Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Malware

Malware

Malware Android menyusup ke 60 aplikasi Google Play dengan 100 juta pemasangan

by

Malware Android baru bernama ‘Goldoson’ telah menyusup ke Google Play melalui 60 aplikasi resmi yang secara kolektif memiliki 100 juta unduhan.

Komponen malware jahat adalah bagian dari perpustakaan pihak ketiga yang digunakan oleh semua enam puluh aplikasi yang tanpa disadari pengembang ditambahkan ke aplikasi mereka.

Beberapa aplikasi yang terpengaruh adalah:

  • L.POINT with L.PAY
  • Swipe Brick Breaker
  • Money Manager Expense & Budget
  • GOM Player
  • LIVE Score, Real-Time Score
  • Pikicast
  • Compass 9: Smart Compass
  • GOM Audio – Music, Sync lyrics
  • LOTTE WORLD Magicpass
  • Infinite Slice
  • Bounce Brick Breaker
  • Korea Subway Info: Metroid
  • SomNote

Banyak aplikasi yang terpengaruh dibersihkan oleh pengembang mereka, yang menghapus perpustakaan yang melanggar, dan aplikasi yang tidak merespons tepat waktu dihapus dari Google Play karena tidak mematuhi kebijakan toko.

Google mengonfirmasi tindakan tersebut kepada BleepingComputer, menyatakan bahwa aplikasi tersebut melanggar kebijakan Google Play.

“Keamanan pengguna dan pengembang adalah inti dari Google Play. Saat kami menemukan aplikasi yang melanggar kebijakan kami, kami mengambil tindakan yang sesuai,” kata Google kepada BleepingComputer.

“Kami telah memberi tahu pengembang bahwa aplikasi mereka melanggar kebijakan Google Play dan perbaikan diperlukan agar sesuai.”

Pengguna yang memasang aplikasi yang terpengaruh dari Google Play dapat memulihkan risiko dengan menerapkan pembaruan terbaru yang tersedia.

Namun, Goldoson juga ada di toko aplikasi Android pihak ketiga, dan kemungkinan mereka masih menyimpan perpustakaan berbahaya itu tinggi.

selengkapnya : bleepingcomputer.com

Bahaya Membeli Kotak TV Android: Mengapa Anda Harus Berhenti Sekarang

by

Video terbaru yang diposting oleh saluran YouTube “Tips Teknologi Linus” memperingatkan orang-orang agar tidak membeli kotak TV Android karena risiko keamanannya. Kotak plastik ini dapat dibeli seharga makanan cepat saji dan menjanjikan akses murah atau bahkan gratis ke konten berhak cipta tanpa keahlian teknis apa pun.

Saluran tersebut menemukan pintu belakang yang sudah diinstal sebelumnya pada kotak TV Android T95, yang membuat mereka bertanya-tanya apakah itu hanya satu kali atau apakah itu memengaruhi kotak Android serupa lainnya yang tersedia di Amazon dan AliExpress. Pintu belakang T95 hanyalah puncak gunung es, dan video menunjukkan bahwa kotak Android lainnya juga memiliki masalah keamanan.

Layar beranda kotak-kotak ini terlihat seperti Android TV, dan proses penyiapannya ramah pengguna. Namun, menjalankan Pi-hole, seperti desktop Echo, mengungkapkan tanda bahaya. Kotak mungkin mencoba melakukan ping ke alamat dengan FOTA di URL, yang merupakan singkatan dari firmware over the air dan merupakan perilaku standar Android. Apa yang relatif tidak standar adalah bahwa alamat IP yang ditunjuk oleh URL ada di China, di mana terdapat peraturan yang lebih longgar, terutama terkait warga negara asing. Tidak ada jaminan bahwa firmware yang diunduh akan bersih atau bahkan firmware sama sekali.

Dalam skenario terburuk, malware dapat menyuntikkan dirinya sendiri di samping aplikasi, melakukan root pada perangkat Anda, dan mengontrol aktivitas jaringan Anda. Sistem file perangkat yang menggunakan Android debug Bridge mengungkapkan bahwa hampir setengahnya memiliki folder Java inti yang sama dan file preferensi terbuka, bahkan jika mereka tidak segera mencoba mengakses URL yang dipertanyakan.

Selengkapnya: Linus Tech Tips

FBI Memperingatkan Agar Tidak Menggunakan Stasiun Pengisian Telepon Umum

by

FBI dan Komisi Komunikasi Federal memperingatkan tentang ‘Juice Jacking’, dimana aktor jahat menggunakan pengisi daya publik untuk menginfeksi ponsel dan perangkat dengan malware.

Badan penegak hukum juga menghimbau konsumen untuk menghindari penggunaan pengisi daya publik di mal dan bandara, dan tetap menggunakan kabel USB dan colokan pengisi daya mereka sendiri.

Tweet Himbauan dari FBI
Tweet Himbauan dari FBI

Pelaku kejahatan yang berhasil membajak pengisi daya umum, dapat menginfeksi perangkat dengan malware, atau perangkat lunak yang dapat memberikan akses peretas ke ponsel, tablet, atau komputer.

Perangkat konsumen dengan kabel USB yang dikompromikan dapat dibajak melalui perangkat lunak yang kemudian dapat menyedot nama pengguna dan kata sandi, FCC memperingatkan pada saat itu. Komisi mengatakan kepada konsumen untuk menghindari stasiun publik tersebut.

Dalam mendukung hal ini, FBI menawarkan panduan serupa di situs webnya untuk menghindari tuntutan publik.

Selengkapnya: CNBC

Peneliti Spiderlabs Memperingatkan Jenis Malware Baru yang Menguras Dana Crypto

by

Para peneliti di Trustwave Spiderlabs baru-baru ini mengatakan mereka menemukan jenis malware baru yang secara sembunyi-sembunyi menarik dana dari dompet kripto. Menurut para peneliti, malware, yang dikenal sebagai Rilide, dianggap menyamar sebagai ekstensi Google Drive yang sah. Selain memberi penjahat dunia maya kemampuan untuk memantau riwayat penelusuran korban yang ditargetkan, Rilide memungkinkan injeksi “skrip berbahaya untuk mencuri dana dari pertukaran mata uang kripto.”

Dalam postingan blog mereka yang dipublikasikan pada 4 April, dua peneliti Pawel Knapczyk dan Wojciech Cieslak mengakui bahwa Rilide bukanlah malware pertama yang menggunakan ekstensi browser berbahaya. Namun, para peneliti mengatakan mereka telah melihat bagaimana malware menipu pengguna sebelum menguras dana dari dompet crypto masing-masing.

Sementara langkah-langkah seperti penegakan yang tertunda dari apa yang disebut manifes v3 diharapkan membuat hidup sedikit lebih sulit bagi penjahat dunia maya, Knapczyk dan Cieslak menegaskan bahwa ini saja mungkin tidak cukup “untuk menyelesaikan masalah sepenuhnya karena sebagian besar fungsi dimanfaatkan oleh Rilide akan tetap tersedia.”

Sementara itu, dalam peringatan mereka kepada pengguna, kedua peneliti tersebut menegaskan kembali pentingnya tetap “waspada dan skeptis” setiap kali mereka menerima email yang tidak diinginkan. Mereka menambahkan bahwa pengguna tidak boleh berasumsi bahwa konten apa pun di internet aman, meskipun tampaknya demikian. Demikian pula, pengguna harus selalu berusaha untuk tetap mendapat informasi dan terdidik tentang peristiwa terbaru dalam industri keamanan siber.

selengkapnya : news.bitcoin.com

Malware Crypto-Stealing ‘OpcJacker’ Menargetkan Pengguna dengan Layanan VPN Palsu

by

Malware pencuri informasi baru ‘OpcJacker’ telah terlihat sejak paruh kedua tahun 2022 sebagai bagian dari kampanye malvertising.

Peneliti Trend Micro, Jaromir Horejsi dan Joseph C. Chen, mengatakan bahwa fungsi utama OpcJacker meliputi keylogging, mengambil screenshot, mencuri data sensitif dari browser, memuat modul tambahan, dan mengganti alamat cryptocurrency di clipboard untuk tujuan pembajakan.

OpcJacker disembunyikan menggunakan crypter ‘Babadeda’ dan menggunakan file konfigurasi untuk mengaktifkan fungsi pengambilan datanya.

File penginstal bertindak sebagai saluran untuk menyebarkan OpcJacker, yang juga mampu mengirimkan muatan tahap selanjutnya seperti NetSupport RAT dan varian komputasi jaringan virtual tersembunyi (hVNC) untuk akses jarak jauh.
File penginstal bertindak sebagai saluran untuk menyebarkan OpcJacker, yang juga mampu mengirimkan muatan tahap selanjutnya seperti NetSupport RAT dan varian komputasi jaringan virtual tersembunyi (hVNC) untuk akses jarak jauh.

File penginstal bertindak sebagai saluran untuk menyebarkan OpcJacker, mampu mengirimkan muatan tahap selanjutnya.

Vektor awal kampanye melibatkan jaringan situs web palsu yang mengiklankan perangkat lunak yang tampak aman dan aplikasi terkait cryptocurrency. Kampanye Februari 2023 secara khusus memilih pengguna di Iran dengan dalih menawarkan layanan VPN.

Temuan itu muncul ketika Securonix mengungkapkan rincian kampanye serangan yang sedang berlangsung ‘TACTICAL#OCTOPUS’, menargetkan entitas AS dengan bujukan bertema pajak untuk menginfeksi mereka dengan backdoor.

Dalam perkembangan terkait, pengguna Italia dan Prancis yang mencari versi retak dari perangkat lunak pemeliharaan PC di YouTube dialihkan ke halaman Blogger yang mendistribusikan dropper NullMixer. NullMixer juga menonjol karena secara bersamaan menjatuhkan berbagai macam malware siap pakai.

Selengkapnya: The Hacker News

GoatRAT Menyerang Sistem Pembayaran Otomatis

by

Baru-baru ini, para peneliti dari K7Security Labs menemukan deteksi dalam laporan telemetri “com.goatmw” yang menarik perhatian mereka, dan memutuskan untuk menyelidiki lebih lanjut. Malware tersebut ditemukan sebagai trojan perbankan.

Trojan perbankan GoatRAT adalah Alat Administrasi Jarak Jauh Android untuk mendapatkan akses dan mengontrol perangkat yang ditargetkan yang melakukan transaksi uang palsu menggunakan kunci PIX. Domain goatrat[.]com berfungsi sebagai panel admin dan berisi id telegram di kontaknya.

RAT kemudian meminta pengguna untuk memberikan izin aksesibilitas dan overlay, memungkinkan untuk menampilkan layar overlay pada aplikasi perbankan yang ditargetkan, membuatnya terlihat seperti layar aplikasi yang sah sehingga pengguna memasukkan kredensial yang valid tanpa curiga, untuk melakukan transfer uang penipuan.

Saat aplikasi yang ditargetkan dibuka, malware menampilkan jendela overlay yang muncul di atas aplikasi perbankan yang sah. Layar overlay akan mendapatkan semua kredensial valid, mengirimkannya ke C2, dan memulai transfer uang berdasarkan saldo bank yang tersedia di akun pengguna.

Trojan Perbankan Android meningkat pesat. Pembuat malware menemukan teknik baru untuk mencuri uang dari pengguna. Salah satu teknik tersebut terlihat mengeksploitasi platform pembayaran instan PIX yang menargetkan bank Brasil.

GoatRAT menggunakan kerangka Sistem Transfer Otomatis (ATS) untuk melakukan transaksi uang palsu. ATS adalah teknik baru yang digunakan oleh malware perbankan di mana setelah pengguna masuk ke aplikasi perbankan dan memasukkan kredensial mereka, malware akan mengambil kendali dan secara otomatis memasukkan jumlah dan memulai transaksi tanpa sepengetahuan pengguna.

Pengguna diminta untuk menginstal produk keamanan terkemuka seperti “K7 Mobile Security” dan terus memperbaruinya agar tetap aman dari ancaman tersebut.

Selengkapnya: K7 Security Labs

Catatan BumbleBee

by

BumbleBee dikategorikan sebagai Loader, malware ini digunakan oleh Broker Akses Awal untuk mendapatkan akses di perusahaan yang ditargetkan. Artikel ini bertujuan untuk merangkum berbagai TTP yang diamati dalam kampanye yang mendistribusikan BumbleBee dan menyediakan skrip untuk mengekstrak konfigurasinya.

Malware memiliki mekanisme pembongkaran khusus, ia memanipulasi kait untuk mengatur rantai eksekusinya, pemuat menggunakan beberapa teknik deteksi lingkungan karena integrasi lengkap dari proyek al-khaser

Itu berkomunikasi dengan perintah dan kontrolnya melalui HTTP. Sejak Agustus 2022 malware menyematkan daftar alamat IP dalam konfigurasinya, beberapa di antaranya adalah alamat IP yang sah, teknik ini juga digunakan oleh malware lain seperti Emotet dan Trickbot.

Comman and control, alamat IP, port, dan pengidentifikasi bot (atau botnet) disimpan di bagian .data BumbleBee, disamarkan dengan algoritme enkripsi RC4. Skrip untuk mengekstrak dan menghapus penyamarannya disediakan di akhir postingan ini.

Selama musim panas 2022, aktor memperbarui format gambar disk dari ISO ke VHD. Konten gambar disk (VHD) juga berubah, DLL tidak lagi disimpan sebagai file, tetapi disematkan dalam skrip PowerShell. Skrip dijalankan oleh LNK dengan kebijakan eksekusi disetel ke bypass.

DLL BumbleBee disimpan dalam skrip PowerShell dalam string yang disamarkan (misalnya: $elem30=$elem30.$casda.Invoke(0,”H”)). Setelah penggantian string, variabel yang disandikan base64 didekodekan, didekompresi (ungzip) dan dipanggil (mis: scriptPath | iex).

Layanan berbagi file yang digunakan untuk mengirimkan perubahan BumbleBee secara teratur misalnya: WeTransfer, Onedrive, Smash, dll. Detail kampanye menggunakan situs web berbagi file onedrive tertulis di artikel: Kampanye Bumblebee DocuSign.

Selengkapnya: Krakz

Malware Baru Mencuri Kata Sandi Mac dan Mengirimkannya Dengan Telegram

by

Malware baru, MacStealer, ditemukan menginfeksi Intel dan Apple Silicon Mac, serta mencuri kata sandi, info kartu kredit, dan data pribadi lainnya.

MacStealer memiliki kemampuan untuk mengambil dokumen, cookie browser, dan informasi login dari Mac target. Secara khusus juga berfungsi pada Mac yang menjalankan macOS Catalina atau lebih baru, berjalan pada chip Intel atau Apple Silicon.

Perangkat lunak mengambil kredensial dan cookie dari browser Firefox, Google Chrome, dan Brave, mengekstrak database Keychain, dan mencoba untuk mengamankan berbagai jenis file.

Meskipun menarik Keychain tampak seperti bahaya besar bagi pengguna, serangan tersebut melibatkan pengambilan Keychain secara grosir, tanpa mengakses data di dalamnya. Basis data diambil dan dikirim ke penyerang oleh Telegram, tetapi masih dienkripsi.

Pelaku ancaman yang menjual akses ke MacStealer seharga $100 per build mengatakan bahwa Keychain yang diekstraksi hampir tidak mungkin diakses tanpa kata sandi utama.

Item lain dalam daftar “fitur yang akan datang” termasuk pengurasan cryptowallets, alat untuk menghasilkan build baru, shell terbalik, pengunggah khusus, dan panel kontrol.

Pada saat yang sama mengambil file dan data, MacStealer menggunakan Telegram untuk mengirimkan informasi pilihan ke saluran tertentu. Kompilasi ZIP terpisah kemudian dibagikan ke bot Telegram yang dikendalikan oleh peretas.

Mencoba membuka file akan memunculkan permintaan kata sandi macOS palsu, yang kemudian digunakan alat tersebut untuk mengakses file lain di sistem.

Permintaan kata sandi macOS palsu pict-MacStealer [kiri], permintaan kata sandi macOS asli [kanan]
Permintaan kata sandi macOS palsu pict-MacStealer [kiri], permintaan kata sandi macOS asli [kanan]

Uptycs merekomendasikan agar pengguna memperbarui sistem Mac dengan tambalan dan pembaruan, serta disarankan untuk hanya mengizinkan penginstalan file dari sumber terpercaya.

Selengkapnya: Apple Insider