Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Keylogger

Keylogger

Bug keyboard Corsair Membuatnya Mengetik Sendiri, Tidak Ada Malware yang Terlibat

by

Corsair telah mengonfirmasi bahwa bug pada firmware keyboard K100, dan bukan malware, berada di belakang teks yang dimasukkan sebelumnya diketik secara otomatis ke dalam aplikasi beberapa hari kemudian.

Pernyataan perusahaan muncul setelah beberapa pengguna K100 melaporkan bahwa keyboard mereka mengetik teks sendiri secara acak.

Beberapa mengatakan mereka telah menguji keyboard K100 mereka dalam mode aman untuk mengecualikan kemungkinan malware berjalan di Windows dan masih menyaksikan pengetikan kata secara acak, sehingga sumber masalahnya ditentukan berada di perangkat keras itu sendiri.

“Keyboard Corsair benar-benar tidak mencatat input pengguna dengan cara apa pun dan tidak memiliki kemampuan untuk mencatat setiap penekanan tombol,” kata Corsair kepada Ars Technica.

Penyebab pasti dari bug ini belum ditentukan, dan juru bicara Corsair mengatakan perusahaan tersebut bekerja dengan pengguna yang terkena dampak untuk menyelidiki sifat sebenarnya dari masalah tersebut.

Solusi belum pasti
Sayangnya, pembaruan firmware terbaru yang tersedia untuk perangkat K100 (versi 1.11.39) beberapa minggu yang lalu tidak memperbaiki masalah tersebut.

Lebih buruk lagi, pembaruan firmware terbaru ini telah menyebabkan pembekuan acak pada keyboard, yang dilaporkan beberapa pengguna mungkin terkait dengan pengaturan tingkat polling tinggi.

Namun, beberapa pengguna melaporkan bahwa pengaturan ulang pabrik dan menghapus memori keyboard masih tidak mencegah masalah terjadi lagi setelah beberapa saat. Oleh karena itu, pengguna mungkin harus menunggu hingga Corsair menyediakan pembaruan firmware yang memperbaiki bug ini.

Mengulangi masukan yang ditangkap secara acak dapat memaparkan informasi sensitif dalam berbagi layar dan presentasi. Itu juga dapat mengganggu pengalaman bermain pengguna, jadi jika Anda menggunakan keyboard dalam situasi ini, Anda mungkin ingin menggantinya dengan yang lain sampai bug diperbaiki.

sumber : bleeping computer

PDF menyelundupkan dokumen Microsoft Word untuk menjatuhkan malware Snake Keylogger

by

Analis ancaman telah menemukan kampanye distribusi malware baru-baru ini menggunakan lampiran PDF untuk menyelundupkan dokumen Word berbahaya yang menginfeksi pengguna dengan malware.

Pilihan PDF tidak biasa, karena sebagian besar email berbahaya saat ini datang dengan lampiran DOCX atau XLS yang dicampur dengan kode makro yang memuat malware.

Dalam laporan baru oleh HP Wolf Security, para peneliti menggambarkan bagaimana PDF digunakan sebagai transportasi untuk dokumen dengan makro jahat yang mengunduh dan menginstal malware pencuri informasi di mesin korban.

PDF datang melalui email bernama “Faktur Pengiriman Uang”, dan dugaan kami adalah bahwa badan email berisi janji pembayaran yang tidak jelas kepada penerima.

Saat PDF dibuka, Adobe Reader meminta pengguna untuk membuka file DOCX yang ada di dalamnya, yang sudah tidak biasa dan mungkin membingungkan korban.

Karena pelaku ancaman menyebut dokumen yang disematkan “telah diverifikasi”, perintah Buka File di bawah menyatakan, “File ‘telah diverifikasi.” Pesan ini dapat mengelabui penerima agar percaya bahwa Adobe memverifikasi file tersebut sebagai sah dan bahwa file tersebut aman untuk dibuka.

Dialog meminta persetujuan tindakan (HP)

Sementara analis malware dapat memeriksa file yang disematkan dalam PDF menggunakan parser dan skrip, pengguna biasa yang menerima email rumit ini tidak akan bertindak sejauh itu atau bahkan tahu harus mulai dari mana.

Dengan demikian, banyak yang dapat membuka DOCX di Microsoft Word, dan jika makro diaktifkan, akan mengunduh file RTF (format teks kaya) dari sumber jarak jauh dan membukanya.

DAPATKAN permintaan untuk mengambil file RTF (HP)

Pengunduhan RTF adalah hasil dari perintah berikut, yang disematkan dalam file Word bersama dengan URL hardcode “vtaurl[.]com/IHytw”, yang merupakan tempat payload di-host.

URL yang menghosting file RTF (HP)

Dokumen RTF diberi nama “f_document_shp.doc” dan berisi objek OLE yang salah format, kemungkinan menghindari analisis. Setelah beberapa rekonstruksi yang ditargetkan, analis HP menemukan bahwa ia mencoba menyalahgunakan kerentanan Editor Persamaan Microsoft lama untuk menjalankan kode arbitrer.

Shellcode yang didekripsi menyajikan payload (HP)

Shellcode yang digunakan mengeksploitasi CVE-2017-11882, bug eksekusi kode jarak jauh di Editor Persamaan yang diperbaiki pada November 2017 tetapi masih tersedia untuk dieksploitasi di alam liar.

Dengan mengeksploitasi CVE-2017-11882, shellcode dalam RTF mengunduh dan menjalankan Snake Keylogger, pencuri info modular dengan ketekunan yang kuat, penghindaran pertahanan, akses kredensial, pengumpulan data, dan kemampuan eksfiltrasi data.

Sumber: Bleeping Computer

Malware Prynt Stealer baru yang kuat dijual hanya dengan $100 per bulan

by

Analis ancaman telah melihat tambahan lain ke ruang pertumbuhan infeksi malware pencuri info, bernama Prynt Stealer, yang menawarkan kemampuan yang kuat dan modul keylogger dan clipper tambahan.

Prynt Stealer menargetkan banyak pilihan browser web, aplikasi perpesanan, dan aplikasi game dan juga dapat melakukan kompromi finansial langsung.

Penulisnya menjual alat dalam langganan berbasis waktu, seperti $100/bulan, $200/kuartal, atau $700 selama setahun, tetapi juga dijual di bawah lisensi seumur hidup seharga $900.

Selain itu, pembeli dapat memanfaatkan pembuat malware untuk membuat putaran Prynt yang khusus, ramping, dan sulit dideteksi untuk digunakan dalam operasi yang ditargetkan.

Biaya lisensi Prynt Stealer (Bleeping Computer)

Analis malware di Cyble telah menganalisis Prynt untuk mengevaluasi pencuri info baru dan melaporkan bahwa alat itu dibuat dengan kerahasian sebagai prioritas, menampilkan kebingungan biner dan string terenkripsi Rijndael.

Biner Prynt yang dikaburkan (Cyble)

Selain itu, semua komunikasi C2-nya dienkripsi dengan AES256, sedangkan folder AppData (dan subfolder) yang dibuat untuk menyimpan sementara data yang dicuri sebelum eksfiltrasi disembunyikan.

Dekripsi string yang di-hardcode (Cyble)

Pada awalnya, Prynt Stealer memindai semua drive di host dan mencuri dokumen, file database, file kode sumber, dan file gambar yang memiliki ukuran di bawah 5.120 byte (5 KB).

Mencuri file kecil dari host (Cyble)

Selanjutnya, malware menargetkan data pengisian otomatis, kredensial (kata sandi akun), info kartu kredit, riwayat pencarian, dan cookie yang disimpan di browser web berbasis Chrome, MS Edge, dan Firefox.

Mencuri data dari browser Chromium (Cyble)

Pada tahap ini, malware menggunakan ScanData () untuk memeriksa apakah ada kata kunci yang relevan dengan perbankan, cryptocurrency, atau situs porno yang ada di data browser dan mencurinya jika ada.

Memindai layanan tertentu (Cyble)

Selanjutnya, Prynt menargetkan aplikasi perpesanan seperti Discord, Pidgin, dan Telegram dan juga mengambil token Discord jika ada di sistem.

File otorisasi aplikasi game, file save game, dan data berharga lainnya dari Ubisoft Uplay, Steam, dan Minecraft juga dicuri.

Mencuri data Minecraft (Cyble)

Kemudian, malware meminta registri untuk menemukan direktori data untuk dompet cryptocurrency, seperti Zcash, Armory, Bytecoin, Jaxx, Ethereum, AtomicWallet, Guarda, dan dompet cryptocurrency Coinomi.

Karena direktori data ini berisi file konfigurasi dompet dan database yang sebenarnya, pelaku ancaman mengumpulkannya untuk mencuri cryptocurrency yang tersimpan di dalamnya.

Memindai registri untuk dompet (Cyble)

Terakhir, Prynt mencuri data dari FileZilla, OpenVPN, NordVPN, dan ProtonVPN, menyalin kredensial akun terkait pada subfolder terkait di AppData.

Sebelum eksfiltrasi, Prynt Stealer melakukan tindakan profil sistem umum yang melibatkan penghitungan proses yang berjalan, mengambil tangkapan layar ringkasan, dan menggabungkannya dengan kredensial jaringan dan kunci produk Windows yang digunakan di mesin host.

Kunci Windows juga dicuri (Cyble)

Pencurian data terkompresi akhirnya dilakukan melalui bot Telegram yang menggunakan koneksi jaringan terenkripsi yang aman untuk meneruskan semuanya ke server jarak jauh.

Langkah Eksfiltrasi Data Telegram (Cyble)

Terlepas dari fitur-fitur di atas, yang sejalan dengan kemampuan kebanyakan pencuri info saat ini, Prynt juga dilengkapi dengan clipper dan keylogger.

Clipper adalah alat yang memantau data yang disalin pada clipboard mesin yang disusupi untuk mengidentifikasi alamat dompet cryptocurrency dan menggantinya saat itu juga dengan yang berada di bawah kendali aktor ancaman.

Setiap kali korban mencoba membayar dengan cryptocurrency ke alamat tertentu, malware secara diam-diam mengalihkan alamat penerima, dan pembayaran dialihkan ke peretas.

Keylogger adalah modul tambahan lain yang memungkinkan operator malware jarak jauh melakukan pencurian informasi massal dengan merekam semua penekanan tombol.

Modul keylogger Prynt (Cyble)

Prynt adalah tambahan lain untuk kebanyakan alat malware pencuri informasi yang tersedia yang dapat dipilih oleh penjahat dunia maya, banyak di antaranya baru-baru ini muncul di alam liar.

Sementara keylogger, clipper, dan kemampuan mencuri yang ekstensif dikombinasikan dengan operasi tersembunyi menjadikannya kandidat yang baik untuk penyebaran luas, biayanya yang relatif tinggi (dibandingkan dengan malware lain yang baru muncul) dan keandalan infrastruktur server yang meragukan mungkin menghambat kebangkitannya.

Namun, Prynt adalah malware berbahaya yang dapat mencuri informasi sensitif pengguna dan menyebabkan kerugian finansial yang signifikan, kompromi akun, dan pelanggaran data.

Sumber : Bleeping Computer

Pencurian ID: Peringatan Google palsu kini menyisipkan malware

by

Email yang memberi tahu Anda bahwa data Anda telah dikompromikan sekarang terkadang adalah email palsu. Hati-hati dengan apa yang Anda klik.

Pada hari Senin (06/29), Karen Roby dari TechRepublic melalui panggilan video berbicara dengan Eva Velasquez, CEO dari Identity Theft Resource Center mengenai ancaman malware baru yang terlihat seperti peringatan adanya pelanggaran data.

Pada wawancara tersebut, mereka berbicara tentang adanya beberapa pemberitahuan pelanggaran data palsu yang dikirim melalui peringatan Google. Peringatan mengenai pelanggaran data ini memang sebagian adalah peringatan yang sah dari organisasi / perusahaan yang diharuskan hukum untuk memberi tahu konsumen ketika informasi, identitas dan data mereka telah dikompromikan. Namun, ide ini disalahgunakan oleh para pelaku untuk menarik minat korbannya, membuat mereka berpikir bahwa mereka membutuhkan informasi tersebut untuk melihat data apa yang terkompromikan, kata Eva.

Eva juga menambahkan, bahwa sekarang ini banyak pelaku yang menyisipkan lampiran berbahaya pada sebuah situs jahat. Dan jika korban dengan polosnya mengunduh lampiran tersebut, perangkat mereka akan langsung terinfeksi dengan malware. Lebih buruk, malware dapat menyebar kesuluruh sistem jika perangkat korban terhubung dengan suatu jaringan.

Lebih baik untuk mengunjungi sumber resmi dengan mengetikkan alamat website pada browser Anda, daripada meng-klik link atau mengunduh lampiran pada pemberitahuan pelanggaran data atau pelanggaran lainnya.

Pada wawancara tersebut Eva juga menekankan bahwa sangat penting untuk “memasang antivirus atau program pendeteksi malware di komputer Anda, dan pastikan Anda melakukan patch ketika Anda mendapatkan pembaruan ini.”

Masih banyak orang yang gemar menunda-nunda untuk menerapkan pembaruan pada perangkat mereka. Mereka berfikir bahwa mereka dapat melakukannya nanti dan ada sesuatu yang lebih penting dari itu. Padahal ini adalah sesuatu yang dapat dimanfaatkan oleh peretas dan penjahat siber untuk melangsungkan serangannya. Hal-hal yang sangat sederhana inilah yang sesungguhnya dapat Anda lakukan untuk memastikan bahwa mesin Anda tetap sehat dan terlindungi.

Tidak terburu-buru untuk meng-klik suatu link dan mengunduh suatu file adalah salah satu pencegahan yang dapat Anda lakukan.

Untuk membaca percakapan selengkapnya dan video wawancara, silahkan klik link di bawah ini;
Source: Tech Republic

Malware Baru “Mass Logger” Ini Dapat Menjadi Sangat Besar Penyebarannya

by

Keylogger baru, “Mass Logger”, saat ini sedang dilacak oleh Cofense Intelligence. Mereka percaya bahwa malware tersebut dapat secara signifikan mempengaruhi pasar keylogger yang lebih besar serta lanskap ancaman phishing.

Alasan mengapa Cofense begitu khawatir tentang Mass Logger adalah karena seberapa cepat malware tersebut diperbarui. Pembuatnya secara konsisten memperbarui dan meningkatkan Mass Logger dan memungkinkan penjahat siber menyebarkan malware ini untuk mengatasi deteksi dari software keamanan. Perkembangan yang cepat ini juga memungkinkan pembuat Mass Logger untuk dengan cepat menambahkan fitur baru sebagai tanggapan terhadap feedback pelanggan.

Pencipta Mass Logger, yang dikenal sebagai NYANxCAT, juga bertanggung jawab atas beberapa jenis malware terkenal lainnya termasuk LimeRAT, AsyncRAT dan remote access trojan (RAT) lainnya. Malware NYANxCAT biasanya kaya akan fitur dan mudah digunakan yang memungkinkan penggunaan yang mudah oleh aktor ancaman amatir. Namun, banyak fitur yang tergabung dalam Mass Logger cukup canggih seperti kemampuan penyebaran USB-nya.

NYANxCAT terus meningkatkan fungsi Mass Logger melalui pembaruan dan baru-baru ini, 13 pembaruan dirilis hanya dalam periode tiga minggu. Dalam catatan pembaruan, NYANxCAT menjelaskan bahwa target baru telah ditambahkan untuk fungsi pencurian kredensial keylogger dan bahwa langkah-langkah telah diambil untuk mengurangi deteksi otomatis.

Fitur-fitur canggih membantu membedakan Mass Logger dari malware umum lainnya. Misalnya, fungsi yang memungkinkan penjahat siber untuk mencari file dengan ekstensi file tertentu dan mengambilnya.

Untuk bertahan melawan Mass Logger dan ancaman serupa lainnya, Cofense merekomendasikan agar admin jaringan mengawasi sesi FTP atau email yang dikirim dari jaringan lokal yang tidak sesuai dengan standar organisasi mereka.

Source: Tech Radar

7 Types of Malware

by

 

Naked Security by Sophos telah membuat list tujuh kategori malware yang memberi anda gambaran luas dan dalamnya risiko yang bisa ditimbulkan malware pada organisasi anda.

 

1. KEYLOGGERS

Keyloggers sangat sederhana, dan dapat diimplementasikan dengan berbagai cara.

Sederhananya, mereka terhubung ke aliran data yang berasal dari keyboard korban, memungkinkan mereka untuk mengetahui apa yang korban ketik dan kapan, seperti kata sandi korban.

 

2. DATA STEALERS

Seperti namanya, malware ini mencuri data korban, mencari di sekitar hard disk korban, dan mungkin bahkan jika bisa di seluruh jaringan korban, mencari file yang berisi data yang bernilai uang bagi para penjahat.

Saat ini, para penjahat tertarik pada lebih dari sekadar mencuri alamat email – mereka mencuri apa pun yang mudah diburu dan dicuri, termasuk detail rekening bank, nomor ID, data paspor, kartu kredit dan kata sandi akun.

 

3. RAM SCRAPERS

Malware tidak selalu dapat menemukan apa yang diinginkan dalam file di komputer korban, bahkan jika malware itu sendiri sudah memiliki akses administrator atau tingkat root. Itu karena beberapa data hanya tersimpan sementara di memori, dan kemudian dihapus tanpa pernah mencapai disk.

Tetapi dengan RAM scraping malware yang mengawasi data saat disimpan sementara di memori, penjahat mungkin dapat mengidentifikasi data penting seperti CVV dan informasi kartu kredit lengkap dan “mengorek” langsung dari RAM.

 

4. BOTS, aka ZOMBIES

Bot, kependekan dari robot program, adalah malware yang membuka pintu belakang (backdoor) ke komputer Anda sehingga penjahat dapat mengirimnya perintah jarak jauh. Bot juga umumnya dikenal sebagai zombie, karena mereka bertindak sedikit seperti “agen tidur” yang sewaktu-waktu dapat diubah untuk melawan anda berdasarkan perintah dari penjahat.

5. BANKING TROJANS

Ini adalah istilah umum untuk malware yang mengejar informasi tentang perbankan online Anda. Seperti yang dapat Anda bayangkan, trojan perbankan biasanya menyertakan komponen keylogger, untuk mengendus kata sandi saat Anda mengetiknya.

 

6. RATS (Remote Access Trojans)

Nama RAT adalah kependekan dari Remote Access Trojan, semacam alat akses jarak jauh yang memungkinkan pelaku memata-matai korban dengan mengambil tangkapan layar atau menyalakan webcam korban secara diam-diam.

 

7. RANSOMWARE

Ini mungkin jenis malware yang paling ditakuti dalam dekade terakhir: secara umum, ransomware mengunci semua file korban, mengunggah satu-satunya salinan kunci dekripsi kepada pelaku, dan kemudian menawarkan untuk menjual kembali kunci dekripsi kepada korban sehingga korban dapat membuka kunci dan memulihkan komputer mereka.

 

Buka link dibawah ini untuk mengetahui apa yang harus dilakukan untuk mencegah malware-malware tersebut menginfeksi jaringan anda.

Source: Naked Security