Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Malware

Malware

Lebih dari 300.000 pengguna Android telah mengunduh aplikasi malware trojan perbankan ini

by

Dirinci oleh peneliti ThreatFabric, empat bentuk malware yang berbeda dikirimkan ke korban melalui versi berbahaya dari aplikasi yang biasa diunduh, termasuk pemindai dokumen, pembaca kode QR, pemantau kebugaran, dan aplikasi cryptocurrency. Aplikasi sering datang dengan fungsi yang diiklankan untuk menghindari pengguna curiga.

Dalam setiap kasus, pengiriman malware hanya dimulai setelah aplikasi diinstal sehingga memungkinkan mereka untuk melewati deteksi Play Store.

Yang paling produktif dari empat keluarga malware adalah Anatsa, yang telah diinstal oleh lebih dari 200.000 pengguna Android – peneliti menggambarkannya sebagai trojan perbankan yang dapat mencuri nama pengguna dan kata sandi, dan menggunakan pencatatan aksesibilitas untuk menangkap semua yang ditampilkan di layar pengguna , sementara keylogger memungkinkan penyerang untuk merekam semua informasi yang dimasukkan ke dalam telepon.

Salah satu aplikasi ini adalah pemindai kode QR yang telah dipasang oleh 50.000 pengguna saja dan halaman unduhan menampilkan sejumlah besar ulasan positif, sesuatu yang dapat mendorong orang untuk mengunduh aplikasi. Pengguna diarahkan ke aplikasi melalui email phishing atau kampanye iklan berbahaya.

Setelah pengunduhan awal, pengguna dipaksa untuk memperbarui aplikasi untuk terus menggunakannya – pembaruan inilah yang menghubungkan ke server perintah dan kontrol dan mengunduh muatan Anatsa ke perangkat, memberikan penyerang sarana untuk mencuri detail perbankan dan informasi lainnya.

Keluarga malware paling produktif kedua yang dirinci oleh para peneliti di ThreatFabric adalah Alien, trojan perbankan Android yang juga dapat mencuri kemampuan otentikasi dua faktor dan yang telah aktif selama lebih dari setahun. Malware telah menerima 95.000 instalasi melalui aplikasi berbahaya di Play Store.

Salah satunya adalah aplikasi gym dan pelatihan kebugaran yang ketika dilengkapi dengan situs web pendukung yang dirancang untuk meningkatkan legitimasi, tetapi pemeriksaan ketat terhadap situs tersebut mengungkapkan teks placeholder di mana-mana. Situs web ini juga berfungsi sebagai pusat komando dan kendali untuk malware Alien.

Seperti Anasta, unduhan awal tidak mengandung malware, tetapi pengguna diminta untuk menginstal pembaruan palsu – menyamar sebagai paket rezim kebugaran baru – yang mendistribusikan muatan.

Dua bentuk malware lainnya yang telah dijatuhkan menggunakan metode serupa dalam beberapa bulan terakhir adalah Hydra dan Ermac, yang memiliki total gabungan setidaknya 15.000 unduhan. ThreatFabric telah menautkan Hydra dan Ermac ke Brunhilda, kelompok kriminal dunia maya yang diketahui menargetkan perangkat Android dengan malware perbankan.

ThreatFabric telah melaporkan semua aplikasi berbahaya ke Google dan mereka telah dihapus atau sedang ditinjau.

“Aturan praktis yang baik adalah selalu memeriksa pembaruan dan selalu sangat berhati-hati sebelum memberikan hak aksesibilitas layanan – yang akan diminta oleh muatan berbahaya, setelah “pembaruan” instalasi – dan waspada terhadap aplikasi yang meminta untuk menginstal perangkat lunak tambahan, ” ucap Durando.

ZDNet

APT37 menargetkan jurnalis dengan malware multi-platform Chinotto

by

Kelompok peretas negara Korea Utara APT37 menargetkan jurnalis, pembelot, dan aktivis hak asasi manusia Korea Selatan, email spear-phishing, dan serangan smishing yang mengirimkan malware yang dijuluki Chinotto yang mampu menginfeksi perangkat Windows dan Android.

APT37 (alias Reaper) telah aktif setidaknya sejak 2012 dan merupakan kelompok ancaman persisten tingkat lanjut (APT) yang terkait dengan pemerintah Korea Utara dengan kepercayaan tinggi oleh FireEye.

Kelompok ini dikenal menargetkan individu yang berkepentingan dengan rezim Korea Utara, termasuk jurnalis, diplomat, dan pegawai pemerintah.

Chinotto, malware yang disebar memungkinkan kelompok peretas untuk mengontrol perangkat yang disusupi, memata-matai penggunanya melalui tangkapan layar, menyebarkan muatan tambahan, mengumpulkan data yang menarik, dan mengunggahnya ke server yang dikendalikan penyerang

Seperti yang ditemukan Kaspersky, pintu belakang tersebut dikirimkan ke perangkat korban beberapa bulan setelah penyusupan awal. Dalam satu kasus, para peretas menunggu selama enam bulan sebelum menginstal Chinotto, yang memungkinkan mereka untuk mengekstrak data sensitif dari perangkat yang terinfeksi.

APT37 Garis waktu serangan Chinotto (Kaspersky)

Chinotto adalah malware yang sangat dapat disesuaikan, seperti yang ditunjukkan oleh banyak varian yang ditemukan saat menganalisis kampanye, terkadang beberapa muatan disebarkan pada perangkat yang terinfeksi yang sama.

Varian Windows dan Android malware menggunakan pola komunikasi perintah-dan-kontrol yang sama dan mengirimkan informasi yang dicuri ke server web yang sebagian besar berlokasi di Korea Selatan.

Karena varian Android meminta izin tambahan pada perangkat yang disusupi, setelah diberikan, Chinotto dapat menggunakannya untuk mengumpulkan data sensitif dalam jumlah besar, termasuk kontak korban, pesan teks, log panggilan, info perangkat, dan bahkan rekaman audio.

Jika mereka menemukan dan mencuri kredensial korban, itu memungkinkan operator APT37 menjangkau target lain menggunakan kredensial yang dicuri melalui email dan media sosial.
APT37 Aliran serangan Chinotto

APT37 Aliran serangan Chinotto (Kaspersky)

“Singkatnya, pelaku menargetkan korban dengan kemungkinan serangan spear-phishing untuk sistem Windows dan smishing untuk sistem Android. Pelaku memanfaatkan versi Windows yang dapat dijalankan dan versi PowerShell untuk mengontrol sistem Windows,” Kaspersky menyimpulkan.

“Kami mungkin berasumsi bahwa jika host dan ponsel korban terinfeksi pada saat yang sama, operator malware dapat mengatasi otentikasi dua faktor dengan mencuri pesan SMS dari ponsel.”

Sumber : Bleeping Computer

Perubahan Baru pada Penipuan Kartu Hadiah Berkembang di Black Friday

by

Black Friday cyber-pariah telah mengubah penipuan kartu hadiah untuk lebih menargetkan pembeli online modern yang haus akan penawaran pasca-Thanksgiving. Para ahli memperingatkan taktik baru termasuk generator kartu hadiah palsu yang menginstal malware yang dirancang untuk mengendus alamat dompet cryptocurrency korban.

Peneliti di Malwarebytes Labs menguraikan penipuan kartu hadiah terbaru tahun ini. Salah satu sentuhan baru termasuk menawarkan kartu hadiah dengan harga yang jauh lebih murah daripada nilai nominal sebagai taktik untuk menarik pengguna agar membeli kartu hadiah curian atau mengunduh malware.

Para peneliti mengatakan mereka telah melacak sejumlah situs web yang mengklaim menyediakan “generator kartu hadiah” yang dapat digunakan orang untuk menghasilkan kode untuk semua jenis kartu hadiah. Situs-situs ini bisa sangat menipu karena mereka menggunakan merek-merek besar seperti Amazon, Roblox, Google, Xbox dan PS5.

Korban akan mengunduh generator kartu hadiah dan diberi tahu sebelum mencoba menggunakannya bahwa mereka tidak benar-benar menghasilkan kode kartu hadiah yang valid, tetapi hanya “kode acak untuk ‘tujuan pendidikan’, ” tulis Artz. Kemungkinan ini terjadi setelah orang mengisi survei dan menyerahkan informasi pribadi.

Namun, penipuan ini bisa menjadi jauh lebih jahat, dengan proses untuk mendapatkan generator kartu hadiah yang benar-benar mengunduh malware ke sistem seseorang, kata para peneliti.

Artnz menggambarkan salah satu penipuan yang menggunakan generator kartu hadiah untuk mencuri cryptocurrency dari korban menggunakan file berjudul “Amazon Gift Tool.exe” yang dipasarkan di situs penyimpanan file yang tersedia untuk umum sebagai generator kartu hadiah Amazon gratis.

“Pada kenyataannya, malware mengawasi clipboard pengguna untuk menemukan teks yang cocok dengan panjang normal dari jenis alamat dompet cryptocurrency tertentu,” tulisnya. “Jika kriteria lain terpenuhi, untuk memastikan bahwa korban terlibat dalam transfer Bitcoin Cash, malware mengganti string di clipboard dengan alamat dompet Bitcoin Cash penyerang.”

Penipuan tergantung pada korban yang tidak memperhatikan bahwa alamat dompet kripto-nya ada di papan klip saat menempelkannya selama transaksi, catat mereka. Jika berhasil, transfer masuk ke penjahat dunia maya, bukan ke penerima yang dituju.

Menurut survei Juli 2021 oleh Bankrate, 51 persen orang dewasa AS saat ini memiliki kartu hadiah, voucher, atau kredit toko yang tidak digunakan dengan total nilai luar biasa sekitar $15 miliar.

Selain itu, sedikit kurang dari itu, 49 persen, orang dewasa AS telah kehilangan kartu hadiah, voucher, atau kredit toko di beberapa titik.

Sumber : Threat post

Phishing TrickBot Memeriksa Resolusi Layar untuk Menghindari Peneliti

by

Operator malware TrickBot telah menggunakan metode baru untuk memeriksa resolusi layar sistem korban untuk menghindari deteksi perangkat lunak keamanan dan analisis oleh para peneliti.

Baru-baru ini, TheAnalyst – seorang pemburu ancaman dan anggota kelompok riset keamanan Cryptolaemus, menemukan bahwa lampiran HTML dari kampanye malspam TrickBot berperilaku berbeda di mesin nyata daripada di mesin virtual.

Peneliti mengatakan kepada BleepingComputer bahwa dia melihat taktik yang digunakan beberapa kali dalam berbagai kampanye phishing sebagai sarana untuk menghindari penyelidik.

Script menentukan apakah pengguna yang mendarat di halaman phishing menggunakan mesin virtual atau fisik dengan memeriksa apakah browser web menggunakan perender perangkat lunak seperti SwiftShader, LLVMpipe, atau VirtualBox, yang biasanya berarti lingkungan virtual.

Skrip juga memeriksa apakah kedalaman warna layar pengunjung kurang dari 24-bit, atau jika tinggi dan lebar layar kurang dari 100 piksel.

TrickBot tidak menggunakan skrip yang sama seperti di atas tetapi mengandalkan taktik yang sama untuk mendeteksi kotak pasir peneliti. Namun, ini adalah pemutaran perdana bagi geng untuk menggunakan skrip seperti itu dalam lampiran HTML.

Ini mungkin juga pertama kalinya malware menggunakan lampiran untuk menjalankan pemeriksaan resolusi layar daripada melakukannya di halaman arahan yang menyajikan malware yang dapat dieksekusi.

Selengkapnya: Bleeping Computer

Peretas Crypto Menggunakan Babadeda Crypter untuk Membuat Malware Mereka Tidak Terdeteksi

by

Kampanye malware baru telah ditemukan menargetkan cryptocurrency, non-fungible token (NFT), dan penggemar DeFi melalui saluran Discord untuk menyebarkan crypter bernama “Babadeda” yang mampu melewati solusi antivirus dan melakukan berbagai serangan.

“Penginstal malware ini telah digunakan dalam berbagai kampanye baru-baru ini untuk mengirimkan pencuri informasi, RAT, dan bahkan ransomware LockBit,” kata peneliti Morphisec dalam laporan yang diterbitkan minggu ini. Serangan distribusi malware dikatakan telah dimulai pada Mei 2021.

Crypters adalah jenis perangkat lunak yang digunakan oleh penjahat dunia maya yang dapat mengenkripsi, mengaburkan, dan memanipulasi kode berbahaya sehingga tampak tidak berbahaya dan membuatnya lebih sulit untuk dideteksi oleh program keamanan — cawan suci bagi pembuat malware.

Infiltrasi yang diamati oleh Morphisec melibatkan aktor ancaman yang mengirim pesan umpan ke calon pengguna di saluran Discord terkait dengan game berbasis blockchain seperti Mines of Dalarnia, mendesak mereka untuk mengunduh aplikasi.

Jika korban mengeklik URL yang disematkan di dalam pesan, individu tersebut akan diarahkan ke domain phishing yang dirancang menyerupai situs web sah game dan menyertakan tautan ke penginstal jahat yang berisi sandi Babadeda.

Setelah dieksekusi, penginstal memicu urutan infeksi yang memecahkan kode dan memuat muatan terenkripsi, dalam hal ini BitRAT dan Remcos, untuk memanen informasi berharga.

Morphisec mengaitkan serangan itu dengan aktor ancaman dari negara berbahasa Rusia, karena teks bahasa Rusia yang ditampilkan di salah satu situs umpan. Sebanyak 84 domain berbahaya, yang dibuat antara 24 Juli 2021, dan 17 November 2021, telah diidentifikasi hingga saat ini.

Selengkapnya: The Hacker News

Malware Linux Baru Bersembunyi di Cron Jobs Dengan Tanggal yang Tidak Valid

by

Peneliti keamanan telah menemukan trojan akses jarak jauh (RAT) baru untuk Linux yang membuat profil hampir tidak terlihat dengan bersembunyi di tugas yang dijadwalkan untuk dieksekusi pada hari yang tidak ada, 31 Februari.

Dijuluki CronRAT, malware saat ini menargetkan toko web dan memungkinkan penyerang mencuri data kartu kredit dengan menggunakan skimmer pembayaran online di server Linux.

Dicirikan oleh kecerdikan dan kecanggihan, sejauh menyangkut malware untuk toko online, CronRAT tidak terdeteksi oleh banyak mesin antivirus.

CronRAT menyalahgunakan sistem penjadwalan tugas Linux, cron, yang memungkinkan penjadwalan tugas berjalan pada hari yang tidak ada dalam kalender, seperti 31 Februari.

Sistem cron Linux menerima spesifikasi tanggal selama mereka memiliki format yang valid, meskipun hari tidak ada di kalender – yang berarti bahwa tugas yang dijadwalkan tidak akan dijalankan.

Inilah yang diandalkan CronRAT untuk mencapai silumannya. Sebuah laporan hari ini dari perusahaan keamanan siber Belanda Sansec menjelaskan bahwa mereka menyembunyikan “program Bash yang canggih” dalam nama tugas yang dijadwalkan.

“CronRAT menambahkan sejumlah tugas ke crontab dengan spesifikasi tanggal yang aneh: 52 23 31 2 3. Baris-baris ini valid secara sintaksis, tetapi akan menghasilkan kesalahan waktu proses saat dijalankan. Namun, hal ini tidak akan pernah terjadi karena mereka dijadwalkan untuk berjalan pada tanggal 31 Februari,” jelas Peneliti Sansec.

Payload dikaburkan melalui beberapa lapisan kompresi dan pengkodean Base64. Dibersihkan, kode tersebut mencakup perintah untuk penghancuran diri, modulasi waktu, dan protokol khusus yang memungkinkan komunikasi dengan server jarak jauh.

Sansec mencatat bahwa teknik eksekusi baru CronRAT juga melewati algoritma pendeteksiannya, eComscan, dan para peneliti harus menulis ulang untuk menangkap ancaman baru.

Selengkapnya: Bleeping Computer

Lebih dari 9 Juta Ponsel Android Menjalankan Aplikasi Malware dari AppGallery Huawei

by

Setidaknya 9,3 juta perangkat Android telah terinfeksi oleh malware kelas baru yang menyamar sebagai lusinan game arcade, penembak, dan strategi di pasar AppGallery Huawei untuk mencuri informasi perangkat dan nomor ponsel korban.

Kampanye seluler diungkapkan oleh peneliti dari Doctor Web, yang mengklasifikasikan trojan sebagai “Android.Cynos.7.origin,” karena fakta bahwa malware tersebut adalah versi modifikasi dari malware Cynos. Dari total 190 game berbahaya yang diidentifikasi, beberapa dirancang untuk menargetkan pengguna berbahasa Rusia, sementara yang lain ditujukan untuk audiens Cina atau internasional.

Setelah diinstal, aplikasi meminta izin kepada korban untuk melakukan dan mengelola panggilan telepon, menggunakan akses untuk mengumpulkan nomor telepon mereka bersama dengan informasi perangkat lain seperti geolokasi, parameter jaringan seluler, dan metadata sistem.

Sumber: TheHackerNews

Sementara aplikasi yang mengandung malware telah dihapus dari toko aplikasi, pengguna yang telah menginstal aplikasi di perangkat mereka harus menghapusnya secara manual untuk mencegah eksploitasi lebih lanjut.

Selengkapnya: The Hacker News

Peretas menargetkan biomanufaktur dengan malware Tardigrade yang tersembunyi

by

​Sebuah grup peretas tingkat lanjut secara aktif menargetkan fasilitas biomanufaktur dengan malware kustom baru yang disebut ‘Tardigrade.’

Pelaku menggunakan malware khusus untuk menyebar di jaringan yang disusupi dan mengekstrak data untuk waktu yang lama tanpa diketahui.

Menurut penasehat yang diterbitkan oleh PBioeconomy Information Sharing and Analysis Center (BIO-ISAC) hari ini, aktor tersebut telah secara aktif menargetkan entitas di lapangan setidaknya sejak Januari 2020.

Anggota BIO-ISAC BioBright mengatakan kepada Wired bahwa tanda-tanda pertama yang terlihat dari serangan ini datang dalam bentuk infeksi ransomware aneh pada musim semi tahun 2020, di mana para pelaku meninggalkan catatan tebusan yang tidak menunjukkan minat yang tulus untuk menerima pembayaran apa pun.

Tujuan dari penyebaran ransomware ini kemungkinan besar untuk menyembunyikan penurunan muatan yang sebenarnya, sebuah malware metamorf yang akan bersarang di sistem yang disusupi, menyebar seperti worm, dan mengekstrak file.

BIO-ISAC menjelaskan bahwa pelaku ancaman menggunakan versi metamorfik khusus ‘SmokeLoader’ bernama ‘Tartigrade,’ yang dikirimkan melalui phishing atau USB stick yang entah bagaimana menemukan jalan mereka di lokasi organisasi target.

SmokeLoader bertindak sebagai pintu masuk tersembunyi bagi para aktor, mengunduh lebih banyak muatan, memanipulasi file, dan menyebarkan modul tambahan.

Versi SmokeLoader sebelumnya sangat bergantung pada arah eksternal, tetapi varian ini dapat beroperasi secara mandiri dan bahkan tanpa koneksi C2.

Sasaran dari pelaku ancaman adalah spionase dunia maya dan mungkin juga gangguan operasional, tetapi malware mereka dapat menjadi masalah yang terus-menerus bagi sistem yang terinfeksi meskipun tidak dapat lagi berkomunikasi dengan server perintah dan kontrol.

Setelah menerbitkan artikel ini, BleepingComputer dihubungi oleh peneliti keamanan yang prihatin dengan kebenaran laporan BIO-ISAC dan data teknis yang disajikan di dalamnya.

Intel Advanced Vitali Kremez dan peneliti lain yang telah berbicara dengan BleepingComputer menyatakan bahwa DLL ini sebenarnya adalah Cobalt Strike HTTP beacon yang dikemas menggunakan crypter Conti, dan tidak ada hubungannya dengan SmokeLoader.

Selengkapnya: Bleeping Computer