Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Android

Android

Bagaimana Penegakan Hukum Mendapat Enkripsi Ponsel Anda

by

Pembuat undang-undang dan lembaga penegak hukum di seluruh dunia, termasuk di Amerika Serikat, semakin menyerukan backdoor dalam skema enkripsi yang melindungi data Anda, dengan alasan bahwa keamanan nasional dipertaruhkan.

Tetapi penelitian baru menunjukkan pemerintah sudah memiliki metode dan alat yang, baik atau buruk, memungkinkan mereka mengakses smartphone yang terkunci berkat kelemahan dalam skema keamanan Android dan iOS.

Kriptografer di Universitas Johns Hopkins menggunakan dokumentasi yang tersedia untuk umum dari Apple dan Google serta analisis mereka sendiri untuk menilai kekuatan enkripsi Android dan iOS.

Saat Anda mengunci ponsel dengan kode sandi, kunci sidik jari, atau kunci pengenalan wajah, ini mengenkripsi konten pada perangkat. Bahkan jika seseorang mencuri ponsel Anda dan menarik datanya, mereka tidak akan mendapatkan apapun. Mendekode semua data akan membutuhkan kunci yang hanya dibuat ulang saat Anda membuka kunci ponsel dengan kode sandi, atau pengenalan wajah atau jari. Dan ponsel cerdas saat ini menawarkan banyak lapisan perlindungan ini dan kunci enkripsi yang berbeda untuk berbagai tingkat data sensitif.

Dengan semua pemikiran itu, para peneliti berasumsi akan sangat sulit bagi penyerang untuk menemukan salah satu kunci itu dan membuka kunci sejumlah data. Tapi bukan itu yang mereka temukan.

Saat iPhone dimatikan dan dinyalakan, semua data berada dalam status yang disebut Apple “Perlindungan Lengkap”. Anda masih bisa dipaksa untuk membuka kunci ponsel Anda, tentu saja, tetapi alat forensik yang ada akan kesulitan menarik data yang dapat dibaca darinya.

Namun, setelah Anda membuka kunci ponsel Anda pertama kali setelah reboot, banyak data berpindah ke mode yang berbeda — Apple menyebutnya “Protected Until First User Authentication”, tetapi peneliti sering menyebutnya “After First Unlock” (AFU). Jadi seberapa efektif keamanan AFU? Di situlah para peneliti mulai khawatir.

Perbedaan utama antara Complete Protection dan AFU berkaitan dengan seberapa cepat dan mudahnya aplikasi mengakses kunci untuk mendekripsi data. Saat data dalam status Complete Protection, kunci untuk mendekripsinya disimpan jauh di dalam sistem operasi dan dienkripsi sendiri. Tetapi begitu Anda membuka kunci perangkat Anda pertama kali setelah reboot, banyak kunci enkripsi mulai disimpan dalam memori akses cepat, bahkan saat ponsel terkunci. Pada titik ini, penyerang dapat menemukan dan mengeksploitasi jenis kerentanan keamanan tertentu di iOS untuk mengambil kunci enkripsi yang dapat diakses di memori dan mendekripsi potongan besar data dari ponsel.

Para peneliti menemukan bahwa Android memiliki pengaturan yang mirip dengan iOS dengan satu perbedaan penting. Jika Apple memberikan opsi bagi pengembang untuk menyimpan beberapa data di bawah kunci Complete Protection yang lebih ketat sepanjang waktu — sesuatu yang mungkin diterapkan oleh aplikasi perbankan — Android tidak memiliki mekanisme itu setelah membuka kunci pertama. Alat forensik yang mengeksploitasi kerentanan yang tepat dapat mengambil lebih banyak kunci dekripsi, dan pada akhirnya mengakses lebih banyak data, di ponsel Android.

Untuk memahami perbedaan dalam status enkripsi ini, Anda dapat melakukan sedikit demo untuk diri Anda sendiri di iOS atau Android. Saat teman Anda menelepon ponsel Anda, namanya biasanya muncul di layar panggilan karena ada di kontak Anda. Tetapi jika Anda me-restart perangkat Anda, tidak membuka kunci terlebih dahulu, dan kemudian teman Anda menelepon Anda, hanya nomor mereka yang akan muncul, bukan nama mereka. Itu karena kunci untuk mendekripsi data buku alamat Anda belum ada di memori.

Selengkapnya: Wired

Aplikasi berbahaya di Google Play menjatuhkan Trojan perbankan di perangkat pengguna

by

Google telah menghapus 10 aplikasi dari Play Store yang berisi dropper untuk Trojan keuangan.

Pada hari Selasa, Check Point Research (CPR) mengatakan dalam sebuah posting blog bahwa aplikasi Android tampaknya telah dikirimkan oleh pelaku ancaman yang sama yang membuat akun pengembang baru untuk setiap aplikasi.

Dropper dimuat ke dalam perangkat lunak yang tampak tidak bersalah dan masing-masing dari 10 aplikasi adalah utilitas, termasuk Cake VPN, Pacific VPN, BeatPlayer, QR/Barcode Scanner MAX, dan QRecorder.

Fungsionalitas utilitas diambil dari aplikasi Android sumber terbuka resmi yang ada.

Untuk menghindari deteksi oleh perlindungan keamanan standar Google, Firebase digunakan sebagai platform untuk komunikasi perintah dan kontrol (C2) dan GitHub disalahgunakan untuk mengunduh payload.

Menurut para peneliti, infrastruktur C2 dropper tersembunyi berisi parameter – aktifkan atau nonaktifkan – untuk ‘memutuskan’ apakah akan memicu fungsi jahat aplikasi atau tidak. Parameter disetel ke “false” hingga Google telah memublikasikan aplikasi, dan kemudian perangkap muncul.

Dijuluki Clast82, CPR mengatakan dropper yang baru ditemukan telah dirancang untuk mengirimkan malware finansial. Setelah dipicu, muatan tahap kedua ditarik dari GitHub termasuk mRAT dan AlienBot.

MRAT digunakan untuk menyediakan akses jarak jauh ke perangkat seluler yang disusupi, sedangkan AlienBot memfasilitasi injeksi kode berbahaya ke dalam aplikasi keuangan yang sah dan ada. Penyerang dapat membajak aplikasi perbankan untuk mendapatkan akses ke akun pengguna dan mencuri data keuangan mereka, dan malware juga akan mencoba mencegat kode otentikasi dua faktor (2FA).

Selengkapnya: ZDNet

Data 21 juta pengguna dari 3 VPN Android dijual secara online

by

Seorang pengguna di forum peretas populer menjual tiga basis data yang diduga berisi kredensial pengguna dan data perangkat yang dicuri dari tiga layanan VPN Android yang berbeda – SuperVPN, GeckoVPN, dan ChatVPN – dengan total 21 juta catatan pengguna yang terjual.

Sumber: The Cybernews

Layanan VPN yang datanya diduga telah dieksploitasi oleh peretas adalah SuperVPN, yang dianggap sebagai salah satu VPN paling populer (dan berbahaya) di Google Play dengan 100.000.000+ pemasangan di Play store, serta GeckoVPN (1.000.000+ pemasangan) dan ChatVPN (50.000+ pemasangan).

Penulis postingan forum tersebut menjual tiga arsip, dua di antaranya diduga berisi berbagai data yang tampaknya dikumpulkan oleh penyedia dari lebih dari 21.000.000 pengguna SuperVPN, GeckoVPN, dan ChatVPN, termasuk:

  • Alamat email
  • Nama pengguna
  • Nama lengkap
  • Nama negara
  • String kata sandi yang dibuat secara acak
  • Data terkait pembayaran
  • Status anggota premium dan tanggal kedaluwarsa

String kata sandi acak mungkin menunjukkan bahwa akun pengguna VPN dapat ditautkan dengan akun Google Play Store tempat pengguna mengunduh aplikasi VPN mereka.

Secara teori, salah satu poin utama penggunaan VPN adalah untuk mengenkripsi lalu lintas internet Anda dan melindungi privasi Anda dari mata-mata pihak ketiga, seperti ISP, pemerintah yang represif, atau pelaku ancaman.

Inilah sebabnya, ketika memilih VPN, pengguna harus selalu memastikan bahwa VPN yang dimaksud tidak mencatat aktivitas online mereka atau mengumpulkan data lain apa pun tentang mereka. Jika tidak, data yang dicuri dari VPN yang mencatat informasi penggunanya dapat digunakan untuk melawan pengguna tersebut oleh pelaku ancaman.

Sumber: Cyber News

Samsung memperpanjang pembaruan keamanan untuk ponsel Galaxy hingga 4 tahun

by

Samsung pada hari Senin mengumumkan bahwa mereka akan memperpanjang jumlah waktu untuk menyediakan pembaruan keamanan untuk ponsel Galaxy-nya dari tiga tahun menjadi “minimal empat tahun.”

Pengumuman ini tidak berlaku untuk perangkat yang dibuat empat tahun lalu. Ini adalah untuk ponsel dan tablet yang dibuat pada tahun 2019, dan, tentu saja, semua yang baru di masa depan. Berikut daftar perangkat yang diterbitkan Samsung yang dicakup oleh kebijakan baru:

  • Galaxy Foldable devices: Fold, Z Fold2 5G, Z Flip, Z Flip 5G
  • Galaxy S series: S10, S10+, S10e, S10 5G, S10 Lite, S20 5G, S20+ 5G, S20 Ultra 5G, S20 FE 5G, S21 5G, S21+ 5G, S21 Ultra 5G
  • Galaxy Note series: Note10, Note10+, Note10+ 5G, Note20 5G, Note20 Ultra 5G
  • Galaxy A series: A10e, A20, A50, A11, A21, A51, A51 5G, A71 5G
  • Galaxy XCover series: XCover FieldPro, XCover Pro
  • Galaxy Tab series: Tab Active Pro, Tab Active3, Tab A 8 (2019), Tab A with S Pen, Tab A 8.4 (2020), Tab A7, Tab S5e, Tab S6, Tab S6 5G, Tab S6 Lite, Tab S7, Tab S7+

Agar jelas, pembaruan yang dibicarakan Samsung di sini tidak akan menambah fitur baru atau menjaga sistem operasi tetap mutakhir dengan versi terbaru Android. Paket pembaruan jangka panjang hanya untuk perbaikan keamanan.

Sumber: ZDNet

SHAREit memperbaiki bug keamanan di aplikasi dengan 1 miliar unduhan

by

Smart Media4U Technology yang berbasis di Singapura mengatakan hari ini bahwa mereka memperbaiki kerentanan SHAREit yang mungkin memungkinkan penyerang untuk mengeksekusi kode arbitrary dari jarak jauh di perangkat pengguna.

Bug keamanan berdampak pada aplikasi SHAREit Android perusahaan, sebuah aplikasi yang diunduh lebih dari 1 miliar kali, menurut statistik Google Play Store.

Seperti yang ditemukan oleh analis ancaman seluler Trend Micro, Echo Duan dan Jesse Chang, bug keamanan yang sekarang telah diperbaiki dapat disalahgunakan oleh penyerang untuk mendapatkan akses ke informasi sensitif yang disimpan oleh pengguna pada perangkat yang menjalankan versi SHAREit yang rentan.

Mereka juga dapat disalahgunakan untuk mengeksekusi kode arbitrary dengan izin SHAREit dengan bantuan kode atau aplikasi berbahaya, yang berpotensi memungkinkan pelaku ancaman untuk menggunakannya dalam serangan Remote Code Execution (RCE).

Cacat keamanan juga membuat pengguna SHAREit yang belum ditambal terkena serangan man-in-the-disk (MITD), yang memungkinkan penyerang memanipulasi sumber daya aplikasi yang disimpan di penyimpanan eksternal melalui injeksi kode.

Sumber: Bleeping Computer

Peretas Pro-India menggunakan spyware Android untuk memata-matai militer Pakistan

by

Minggu ini sebuah laporan telah mengungkapkan rincian tentang dua jenis spyware Android yang dimanfaatkan oleh aktor ancaman yang disponsori negara selama konflik India-Pakistan.

Strain malware bernama Hornbill dan SunBird telah dikirimkan sebagai aplikasi Android palsu (APK) oleh Confucius kelompok ancaman persisten tingkat lanjut (APT), sebuah operasi yang disponsori negara pro-India yang diketahui memata-matai target Pakistan dan Asia Selatan, setidaknya sejak 2013.

Meskipun Confucius telah membuat malware Windows di masa lalu, grup tersebut telah memperluas kemampuannya ke malware seluler sejak 2017 ketika aplikasi mata-mata ChatSpy muncul.

Aplikasi Android palsu yang diterbitkan oleh grup tersebut mencakup “Google Security Framework,”, dan aplikasi dengan signifikansi regional seperti, “Kashmir News”, “Falconry Connect”, “Mania Soccer”, dan “Quran Majeed” sebagai bagian dari operasi spionase ini.

Menurut peneliti Lookout Apurva Kumar dan Kristin Del Rosso, aplikasi yang terkait dengan SunBird memiliki serangkaian kemampuan yang lebih luas daripada Hornbill dan tetap menjalankan urutan eksfiltrasi datanya secara berkala.

Para peneliti menganalisis lebih dari 18 GB data exfiltrated yang diperoleh dari enam atau lebih server C2 yang terbuka untuk umum.

Data yang bocor ini mengungkapkan target aktor negara-bangsa termasuk calon potensial untuk Komisi Energi Atom Pakistan, individu yang memiliki hubungan dekat dengan Angkatan Udara Pakistan (PAF), dan petugas pemilihan yang mengawasi proses pemilihan di distrik Pulwama di Kashmir.

Selengkapnya: Bleeping Computer

Bug keamanan tidak tertambal di aplikasi SHAREit

by

Aplikasi Android yang diunduh lebih dari satu miliar kali mengandung kerentanan yang belum ditambal yang gagal diperbaiki oleh pembuat aplikasi selama lebih dari tiga bulan.

Kerentanan tersebut memengaruhi versi Android SHAREit, aplikasi seluler yang memungkinkan pengguna berbagi file dengan teman atau antar perangkat pribadi.

Bug dapat dieksploitasi untuk menjalankan kode berbahaya pada ponsel pintar tempat aplikasi SHAREit diinstal, Echo Duan, analis ancaman seluler untuk perusahaan keamanan Trend Micro, mengatakan dalam sebuah laporan yang dirilis pada hari Senin.

Akar penyebab dari kelemahan keamanan ini adalah kurangnya batasan yang tepat tentang siapa yang dapat memanfaatkan kode aplikasi.

Duan mengatakan bahwa aplikasi berbahaya yang diinstal pada perangkat pengguna, atau penyerang yang melakukan serangan jaringan man-in-the-middle, dapat mengirim perintah jahat ke aplikasi SHAREit dan membajak fitur sahnya untuk menjalankan kode khusus, menimpa file lokal aplikasi, atau menginstal aplikasi pihak ketiga tanpa sepengetahuan pengguna.

Selain itu, aplikasi ini juga rentan terhadap apa yang disebut serangan Man-in-the-Disk, jenis kerentanan yang pertama kali dijelaskan oleh Check Point pada tahun 2018 yang terdapat di sekitar penyimpanan tidak aman dari sumber daya aplikasi sensitif di lokasi ruang penyimpanan ponsel yang dibagikan dengan aplikasi lain – tempat mereka dapat dihapus, diedit, atau diganti oleh penyerang.

Di situsnya, pengembang SHAREit mengklaim aplikasi mereka digunakan oleh 1,8 miliar pengguna di lebih dari 200 negara di seluruh dunia. Kerentanan tidak memengaruhi aplikasi SHAREit iOS, yang berjalan pada basis kode yang berbeda.

Sumber: ZDNet

Perangkat Android Diburu oleh Malware Windows LodaRAT

by

Varian baru dari malware LodaRAT, yang secara historis menargetkan perangkat Windows, sedang didistribusikan dalam kampanye yang sedang berlangsung yang sekarang juga memburu perangkat Android dan memata-matai korban.

Bersamaan dengan ini, versi terbaru LodaRAT untuk Windows juga telah diidentifikasi; kedua versi terlihat dalam kampanye baru-baru ini yang menargetkan Bangladesh, kata para peneliti.

Kampanye tersebut mencerminkan perubahan menyeluruh dalam strategi untuk pengembang LodaRAT, karena serangan tersebut tampaknya didorong oleh spionase daripada tujuan keuangan sebelumnya. Sementara versi LodaRAT sebelumnya berisi kemampuan mencuri kredensial yang menurut para peneliti digunakan untuk menguras rekening bank korban, versi yang lebih baru ini hadir dengan kumpulan lengkap perintah pengumpulan informasi.

LodaRAT, pertama kali ditemukan pada September 2016, adalah trojan akses jarak jauh (RAT) yang hadir dengan berbagai kemampuan untuk memata-matai korban, seperti merekam mikrofon dan webcam perangkat korban. Nama “Loda” berasal dari direktori yang dipilih pembuat malware untuk menulis log keylogger.

Versi Android dari malware LodaRAT, yang oleh para peneliti disebut “Loda4Android,” “relatif sederhana jika dibandingkan dengan malware Android lainnya,” kata para peneliti. Misalnya, RAT secara khusus menghindari teknik yang sering digunakan oleh trojan perbankan Android, seperti memanfaatkan Accessibility API, untuk mencuri data.

selengkapnya : ThreatPost