Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for News

Aplikasi Android Berbahaya Ditemukan Mendukung Layanan Pembuatan Akun

by

Aplikasi SMS Android palsu, dengan 100.000 unduhan di Google Play Store, telah ditemukan secara diam-diam bertindak sebagai relai SMS untuk layanan pembuatan akun untuk situs seperti Microsoft, Google, Instagram, Telegram, dan Facebook.

Seorang peneliti mengatakan perangkat yang terinfeksi kemudian disewakan sebagai “nomor virtual” untuk menyampaikan kode sandi satu kali yang digunakan untuk memverifikasi pengguna saat membuat akun baru.

many user reviews complain that it is fake, hijacks their phones, and generates multiple OTPs (one-time passwords) upon installation.

Aplikasi Symoo dan ulasan pengguna di Google Play

Symoo ditemukan oleh peneliti keamanan Evina Maxime Ingrao, yang melaporkannya ke Google tetapi belum mendapat kabar dari tim Android. Pada saat penulisan, aplikasi tetap tersedia di Google Play.

Merutekan kode 2FA
Di layar pertama, ia meminta pengguna untuk memberikan nomor telepon mereka; setelah itu, itu melapisi layar pemuatan palsu yang seharusnya menunjukkan kemajuan memuat sumber daya.

Namun, proses ini diperpanjang, memungkinkan operator jarak jauh mengirim beberapa teks SMS 2FA (otentikasi dua faktor) untuk membuat akun di berbagai layanan, membaca kontennya, dan meneruskannya kembali ke operator.

Setelah selesai, aplikasi akan membeku, tidak pernah mencapai antarmuka SMS yang dijanjikan, sehingga pengguna biasanya akan mencopot pemasangannya.

aplikasi tersebut telah menggunakan nomor telepon pengguna Android untuk membuat akun palsu di berbagai platform online, dan peninjau mengatakan bahwa pesan mereka sekarang diisi dengan kode akses satu kali untuk akun yang tidak pernah mereka buat.

Menjual akun
Pengembang aplikasi ‘Nomor Virtual’ juga membuat aplikasi lain di Google Play yang disebut ‘ActivationPW – Nomor virtual’, diunduh 10.000 kali, yang menawarkan “Nomor online dari lebih dari 200 negara” yang dapat Anda gunakan untuk membuat akun.

Dengan menggunakan aplikasi ini, pengguna dapat “menyewa” nomor dengan harga kurang dari setengah dolar dan, dalam banyak kasus, menggunakan nomor tersebut untuk memverifikasi akun.

It is believed that the Symoo app is used to receive and forward OTP verification codes generated when people create accounts using ActivationPW.

sumber : bleeping computer

Tantangan TikTok ‘Invisible Body’ Dieksploitasi Untuk mendorong Malware

by

Peretas memanfaatkan tantangan TikTok yang sedang tren bernama ‘Tantangan Tak Terlihat’ untuk menginstal malware di ribuan perangkat dan mencuri kata sandi, akun Discord, dan, berpotensi, dompet cryptocurrency.

Tantangan TikTok yang baru dan sedang tren mengharuskan Anda memfilmkan diri Anda telanjang saat menggunakan filter “Tubuh Tak Terlihat” TikTok, yang menghapus tubuh dari video dan menggantinya dengan latar belakang buram.

Untuk memanfaatkan ini, pelaku ancaman membuat video TikTok yang mengklaim menawarkan filter “unfiltering” khusus untuk menghapus efek penyamaran tubuh TikTok dan mengekspos tubuh telanjang para TikToker.

perangkat lunak tersebut palsu dan menginstal malware “WASP Stealer (Discord Token Grabber)”, yang mampu mencuri akun Discord, kata sandi, dan kartu kredit yang disimpan di browser, dompet cryptocurrency, dan bahkan file dari komputer korban.

Video-video ini menerima lebih dari satu juta tampilan segera setelah diposting, dengan salah satu server Discord aktor ancaman mengumpulkan lebih dari 30.000 anggota.

Menargetkan tren TikTok
Pengguna TikTok yang sekarang ditangguhkan @learncyber dan @kodibtc membuat video untuk mempromosikan aplikasi perangkat lunak untuk “menghapus filter badan tak terlihat” yang ditawarkan di server Discord bernama “Space Unfilter.”

Pelaku ancaman telah memindahkan server Discord ini, tetapi Checkmarx menyatakan bahwa mereka memiliki sekitar 32.000 anggota pada satu titik.

Video TikTok yang diposting oleh penyerang (Checkmarx)

Setelah para korban bergabung dengan server Discord, mereka melihat tautan yang diposting oleh bot yang menunjuk ke repositori GitHub yang menghosting malware tersebut.

Setelah para korban bergabung dengan server Discord, mereka melihat tautan yang diposting oleh bot yang menunjuk ke repositori GitHub yang menghosting malware tersebut.

Serangan ini sangat sukses sehingga repositori jahat tersebut telah mencapai status “proyek GitHub yang sedang tren”, dan meskipun telah diganti namanya, saat ini memiliki 103 bintang dan 18 garpu

Paket jahat menyalin kode asli tetapi berisi modifikasi untuk menginstal malware WASP di host.

“Serangan ini menunjukkan lagi bahwa penyerang dunia maya telah mulai memusatkan perhatian mereka pada ekosistem paket sumber terbuka; Kami percaya tren ini hanya akan meningkat pada tahun 2023.”

Server Discord “Unfilter Space” dibuat offline, dengan pelaku ancaman mengklaim telah pindah ke server lain.

sumber : bleeping computer

Acer Memperbaiki Bug UEFI yang Dapat menonaktifkan Secure Boot

by

Acer telah memperbaiki kerentanan tingkat tinggi yang memengaruhi beberapa model laptop yang dapat memungkinkan penyerang lokal untuk menonaktifkan UEFI Secure Boot pada sistem yang ditargetkan.

Fitur keamanan Secure Boot memblokir bootloader sistem operasi yang tidak tepercaya di komputer dengan chip Trusted Platform Module (TPM) dan firmware Unified Extensible Firmware Interface (UEFI) untuk mencegah kode berbahaya seperti rootkit dan bootkit dimuat selama proses startup.

Penyerang dengan hak istimewa tinggi dapat menyalahgunakannya dalam serangan dengan kompleksitas rendah yang tidak memerlukan interaksi pengguna untuk mengubah pengaturan UEFI Secure Boot dengan memodifikasi variabel NVRAM BootOrderSecureBootDisable untuk menonaktifkan Secure Boot.

Setelah mengeksploitasi kerentanan pada laptop Acer yang terpengaruh dan mematikan Secure Boot, pelaku ancaman dapat membajak proses pemuatan OS dan memuat bootloader yang tidak ditandatangani untuk melewati atau menonaktifkan perlindungan dan menyebarkan muatan berbahaya dengan hak istimewa sistem.

Pembaruan BIOS tersedia, pembaruan Windows masuk
pelanggan dapat mengunduh pembaruan BIOS dari situs web dukungan perusahaan dan menerapkannya secara manual pada sistem yang terpengaruh.

Mengizinkan pelaku ancaman untuk menjalankan kode berbahaya yang tidak ditandatangani sebelum boot OS dapat menyebabkan konsekuensi yang parah, termasuk penyebaran malware yang dapat bertahan di antara penginstalan ulang OS dan melewati perlindungan anti-malware yang disediakan oleh solusi keamanan.

sumber : bleeping computer

Google Chrome Canary mendapat dukungan eksperimental Encrypted Client Hello (ECH)

by

Pengguna Google Chrome Canary dapat mengaktifkan dukungan eksperimental untuk Encrypted Client Hello (ECH) sekarang. Klien Terenkripsi Halo, juga disebut sebagai SNI Aman, meningkatkan privasi koneksi Internet. Ini agak teknis, tetapi dipecah ke intinya, ECH melindungi nama host agar tidak terpapar ke Penyedia Layanan Internet, penyedia jaringan, dan entitas lain dengan kemampuan mendengarkan lalu lintas jaringan.

Anda dapat memeriksa apakah ECH diaktifkan di browser Anda menggunakan situs web Pemeriksaan Keamanan Pengalaman Penjelajahan Cloudflare.

Pengenalan dukungan ECH di Google Chrome Canary menandai awal peluncuran yang lebih luas di antara sebagian besar browser berbasis Chromium. Meskipun tanda eksperimental dapat dihapus kapan saja tanpa pemberitahuan lebih lanjut, tampaknya dukungan ECH tidak akan diluncurkan ke Chrome Stable dan browser lain yang berbasis Chromium. Mozilla menambahkan dukungan untuk ECH pada tahun 2021 sudah ada di Firefox.

Pengguna Chrome Canary yang ingin mencobanya perlu melakukan penyesuaian berikut di Chrome Canary:

  • 1. Muat chrome://settings/help untuk memastikan bahwa versi terbaru Chrome Canary telah diinstal. Chrome memeriksa pembaruan dan akan memasang apa pun yang ditemukannya. Restart kemudian diperlukan untuk menyelesaikan pembaruan.
  • 2. Muat chrome://flags/#encrypted-client-hello di bilah alamat browser.
  • 3. Setel status bendera ClientHello Terenkripsi ke Diaktifkan.
  • 4. Mulai ulang Google Chrome.

Klien Terenkripsi Halo diaktifkan di Chrome setelah dimulai ulang. Anda dapat membatalkan perubahan kapan saja dengan menyetel status bendera ke Dinonaktifkan menggunakan petunjuk langkah demi langkah di atas. Gunakan halaman pengujian Cloudflare atau halaman pengujian lainnya untuk mengetahui apakah fitur tersebut berfungsi seperti yang diiklankan.

Selengkapnya: ghacks.net

Hampir 500 juta akun WhatsApp bocor secara online — apa yang harus dilakukan sekarang

by

Menerima panggilan atau pesan WhatsApp dari nomor yang tidak dikenal? Akun Anda bisa berisiko spam atau bahkan penipuan karena jutaan nomor telepon akun WhatsApp saat ini dijual di forum peretasan.

Seperti dilansir Cybernews (buka di tab baru), seseorang menjual database 2022 dari 487 juta nomor ponsel WhatsApp. Ini termasuk akun dari 84 negara seperti AS, Inggris, Rusia, Mesir, dan banyak lainnya. Rupanya ada 32 juta catatan AS termasuk serta 11 juta dari Inggris.

WhatsApp memiliki sekitar dua miliar pengguna aktif bulanan di seluruh dunia dan kebocoran ini membahayakan hampir setengah miliar pengguna.

Cybernews juga menunjukkan bahwa akun yang bocor semuanya milik pengguna WhatsApp aktif. Penjual dapat memperoleh nomor telepon dengan proses yang disebut scraping, yang mengacu pada pengumpulan informasi dalam skala besar – meskipun ini melanggar persyaratan layanan WhatsApp.

Penjual juga mengungkapkan bahwa mereka menjual data AS seharga $7.000. Perusahaan induk WhatsApp, Meta belum mengeluarkan pernyataan tentang kebocoran itu.Jenis informasi yang bocor dalam hal ini, nomor telepon pengguna WhatsApp, terutama digunakan untuk serangan phishing, penipuan atau untuk mengirim spam.

Jika Anda adalah pengguna WhatsApp aktif, waspadalah terhadap nomor tak dikenal yang mencoba mengirimi Anda pesan atau menghubungi Anda di platform.

Selengkapnya: tom’s guide

Cyber-Mercenaries Menargetkan Pengguna Android dengan Aplikasi VPN Palsu

by

Grup peretasan bayaran mendistribusikan aplikasi berbahaya melalui situs web SecureVPN palsu yang memungkinkan aplikasi Android diunduh dari Google Play, kata para peneliti di Eset.

Versi Trojan dari dua aplikasi sah yang digunakan oleh penyerang
Versi Trojan dari dua aplikasi sah yang digunakan oleh penyerang

Dijuluki “Bahamut,” peneliti dari perusahaan keamanan siber menemukan setidaknya delapan versi spyware. Aplikasi tersebut digunakan sebagai bagian dari kampanye jahat yang menggunakan versi Trojan dari dua aplikasi yang sah – SoftVPN dan OpenVPN. Dalam kedua kasus, aplikasi dikemas ulang dengan spyware Bahamut.

“Tujuan utama dari modifikasi aplikasi adalah untuk mengekstrak data pengguna yang sensitif dan secara aktif memata-matai aplikasi perpesanan korban,” kata para peneliti.

Eksfiltrasi data sensitif dilakukan melalui keylogging, menyalahgunakan layanan aksesibilitas Android. Itu juga dapat secara aktif memata-matai pesan obrolan yang dipertukarkan melalui aplikasi perpesanan populer termasuk Signal, Viber, WhatsApp, Telegram, dan Facebook Messenger.

Vektor serangan awalnya yaitu pesan spearphishing dan aplikasi palsu, yang tujuannya adalah untuk mencuri informasi sensitif dari korbannya.

Aplikasi jahat dikirimkan melalui situs web thiscurevpn[.]com, spoof dari situs securevpn yang sebenarnya tetapi tidak memiliki konten atau gaya layanan SecureVPN yang sah (di domain securevpn.com).

Thiscurevpn[.]com terdaftar pada 27-01-2020, tetapi tanggal distribusi awal aplikasi SecureVPN palsu tidak diketahui.

Sejak distribusi spyware Bahamut melalui situs web dimulai, delapan versi spyware telah tersedia untuk diunduh.

  • SecureVPN_104.apk;
  • SecureVPN_105.apk;
  • SecureVPN_106.apk;
  • SecureVPN_107.apk;
  • SecureVPN_108.apk;
  • SecureVPN_109.apk;
  • SecureVPN_1010.apk;
  • SecureVPN_1010b.apk.

Selengkapnya: Data Breach Today

AS melarang perangkat telekomunikasi China, dengan alasan ‘keamanan nasional’

by

Komisi Komunikasi Federal Amerika Serikat (FCC) telah mengumumkan larangan telekomunikasi dan peralatan pengawasan video dari merek-merek terkemuka China, termasuk Huawei dan ZTE, dengan alasan “risiko yang tidak dapat diterima terhadap keamanan nasional”.

Lima anggota FCC mengatakan pada hari Jumat bahwa mereka telah memilih dengan suara bulat untuk mengadopsi aturan baru yang akan memblokir impor atau penjualan produk yang ditargetkan.

“Keputusan bulat kami merupakan pertama kalinya dalam sejarah FCC bahwa kami telah memilih untuk melarang otorisasi komunikasi dan peralatan elektronik berdasarkan pertimbangan keamanan nasional,” kata Komisaris FCC Brendan Carr dalam sebuah pernyataan pada hari Jumat.

Dia menambahkan bahwa langkah itu memiliki “dukungan bipartisan yang luas” di antara kepemimpinan kongres AS.

Pejabat keamanan AS telah memperingatkan bahwa peralatan dari merek China seperti Huawei dapat digunakan untuk mengganggu jaringan nirkabel generasi kelima (5G) dan mengumpulkan informasi sensitif.

Larangan itu adalah langkah terbaru dalam dorongan selama bertahun-tahun “untuk menjaga keamanan jaringan AS” dengan mengidentifikasi dan melarang perangkat yang dianggap sebagai ancaman keamanan, kata FCC.

Inisiatif hari Jumat juga mencakup larangan Hytera Communications, Perusahaan Teknologi Digital Hikvision Hangzhou, dan Perusahaan Teknologi Dahua.

Huawei menolak memberikan komentar kepada kantor berita Reuters. ZTE, Dahua, Hikvision dan Hytera tidak segera menanggapi permintaan komentar.

Selengkapnya: Al Jazeera

Ducktail Hacker Group Berkembang, Menargetkan Akun Bisnis Facebook

by

Operasi peretasan yang berbasis di Vietnam yang dijuluki “Ducktail” menargetkan individu dan perusahaan yang beroperasi di platform Iklan dan Bisnis Facebook.

Peneliti keamanan di WithSecure menemukan kampanye tersebut awal tahun ini dan menjelaskan perkembangan baru dalam sebuah nasihat yang diterbitkan sebelumnya hari ini.

“Kami tidak melihat tanda-tanda Ducktail akan segera melambat, tetapi melihat mereka berkembang pesat dalam menghadapi kemunduran operasional,” komentar peneliti WithSecure Mohammad Kazem Hassan Nejad.

“Sampai saat ini, tim operasional di belakang Ducktail tampaknya kecil, tetapi itu telah berubah.”

Selanjutnya, Ducktail telah melakukan upaya penghindaran pertahanan lanjutan dan berkelanjutan dengan mengubah format file dan kompilasi serta sertifikat tanda tangan.

Grup tersebut juga akan berinvestasi dalam pengembangan sumber daya dan perluasan operasional dengan mendirikan bisnis palsu lainnya di Vietnam dan mengikutsertakan afiliasi ke dalam operasi tersebut.

“Serangan Ransomware mendapat banyak perhatian, tetapi ancaman seperti Ducktail dapat menyebabkan kerugian finansial dan merek yang besar dan tidak boleh diabaikan,” jelas Paolo Palumbo, wakil presiden WithSecure.

“Dengan meningkatnya aktivitas, afiliasi baru, dan bisnis palsu, kami mengharapkan peningkatan insiden terkait Ducktail di masa mendatang.”

Untuk mempertahankan diri dari kampanye ini dan kampanye serupa, peneliti WithSecure telah merekomendasikan perusahaan untuk memastikan karyawan mereka memiliki akun terpisah untuk tujuan pribadi dan bisnis.

Selengkapnya: Info Security Magazine