Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for News

Lebih dari 400 juta Terinfeksi Spyware Android — Hapus Aplikasi Ini Sekarang!

by

Lebih dari 100 aplikasi Android dengan gabungan lebih dari 400 juta unduhan telah terinfeksi oleh jenis malware baru yang didistribusikan sebagai kit pengembangan perangkat lunak (SDK) untuk pengiklan.

Penemuan itu dilakukan oleh peneliti keamanan di Dr.Web yang menemukan modul spyware di dalam aplikasi yang terpengaruh yang mereka namai ‘SpinOk’.

Disebut spyware karena malware tersebut dapat mencuri data pribadi yang disimpan di ponsel Android terbaik dan mengirimkannya ke server jarak jauh yang dikendalikan oleh peretas di balik kampanye ini.

Pengembang aplikasi kemungkinan menambahkan modul SpinOk ke aplikasi mereka, karena tampaknya sah dan menggunakan minigame untuk memberi pengguna “hadiah harian” untuk membuat mereka tetap tertarik.

Sayangnya, SpinOk melakukan sejumlah aktivitas jahat di latar belakang saat memeriksa data sensor perangkat Android.

Berdasarkan laporan Dr.Web, pembuat virus mengklaim telah menemukan 101 aplikasi yang diunduh lebih dari 421 juta kali dari Google Play Store. Di bawah, Anda akan menemukan aplikasi yang terpengaruh dengan unduhan terbanyak, antara lain:
– Noizz dan Zapya – File Transfer, Share dengan 100 juta unduhan.
– vFly, MVBit, dan Biugo dengan 50 juta unduhan.
– Crazy Drop, Cashzine, dan Fizzo Novel dengan 10 juta unduhan.
– CashEM dan Tick dengan 5 juta unduhan.

Pengguna disarankan untuk segera menghapus aplikasi-aplikasi tersebut, meskipun sebagian besar aplikasi yang terpengaruh telah dihapus dari Play Store, belum semuanya.

SpinOk mampu melakukan sejumlah aktivitas jahat di latar belakang yang mencakup daftar file di direktori, mencari file tertentu, mengunggah file dari smartphone yang terinfeksi atau menyalin dan mengganti konten dari clipboard.

Masih belum jelas apakah penerbit aplikasi Android ini ditipu oleh distributor SDK trojan atau sengaja memasukkannya ke dalam aplikasi mereka. Seperti yang dicatat oleh BleepingComputer, jenis infeksi ini seringkali merupakan hasil dari serangan rantai pasokan dari pihak ketiga.

Agar tetap aman dari aplikasi yang buruk, pengguna harus berhati-hati saat mengunduh aplikasi baru meskipun berasal dari Google Play Store, mencoba untuk mencari ulasan eksternal, terutama ulasan video, perhatikan izin yang diperlukan aplikasi, dan sebagai perlindungan tambahan, pertimbangkan untuk menginstal salah satu aplikasi antivirus Android terbaik.

Selengkapnya: tom’s guide

Backdoor pada Enkripsi Mobile Phone dari Tahun 90an Masih Ditemui

by

Algoritma enkripsi GEA-1 diterapkan pada telepon genggam pada tahun 1990-an untuk mengenkripsi koneksi data. Sejak saat itu, algoritma ini tetap dirahasiakan.

Namun, sekarang, tim peneliti dari Ruhr-Universität Bochum (RUB), bersama dengan rekan-rekan dari Prancis dan Norwegia, telah menganalisis algoritma tersebut dan mencapai kesimpulan berikut: GEA-1 sangat mudah ditembus sehingga harus merupakan enkripsi yang sengaja lemah yang dimasukkan sebagai pintu belakang.

Meskipun kerentanan ini masih ada pada banyak telepon genggam modern, menurut para peneliti, kerentanan ini tidak lagi menimbulkan ancaman yang signifikan bagi pengguna.

Para ahli keamanan IT mendapatkan algoritma GEA-1 dan GEA-2 dari sumber yang ingin tetap anonim dan memverifikasi keaslian algoritma tersebut pada langkah pertama.

Sandi-sandi ini digunakan untuk mengenkripsi lalu lintas data melalui jaringan 2G, misalnya saat mengirim email atau mengunjungi situs web. Para peneliti menganalisis bagaimana tepatnya algoritma ini bekerja.

Mereka menunjukkan bahwa GEA-1 menghasilkan kunci enkripsi yang terbagi menjadi tiga bagian, dua di antaranya hampir identik. Kunci-kunci ini relatif mudah ditebak karena arsitektur mereka.

Para ahli IT juga mengkaji algoritma GEA-2. Algoritma ini hampir tidak lebih aman daripada GEA-1. “GEA-2 mungkin merupakan upaya untuk membuat penerus GEA-1 yang lebih aman,” kata Gregor Leander. “Namun, GEA-2 juga tidak jauh lebih baik. Setidaknya algoritma ini tampaknya tidak sengaja tidak aman.”

Enkripsi yang dihasilkan oleh GEA-1 dan GEA-2 sangat lemah sehingga dapat digunakan untuk mendekripsi dan membaca data terenkripsi secara langsung yang dikirim melalui jaringan 2G. Saat ini, sebagian besar lalu lintas data dikirim melalui jaringan 4G, yang juga disebut LTE.

Selain itu, data sekarang dilindungi dengan enkripsi transportasi tambahan. Oleh karena itu, para peneliti berasumsi bahwa kerentanan lama yang masih ada tidak lagi menjadi ancaman serius bagi pengguna.

Selengkapnya: EurekAlert!

Kaspersky mengatakan Malware Zero-Day baru Menyerang iPhone

by

Perusahaan keamanan Siber yang berbasis di Moskow, Kaspersky, telah menjadi sorotan selama bertahun-tahun dengan mengungkap serangan peretasan yang canggih oleh mata-mata siber yang didukung negara, baik dari Rusia maupun Barat. Kini, perusahaan ini mengungkapkan kampanye infiltrasi baru yang sangat rahasia, di mana Kaspersky sendiri menjadi target.

Dalam laporan yang diterbitkan hari ini, Kaspersky mengatakan bahwa pada awal tahun ini, mereka mendeteksi serangan terarah terhadap sekelompok iPhone setelah menganalisis lalu lintas jaringan korporat perusahaan mereka sendiri.

Kampanye ini, yang para peneliti sebut sebagai Operasi Triangulasi dan dikatakan “sedang berlangsung,” tampaknya bermula sejak tahun 2019 dan memanfaatkan beberapa kerentanan dalam sistem operasi mobile Apple, iOS, untuk memungkinkan para penyerang mengambil alih perangkat korban.

Kaspersky mengatakan bahwa rantai serangan ini menggunakan eksploitasi “zero-click” untuk mengompromikan perangkat target dengan cukup mengirimkan pesan yang dirancang khusus ke korban melalui layanan iMessage Apple.

Korban menerima pesan tersebut, yang menyertakan lampiran berbahaya, dan eksploitasi akan dimulai baik korban membuka pesan dan memeriksa lampiran tersebut atau tidak.

Kemudian, serangan tersebut akan menggabungkan beberapa kerentanan untuk memberikan akses yang lebih dalam kepada para peretas ke perangkat target.

Dan payload perangkat lunak berbahaya akhir akan diunduh secara otomatis ke perangkat korban sebelum pesan dan lampiran berbahaya asli dihapus sendiri.

Kaspersky mengatakan bahwa malware yang mereka temukan tidak dapat bertahan di perangkat setelah direstart, namun para peneliti mengatakan mereka melihat bukti adanya infeksi ulang dalam beberapa kasus.

Kerentanan yang digunakan dalam rangkaian eksploitasi masih belum jelas, meskipun Kaspersky mengatakan bahwa salah satu kerentanan kemungkinan adalah kerentanan ekstensi kernel CVE-2022-46690 yang diperbaiki oleh Apple pada bulan Desember.

Selengkapnya: WIRED

Para Peretas Melakukan Hijacking pada Situs-situs Resmi untuk Hosting Skrip Pencuri Kartu Kredit.

by

Sebuah kampanye baru yang mencuri kartu kredit Magecart menyusupi situs-situs resmi untuk berfungsi sebagai server command and control (C2) sementara untuk menyisipkan dan menyembunyikan perangkat penyadap pada situs-situs eCommerce yang ditargetkan.

Serangan Magecart terjadi ketika peretas meretas toko-toko online untuk menyisipkan skrip berbahaya yang mencuri kartu kredit dan informasi pribadi pelanggan selama proses pembayaran.

Menurut peneliti dari Akamai yang memantau kampanye ini, telah terjadi kompromi pada organisasi di Amerika Serikat, Inggris, Australia, Brasil, Peru, dan Estonia.

Langkah pertama yang dilakukan oleh para penyerang adalah mengidentifikasi situs resmi yang rentan dan meretasnya untuk menyimpan kode berbahaya mereka, menggunakan situs-situs tersebut sebagai server C2 untuk serangan mereka.

Dengan mendistribusikan perangkat penyadap kartu kredit menggunakan situs web resmi yang memiliki reputasi baik, para pelaku ancaman dapat menghindari deteksi dan pemblokiran serta tidak perlu mengatur infrastruktur mereka sendiri.

“Dalam laporan kami, meskipun tidak jelas bagaimana situs-situs ini diretas, berdasarkan penelitian kami yang baru-baru ini dilakukan terhadap kampanye serupa sebelumnya, para penyerang biasanya mencari kerentanan pada platform perdagangan digital situs web yang ditargetkan (seperti Magento, WooCommerce, WordPress, Shopify, dll.) atau pada layanan pihak ketiga yang rentan yang digunakan oleh situs web,” menjelaskan Akamai dalam laporannya.

Akamai melaporkan adanya dua varian perangkat penyadap yang digunakan dalam kampanye ini.

Varian pertama adalah versi yang sangat terenkripsi yang berisi daftar pemilih CSS yang menargetkan informasi identitas pribadi pelanggan dan detail kartu kredit. Pemilih CSS tersebut berbeda untuk setiap situs yang ditargetkan, dibuat khusus untuk sesuai dengan masing-masing korban.

Varian kedua dari perangkat penyadap tidak dilindungi dengan baik, sehingga mengekspos petunjuk dalam kode yang membantu Akamai memetakan jangkauan kampanye dan mengidentifikasi korban tambahan.

Setelah perangkat penyadap mencuri detail pelanggan, data tersebut dikirim ke server penyerang melalui permintaan HTTP yang dibuat sebagai tag IMG dalam perangkat penyadap.

Selengkapnya: Bleeping Computer

Operasi Baru Dari Horabot Mengambil Alih Akun Gmail & Outlook Korban

by

Operasi Horabot yang baru ini ditemukan oleh para analis di Cisco Talos, yang melaporkan bahwa pelaku ancaman di baliknya kemungkinan berbasis di Brasil.

Malicious page hosted on AWS (Cisco)
Malicious page hosted on AWS (Cisco)

Rantai infeksi dengan beberapa tahap dimulai dengan email phishing berisi tema pajak yang dikirim kepada target, dengan lampiran HTML yang seolah-olah merupakan tanda terima pembayaran.

Membuka file HTML tersebut akan memicu rangkaian pengalihan URL yang mengarahkan korban ke halaman HTML yang dihosting pada instansi AWS yang dikendalikan oleh penyerang.

Korban mengklik hyperlink pada halaman tersebut dan mengunduh sebuah arsip RAR yang berisi file batch dengan ekstensi CMD, yang kemudian mengunduh sebuah skrip PowerShell yang mengambil DLL trojan dan serangkaian file eksekusi yang sah dari server C2.

Trojan-trojan ini dijalankan untuk mengambil dua payload terakhir dari server C2 yang berbeda. Salah satunya adalah skrip pengunduh PowerShell, dan yang lainnya adalah binary Horabot.

Function to extract email addresses (Cisco)
Function to extract email addresses (Cisco)

Payload utama yang dijatuhkan ke sistem korban adalah Horabot, sebuah botnet berbasis PowerShell yang terdokumentasi dan mengincar kotak surat Outlook korban untuk mencuri kontak dan menyebarkan email phishing yang berisi lampiran HTML berbahaya.

Malware ini menjalankan aplikasi desktop Outlook korban untuk memeriksa buku alamat dan kontak dari isi inbox.

Horabot infection flow (Cisco)
Horabot infection flow (Cisco)

Semua alamat email yang diekstraksi ditulis ke dalam file “.Outlook” dan kemudian dienkripsi dan dieksfiltrasi ke server C2.

Terakhir, malware ini membuat sebuah file HTML secara lokal, mengisinya dengan konten yang disalin dari sumber eksternal, dan mengirimkan email phishing ke semua alamat email yang diekstraksi secara individu.

Setelah proses distribusi email phishing selesai, file dan folder yang dibuat secara lokal dihapus untuk menghapus jejak-jejak yang ada.

Selengkapnya: Bleeping Computer

Kekurangan Google Drive Memungkinkan Penyerang Mengeksfiltrasi Data Ruang Kerja Tanpa Jejak

by Leave a Comment

Para peneliti di tim dari Mitiga menemukan apa yang mereka sebut sebagai “kekurangan keamanan forensik” kunci dalam aplikasi produktivitas yang dihosting populer, yang muncul karena kurangnya pembuatan log untuk pengguna yang tidak memiliki lisensi perusahaan berbayar untuk Workspace. Dalam posting blog Mitiga yang diterbitkan 30 Mei, tim mencatat bahwa situasi tersebut membuat perusahaan terbuka terhadap ancaman orang dalam dan potensi kebocoran data lainnya.

Bagaimana Penyerang Dapat Mengeksploitasi Kekurangan Google Drive
Ada dua skenario utama di mana kurangnya visibilitas ini menimbulkan masalah, para peneliti menguraikan dalam posting mereka. Yang pertama adalah jika akun pengguna disusupi oleh aktor ancaman, baik dengan menjadi admin atau hanya dengan mendapatkan akses ke akun tersebut, tulis mereka.

“Aktor ancaman yang mendapatkan akses ke pengguna admin dapat mencabut lisensi pengguna, mengunduh semua file pribadi mereka, dan menetapkan ulang lisensi,” jelas mereka dalam postingan tersebut. Dalam hal ini, satu-satunya catatan log yang akan dihasilkan adalah aktivitas pencabutan dan penetapan lisensi, di bawah Admin Log Events, kata para peneliti.

Sementara itu, pelaku ancaman yang mendapatkan akses ke pengguna tanpa lisensi berbayar tetapi masih menggunakan drive pribadi organisasi dapat mengunduh semua file drive tanpa meninggalkan jejak apa pun, kata para peneliti.

Skenario ancaman kedua kemungkinan besar akan terjadi selama pelepasan karyawan, ketika pengguna korporat meninggalkan perusahaan dan dengan demikian lisensinya dicabut sebelum benar-benar menonaktifkan/menghapus karyawan tersebut sebagai pengguna Google, kata para peneliti.

Karyawan (atau pengguna mana pun yang tidak diberi lisensi berbayar) juga berpotensi mendownload file internal dari drive pribadinya atau Google Workspace pribadinya tanpa pemberitahuan apa pun karena kurangnya pencatatan log, menimbulkan ancaman orang dalam, atau berpotensi mengungkap data tersebut ke penyerang luar, mereka menambahkan. Pengguna yang masih menggunakan drive pribadi perusahaan juga dapat mengunduh drive ke Google Workspace pribadi tanpa catatan log apa pun, kata para peneliti.

“Apa pun itu, tanpa lisensi berbayar, pengguna masih dapat mengakses drive bersama sebagai penonton,” jelas mereka dalam postingan tersebut. “Seorang pengguna atau pelaku ancaman dapat menyalin semua file dari drive bersama ke drive pribadi mereka dan mengunduhnya.”

Bagaimana Perusahaan Dapat Menanggapi
Untungnya, ada beberapa langkah yang dapat diambil oleh organisasi yang menggunakan Google Workspace untuk memastikan bahwa masalah yang diuraikan oleh Mitiga tidak dieksploitasi, kata para peneliti. Ini termasuk mengawasi tindakan tertentu dalam fitur Peristiwa Log Admin mereka, seperti peristiwa tentang penugasan dan pencabutan lisensi, kata mereka.

“Jika peristiwa ini terjadi secara berurutan, itu bisa menunjukkan bahwa pelaku ancaman mencabut dan menetapkan kembali lisensi di lingkungan Anda,” tulis mereka dalam postingan tersebut. “Oleh karena itu, kami menyarankan untuk melakukan perburuan ancaman secara rutin di Google Workspace yang mencakup penelusuran aktivitas ini.

Organisasi juga dapat menambahkan peristiwa “salinan sumber” dalam perburuan ancaman untuk menangkap kasus di mana seorang karyawan atau aktor ancaman menyalin file dari drive bersama ke drive pribadi dan mengunduhnya dari sana, kata para peneliti.

Secara keseluruhan, organisasi “perlu memahami bahwa jika ada pengguna dengan lisensi gratis, pengguna tersebut dapat mengunduh atau menyalin data dari Google Drive pribadi organisasi dan tidak akan ada catatan aktivitas,” kata Aspir. “Berhati-hatilah terhadap pengguna di dalam perusahaan yang tidak memiliki lisensi berbayar.”

sumber : darkreading.com

Supply Chain Risk Dari Backdoor App Center Gigabyte

by

Belakangan ini, platform Eclypsium telah mendeteksi perilaku yang mencurigakan mirip backdoor dalam sistem-sistem Gigabyte yang beredar di luar sana. Deteksi ini didorong oleh metode deteksi heuristik, yang memainkan peran penting dalam mendeteksi ancaman rantai pasok baru yang sebelumnya tidak diketahui, di mana produk atau pembaruan teknologi pihak ketiga yang sah telah diretas.

Analisis lanjutan kami menemukan bahwa firmware dalam sistem-sistem Gigabyte menjalankan dan mengeksekusi file eksekusi Windows saat proses startup sistem, dan file tersebut kemudian mengunduh dan mengeksekusi payload tambahan secara tidak aman.

Hal ini menggunakan teknik yang sama dengan fitur mirip backdoor OEM lainnya seperti Computrace backdoor (juga dikenal sebagai LoJack DoubleAgent) yang disalahgunakan oleh pelaku ancaman dan bahkan firmware implant seperti Sednit LoJax, MosaicRegressor, Vector-EDK.

Analisis lebih lanjut menunjukkan bahwa kode yang sama ini ada dalam ratusan model PC Gigabyte. Kami sedang bekerja dengan Gigabyte untuk mengatasi implementasi yang tidak aman dari kemampuan pusat aplikasi mereka.

RISIKO DAN DAMPAK

Masalah ini mengekspos organisasi terhadap berbagai risiko dan skenario serangan:

  • Penyalahgunaan backdoor OEM oleh threat actor
  • Kompromi infrastruktur pembaruan OEM dan rantai pasokan
  • Persistensi menggunakan UEFI Rootkit dan Implan
  • Serangan MITM pada firmware dan fitur pembaruan perangkat lunak

REKOMENDASI

Berikut adalah daftar tindakan pencegahan yang disarankan untuk mengurangi risiko penggunaan sistem Gigabyte atau sistem dengan motherboard terkena dampak:

  1. Pindai dan monitor sistem serta pembaruan firmware untuk mendeteksi sistem Gigabyte yang terkena dampak dan alat-alat serupa backdoor yang tertanam di dalam firmware. Perbarui sistem ke firmware dan perangkat lunak terbaru yang telah divalidasi untuk mengatasi masalah keamanan seperti ini.
  2. Periksa dan nonaktifkan fitur “APP Center Download & Install” di UEFI/BIOS Setup pada sistem Gigabyte, serta atur kata sandi BIOS untuk mencegah perubahan yang berbahaya.
  3. Administrator juga dapat memblokir URL berikut:

Harap diingat bahwa ini adalah tindakan pencegahan umum yang direkomendasikan. Penting untuk mengikuti petunjuk resmi yang diberikan oleh Gigabyte dan vendor perangkat keras lainnya untuk mengatasi masalah ini dengan benar. Selalu perbarui firmware dan perangkat lunak Anda dari sumber yang tepercaya, serta lakukan pemindaian keamanan secara berkala untuk mendeteksi ancaman potensial.

Selengkapnya: Eclypsium

RARBG, Salah Satu Torrent Tracker Terbesar Di Dunia Telah Ditutup

by

Torrent Tracker bernama RARBG, yang mengkhususkan diri dalam rilis bajakan film dan seri TV, mengumumkan penutupannya.

Situs ini diluncurkan pada tahun 2008 sebagai pelacak BitTorrent Bulgaria (BG dalam nama berarti domain Bulgaria), tetapi dengan cepat mengubah profilnya untuk penonton internasional, dengan fokus pada rilisan berbahasa Inggris.

RARBG mengutip konsekuensi pandemi, kenaikan harga listrik, inflasi, dan bahkan serangan Rusia terhadap Ukraina sebagai alasan penutupan.

Berikut pernyataan tim RARBG:

“Hello guys,
We would like to inform you that we have decided to shut down our site.
The past 2 years have been very difficult for us – some of the people in our team died due to covid complications, others still suffer the side effects of it – not being able to work at all.
Some are also fighting the war in Europe – ON BOTH SIDES.
Also, the power price increase in data centers in Europe hit us pretty hard.
Inflation makes our daily expenses impossible to bare.
Therefore we can no longer run this site without massive expenses that we can no longer cover out of pocket.
After an unanimous vote we’ve decided that we can no longer do it.
We are sorry ????
Bye”

Dalam pernyataan mereka, tim RARBG mengumumkan penutupan situs mereka dengan alasan yang memilukan. Mereka mengungkapkan bahwa dua tahun terakhir ini sangat sulit bagi mereka, dengan beberapa anggota tim meninggal akibat komplikasi COVID-19 dan yang lainnya masih menderita efek samping yang membuat mereka tidak dapat bekerja.

Yang lebih mengharukan, beberapa anggota tim juga terlibat dalam perang di Eropa, berada di kedua belah pihak konflik. Selain itu, kenaikan harga listrik di pusat data di Eropa dan inflasi yang tinggi membuat biaya operasional menjadi tidak terjangkau lagi. Setelah melakukan pemungutan suara, mereka dengan penuh penyesalan memutuskan untuk menutup situs ini.

Anggota tim mereka disebut terlibat dalam perang, baik di pihak Pasukan Bersenjata Ukraina maupun pendudukan Rusia.

Menurut publikasi profil TorrentFreak, pada Januari 2023, RARBG adalah pelacak torrent terpopuler keempat di dunia.

Selengkapnya: Mezha