Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Malware

Malware

Malware perbankan Android menyadap panggilan ke dukungan pelanggan

by

Trojan perbankan untuk Android yang oleh para peneliti disebut Fakecalls hadir dengan kemampuan canggih yang memungkinkannya mengambil alih panggilan ke nomor dukungan pelanggan bank dan menghubungkan korban secara langsung dengan penjahat dunia maya yang mengoperasikan malware.

Menyamar sebagai aplikasi seluler dari bank populer, Fakecalls menampilkan semua tanda entitas yang ditirunya, termasuk logo resmi dan nomor dukungan pelanggan.

Ketika korban mencoba menelepon bank, malware memutuskan koneksi dan menunjukkan layar panggilannya, yang hampir tidak bisa dibedakan dari yang asli.

Antarmuka panggilan malware mobile banking palsu (sumber: Kaspersky)

Trojan mobile banking palsu dapat melakukan ini karena pada saat instalasi meminta beberapa izin yang memberikan akses ke daftar kontak, mikrofon, kamera, geolokasi, dan penanganan panggilan.

Malware muncul tahun lalu dan terlihat menargetkan pengguna di Korea Selatan, pelanggan bank populer seperti KakaoBank atau Kookmin Bank (KB), peneliti keamanan di Kaspersky mencatat dalam sebuah laporan hari ini.

Kaspersky menganalisis malware tersebut dan menemukan bahwa malware tersebut juga dapat memutar pesan yang telah direkam sebelumnya yang meniru pesan yang biasanya digunakan oleh bank untuk menyambut pelanggan yang mencari dukungan:

Kode di Fakecalls untuk memutar audio yang telah direkam sebelumnya (sumber: Kaspersky)

Pengembang malware mencatat beberapa frasa yang biasa digunakan oleh bank untuk memberi tahu pelanggan bahwa operator akan menerima panggilan mereka segera setelah tersedia.

Di bawah ini adalah dua contoh audio yang telah direkam sebelumnya (dalam bahasa Korea) yang dimainkan oleh malware Fakecalls untuk membuat tipu muslihat lebih realistis:

Halo. Terima kasih telah menelepon KakaoBank. Pusat panggilan kami saat ini menerima panggilan dengan volume yang luar biasa besar. Seorang konsultan akan berbicara kepada Anda sesegera mungkin. Untuk meningkatkan kualitas layanan, percakapan Anda akan direkam.

Selamat datang di Kookmin Bank. Percakapan Anda akan direkam. Kami sekarang akan menghubungkan Anda dengan operator.

Peneliti Kaspersky mengatakan bahwa malware juga dapat memalsukan panggilan masuk, memungkinkan penjahat dunia maya untuk menghubungi korban seolah-olah mereka adalah layanan dukungan pelanggan bank.

Izin yang diminta malware saat penginstalan memungkinkan penjahat dunia maya untuk memata-matai korban dengan menyiarkan audio dan video secara real-time dari perangkat, melihat lokasinya, menyalin file (kontak, file seperti foto dan video), dan riwayat pesan teks.

Rekomendasi Kaspersky untuk menghindari menjadi korban malware semacam itu termasuk mengunduh aplikasi hanya dari toko resmi, dan memperhatikan izin yang berpotensi berbahaya yang diminta aplikasi (akses ke panggilan, SMS, aksesibilitas), terutama jika aplikasi tidak membutuhkannya.

Selain itu, para peneliti menyarankan pengguna untuk tidak membagikan informasi rahasia melalui telepon (kredensial login, PIN, kode keamanan kartu, kode konfirmasi).

Sumber : Bleeping Computer

Malware Qbot beralih ke vektor infeksi Pemasang Windows baru

by

Botnet Qbot sekarang mendorong muatan malware melalui email phishing dengan lampiran arsip ZIP yang dilindungi kata sandi yang berisi paket Penginstal Windows MSI yang berbahaya.

Ini adalah pertama kalinya operator Qbot menggunakan taktik ini, beralih dari cara standar mereka mengirimkan malware melalui email phishing yang menjatuhkan dokumen Microsoft Office dengan makro berbahaya pada perangkat target.

Peneliti keamanan menduga langkah ini mungkin merupakan reaksi langsung terhadap Microsoft yang mengumumkan rencana untuk membunuh pengiriman malware melalui makro VBA Office pada bulan Februari setelah menonaktifkan makro Excel 4.0 (XLM) secara default pada bulan Januari.

Microsoft telah mulai meluncurkan fitur blokir otomatis makro VBA ke pengguna Office untuk Windows pada awal April 2022, dimulai dengan Versi 2203 di Saluran Saat Ini (Pratinjau) dan ke saluran rilis lain dan versi yang lebih lama nanti.

“Perlu dicatat bahwa sementara ancaman menggunakan makro Excel 4.0 sebagai upaya untuk menghindari deteksi, fitur ini sekarang dinonaktifkan secara default dan dengan demikian mengharuskan pengguna untuk mengaktifkannya secara manual agar ancaman tersebut dapat dieksekusi dengan benar.”

Ini adalah peningkatan keamanan yang signifikan untuk melindungi pelanggan Office karena menggunakan makro VBA berbahaya yang disematkan dalam dokumen Office adalah metode umum untuk mendorong berbagai jenis malware dalam serangan phishing, termasuk Qbot, Emotet, TrickBot, dan Dridex.

Qbot (juga dikenal sebagai Qakbot, Quakbot, dan Pinkslipbot) adalah trojan perbankan Windows modular dengan fitur worm yang digunakan setidaknya sejak 2007 untuk mencuri kredensial perbankan, informasi pribadi, dan data keuangan, serta untuk menjatuhkan backdoors pada komputer yang disusupi dan menyebarkan Cobalt Suar pemogokan.

Malware ini juga dikenal menginfeksi perangkat lain di jaringan yang disusupi menggunakan eksploitasi berbagi jaringan dan serangan brute force yang sangat agresif yang menargetkan akun admin Active Directory.

Meskipun aktif selama lebih dari satu dekade, malware Qbot terutama digunakan dalam serangan yang sangat ditargetkan terhadap entitas perusahaan karena mereka memberikan pengembalian investasi yang lebih tinggi.

Beberapa geng ransomware, termasuk REvil, Egregor, ProLock, PwndLocker, dan MegaCortex, juga telah menggunakan Qbot untuk menembus jaringan perusahaan.

Karena infeksi Qbot dapat menyebabkan infeksi berbahaya dan serangan yang sangat mengganggu, admin TI dan profesional keamanan harus terbiasa dengan malware ini, taktik yang digunakan untuk menyebar ke seluruh jaringan, dan yang digunakan oleh operator botnet untuk mengirimkannya ke target baru.

Sumber : Bleeping Computer

Malware pencuri kata sandi Android menginfeksi 100.000 pengguna Google Play

by

Aplikasi Android berbahaya yang mencuri kredensial Facebook telah diinstal lebih dari 100.000 kali melalui Google Play Store, dengan aplikasi masih tersedia untuk diunduh.

Malware Android menyamar sebagai aplikasi pembuat kartun yang disebut ‘Craftsart Cartoon Photo Tools,’ yang memungkinkan pengguna mengunggah gambar dan mengubahnya menjadi rendering kartun.

Selama seminggu terakhir, peneliti keamanan dan firma keamanan seluler Pradeo menemukan bahwa aplikasi Android menyertakan trojan bernama ‘FaceStealer,’ yang menampilkan layar masuk Facebook yang mengharuskan pengguna untuk masuk sebelum menggunakan aplikasi.

Aplikasi yang meminta pengguna untuk login di Facebook (Pradeo)

Menurut peneliti keamanan Jamf Michal Rajčan, ketika pengguna memasukkan kredensial mereka, aplikasi akan mengirim mereka ke server perintah dan kontrol di zutuu[.]info [VirusTotal], yang kemudian dapat dikumpulkan oleh penyerang.

Selain server C2, aplikasi Android berbahaya akan terhubung ke www.dozenorms[.]club URL [VirusTotal] tempat data lebih lanjut dikirim, dan yang telah digunakan di masa lalu untuk mempromosikan aplikasi Android FaceStealer berbahaya lainnya.

Mengirim data ke lusinorms[.]server klub
Sumber: BleepingComputer

Pembuat dan distributor aplikasi ini tampaknya telah mengotomatiskan proses pengemasan ulang dan menyuntikkan sepotong kecil kode berbahaya ke dalam aplikasi yang sebenarnya sah.

Ini membantu aplikasi melewati prosedur pemeriksaan Play Store tanpa menimbulkan tanda bahaya. Segera setelah pengguna membukanya, mereka tidak diberikan fungsionalitas yang sebenarnya kecuali mereka masuk ke akun Facebook mereka.

Namun, begitu mereka masuk, aplikasi akan menyediakan fungsionalitas terbatas dengan mengunggah gambar tertentu ke editor online, http://color.photofuneditor.com/, yang akan menerapkan filter grafis ke gambar.

Aplikasi ini melakukan perubahan gambar dan menerapkan filter pada server jarak jauh, bukan secara lokal pada perangkat, sehingga data Anda diunggah ke lokasi yang jauh dan berisiko disimpan tanpa batas waktu, dibagikan dengan orang lain, dijual kembali, dll.

Karena aplikasi tertentu masih ada di Play Store, orang dapat secara otomatis berasumsi bahwa aplikasi Android dapat dipercaya. Namun sayangnya, aplikasi Android berbahaya terkadang menyelinap ke Google Play Store dan tetap ada hingga terdeteksi dari ulasan buruk atau ditemukan oleh perusahaan keamanan.

Namun, ada kemungkinan untuk menemukan aplikasi scam dan berbahaya dalam banyak kasus dengan melihat ulasan mereka di Google Play.

Seperti yang Anda lihat di bawah, ulasan pengguna untuk ‘Craftsart Cartoon Photo Tools’ sangat negatif, dengan total skor hanya 1,7 bintang dari kemungkinan lima. Selain itu, banyak dari ulasan ini memperingatkan bahwa aplikasi memiliki fungsionalitas terbatas dan mengharuskan Anda untuk masuk ke Facebook terlebih dahulu.

Ulasan pengguna di Play Store

Kedua, nama pengembangnya adalah ‘Google Commerce Ltd’, yang menunjukkan bahwa itu dikembangkan oleh Google. Juga, rincian kontak yang terdaftar termasuk alamat email Gmail orang acak, yang merupakan bendera merah besar.

Detail aplikasi di Play Store

Ini mungkin tampak seperti pengawasan yang berlebihan untuk setiap aplikasi yang Anda instal di ponsel cerdas Anda, tetapi ini harus menjadi prosedur pemeriksaan standar untuk aplikasi yang secara inheren berisiko.

Pembaruan 22/05 – Juru bicara Google telah memberi tahu Bleeping Computer bahwa aplikasi berbahaya telah dihapus dari Play Store sekarang.

Sumber : Bleeping Computer

Kerentanan OpenSSL dapat ‘dipersenjatai,’ kata direktur cyber NSA

by

Kerentanan kriptografi dalam algoritma modular Tonelli Shanks, yang digunakan di perpustakaan kriptografi populer OpenSSL, dapat menyebabkan serangan penolakan layanan dan “pasti dapat dijadikan senjata” di lingkungan ancaman saat ini, menurut seorang pejabat NSA.

Bug ditemukan oleh dua karyawan Google, peneliti keamanan Tavis Ormandy dan insinyur perangkat lunak David Benjamin, dan sedang dilacak di bawah CVE-2022-0778 memengaruhi fungsi BN_mod_sqrt() di OpenSSL, yang digunakan untuk menghitung akar kuadrat modular dan mem-parsing sertifikat yang menggunakan enkripsi kunci publik kurva eliptik.

Proses ini dapat dieksploitasi jika penyerang mengirimkan sertifikat dengan parameter kurva rusak, sehingga memicu loop tak terbatas dalam program dan mengarah ke penolakan layanan.

“Karena penguraian sertifikat terjadi sebelum verifikasi tanda tangan sertifikat, proses apa pun yang mem-parsing sertifikat yang disediakan secara eksternal dapat dikenakan serangan penolakan layanan,” kata OpenSSL dalam penasihat keamanan 15 Maret. “Loop tak terbatas juga dapat dicapai saat mem-parsing kunci pribadi yang dibuat karena dapat berisi parameter kurva eliptik eksplisit.”

Bug dapat dieksploitasi di klien TLS yang menggunakan sertifikat server, server TLS yang menggunakan sertifikat klien, penyedia hosting yang mengambil sertifikat atau kunci pribadi dari pelanggan mereka, otoritas yang mengurai permintaan sertifikasi dari pelanggan mereka dan “apa pun yang mem-parsing parameter kurva elips ASN.1 .” Ini memengaruhi OpenSSL versi 1.02, 1.1.1, dan 3.0, yang semuanya telah ditambal.

OpenSSL adalah komponen inti dari sistem berbasis Unix dan Linux, dan juga dibundel ke dalam aplikasi perangkat lunak yang berjalan di Windows. Kerentanan tersebut mendapat teguran dari pejabat keamanan siber NSA, yang memperingatkan para pembela HAM agar tidak tertipu oleh peringkat (relatif) tingkat keparahan yang rendah dan segera ditambal.

“Dengan kondisi ancaman internet saat ini, rekomendasikan untuk segera menambal CVE-2022-0778… Cacat ini memungkinkan serangan DOS pra-otentikasi pada OpenSSL,” Rob Joyce, direktur direktorat keamanan siber NSA, menulis Senin di Twitter. “Saya tahu itu ‘hanya’ diberi peringkat 7,5 [dari 10], tapi pasti bisa dijadikan senjata.”

Paul Ducklin, seorang peneliti keamanan di Sophos, mencatat bahwa itu “ironis” karena kerentanan tampaknya mengeksploitasi kesalahan dalam program atau aplikasi yang dengan benar mengikuti praktik terbaik untuk koneksi aman, sementara gagal memengaruhi program dan aplikasi yang menggunakan protokol yang kurang aman. .

Ducklin mencatat bahwa sementara bug itu kurang serius daripada kerentanan yang dapat dieksploitasi yang memungkinkan penyerang untuk menginstal malware secara diam-diam pada perangkat korban, itu perlu diperhatikan karena dapat menunjukkan adanya kekurangan dan bug tambahan yang tidak diketahui di tempat lain yang sedikit diketahui tetapi pustaka perangkat lunak yang umum digunakan seperti Log4J dan Heartbleed, kerentanan OpenSSL lainnya telah menunjukkan potensi dampak berbasis luas pada pengguna.

Sumber : https://www.scmagazine.com/analysis/application-security/openssl-vulnerability-can-definitely-be-weaponized-nsa-cyber-director-says

Botnet Linux baru mengeksploitasi Log4J, menggunakan tunneling DNS untuk komunikasi

by

Botnet yang baru-baru ini ditemukan dalam pengembangan aktif menargetkan sistem Linux, mencoba menjerat mereka menjadi pasukan bot yang siap mencuri info sensitif, menginstal rootkit, membuat cangkang terbalik, dan bertindak sebagai proxy lalu lintas web.

Malware yang baru ditemukan, dijuluki B1txor20 oleh para peneliti di Lab Penelitian Keamanan Jaringan Qihoo 360 (360 Netlab), memfokuskan serangannya pada perangkat arsitektur CPU Linux ARM, X64.

Para peneliti pertama kali melihat botnet B1txor20 pada 9 Februari ketika sampel pertama terjebak oleh salah satu sistem honeypot mereka.

Secara keseluruhan, mereka menangkap total empat sampel malware, dengan backdoor, proxy SOCKS5, pengunduhan malware, pencurian data, eksekusi perintah arbitrer, dan fungsionalitas pemasangan rootkit.

Namun, yang membuat malware B1txor20 menonjol adalah penggunaan tunneling DNS untuk saluran komunikasi dengan server command-and-control (C2), teknik lama namun masih andal yang digunakan oleh pelaku ancaman untuk mengeksploitasi protokol DNS untuk melakukan tunnel malware dan data. melalui kueri DNS.

“Setelah menerima permintaan, C2 mengirimkan muatan ke sisi Bot sebagai tanggapan atas permintaan DNS. Dengan cara ini, Bot dan C2 mencapai komunikasi dengan bantuan protokol DNS.”

Peneliti 360 Netlab juga menemukan bahwa meskipun pengembang malware menyertakan serangkaian fitur yang lebih luas, tidak semuanya diaktifkan.

Informasi tambahan, termasuk indikator kompromi (IOCs) dan daftar semua instruksi C2 yang didukung, dapat ditemukan di akhir laporan 360 Netlab.

Gambar: 350 Netlab

“Sejak kerentanan Log4J terungkap, kami melihat semakin banyak malware yang muncul, Elknot, Gafgyt, Mirai semuanya terlalu familiar,” tambah peneliti 360 Netlab.

Misalnya, pada bulan Desember, mereka melihat pelaku ancaman mengeksploitasi kelemahan keamanan Log4J untuk menginfeksi perangkat Linux yang rentan dengan malware Mirai dan Muhstik Linux.

Botnet ini terlihat “merekrut” perangkat dan server IoT dan menggunakannya untuk menyebarkan penambang kripto dan melakukan serangan DDoS skala besar.

Barracuda mengkonfirmasi laporan 360 Netlan awal bulan ini, dengan mengatakan mereka melihat berbagai muatan yang menargetkan penyebaran Log4j yang rentan, dengan varian botnet Mirai dimanfaatkan untuk DDoS dan cryptomining mengambil bagian terbesar.

Sumber : Bleeping Computer

Pembaruan antivirus palsu yang digunakan untuk menyebarkan Cobalt Strike di Ukraina

by

Tim Tanggap Darurat Komputer Ukraina memperingatkan bahwa pelaku ancaman menyebarkan pembaruan antivirus Windows palsu yang menginstal Cobalt Strike dan malware lainnya.

Email phishing tersebut meniru agen pemerintah Ukraina yang menawarkan cara untuk meningkatkan keamanan jaringan dan menyarankan penerima untuk mengunduh “pembaruan keamanan penting,” yang datang dalam bentuk file 60 MB bernama “BitdefenderWindowsUpdatePackage.exe.”

Email phishing yang mendesak pengunduhan AV updater palsu (CERT-UA)

Email ini berisi tautan ke situs web Prancis (sekarang offline) yang menawarkan tombol unduh untuk dugaan pembaruan perangkat lunak AV. Situs web lain, nirsoft[.]me, juga ditemukan oleh MalwareHunterTeam sebagai server perintah dan kontrol untuk kampanye ini.

Situs web pengirim malware
Sumber:​​CERT-UA

Ketika seorang korban mengunduh dan menjalankan pembaruan BitDefender Windows palsu ini [VirusTotal], layar di bawah ini akan ditampilkan yang meminta pengguna untuk menginstal ‘Paket Pembaruan Windows’.

Paket Pembaruan Windows Bitdefender
Sumber: MalwareHunterTeam

Namun, ‘pembaruan’ ini sebenarnya mengunduh dan menginstal file one.exe [VirusTotal] dari CDN Discord, yang merupakan suar Cobalt Strike.

Proses yang sama mengambil pengunduh Go (dropper.exe) yang mendekode dan mengeksekusi file dengan enkode base-64 (java-sdk.exe).

File ini menambahkan kunci registri Windows baru untuk kegigihan dan juga mengunduh dua muatan lagi, pintu belakang GraphSteel (microsoft-cortana.exe) dan pintu belakang GrimPlant (oracle-java.exe).

Rantai infeksi kampanye yang tidak terungkap (CERT-UA)

Semua executable dalam kampanye dikemas pada alat Themida, yang melindungi mereka dari rekayasa balik, deteksi, dan analisis.

Baik GraphSteel dan GrimPlant adalah malware yang ditulis dalam Go, bahasa pemrograman serbaguna dan lintas platform dengan footprint minimal dan tingkat deteksi AV yang rendah.

Kemampuan kedua alat tersebut mencakup pengintaian jaringan, eksekusi perintah, dan operasi file, sehingga fakta bahwa keduanya digunakan dalam sistem yang sama kemungkinan dilakukan untuk redundansi.

Tim Tanggap Darurat Komputer Ukraina mengaitkan aktivitas yang terdeteksi dengan grup UAC-0056 dengan tingkat kepercayaan sedang. UAC-0056, juga dikenal sebagai “Lorec53”, adalah APT berbahasa Rusia canggih yang menggunakan kombinasi email phishing dan pintu belakang khusus untuk mengumpulkan informasi dari organisasi Ukraina.

UAC-0056 terlihat meningkatkan distribusi phishing dan upaya kompromi jaringan di Ukraina sejak Desember 2021.

Aktor yang sama terlihat menargetkan lembaga pemerintah Georgia dengan umpan phishing di masa lalu, jadi ada tingkat koordinasi dan keselarasan yang tinggi dengan kepentingan negara Rusia.

Sumber : Bleeping Computer

Keamanan seluler 2021: Android lebih banyak kerentanan, iOS lebih banyak zero-days

by

Perusahaan keamanan seluler Zimperium telah merilis laporan ancaman seluler tahunannya di mana tren dan penemuan keamanan di tahun yang berlalu meletakkan dasar untuk memprediksi apa yang akan terjadi pada tahun 2022.

Secara umum, fokus pelaku kejahatan di platform seluler telah meningkat dibandingkan tahun-tahun sebelumnya, Fokus ini diwujudkan dalam volume distribusi malware yang lebih signifikan, serangan phishing dan smishing, dan lebih banyak upaya untuk menemukan dan memanfaatkan eksploitasi zero-day.

Volume situs phishing yang menargetkan pengguna seluler (Zimperium)

Kerentanan zero-day diungkapkan secara publik atau bug yang dieksploitasi secara aktif tanpa perbaikan yang tersedia dari vendor atau pengembang. Karena sangat penting untuk memperbaiki bug zero-day, vendor biasanya terburu-buru untuk merilis pembaruan keamanan setelah mereka diungkapkan.

Namun, menurut statistik klien Zimperium dan survei yang dilakukan untuk laporan tersebut, hanya sekitar 42% orang yang bekerja di lingkungan BYOD (bawa perangkat Anda sendiri) yang menerapkan perbaikan prioritas tinggi dalam waktu dua hari sejak dirilis.

Kira-kira sepertiga diperlukan hingga satu minggu, sementara 20% yang signifikan belum menambal perangkat seluler mereka sebelum mencapai tanda dua minggu.

Pada tahun 2021, para aktor lebih fokus pada tenaga kerja jarak jauh atau perangkat seluler di lokasi, yang mengarah pada peningkatan pemindaian jaringan berbahaya dan serangan man-in-the-middle (MiTM). Serangan ini ditujukan untuk mencuri informasi sensitif yang memainkan peran penting dalam serangan yang lebih signifikan terhadap jaringan perusahaan.

Secara global, malware seluler merupakan masalah yang dihadapi di 23% dari semua titik akhir yang dilindungi oleh Zimperium pada tahun 2021, diikuti oleh MiTM (13%), situs web berbahaya (12%), dan pemindaian (12%).

Jenis ancaman seluler yang dicatat secara global pada tahun 2021 (Zimperium)(Zimperium)

Android vs. iOS
Dilihat berdasarkan volume, Android memiliki 574 kerentanan yang ditemukan pada tahun 2021, penurunan yang mencolok dari 859 pada tahun 2020, sementara 79% di antaranya ditandai dengan kompleksitas serangan yang rendah. Kategorisasi ini menunjukkan kelemahan yang mudah dieksploitasi.

Dari 574 kelemahan Android, 135 (23%) memiliki skor CVSS lebih tinggi dari 7,2, sementara 18 dinilai kritis.

Di iOS, peneliti keamanan menemukan 357 kerentanan baru di tahun yang telah berlalu, tetapi hanya 24% di antaranya yang dianggap sebagai bug dengan kompleksitas rendah.

Selain itu, hanya 63 (17%) yang memiliki peringkat keparahan CVSS lebih tinggi dari 7,2, tetapi 45 kelemahannya kritis, yang berarti memanfaatkannya dapat mengakibatkan kompromi yang signifikan pada perangkat.

Hal ini membuat iOS menjadi target yang lebih menantang tetapi menguntungkan karena kelemahannya sulit untuk diterapkan, tetapi hasilnya lebih besar.

Hipotesis ini dikonfirmasi oleh statistik zero-day untuk tahun 2021, dengan kerentanan iOS menyumbang 64% dari semua 17 serangan zero-day yang dieksploitasi yang menargetkan perangkat seluler pada tahun 2021.

OS seluler zero-days dieksploitasi di alam liar (Zimperium)

Zimperium juga menganalisis aplikasi paling populer dalam kategori keuangan, perawatan kesehatan, ritel, dan gaya hidup di Google Play Store dan Apple App Store. Kesimpulannya adalah bahwa aplikasi adalah titik tanggung jawab keamanan yang signifikan untuk perangkat seluler.

Evaluasi keamanan aplikasi massal Zimperium

Terutama, 80% aplikasi keuangan untuk Android menggunakan enkripsi yang rentan, sementara 82% aplikasi retail di iOS tidak memiliki perlindungan kode apa pun.

2022 Outlook
Survei Zimperium mengungkapkan bahwa 84% profesional keamanan saat ini telah mengaktifkan Microsoft Office 365 di perangkat seluler, dengan 38% di antaranya sedang dalam proses mengamankan penerapan ini pada fase kedua.

Statistik ini secara sempurna mencerminkan berapa banyak organisasi yang mengorbankan kontrol keamanan yang ketat untuk mendukung produktivitas dan kelangsungan bisnis selama masa perubahan dramatis.

Dibandingkan tahun-tahun sebelumnya, baik Google (Android) dan Apple (iOS) telah melangkah jauh dalam hal keamanan, dan sistem seluler mereka cukup kuat untuk mengesampingkan eksploitasi yang mudah.

Saat ini, pelaku ancaman dipaksa untuk menemukan dan mengaitkan berbagai kerentanan untuk mencapai tujuan yang berarti, sehingga serangan ini semakin sulit dilakukan.

Oleh karena itu, kunci untuk menjaga keamanan perangkat Anda adalah dengan mengurangi jumlah aplikasi yang diinstal seminimal mungkin. Sayangnya, semakin banyak aplikasi yang Anda gunakan, semakin besar risiko data Anda.

Terakhir, perbarui OS seluler Anda dengan menerapkan pembaruan keamanan yang tersedia, dan untuk Android, gunakan alat AV, aktifkan Play Protect, dan tinjau izin aplikasi secara teratur.

Sumber : Bleeping Computer

Malware Android Escobar mencuri kode MFA Google Authenticator Anda

by

Trojan perbankan Android Aberebot telah kembali dengan nama ‘Escobar’ dengan fitur-fitur baru, termasuk mencuri kode otentikasi multi-faktor Google Authenticator.

Fitur-fitur baru dalam versi Aberebot terbaru juga termasuk mengendalikan perangkat Android yang terinfeksi menggunakan VNC, merekam audio, dan mengambil foto, sementara juga memperluas kumpulan aplikasi yang ditargetkan untuk pencurian kredensial.

Tujuan utama dari trojan adalah untuk mencuri informasi yang cukup untuk memungkinkan pelaku ancaman untuk mengambil alih rekening bank korban, menyedot saldo yang tersedia, dan melakukan transaksi yang tidak sah.

Menggunakan platform DARKBEAST intelijen siber KELA, menemukan posting forum di forum peretasan berbahasa Rusia dari Februari 2022 di mana pengembang Aberebot mempromosikan versi baru mereka dengan nama ‘Escobar Bot Android Banking Trojan.’

Posting penjual di forum darknet (KELA)

MalwareHunterTeam pertama kali melihat APK yang mencurigakan pada tanggal 3 Maret 2022, menyamar sebagai aplikasi McAfee, dan memperingatkan tentang sifat tersembunyinya terhadap sebagian besar mesin anti-virus.

Seperti kebanyakan trojan perbankan, Escobar menampilkan formulir login overlay untuk membajak interaksi pengguna dengan aplikasi dan situs web e-banking dan mencuri kredensial dari korban.

Malware ini juga mengemas beberapa fitur lain yang membuatnya kuat terhadap versi Android apa pun, bahkan jika injeksi overlay diblokir dengan cara tertentu.

Malware meminta 25 izin, 15 di antaranya disalahgunakan untuk tujuan jahat. Contohnya termasuk aksesibilitas, rekaman audio, membaca SMS, penyimpanan baca/tulis, dapatkan daftar akun, menonaktifkan kunci tombol, melakukan panggilan, dan mengakses lokasi perangkat yang tepat.

Semua yang dikumpulkan malware diunggah ke server C2, termasuk log panggilan SMS, log kunci, notifikasi, dan kode Google Authenticator.

Kode untuk merebut kode Google Authenticator (Cyble)

Hal di atas sudah cukup untuk membantu para penjahat mengatasi hambatan otentikasi dua faktor ketika mengambil kendali atas rekening e-banking.

Kode 2FA tiba melalui SMS atau disimpan dan diputar di alat berbasis perangkat lunak HMAC seperti Google’s Authenticator. Selain itu, penambahan VNC Viewer, utilitas berbagi layar lintas platform dengan fitur kendali jarak jauh, memberi pelaku ancaman senjata ampuh baru untuk melakukan apa pun yang mereka inginkan saat perangkat tidak dijaga.

Kode Penampil VNC di Aberebot (Cyble)

Aberebot juga dapat merekam klip audio atau mengambil tangkapan layar dan mengekstrak keduanya ke C2 yang dikendalikan aktor, dengan daftar lengkap perintah yang didukung tercantum di bawah ini.

Tabel perintah yang diterima oleh Aberebot (Cyble)

Secara umum, Anda dapat meminimalkan kemungkinan terinfeksi trojan Android dengan menghindari pemasangan APK di luar Google Play, menggunakan alat keamanan seluler, dan memastikan bahwa Google Play Protect diaktifkan di perangkat Anda.

Selain itu, saat memasang aplikasi baru dari sumber mana pun, perhatikan permintaan izin yang tidak biasa dan pantau baterai aplikasi dan statistik konsumsi jaringan selama beberapa hari pertama untuk mengidentifikasi pola yang mencurigakan.

sumber : Bleeping Computer