Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Malicious Apps

Malicious Apps

Aplikasi Google Play Store Berbahaya Terlihat Mendistribusikan Trojan Xenomorph Banking

by

Google telah menghapus dua aplikasi dropper jahat baru yang telah terdeteksi di Play Store untuk Android, salah satunya dianggap sebagai aplikasi gaya hidup dan diketahui mendistribusikan malware perbankan Xenomorph.

“Xenomorph adalah trojan yang mencuri kredensial dari aplikasi perbankan di perangkat pengguna,” kata peneliti Zscaler ThreatLabz Himanshu Sharma dan Viral Gandhi dalam analisis yang diterbitkan Kamis.

dua aplikasi malicious/berbahaya adalah sebagai berikut

  • Todo: Day manager (com.todo.daymanager)
  • 経費キーパー (com.setprice.expenses)

Xenomorph, pertama kali didokumentasikan oleh ThreatFabric awal Februari ini, diketahui menyalahgunakan izin aksesibilitas Android untuk melakukan serangan overlay, di mana layar login palsu ditampilkan di atas aplikasi bank yang sah untuk mencuri kredensial korban.

Terlebih lagi, malware memanfaatkan deskripsi saluran Telegram untuk memecahkan kode dan membangun domain command-and-control (C2) yang digunakan untuk menerima perintah tambahan.

Perkembangan tersebut mengikuti penemuan empat aplikasi jahat di Google Play yang ditemukan mengarahkan korban ke situs web jahat sebagai bagian dari kampanye pencurian informasi dan adware. Google mengatakan kepada The Hacker News bahwa sejak itu mereka telah melarang pengembang.

sumber : the hacker news

Dua Kampanye Spyware Android yang Menargetkan Uyghurs

by Leave a Comment

Dua kampanye pengawasan jangka panjang telah ditemukan menargetkan komunitas Uyghur di China dan di tempat lain dengan alat spyware Android yang dirancang untuk mengumpulkan informasi sensitif dan melacak keberadaan mereka.

Ini mencakup jenis malware yang sebelumnya tidak terdokumentasi yang disebut BadBazaar dan varian terbaru dari artefak spionase yang dijuluki MOONSHINE oleh para peneliti dari Citizen Lab Universitas Toronto pada September 2019.

BadBazaar, setelah diinstal, hadir dengan beberapa fitur yang memungkinkannya mengumpulkan log panggilan, lokasi GPS, pesan SMS, dan file yang diinginkan; merekam panggilan telepon; ambil foto; dan mengekstrak metadata perangkat yang substansial.

Serangan yang menggunakan MOONSHINE, dalam nada yang sama, telah menggunakan lebih dari 50 aplikasi berbahaya sejak Juli 2022 yang direkayasa untuk mengumpulkan data pribadi dari perangkat yang terinfeksi, selain merekam audio dan mengunduh file sewenang-wenang.

Perkembangan ini juga mengikuti laporan dari Google Project Zero minggu lalu, yang mengungkap bukti vendor pengawasan komersial yang tidak disebutkan namanya mempersenjatai tiga kelemahan keamanan zero-day di ponsel Samsung dengan chip Exynos yang menjalankan kernel versi 4.14.113. Lubang keamanan dipasang oleh Samsung pada Maret 2021.

Yang mengatakan, raksasa pencarian mengatakan eksploitasi mencerminkan pola yang mirip dengan kompromi baru-baru ini di mana aplikasi Android berbahaya disalahgunakan untuk menargetkan pengguna di Italia dan Kazakhstan dengan implan yang disebut Hermit, yang telah dikaitkan dengan perusahaan Italia RCS Lab.

sumber : the hacker news

Aplikasi Office 365 yang Berbahaya Adalah Orang Dalam Terbaik

by

Penipu yang menargetkan pengguna Microsoft Office 365 semakin beralih ke tautan khusus yang mengarahkan pengguna ke halaman masuk email organisasi mereka sendiri. Setelah pengguna masuk, tautan tersebut meminta mereka untuk memasang aplikasi berbahaya yang memberi penyerang akses yang terus-menerus dan bebas kata sandi ke email dan file pengguna mana pun, yang keduanya kemudian dijarah untuk meluncurkan malware dan penipuan phishing melawan orang lain.

Serangan ini dimulai dengan tautan email yang ketika diklik memuat bukan situs phishing tetapi halaman masuk Office 365 pengguna yang sebenarnya – baik itu di microsoft.com atau domain perusahaan mereka. Setelah masuk, pengguna mungkin melihat prompt yang terlihat seperti ini:

Sumber: Krebsonsecurity

Aplikasi berbahaya ini memungkinkan penyerang untuk melewati otentikasi multi-faktor, karena mereka disetujui oleh pengguna setelah pengguna tersebut telah masuk. Selain itu, aplikasi akan tetap ada di akun Office 365 pengguna tanpa batas waktu hingga dihapus, dan akan bertahan bahkan setelah akun melakukan reset kata sandi.

Minggu ini, vendor keamanan pesan Proofpoint menerbitkan beberapa data baru saat muncul aplikasi Office 365 yang berbahaya ini, mencatat bahwa persentase tinggi pengguna Office akan jatuh ke skema ini.

Ryan Kalember, wakil presiden eksekutif strategi keamanan siber Proofpoint, mengatakan 55 persen pelanggan perusahaan telah menghadapi serangan aplikasi berbahaya ini pada satu titik atau lainnya.

Selengkapnya: Krebs On Security

Bagaimana Penyerang Menggunakan Akun yang Disusupi untuk Membuat dan Mendistribusikan Aplikasi OAuth Berbahaya

by

Open authorization atau aplikasi “OAuth” menambahkan fitur bisnis dan peningkatan antarmuka pengguna ke platform cloud utama seperti Microsoft 365 dan Google Workspace. Sayangnya, mereka juga merupakan vektor ancaman baru karena semakin banyak pelaku kejahatan yang menggunakan aplikasi OAuth 2.0 berbahaya (atau malware cloud) untuk menyedot data dan mengakses informasi sensitif.

Proofpoint telah mengamati banyak bentuk serangan phishing token OAuth dan penyalahgunaan aplikasi OAuth, yang ideal bagi penyerang untuk melakukan pengintaian, meluncurkan serangan antar karyawan, dan mencuri file serta email dari platform cloud.

Serangan aplikasi berbahaya sering kali menargetkan akun wakil presiden, pengelola akun, perwakilan sumber daya manusia, dan kepala bagian keuangan — jenis pengguna yang memiliki akses ke data yang sangat sensitif. Jika berhasil, penyerang mendapatkan akses persisten dan independen ke email (termasuk membaca, menulis, mengirim, dan mengatur aturan kotak surat), file, kontak, catatan, obrolan Microsoft Teams, dan lainnya. Dalam beberapa kasus, mereka mengalihkan pengguna ke situs phishing setelah pengguna menyetujui aplikasi tersebut.

Penyerang pertama-tama akan membuat kode berbahaya mereka dan menyimpannya di server web, yang dapat diakses melalui URL (URL aplikasi berbahaya). Setelah menyusupi akun cloud target, penyerang kemudian membuat aplikasi di bagian “pendaftaran aplikasi” di portal Azure, menandai aplikasi tersebut sebagai “aplikasi multi-tenant” dengan pengaturan “web”, menambahkan URL berbahaya dari kode mereka ke aplikasi. Karena kode berbahaya memerlukan izin akses ke sumber daya, penyerang menambahkan izin yang relevan pada halaman aplikasi, di bawah tab “Izin API”.

Sumber: Proofpoint

Selengkapnya: ProofPoint

Jangan tertipu dengan emulator PS4 / PS3 palsu di Google Play Store

by

Emulasi konsol di Android semakin populer akhir-akhir ini. Ini mungkin terjadi karena fakta bahwa bahkan ponsel dan tablet Android kelas menengah cukup kuat untuk meniru hampir semua konsol generasi kelima atau sebelumnya.

Namun, karena legalitas emulasi konsol yang suram, emulator resmi di luar sana terkadang sulit dibedakan dari yang palsu dan banyak yang menganggap semua emolator itu palsu.

Beberapa orang mungkin bingung tentang ini karena ada emulator PlayStation 3 yang sah untuk Windows / Linux, yang disebut RPCS3. Meskipun emulator tersebut telah berkembang pesat dan dapat memainkan sebagian besar library PS3 tanpa masalah, namun tidak ada port Android untuk perangkat lunak tersebut.

Kami mengimbau Anda untuk berhati-hati tentang apa yang Anda unduh dan ingat hal ini: hingga saat ini, tidak ada emulator PS4 atau PS3 yang sah untuk Android di Play Store.

Beberapa aplikasi di Play Store tidak berusaha keras untuk menyembunyikan bahwa mereka sebenarnya bukan emulator. Beberapa orang menukar kata “emulator” dan menggunakan “simulator” sebagai gantinya, yaitu “simulator PlayStation 3”.

Yang lainnya jauh lebih menipu. Seseorang dengan jelas memberi label dirinya sebagai emulator dan bahkan menjelaskan cara menginstalnya dan mulai memainkan game PS3 dan PS4. Namun, di bagian paling bawah deskripsi, terdapat “disclaimer” yang menyatakan bahwa listingan aplikasi adalah “bukan emulator yang sebenarnya” dan “hanya untuk bercanda dengan teman Anda”. Aplikasi ini pada dasarnya tidak berguna saat dipasang.

Namun, skenario Wild West ini bisa berbahaya. Yang diperlukan hanyalah satu pengembang untuk membuat aplikasi yang mengikat harapan tetapi kemudian mengirimkan semacam malware.

Selengkapnya: Android Authority

Malware WhatsApp Pink sekarang dapat membalas pesan Signal dan Telegram Anda secara otomatis

by

Malware WhatsApp yang dijuluki WhatsApp Pink kini telah diperbarui dengan kemampuan canggih yang memungkinkan aplikasi Android palsu ini secara otomatis merespons pesan Signal, Telegram, Viber, dan Skype Anda.

WhatsApp Pink mengacu pada aplikasi palsu yang muncul minggu ini, terutama menargetkan pengguna WhatsApp di India.

Aplikasi ini menyebut dirinya sebagai versi bertema “merah muda” dari aplikasi WhatsApp yang berwarna hijau, tetapi berisi trojan yang mengambil alih perangkat Android Anda, dan menyebar ke pengguna lain.

Selama akhir pekan, peneliti keamanan Rajshekhar Rajaharia memperingatkan pengguna WhatsApp tentang malware baru yang beredar melalui pesan grup WhatsApp yang berisi tautan ke situs scam.

Mengklik tautan membawa pengguna ke halaman tempat mereka dapat mengunduh APK WhatsApp Pink yang berbahaya.

Seperti yang dilihat oleh BleepingComputer, tautan mengarah ke halaman web berikut. Tombol “unduh” mengarahkan pengguna ke aplikasi, WhatsappPink.apk.

Sumber: Bleeping Computer

WhatsApp Pink sebenarnya adalah varian dari malware lain, aplikasi Huawei palsu, yang telah dianalisis para peneliti awal tahun ini.

Minggu ini, demonstrasi video yang diposting oleh peneliti ESET menunjukkan bahwa pembaruan baru yang didorong ke aplikasi WhatsApp Pink yang berbahaya mampu merespons pesan Anda secara otomatis dari berbagai aplikasi termasuk Signal, Viber, Telegram, dan Skype.

Selengkapnya: Bleeping Computer

Penipu Menyebarkan Trojan Seluler Yang Menyamar Sebagai Game Valorant

by

Ringkasan

Dilansir dari Doctor Web, sebuah kampanye yang menggunakan video YouTube, lengkap dengan ulasan dan komentar pengguna palsu untuk mempromosikan game palsu, berupaya memasang Trojan di perangkat Android.

Jenis Ancaman

Malware, Android

Overview

Sebuah game bernama Valorant, yang saat ini sedang dalam pengembangan dan berjalan pada sistem Windows, digunakan sebagai umpan dalam kampanye yang menargetkan perangkat Android. Dalam kampanye, video YouTube digunakan untuk mempromosikan apa yang dianggap sebagai versi mobile dari game tersebut, tersedia untuk perangkat Android dan iOS. Video lengkap dengan ulasan dan komentar pengguna palsu.

Korban akan diarahkan ke situs web yang merupakan versi palsu dari situs Valorant yang sebenarnya. Dua tautan unduhan disediakan di situs palsu tersebut, satu untuk versi iOS, yang lainnya untuk versi Android. Jika tautan iOS diklik, pengguna akan diarahkan ke situs afiliasi. Jika tautan Android diklik, dan perangkat Android dikonfigurasikan untuk memungkinkan pemasangan aplikasi di luar Google Play, aplikasi palsu akan diinstal.

Ketika aplikasi dijalankan, ia meniru layar pemuatan game tetapi memberi tahu korban bahwa game harus ‘diunlock’ yang memerlukan pengunduhan dua aplikasi lainnya.

Jika proses infeksi selesai dan payload Android.FakeApp.176 diinstal, korban diarahkan ke situs afiliasi yang sama yang diarahkan untuk pengguna iOS. Berdasarkan parameter tertentu, perangkat Android yang terinfeksi diarahkan ke situs lain yang meminta korban menyelesaikan tugas, atau berpartisipasi dalam survei, untuk mendapatkan hadiah.

Sebelumnya, game lain seperti Call of Duty: Warzone, Fortnite, dan Apex Legends, telah digunakan sebagai umpan untuk mengirimkan muatan Android.FakeApp.176. Informasi lebih lanjut tersedia pada tautan di bagian Referensi.

IoC’s (Indicator of Compromises)

Daftar lengkap IoC dapat ditemukan di tautan Laporan Dr Web di bawah ini

Rekomendasi

1. Pastikan perangkat lunak anti-virus dan file terkait selalu diperbarui.
2. Cari tanda-tanda yang ada dari IoC di lingkungan Anda.
3. Pertimbangkan untuk memblokir dan atau mengatur deteksi untuk semua IOC berbasis URL dan IP.
4. Tetap jalankan aplikasi dan sistem operasi pada level patch yang dirilis saat ini.

Referensi

Dr Web News | Laporan Dr Web

Bug Baru Android Yang Memungkinkan Malware Bertindak Seperti Aplikasi Legit Dan Mencuri Data Pengguna

by

Peneliti keamanan telah menemukan kerentanan besar di hampir setiap versi Android, yang memungkinkan malware meniru aplikasi yang sah untuk mencuri kata sandi aplikasi dan data sensitif lainnya.

Kerentanan, yang dijuluki Strandhogg 2.0, mempengaruhi semua perangkat yang menjalankan Android 9.0 dan yang lebih lama. Ini adalah “kembaran jahat” dari bug sebelumnya dengan nama yang sama, menurut perusahaan keamanan Norwegia Promon, yang menemukan kedua kerentanan itu.

Strandhogg 2.0 berfungsi dengan menipu korban agar berpikir bahwa mereka memasukkan kata sandi pada aplikasi yang sah yang sebenarnya adalah jendela berbahaya. Strandhogg 2.0 juga dapat membajak izin aplikasi lain untuk menyedot data pengguna yang sensitif, seperti kontak, foto, dan melacak lokasi real-time korban.

Promon mengatakan bahwa mereka tidak memiliki bukti bahwa peretas telah menggunakan bug dalam kampanye peretasan aktif. Khawatir bug masih bisa disalahgunakan oleh peretas, Promon menunda merilis rincian bug sampai Google dapat memperbaiki kerentanan “kritis” ini.

Seorang korban harus mengunduh aplikasi jahat – yang disamarkan sebagai aplikasi normal – yang dapat mengeksploitasi kerentanan Strandhogg 2.0. Setelah terinstal dan ketika korban membuka aplikasi yang sah, aplikasi jahat dengan cepat membajak aplikasi dan menyuntikkan konten jahat di tempatnya, seperti jendela masuk palsu.

Ketika seorang korban memasukkan kata sandi mereka pada jendela palsu tersebut, kata sandi mereka akan dikirimkan ke server peretas. Aplikasi sebenarnya kemudian muncul seolah-olah login itu nyata.

Strandhogg 2.0 juga dapat membajak izin aplikasi lain yang memiliki akses ke kontak, foto, dan pesan korban dengan memicu permintaan izin.

Risiko untuk pengguna cenderung rendah, tetapi bukan tidak mungkin. Promon mengatakan memperbarui perangkat Android dengan pembaruan keamanan terbaru – sekarang – akan memperbaiki kerentanan. Pengguna disarankan untuk memperbarui perangkat Android mereka sesegera mungkin.

Selengkapnya dapat dibaca pada tautan di bawah ini;
Source: Tech Crunch