Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Application

Application

Fitur Heatmap Strava Disalahgunakan Untuk Mencari Alamat Rumah

by

Para peneliti di North Carolina State University Raleigh telah menemukan risiko privasi dalam fitur peta panas aplikasi Strava yang dapat mengarah pada identifikasi alamat rumah pengguna.

Strava adalah aplikasi pendamping lari dan pelacakan kebugaran yang populer dengan lebih dari 100 juta pengguna di seluruh dunia, membantu orang melacak detak jantung, detail aktivitas, lokasi GPS, dan banyak lagi.

Pada tahun 2018, Strava menerapkan fitur yang disebut “peta panas” yang secara anonim mengumpulkan aktivitas pengguna (pelari, pesepeda, pejalan kaki) untuk membantu pengguna menemukan jalur atau tempat berolahraga, bertemu individu yang berpikiran sama, dan melakukan sesi mereka di lokasi yang lebih ramai dan lebih aman.

Namun, seperti yang ditemukan para peneliti, fitur ini membuka kemungkinan untuk melacak dan menghapus anonimisasi pengguna menggunakan data peta panas yang tersedia untuk umum dikombinasikan dengan metadata pengguna tertentu.

BAGAIMANA CARANYA?
Langkah pertama yang diambil oleh para peneliti adalah mengumpulkan data yang tersedia untuk umum melalui peta panas Strava selama sebulan untuk negara bagian Arkansas, Ohio, dan Carolina Utara.

Selanjutnya, mereka menggunakan analisis gambar untuk mendeteksi area mulai/berhenti di samping jalan, yang menunjukkan bahwa rumah tertentu terkait dengan sumber aktivitas yang dilacak.

Activity heat nearby a house (anupamdas.org)

Setelah memilih tangkapan layar peta panas yang sesuai dengan kriteria, tim melapisi gambar OpenStreetMaps pada tingkat zoom yang membantu mengidentifikasi alamat tempat tinggal individu.

Overlaying home locations (anupamdas.org)

Langkah selanjutnya adalah melakukan perayapan pengguna dengan memanfaatkan fitur pencarian yang tidak terdokumentasi dengan baik di Strava untuk menemukan pengguna yang telah mendaftarkan kota tertentu sebagai lokasi mereka.

Dengan membandingkan titik akhir dari peta panas dan data pribadi pengguna dari fungsi pencarian, peneliti dapat mengkorelasikan titik aktivitas tinggi pada peta panas dan alamat rumah pengguna.

Profil Strava publik berisi data aktivitas dengan stempel waktu dan jarak, membuatnya lebih mudah untuk mengidentifikasi rute potensial yang cocok dengan pola dalam data peta panas, mempersempit orang dan kecocokan area.

Logika serangan dan ikhtisar data (anupamdas.org)

Karena banyak pengguna Strava mendaftar dengan nama asli mereka dan bahkan mengunggah foto profil diri mereka sendiri, menghubungkan identitas dengan lokasi rumah menjadi mungkin.

Untuk penelitian mereka, para ilmuwan mengkorelasikan temuan mereka dengan data pendaftaran pemilih dan menemukan prediksi mereka sekitar 37,5% akurat.

“Pengguna yang lebih aktif menghasilkan lebih banyak panas pada peta panas Strava dan karenanya lebih mudah diidentifikasi. Gambar 7 menunjukkan kemungkinan kecocokan berdasarkan jumlah aktivitas yang diposting,” jelas para peneliti.

“Untuk sisa analisis, kami akan mengasumsikan target serangan memposting aktivitas rata-rata, yang untuk kumpulan data kami adalah 308 aktivitas.”

“Dengan ambang batas 100 meter, dan korban memposting 308 aktivitas, kemungkinan untuk ditemukan adalah 37,5%.”

Semakin banyak aktivitas yang didaftarkan pengguna, semakin besar peluang serangan (anupamdas.org)

sumber : bleepingcomputer.com

Berhati-hati Sebelum Menggunakan Google Untuk Mengunduh Perangkat Lunak

by

Lonjakan tersebut berasal dari berbagai keluarga malware, termasuk AuroraStealer, IcedID, Meta Stealer, RedLine Stealer, Vidar, Formbook, dan XLoader. Di masa lalu, keluarga ini biasanya mengandalkan phishing dan spam jahat yang melampirkan dokumen Microsoft Word dengan makro jebakan. Selama sebulan terakhir, Google Ads telah menjadi tempat tujuan bagi penjahat untuk menyebarkan perangkat berbahaya mereka yang disamarkan sebagai unduhan yang sah dengan menyamar sebagai merek seperti Adobe Reader, Gimp, Microsoft Teams, OBS, Slack, Tor, dan Thunderbird.

Loader MalVirt menggunakan virtualisasi yang disamarkan untuk menghindari perlindungan dan analisis titik akhir. Untuk menyamarkan lalu lintas C2 yang sebenarnya dan menghindari deteksi jaringan, suar MalVirt untuk memikat perintah dan mengontrol server yang dihosting di penyedia termasuk Azure, Tucows, Choopa, dan Namecheap. Peneliti Sentinel One Tom Hegel menulis:

Malware dari keluarga Formbook adalah infostealer berkemampuan tinggi yang digunakan melalui penerapan sejumlah besar teknik anti-analisis dan anti-deteksi oleh loader MalVirt. Secara tradisional didistribusikan sebagai lampiran email phishing, kami menilai bahwa pelaku ancaman yang menyebarkan malware ini kemungkinan besar bergabung dengan tren maliklan.

Mengingat ukuran audiens yang sangat besar yang dapat dijangkau pelaku ancaman melalui malvertising, kami memperkirakan malware akan terus didistribusikan menggunakan metode ini.

Pelaku jahat sering menggunakan tindakan canggih untuk menyembunyikan identitas mereka dan menghindari kebijakan dan penegakan kita. Untuk mengatasi hal ini selama beberapa tahun terakhir, kami telah meluncurkan kebijakan sertifikasi baru, meningkatkan verifikasi pengiklan, dan meningkatkan kapasitas kami untuk mendeteksi dan mencegah penipuan terkoordinasi.

selengkapnya : arstechnica

200 aplikasi Android dan iOS Berbahaya Menguras Rekening Bank

by

Sejumlah 203 aplikasi iOS dan Android berbahaya pertama kali ditemukan oleh Kementerian Ekonomi dan Masyarakat Digital (DES) Thailand dan National Cyber ​​Security Center (NCSC) Inggris.

DES memutuskan untuk memberitahu publik tentang aplikasi buruk ini di halaman Facebook-nya setelah ditemukan mencuri informasi pribadi, menguras rekening bank pengguna, mengambil kendali remote dari smartphone yang terinfeksi dan digunakan untuk melakukan pencurian identitas.

Aplikasi tersebut mencakup berbagai kategori mulai dari aplikasi obrolan, filter foto, keyboard khusus, dan pengonversi PDF. Semua aplikasi tersebut mengandung malware dan melakukan tindakan berbahaya lainnya setelah terinstal di smartphone.

Belum ada informasi lebih lanjut mengenai jenis malware mana yang disebarkan. DES dan NCSC bekerja sama dengan Google dan Apple untuk menghapus aplikasi ini dari toko aplikasi masing-masing.

Dihimbau kepada para pengguna smartphone untuk segera menghapus aplikasi berbahaya yang telah disebutkan disini.

Tindakan pencegahan untuk tetap aman adalah berhati-hati saat memasang perangkat lunak baru, selalu memeriksa ulasan dan peringkat aplikasi di toko terlebih dahulu sebelum mengunduh apa pun, memastikan bahwa Google Play Protect diaktifkan karena terus memindai aplikasi yang ada serta aplikasi baru yang Anda unduh untuk mencari malware.

Selengkapnya: tom’s guide

Kalender Google Menyerah, Membuat Acara dari Pesan Gmail Acak

by

Pemasar akan senang mengetahui penjualan sepanjang hari mereka benar-benar ada di kalender Anda.

Spam terburuk adalah spam di kalender Google, mengisi jadwal dengan acara acak berdasarkan semua buletin dan konten pemasaran yang diterima. Integrasi licik yang memungkinkan Kalender Google secara otomatis membuat acara berdasarkan pengait tertentu dalam pesan Gmail, menjadi kacau bagi sejumlah pengguna.

Orang-orang telah memposting acara sepanjang hari berdasarkan pesan yang mereka terima melalui Gmail yang juga masuk ke kalender Google. Hal ini mulai bermunculan sejak hari Kamis lalu.

Teman-teman yang bersaing di 9to5Google menyarankan agar pengguna yang mungkin menganggap mematikan integrasi yang berguna untuk saat ini, dapat mengatur setelan acara untuk setiap akun yang dimasuki dengan buka Kalender Google > Setelan > Acara dari Gmail.

Sebagian besar, integrasi Kalender Gmail berguna dalam membuat janji temu dan reservasi yang kemudian secara otomatis membuat sebuah acara disertai detail informasi waktu lokasi dan lainnya.

Tim Google Kalender menyarankan agar pengguna melaporkan peristiwa bermasalah satu per satu. Menurutnya seseorang di Google Workspace hanya perlu menggali lebih dalam dan menemukan satu tombol untuk membalik untuk melepaskan, mengacak-acak, dan mengatasi bug ini.

Selengkapnya: Android Police

Mariana Trench sumber terbuka: Menganalisis Keamanan Aplikasi Android dan Java Secara Mendalam

by

Aplikasi seluler Facebook, termasuk Facebook, Instagram, dan Whatsapp, berjalan di jutaan baris kode dan terus berkembang untuk memungkinkan fungsionalitas baru dan meningkatkan layanan kami. Untuk menangani volume kode ini, kami membangun sistem canggih yang membantu teknisi keamanan kami mendeteksi dan meninjau kode untuk kemungkinan masalah, daripada mengharuskan mereka hanya mengandalkan tinjauan kode manual. Pada paruh pertama tahun 2021, lebih dari 50 persen kerentanan keamanan yang kami temukan di seluruh rangkaian aplikasi kami terdeteksi menggunakan alat otomatis.

Kami membangun MT (Mariana Trench) untuk fokus khususnya pada aplikasi Android. Ada perbedaan dalam menambal dan memastikan adopsi pembaruan kode antara aplikasi seluler dan web, sehingga memerlukan pendekatan yang berbeda. Sementara kode sisi server dapat diperbarui hampir secara instan untuk aplikasi web, mengurangi bug keamanan dalam aplikasi Android bergantung pada setiap pengguna yang memperbarui aplikasi pada perangkat yang mereka miliki secara tepat waktu. Ini menjadikannya jauh lebih penting bagi pengembang aplikasi mana pun untuk menerapkan sistem guna membantu mencegah kerentanan agar tidak masuk ke rilis seluler, bila memungkinkan.

MT (Mariana Trench) dirancang untuk dapat memindai basis kode seluler yang besar dan menandai potensi masalah pada permintaan tarik sebelum dibuat menjadi produksi. Itu dibangun sebagai hasil kolaborasi erat antara insinyur keamanan dan perangkat lunak di Facebook yang melatih MT (Mariana Trench) untuk melihat kode dan menganalisis bagaimana data mengalir melaluinya. Menganalisis aliran data berguna karena banyak masalah keamanan dan privasi dapat dimodelkan sebagai aliran data ke tempat yang tidak seharusnya.

Selengkapnya: Facebook

TikTok Diam-diam Memperbarui Kebijakan Privasi untuk Mengumpulkan Faceprints dan Voiceprints

by

TikTok, salah satu aplikasi yang paling banyak diunduh pada tahun 2021 sejauh ini, memutuskan untuk secara diam-diam memperbarui kebijakan privasinya untuk mengumpulkan pengenal biometrik dan informasi biometrik yang dikenal di AS sebagai Faceprints dan Voiceprints.

Aplikasi trendi, yang dimiliki oleh perusahaan teknologi internet China ByteDance, menambahkan bagian baru pada kebijakan privasinya yang disebut ‘Informasi Gambar dan Audio’.

Dengan langkah berani, perusahaan yang berbasis di Beijing sekarang dapat secara otomatis mengumpulkan jenis data biometrik baru tersebut. Menurut kebijakan privasi yang diperbarui, data akan digunakan untuk operasi non-identifikasi pribadi seperti mengaktifkan efek video khusus, moderasi konten, klasifikasi demografis, dan rekomendasi iklan.

Meskipun kebijakan privasi TikTok secara eksplisit mengatakan bahwa mereka tidak menjual informasi pribadi kepada pihak ketiga, mereka juga membiarkan pintu terbuka, mengatakan bahwa mereka dapat berbagi informasi bisnis, termasuk Faceprints dan Voiceprints, untuk tujuan bisnis.

Kekhawatiran lain yang membayangi ByteDance adalah bahwa perusahaan tersebut suatu hari nanti mungkin dipaksa oleh partai komunis yang berkuasa di China untuk membagikan informasi biometrik semacam itu dengan pemerintah.

Selengkapnya: Panda Security

Peringatan Serius Dikeluarkan Untuk Jutaan Pengguna iPhone Apple

by

Apple terus memecahkan rekor keuangan tetapi – setelah berita mengejutkan demi berita – kekhawatiran meningkat tentang satu sumber utama pendapatan itu: Apple App Store. Dan sekarang bom terbesar telah dijatuhkan pada pemilik iPhone.

Setelah mendapatkan perhatian internasional menyusul pengungkapan baru-baru ini tentang perangkat lunak App Store profil tinggi, kasino yang disembunyikan di dalam permainan anak-anak, dan ‘pabrik’ aplikasi penipuan VPN iOS, pengembang Kosta Eleftheriou telah mengumumkan perangkat lunak baru yang ia yakini telah mengungkap penipuan App Store terhadap iPhone dan iPad pemilik yang “diukur dalam MILIAR, bukan jutaan”.

“Sejauh ini saya telah menemukan ratusan aplikasi penipuan, termasuk beberapa penipuan jutaan dolar yang tidak terkendali selama berbulan-bulan atau bahkan bertahun-tahun, sementara Apple mengumpulkan potongan 30% mereka,” kata Eleftheriou, berbicara kepada saya tentang perangkat lunak barunya.

Pengembang telah menggoda perangkat lunak tersebut awal bulan ini, mengutip permintaan tahun 2015 dari Apple Fellow dan mantan Wakil Presiden Senior Pemasaran Produk Seluruh Dunia, Phil Schiller, kepada timnya untuk “TOLONG kembangkan sistem untuk secara otomatis menemukan aplikasi berperingkat rendah dan membersihkannya !!” . Tidak ada perangkat lunak semacam itu yang dibuat, sampai Eleftheriou mengambil sendiri untuk membuatnya.

Sementara itu, Eleftheriou memiliki skin di dalam game. Dia mengembangkan aplikasi Apple Watch FlickType yang populer, hanya untuk melihat kesuksesannya dirusak oleh serangkaian aplikasi penipuan yang diperdagangkan dengan nama yang mirip. Eleftheriou mengatakan dia mengeluh kepada Apple, tetapi mengatakan tindakan tidak diambil dalam upaya untuk memaksa penjualan murah aplikasinya ke perusahaan. Dia kemudian menggugat Apple.

Tentu saja, terlepas dari motivasinya, Eleftheriou jauh dari kritik dan eksposur malapraktik App Store. Epic Games (pembuat Fortnite), Spotify, Match Group (pemilik Tinder) dan banyak lagi baru-baru ini menyerang Apple karena praktik App Store yang tidak adil dan eksploitatif. Insinyur anti-penipuan Apple senior Eric Friedman juga dikutip dalam dokumen hukum bulan lalu, mengatakan pertahanan App Store seperti “membawa pisau mentega plastik ke baku tembak”.

selengkapnya : www.forbes.com

Aplikasi pelacak kesuburan, Flo Health, menyelesaikan tuduhan FTC mengenai data yang tidak seharusnya dibagikan

by

Aplikasi pelacak kesuburan, Flo Health, telah menyelesaikan tuduhan Komisi Perdagangan Federal (FTC) bahwa mereka membagikan data pengguna dengan pihak ketiga, meskipun mereka berjanji sebaliknya.

Sebagai bagian dari penyelesaian yang diusulkan, pengembang aplikasi pelacakan period dan kesuburan, yang menurut FTC digunakan oleh lebih dari 100 juta konsumen, diwajibkan untuk mendapatkan tinjauan independen atas praktik privasinya dan mendapatkan persetujuan pengguna aplikasi sebelum membagikan informasi kesehatan mereka.

Dalam keluhannya, FTC menuduh bahwa Flo berjanji untuk merahasiakan data kesehatan pengguna dan hanya menggunakannya untuk menyediakan layanan aplikasi kepada pengguna.

Menurut keluhan tersebut, Flo mengungkapkan data kesehatan dari jutaan pengguna aplikasi Flo Period & Ovulation Tracker-nya kepada pihak ketiga yang menyediakan layanan pemasaran dan analitik untuk aplikasi, termasuk divisi analitik Facebook, divisi analitik Google, layanan Fabric Google, AppsFlyer, dan Flurry.

Keluhan tersebut menuduh Flo tidak membatasi bagaimana pihak ketiga dapat menggunakan data kesehatan ini.

Flo tidak berhenti mengungkapkan data sensitif ini sampai praktiknya terungkap dalam artikel berita pada Februari 2019, yang memicu ratusan keluhan dari pengguna aplikasi, kata FTC.

Seorang Juru Bicara Flo memberi tahu ZDNet bahwa prioritas tertinggi perusahaan adalah melindungi data penggunanya.

“Itulah sebabnya kami telah bekerja sama sepenuhnya selama tinjauan FTC terhadap kebijakan dan prosedur privasi kami,” kata mereka.

Sumber: ZDNet