Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for iOS

iOS

Aplikasi Penipuan Bitcoin Disetujui oleh Apple dan Merugikan Pengguna iPhone sebesar $ 600.000 Lebih

by

Aplikasi penipuan bitcoin yang dirancang agar terlihat seperti aplikasi asli diterima oleh tim peninjau App Store Apple dan akhirnya merugikan pengguna iPhone Phillipe Christodoulou 17,1 bitcoin, atau lebih dari $ 600.000 (Rp 8 Milyar) pada saat pencurian, lapor The Washington Post.

Berawal dari Christodoulou ingin memeriksa saldo bitcoin-nya pada bulan Februari, dan mencari “Trezor” di ‌App Store‌ Apple, perusahaan yang membuat perangkat keras tempat dia menyimpan cryptocurrency-nya. Dia melihat aplikasi dengan logo gembok Trezor dan latar belakang hijau, jadi dia mengunduhnya dan memasukkan identitasnya.

Sayangnya, aplikasi tersebut palsu, dan dirancang agar terlihat seperti aplikasi yang sah untuk menipu pemilik bitcoin. Christodoulou memiliki total saldo bitcoin yang dicuri darinya, dan dia marah dengan Apple. “Apple tidak pantas lolos begitu saja,” katanya kepada The Washington Post.

Apple mengatakan aplikasi Trezor palsu berhasil melewati ‌App Store‌ melalui “bait-and-switch”. Itu disebut Trezor dan menggunakan logo dan warna Trezor, tetapi dikatakan bahwa itu adalah aplikasi “kriptografi” yang akan mengenkripsi file ‌iPhone‌ dan menyimpan kata sandi. Setelah aplikasi Trezor palsu disubmit, aplikasi itu berubah menjadi dompet cryptocurrency, yang tidak dapat dideteksi oleh Apple.

Juru bicara Apple Fred Sainz mengatakan kepada The Washington Post bahwa Apple mengambil tindakan cepat ketika penjahat menipu pengguna ‌iPhone‌. Apple mengakui telah menemukan penipuan mata uang kripto lainnya di ‌App Store, tetapi tidak memberikan rincian spesifik tentang jumlah atau apakah pernah ada aplikasi Trezor palsu sebelumnya.

Pengguna ‌iPhone‌ lain yang kehilangan Ethereum dan bitcoin senilai $ 14.000 (Rp 200 juta) mengatakan bahwa perwakilan Apple mengatakan kepadanya bahwa Apple tidak bertanggung jawab atas kerugian dari aplikasi Trezor palsu.

Selengkapnya: MacRumors

Google Chrome akan menggunakan HTTPS sebagai protokol navigasi default

by

Google Chrome akan beralih memilih HTTPS sebagai protokol default untuk semua URL yang diketik di bilah alamat, dimulai dengan versi stabil berikutnya dari browser web tersebut.

Fitur ini memasuki pengujian bulan lalu, dan diluncurkan sebagai bagian dari eksperimen terbatas untuk pengguna Chrome Canary, Dev, atau Beta.

Perubahan tersebut akan diluncurkan ke Chrome Desktop dan Chrome versi stabil untuk Android setelah diperbarui ke versi 90 (akan dirilis pada 13 April), dengan peluncuran iOS dijadwalkan akhir tahun ini.

Langkah ini adalah bagian dari upaya yang lebih besar untuk melindungi pengguna dari penyerang yang mencoba mencegat lalu lintas web mereka yang tidak terenkripsi dan mempercepat pemuatan situs web yang disajikan melalui HTTPS.

Sumber: Google

Selengkapnya: Bleeping Computer

Aplikasi Fleeceware telah menghasilkan lebih dari $ 400 juta di App Store dan Play Store, kata penelitian baru

by

Peneliti di Avast menemukan total 204 aplikasi perangkat lunak dengan lebih dari satu miliar unduhan dan pendapatan lebih dari $ 400 juta di Apple App Store dan Google Play Store. Ini terjadi ketika Apple menghadapi peningkatan pengawasan atas aplikasi scam di App Store.

Pertama-tama, penting untuk menjelaskan apa itu fleeceware: ini adalah istilah yang merujuk pada aplikasi seluler yang disertai dengan biaya langganan yang berlebihan.

Misalnya, sebagian besar aplikasi menyertakan uji coba gratis singkat, tetapi aplikasi fleeceware ini memanfaatkan pengguna yang tidak terbiasa dengan cara kerja langganan di iPhone atau perangkat Android lainnya dan mengenakan biaya yang lebih tinggi.

Dalam postingan blognya, Avast menjelaskan bagaimana penipuan fleeceware menjanjikan uji coba langganan gratis, tetapi memberikan biaya yang mahal kepada para korban.

Riset Avast menunjukkan kategori aplikasi berikut sebagai aplikasi yang paling rentan terhadap perangkat lunak Fleeceware:

  • Aplikasi alat musik
  • Pembaca telapak tangan
  • Editor gambar
  • Filter kamera
  • Peramal
  • Kode QR dan pembaca PDF
  • Simulator Slim

    • e

Avast memberikan beberapa solusi yang harus diikuti oleh Apple dan Google. Pertama-tama, para peneliti berpikir bahwa perusahaan harus mengubah cara kerja langganan. Jika pengguna mengunduh aplikasi gratis dengan uji coba, setelah uji coba ini selesai, toko harus mengirimkan peringatan jika pengguna ingin berlangganan aplikasi dan tidak secara otomatis mulai mengenakan biaya segera setelah selesai.

Opsi lainnya adalah memberikan pop up yang lebih baik saat Anda menghapus aplikasi langganan Anda. Apple dan Google sudah memperingatkan pengguna saat mencoba menghapus aplikasi berlangganan, tetapi menurut Avast, itu bisa lebih baik.

Selengkapnya: 9to5mac

Kelompok peretasan menggunakan 11 zero-day untuk menyerang pengguna Windows, iOS, Android

by

Project Zero, tim zero-day bug-hunting Google, menemukan sekelompok peretas yang menggunakan 11 zero-day dalam serangan yang menargetkan pengguna Windows, iOS, dan Android dalam satu tahun.

Tim Project Zero mengungkapkan bahwa kelompok peretasan di balik serangan ini menjalankan dua kampanye terpisah, pada bulan Februari dan Oktober 2020.

Laporan bulan ini menampilkan penggunaan tujuh zero-day setelah sebelumnya diterbitkan pada Januari menunjukkan bagaimana empat zero-day digunakan bersama dengan eksploitasi n-day untuk meretas target potensial.

Sama seperti sebelumnya, penyerang menggunakan beberapa lusin situs web yang menghosting dua server exploit, masing-masing menargetkan pengguna iOS dan Windows atau Android.

“Dalam pengujian kami, kedua server exploit ada di semua domain yang ditemukan,” kata anggota tim Project Zero, Maddie Stone.

“Setelah sidik jari awal (tampaknya didasarkan pada asal alamat IP dan user-agent), iframe disuntikkan ke situs web yang mengarah ke salah satu dari dua server exploit.”

Sumber: Google Project Zero

Secara keseluruhan, saat menganalisis kampanye Oktober 2020, para peneliti Project Zero menemukan:

  • satu rantai eksploitasi yang menargetkan Windows 10 yang sepenuhnya ditambal menggunakan Google Chrome
  • dua rantai parsial menargetkan 2 perangkat Android berbeda yang sepenuhnya ditambal yang menjalankan Android 10 menggunakan Google Chrome dan Samsung Browser
  • beberapa eksploitasi RCE untuk iOS 11-13 dan eksploitasi eskalasi hak istimewa untuk iOS 13 (dengan bug yang dieksploitasi hadir hingga iOS 14.1)

Selengkapnya: Bleeping Computer

Bagaimana Penegakan Hukum Mendapat Enkripsi Ponsel Anda

by

Pembuat undang-undang dan lembaga penegak hukum di seluruh dunia, termasuk di Amerika Serikat, semakin menyerukan backdoor dalam skema enkripsi yang melindungi data Anda, dengan alasan bahwa keamanan nasional dipertaruhkan.

Tetapi penelitian baru menunjukkan pemerintah sudah memiliki metode dan alat yang, baik atau buruk, memungkinkan mereka mengakses smartphone yang terkunci berkat kelemahan dalam skema keamanan Android dan iOS.

Kriptografer di Universitas Johns Hopkins menggunakan dokumentasi yang tersedia untuk umum dari Apple dan Google serta analisis mereka sendiri untuk menilai kekuatan enkripsi Android dan iOS.

Saat Anda mengunci ponsel dengan kode sandi, kunci sidik jari, atau kunci pengenalan wajah, ini mengenkripsi konten pada perangkat. Bahkan jika seseorang mencuri ponsel Anda dan menarik datanya, mereka tidak akan mendapatkan apapun. Mendekode semua data akan membutuhkan kunci yang hanya dibuat ulang saat Anda membuka kunci ponsel dengan kode sandi, atau pengenalan wajah atau jari. Dan ponsel cerdas saat ini menawarkan banyak lapisan perlindungan ini dan kunci enkripsi yang berbeda untuk berbagai tingkat data sensitif.

Dengan semua pemikiran itu, para peneliti berasumsi akan sangat sulit bagi penyerang untuk menemukan salah satu kunci itu dan membuka kunci sejumlah data. Tapi bukan itu yang mereka temukan.

Saat iPhone dimatikan dan dinyalakan, semua data berada dalam status yang disebut Apple “Perlindungan Lengkap”. Anda masih bisa dipaksa untuk membuka kunci ponsel Anda, tentu saja, tetapi alat forensik yang ada akan kesulitan menarik data yang dapat dibaca darinya.

Namun, setelah Anda membuka kunci ponsel Anda pertama kali setelah reboot, banyak data berpindah ke mode yang berbeda — Apple menyebutnya “Protected Until First User Authentication”, tetapi peneliti sering menyebutnya “After First Unlock” (AFU). Jadi seberapa efektif keamanan AFU? Di situlah para peneliti mulai khawatir.

Perbedaan utama antara Complete Protection dan AFU berkaitan dengan seberapa cepat dan mudahnya aplikasi mengakses kunci untuk mendekripsi data. Saat data dalam status Complete Protection, kunci untuk mendekripsinya disimpan jauh di dalam sistem operasi dan dienkripsi sendiri. Tetapi begitu Anda membuka kunci perangkat Anda pertama kali setelah reboot, banyak kunci enkripsi mulai disimpan dalam memori akses cepat, bahkan saat ponsel terkunci. Pada titik ini, penyerang dapat menemukan dan mengeksploitasi jenis kerentanan keamanan tertentu di iOS untuk mengambil kunci enkripsi yang dapat diakses di memori dan mendekripsi potongan besar data dari ponsel.

Para peneliti menemukan bahwa Android memiliki pengaturan yang mirip dengan iOS dengan satu perbedaan penting. Jika Apple memberikan opsi bagi pengembang untuk menyimpan beberapa data di bawah kunci Complete Protection yang lebih ketat sepanjang waktu — sesuatu yang mungkin diterapkan oleh aplikasi perbankan — Android tidak memiliki mekanisme itu setelah membuka kunci pertama. Alat forensik yang mengeksploitasi kerentanan yang tepat dapat mengambil lebih banyak kunci dekripsi, dan pada akhirnya mengakses lebih banyak data, di ponsel Android.

Untuk memahami perbedaan dalam status enkripsi ini, Anda dapat melakukan sedikit demo untuk diri Anda sendiri di iOS atau Android. Saat teman Anda menelepon ponsel Anda, namanya biasanya muncul di layar panggilan karena ada di kontak Anda. Tetapi jika Anda me-restart perangkat Anda, tidak membuka kunci terlebih dahulu, dan kemudian teman Anda menelepon Anda, hanya nomor mereka yang akan muncul, bukan nama mereka. Itu karena kunci untuk mendekripsi data buku alamat Anda belum ada di memori.

Selengkapnya: Wired

Pengembang Apple menjadi sasaran malware baru, EggShell backdoor

by

Proyek Xcode berbahaya digunakan untuk membajak sistem pengembang dan menyebarkan backdoor EggShell khusus.

Malware, yang dijuluki XcodeSpy, menargetkan Xcode, lingkungan pengembangan terintegrasi (IDE) yang digunakan di macOS untuk mengembangkan perangkat lunak dan aplikasi Apple.

Menurut penelitian yang diterbitkan oleh SentinelLabs pada hari Kamis, fitur Run Script di IDE sedang dieksploitasi dalam serangan bertarget terhadap pengembang iOS melalui proyek Trojanized Xcode yang dibagikan secara bebas secara online.

Proyek Xcode sumber terbuka yang sah dapat ditemukan di GitHub. Namun, dalam kasus ini, proyek XcodeSpy menawarkan “advanced features” untuk menganimasikan bilah tab iOS – dan setelah versi awal diunduh dan diluncurkan, skrip berbahaya diterapkan untuk memasang backdoor EggShell.

Dua varian EggShell telah terdeteksi – dan salah satunya berbagi string terenkripsi dengan XcodeSpy. Backdoor ini mampu membajak mikrofon, kamera, dan keyboard pengembang korban, serta mengambil dan mengirim file ke C2 penyerang.

SentinelLabs mengatakan bahwa setidaknya satu organisasi AS telah terperangkap dalam serangan seperti ini dan pengembang di Asia mungkin juga telah terpengaruh oleh kampanye, yang beroperasi setidaknya antara Juli dan Oktober tahun lalu.

Selengkapnya: ZDNet

Bug iPhone Call Recorder memiliki akses ke percakapan orang lain

by

Aplikasi perekaman panggilan iOS menambal kerentanan keamanan yang memberi siapa pun akses ke percakapan ribuan pengguna hanya dengan memberikan nomor telepon yang benar.

Nama aplikasinya adalah “Automatic call recorder” atau “Acr call recorder” dan memiliki ribuan ulasan pengguna di App Store dengan peringkat di atas 4 bintang; itu juga telah terdaftar di antara aplikasi perekaman panggilan teratas untuk iPhone.

Menggunakan kecerdasan sumber terbuka, peneliti keamanan Anand Prakash, pendiri PingSafe AI, menemukan penyimpanan cloud aplikasi di Amazon bersama dengan nama host dan beberapa data sensitif yang digunakannya.

Dengan meneruskan lalu lintas jaringan aplikasi melalui alat web proxy seperti Burp atau Zap, penyerang dapat memasukkan nomor telepon pengguna aplikasi mana pun dalam permintaan rekaman.

Karena API yang merespons tidak menjalankan otentikasi apa pun, itu mengembalikan rekaman yang terkait dengan nomor telepon yang diteruskan dalam permintaan. Terlebih lagi, aplikasi itu juga membocorkan seluruh riwayat panggilan pengguna tersebut, kata Prakash.

Zack Whittaker dari outlet media menghubungi pengembang aplikasi, yang merilis versi baru dengan perbaikan tersebut.

Menurut Whittaker, penyimpanan aplikasi di Amazon berisi lebih dari 130.000 rekaman dengan berat sekitar 300 gigabyte.

Sumber: Bleeping Computer

Apple merilis iOS 14.4.1 dengan pembaruan keamanan untuk pengguna iPhone

by

Apple telah merilis pembaruan perbaikan bug untuk pengguna iPhone hari ini. iOS 14.4.1 diluncurkan, dan Apple mengatakan itu termasuk perbaikan keamanan penting untuk pengguna iPhone. Anda dapat memperbarui nya dengan membuka menu Pengaturan di iPhone Anda.

Catatan rilis untuk pembaruan tersebut hanya berbunyi: “Pembaruan ini menyediakan pembaruan keamanan penting dan disarankan untuk semua pengguna.” Apple menginstruksikan pengguna untuk mengunjungi halaman web keamanan Apple untuk detail lebih lanjut, yang sekarang telah diperbarui untuk menyertakan informasi di iOS 14.41.

Apple mengatakan bahwa iOS 14.4.1 menambal kerentanan di WebKit, mesin browser yang menjalankan Safari dan browser pihak ketiga di iOS. Perusahaan menjelaskan:

  • Tersedia untuk: iPhone 6s dan versi lebih baru, iPad Air 2 dan versi lebih baru, iPad mini 4 dan versi lebih baru, dan iPod touch (generasi ke-7)
  • Dampak: Memproses konten web perusak yang berbahaya dapat mengakibatkan eksekusi kode arbitrer
  • Deskripsi: Masalah kerusakan memori telah diatasi dengan validasi yang ditingkatkan.
  • CVE-2021-1844: Clément Lecigne dari Grup Analisis Ancaman Google, Alison Huffman dari Riset Kerentanan Browser Microsoft

Disarankan untuk pengguna dan administrator untuk meninjau halaman keamanan Apple untuk produk berikut dan menerapkan pembaruan yang diperlukan.

Sumber: 9to5mac