi, jadi memulihkannya adalah masalah membalikkan tindakan penggantian nama.

Para peneliti mengatakan bahwa menerapkan perlindungan otentikasi multi-faktor (MFA) akan menghasilkan hasil yang berbeda, karena akan menghentikan peretas untuk bergerak bebas atau setidaknya secara signifikan menghambat tindakan mereka di jaringan yang disusupi.

Fitur keamanan penting lainnya yang dapat memperlambat pelaku ancaman adalah aturan firewall yang memblokir akses jarak jauh ke port RDP.

Sumber : Bleeping Computer

Peretas Sandworm gagal menjatuhkan penyedia energi Ukraina

by

Kelompok peretasan Sandworm mencoba menjatuhkan penyedia energi besar Ukraina dengan memutuskan gardu listriknya dengan varian baru malware Industroyer untuk sistem kontrol industri (ICS) dan versi baru pemusnah data CaddyWiper perangkat lunak jahat.

Pelaku ancaman menggunakan versi malware Industroyer ICS yang disesuaikan untuk gardu listrik tegangan tinggi target dan kemudian mencoba menghapus jejak serangan dengan mengeksekusi CaddyWiper dan keluarga malware penghapus data lainnya yang dilacak sebagai Orcshred, Soloshred, dan Awfulshred untuk Linux dan sistem Solaris.

Para peneliti di ESET yang berkolaborasi dengan Tim Tanggap Darurat Komputer Ukraina (CERT) untuk memulihkan dan melindungi jaringan yang diserang mengatakan bahwa mereka tidak tahu bagaimana penyerang membahayakan lingkungan atau bagaimana mereka berhasil berpindah dari jaringan TI ke lingkungan ICS.

Diagram aktivitas cacing pasir (ESET)

Dalam pengumuman hari ini, CERT-UA mencatat bahwa tujuan pelaku ancaman adalah “menonaktifkan beberapa elemen infrastruktur.”

Malware ICS yang digunakan dalam serangan itu sekarang dilacak saat Industroyer2 dan ESET menilai “dengan keyakinan tinggi” bahwa malware itu dibuat menggunakan kode sumber Industroyer yang digunakan pada tahun 2016 untuk memutus aliran listrik di Ukraina dan dikaitkan dengan kelompok peretasan Rusia yang disponsori negara Sandworm .

CERT-UA mengatakan bahwa “implementasi rencana jahat [Sandworm] sejauh ini telah dicegah” sementara ESET mencatat dalam laporan teknis tentang malware yang digunakan dalam serangan ini bahwa “Penyerang Sandworm melakukan upaya untuk menyebarkan malware Industroyer2 terhadap tegangan tinggi gardu listrik di Ukraina.”

Peneliti ESET mengatakan bahwa Industroyer2 sangat dapat dikonfigurasi dan dilengkapi dengan konfigurasi terperinci yang di-hardcode, yang mengharuskannya untuk dikompilasi ulang untuk setiap lingkungan korban baru.

Para peneliti mengatakan bahwa stempel waktu Portabel Executable dari Industroyer2 menunjukkan bahwa itu dikompilasi pada 23 Maret, yang menunjukkan bahwa serangan itu telah direncanakan setidaknya selama dua minggu.

Sumber : ESET

Alat tambahan yang digunakan dalam serangan termasuk skrip PowerGap PowerShell yang digunakan untuk menambahkan Kebijakan Grup yang mengunduh muatan dan membuat tugas terjadwal, dan Impacket, yang digunakan untuk eksekusi perintah jarak jauh.

Komponen worm dalam serangan ini – skrip Bash bernama sc.sh – mencari jaringan yang dapat diakses (melalui ip route atau ifconfig) dan mencoba untuk terhubung ke semua host yang tersedia melalui SSHH (TCP port 22, 2468, 24687, 522) menggunakan kredensial di daftar musuh yang ditambahkan dalam skrip.

Industroyer, juga dikenal sebagai CrashOverride, pertama kali diambil sampelnya dan dianalisis pada tahun 2017, dengan ESET menyebutnya sebagai “ancaman terbesar bagi sistem kontrol industri sejak Stuxnet”.

Varian baru yang digunakan minggu lalu pada penyedia energi Ukraina adalah evolusi dari malware asli yang digunakan dalam serangan pemadaman listrik 2016 di Ukraina.

Industroyer2 hanya menggunakan protokol IEC-104 untuk berkomunikasi dengan peralatan industri, sedangkan sebelumnya, mendukung beberapa protokol ICS.

Ini lebih dapat dikonfigurasi daripada strain asli dan pengaturan, termasuk IOA, batas waktu, dan ASDU, disimpan sebagai string yang dilewatkan melalui rutinitas komunikasi IEC-104.

Menurut analisis ESET, sampel yang baru-baru ini dianalisis berkomunikasi dengan delapan perangkat secara bersamaan.

Konfigurasi hardcode di Industroyer2 (ESET)

Tindakan pasti yang dilakukan oleh Industroyer2 setelah sambungannya ke relai masih diperiksa, tetapi telah ditentukan bahwa ia menghentikan proses sah yang dilakukan peralatan industri dalam operasi standarnya.

Sandworm adalah kelompok ancaman spionase cyber berpengalaman yang telah dikaitkan dengan Unit Militer Rusia 74455 dari Direktorat Intelijen Utama (GRU).

CERT-UA telah berbagi indikator kompromi (aturan Yara, hash file, host, jaringan) untuk membantu mencegah serangan baru dari pelaku ancaman ini.

Sumber : Bleeping Computer

Microsoft April 2022 Patch Tuesday memperbaiki 119 kelemahan, 2 zero days

by

Microsoft telah memperbaiki 119 kerentanan (tidak termasuk 26 kerentanan Microsoft Edge) dengan pembaruan hari ini, dengan sepuluh diklasifikasikan sebagai Kritis karena memungkinkan eksekusi kode jarak jauh.

Jumlah bug di setiap kategori kerentanan tercantum di bawah ini:

  • 47 Peningkatan Kerentanan Hak Istimewa
  • 0 Kerentanan Bypass Fitur Keamanan
  • 47 Kerentanan Eksekusi Kode Jarak Jauh
  • 13 Kerentanan Pengungkapan Informasi
  • 9 Kerentanan Denial of Service
  • 3 Kerentanan Spoofing
  • 26 Edge – Kerentanan Chromium

Patch Tuesday bulan ini juga mencakup perbaikan untuk dua kerentanan zero-day, satu diungkapkan secara publik dan yang lainnya dieksploitasi secara aktif dalam serangan.

Microsoft mengklasifikasikan kerentanan sebagai zero-day jika diungkapkan secara publik atau dieksploitasi secara aktif tanpa perbaikan resmi yang tersedia.

Kerentanan zero-day yang yang diperbaiki hari ini adalah bug yang ditemukan oleh peneliti keamanan Abdelhamid Naceri yang sebelumnya berusaha diperbaiki oleh Microsoft dua kali setelah bypass patch baru ditemukan.

CVE-2022-26904 – Layanan Profil Pengguna Windows Peningkatan Kerentanan Hak Istimewa
Zero-day yang diekspos secara publik adalah bug elevasi hak istimewa yang ditemukan oleh CrowdStrike dan Badan Keamanan Nasional AS (NSA).

CVE-2022-24521 – Driver Sistem File Log Umum Windows Peningkatan Kerentanan Hak Istimewa
Sekarang Microsoft telah mengeluarkan tambalan untuk kerentanan ini, aktor ancaman diharapkan menganalisis kerentanan untuk mempelajari cara mengeksploitasinya.

Oleh karena itu, sangat disarankan untuk menginstal pembaruan keamanan hari ini sesegera mungkin.

Di bawah ini adalah daftar lengkap kerentanan yang diselesaikan dan saran yang dirilis dalam pembaruan Patch Tuesday April 2022. Anda dapat melihat laporan lengkapnya di sini.

Sumber : Bleeping Computer

Dua Juta Data Kredensial Pengguna Domain .id Bocor

by

DarkTracer, platform online khusus untuk threat intelligence Dark Web dan Deep Web, melalui akun Twitter nya hari ini merilis daftar domain .id yang beberapa kredensial pengguna nya telah didistribusikan di Dark/Deep Web.

Sumber : @darktracer_int (twitter)

Total ada 2.180.233 kredensial dari 93.117 domain .id yang dilaporkan oleh DarkTracer. Sebagai catatan, kredensial-kredensial ini bocor dari pengguna yang situs yang telah terinfeksi malware pencuri informasi (information stealer). Tidak disebutkan malware pencuri informasi mana saja yang telah mendapatkan kredensial tersebut.

Pengguna situs diharapkan untuk segera mengganti password dan menerapkan Multi-Factor Authentication sesegera mungkin.

Sumber: https://twitter.com/darktracer_int/status/1513745569172574212?cxt=HHwWiMDSrebk84EqAAAA

Pencuri informasi Meta baru didistribusikan dalam kampanye malspam

by

Kampanye malspam telah ditemukan mendistribusikan malware META baru, malware pencuri info baru yang tampaknya semakin populer di kalangan penjahat dunia maya.

META adalah salah satu pencuri info baru, bersama dengan Mars Stealer dan BlackGuard, yang operatornya ingin memanfaatkan keluarnya Raccoon Stealer dari pasar yang membuat banyak orang mencari platform berikutnya.

Alat ini dijual dengan harga $125 untuk pelanggan bulanan atau $1.000 untuk penggunaan seumur hidup tanpa batas dan dipromosikan sebagai versi perbaikan dari RedLine.

Kampanye spam baru yang dilihat oleh peneliti keamanan dan ISC Handler Brad Duncan adalah bukti bahwa META secara aktif digunakan dalam serangan, digunakan untuk mencuri kata sandi yang disimpan di Chrome, Edge, dan Firefox, serta dompet cryptocurrency.

Rantai infeksi dalam kampanye tertentu mengikuti pendekatan “standar” dari spreadsheet Excel berlapis makro yang tiba di kotak masuk calon korban sebagai lampiran email.

Rantai infeksi META pada kampanye berbintik (isc.sans.edu)

Pesan tersebut membuat klaim palsu tentang transfer dana yang tidak terlalu meyakinkan atau dibuat dengan baik tetapi masih bisa efektif terhadap persentase penerima yang signifikan.

Email yang membawa lampiran Excel berbahaya (isc.sans.edu)

File spreadsheet menampilkan umpan DocuSign yang mendesak target untuk “mengaktifkan konten” yang diperlukan untuk menjalankan makro VBS berbahaya di latar belakang.

Umpan DocuSign yang memikat pengguna untuk mengaktifkan konten (isc.sans.edu)

Ketika skrip berbahaya berjalan, itu akan mengunduh berbagai muatan, termasuk DLL dan yang dapat dieksekusi, dari beberapa situs, seperti GitHub.

Beberapa file yang diunduh dikodekan base64 atau byte-nya dibalik untuk melewati deteksi oleh perangkat lunak keamanan. Misalnya, di bawah ini adalah salah satu sampel yang dikumpulkan oleh Duncan yang byte-nya dibalik dalam unduhan aslinya.

DLL disimpan dalam urutan byte terbalik (isc.sans.edu)

Akhirnya, muatan akhir dirakit pada mesin dengan nama “qwveqwveqw.exe,” yang kemungkinan acak, dan kunci registri baru ditambahkan untuk kegigihan.

Kunci registri baru dan executable berbahaya (isc.sans.edu)

Tanda infeksi yang jelas dan terus-menerus adalah file EXE yang menghasilkan lalu lintas ke server perintah dan kontrol di 193.106.191[.]162, bahkan setelah sistem di-boot ulang, memulai kembali proses infeksi pada mesin yang disusupi.

Lalu lintas berbahaya ditangkap di Wireshark (isc.sans.edu)

Satu hal yang perlu diperhatikan adalah bahwa META memodifikasi Windows Defender melalui PowerShell untuk mengecualikan file .exe dari pemindaian, untuk melindungi file dari deteksi.

Sumber : Bleeping Computer

Malware perbankan Android menyadap panggilan ke dukungan pelanggan

by

Trojan perbankan untuk Android yang oleh para peneliti disebut Fakecalls hadir dengan kemampuan canggih yang memungkinkannya mengambil alih panggilan ke nomor dukungan pelanggan bank dan menghubungkan korban secara langsung dengan penjahat dunia maya yang mengoperasikan malware.

Menyamar sebagai aplikasi seluler dari bank populer, Fakecalls menampilkan semua tanda entitas yang ditirunya, termasuk logo resmi dan nomor dukungan pelanggan.

Ketika korban mencoba menelepon bank, malware memutuskan koneksi dan menunjukkan layar panggilannya, yang hampir tidak bisa dibedakan dari yang asli.

Antarmuka panggilan malware mobile banking palsu (sumber: Kaspersky)

Trojan mobile banking palsu dapat melakukan ini karena pada saat instalasi meminta beberapa izin yang memberikan akses ke daftar kontak, mikrofon, kamera, geolokasi, dan penanganan panggilan.

Malware muncul tahun lalu dan terlihat menargetkan pengguna di Korea Selatan, pelanggan bank populer seperti KakaoBank atau Kookmin Bank (KB), peneliti keamanan di Kaspersky mencatat dalam sebuah laporan hari ini.

Kaspersky menganalisis malware tersebut dan menemukan bahwa malware tersebut juga dapat memutar pesan yang telah direkam sebelumnya yang meniru pesan yang biasanya digunakan oleh bank untuk menyambut pelanggan yang mencari dukungan:

Kode di Fakecalls untuk memutar audio yang telah direkam sebelumnya (sumber: Kaspersky)

Pengembang malware mencatat beberapa frasa yang biasa digunakan oleh bank untuk memberi tahu pelanggan bahwa operator akan menerima panggilan mereka segera setelah tersedia.

Di bawah ini adalah dua contoh audio yang telah direkam sebelumnya (dalam bahasa Korea) yang dimainkan oleh malware Fakecalls untuk membuat tipu muslihat lebih realistis:

Halo. Terima kasih telah menelepon KakaoBank. Pusat panggilan kami saat ini menerima panggilan dengan volume yang luar biasa besar. Seorang konsultan akan berbicara kepada Anda sesegera mungkin. Untuk meningkatkan kualitas layanan, percakapan Anda akan direkam.

Selamat datang di Kookmin Bank. Percakapan Anda akan direkam. Kami sekarang akan menghubungkan Anda dengan operator.

Peneliti Kaspersky mengatakan bahwa malware juga dapat memalsukan panggilan masuk, memungkinkan penjahat dunia maya untuk menghubungi korban seolah-olah mereka adalah layanan dukungan pelanggan bank.

Izin yang diminta malware saat penginstalan memungkinkan penjahat dunia maya untuk memata-matai korban dengan menyiarkan audio dan video secara real-time dari perangkat, melihat lokasinya, menyalin file (kontak, file seperti foto dan video), dan riwayat pesan teks.

Rekomendasi Kaspersky untuk menghindari menjadi korban malware semacam itu termasuk mengunduh aplikasi hanya dari toko resmi, dan memperhatikan izin yang berpotensi berbahaya yang diminta aplikasi (akses ke panggilan, SMS, aksesibilitas), terutama jika aplikasi tidak membutuhkannya.

Selain itu, para peneliti menyarankan pengguna untuk tidak membagikan informasi rahasia melalui telepon (kredensial login, PIN, kode keamanan kartu, kode konfirmasi).

Sumber : Bleeping Computer