Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Malware

Malware

MATA, Malware Yang Menargetkan Organisasi Di Seluruh Dunia

by

Peneliti keamanan di Kaspersky telah menemukan kerangka kerja multi-platform malware yang disebut “MATA” yang telah berhasil menargetkan korban di seluruh dunia.

Kaspersky menjelaskan dalam analisisnya bahwa artefak pertama yang berkaitan dengan MATA muncul kembali pada bulan April 2018. Siapa pun yang berada di belakang kerangka kerja malware ini kemudian menggunakan ancaman ini untuk menargetkan perusahaan di Polandia, Jerman, Turki, Korea, Jepang, dan India.

Organisasi yang ditargetkan beroperasi di beberapa sektor ekonomi yang berbeda. Di antara para korban adalah perusahaan perangkat lunak, bisnis e-commerce dan Penyedia Layanan Internet (ISP).

Kaspersky Lab menemukan tiga versi MATA yang menargetkan Windows, Linux dan macOS. Versi Windows terdiri dari beberapa komponen termasuk loader, orkestrator dan plugin.

Versi Linux dari MATA tersedia di situs distribusi yang sah, sedangkan varian macOS tiba sebagai trojan aplikasi otentikasi dua faktor (2FA).

Dalam analisisnya, Kaspersky Lab menghubungkan malware MATA dengan aktor ancaman terkenal:

Kami menyimpulkan bahwa kerangka kerja MATA dapat dikaitkan dengan grup APT Lazarus. Orkestrator MATA menggunakan dua nama file unik, c_2910.cls dan k_3872.cls, yang sebelumnya hanya terlihat dalam beberapa varian Manuscrypt, termasuk sampel (0137f688436c468d43b3e50878ec1a1f) yang disebutkan dalam publikasi US-CERT.

Perusahaan keamanan itu mengungkapkan bahwa varian Manuscrypt, keluarga malware yang didistribusikan oleh Lazarus, juga memiliki struktur konfigurasi yang sama dengan MATA.

Baca berita selengkapnya pada tautan di bawah ini;
Source: Kaspersky Lab | Tripwire

Pesan Palsu Ke Ponsel Android Ini Mengarah Ke Malware Pencuri Data

by

Suatu bentuk malware Android yang kuat yang dapat mencuri detail bank, informasi pribadi, komunikasi pribadi dan banyak lagi telah kembali dengan kampanye baru yang menyebar dengan sendirinya melalui serangan phishing SMS.

Para peneliti cybersecurity di Cybereason mengatakan bahwa ini adalah sebuah malware yang menggunakan teks “missed delivery” untuk mengecoh penerima yang tidak curiga.

Setelah melakukan penyelidikan, tim Cybereason menyimpulkan bahwa kampanye malware yang disebut FakeSpy ini berkaitan dengan ‘Roaming Mantis’, operasi aktor siber berbahasa Cina yang telah mengoperasikan kampanye serupa.

Malware FakeSpy telah aktif sejak 2017, awalnya menargetkan pengguna di Jepang dan Korea Selatan, namun sekarang ini menargetkan pengguna Android di seluruh dunia – dengan serangan yang dirancang khusus untuk memikat pengguna di Asia, Eropa dan Amerika Utara.

Menurut penelitian yang dilakukan oleh tim Cybereason, FakeSpy dapat mengeksfiltrasi dan mengirim pesan SMS, mencuri data keuangan, membaca informasi akun, dan daftar kontak. Pengguna diperdaya untuk mengklik pesan teks yang memberitahukan mereka tentang pengiriman yang terlewat, yang mengarahkan mereka pada sebuah website untuk mengunduh aplikasi Android berbahaya.

FakeSpy juga mengeksploitasi infeksi untuk menyebarkan dirinya, mengirim pesan phishing bertema pos ke semua kontak korban, menunjukkan ini bukan kampanye yang ditargetkan. Ini adalah operasi siber kriminal yang digerakkan secara finansial yang ingin menyebar sejauh dan seluas mungkin dengan tujuan menghasilkan uang sebanyak mungkin dari informasi bank curian dan kredensial pribadi lainnya.

Direktur senior Cybereason dan kepala riset ancaman Assaf Dahan mengatakan kepada ZDNet bahwa orang-orang harus curiga terhadap pesan SMS yang berisi tautan. “Jika mereka mengklik tautan,” kata Dahan, “mereka perlu memeriksa keaslian halaman web, mencari kesalahan ketik atau nama situs web yang salah, dan yang terpenting – hindari mengunduh aplikasi dari toko tidak resmi.”

Praktik-praktik ini dapat melindungi Anda dari mengunduh aplikasi jahat secara tidak sengaja, jatuh dalam serangan phishing, dan banyak lagi.

 

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: BGR | ZDNet

Malware Android BlackRock Dapat Mencuri Kata Sandi Dan Data Kartu Dari 337 Aplikasi

by

Dilansir dari ZDNet, sebuah jenis baru malware Android telah ditemukan yang dilengkapi dengan berbagai kemampuan pencurian data yang memungkinkannya menargetkan 337 aplikasi Android.

Dinamai BlackRock, ancaman baru ini muncul pada Mei tahun ini dan ditemukan oleh perusahaan keamanan seluler ThreatFabric.

Para peneliti mengatakan bahwa malware ini didasarkan pada kode sumber yang bocor dari strain malware lain (Xerxes, yang juga bersumber dari malware strain lain) tetapi ditingkatkan dengan fitur tambahan, terutama pada sisi yang berkaitan dengan pencurian kata sandi pengguna dan informasi kartu kredit.

BlackRock masih berfungsi seperti kebanyakan trojan perbankan Android, kecuali, ia menargetkan lebih banyak aplikasi daripada sebagian besar pendahulunya.

Trojan ini akan mencuri kredensial login (nama pengguna dan kata sandi), jika tersedia, tetapi juga meminta korban untuk memasukkan detail kartu pembayaran jika aplikasi mendukung transaksi keuangan.

Menurut ThreatFabric, pengumpulan data dilakukan melalui teknik yang disebut “overlay,” yaitu teknik yang terdiri dari pendeteksian saat pengguna mencoba berinteraksi dengan aplikasi yang sah dan memperlihatkan jendela palsu di atasnya yang dapat mengumpulkan detail login korban dan data kartu sebelum mengizinkan pengguna untuk memasuki aplikasi yang sah.

Daftar lengkap aplikasi yang ditargetkan dirinci dalam laporan BlackRock.

Setelah diinstal pada perangkat, aplikasi jahat yang tercemar dengan trojan BlackRock meminta pengguna untuk memberikannya akses ke fitur Aksesibilitas telepon.

Fitur Aksesibilitas Android adalah salah satu fitur sistem operasi yang paling kuat, karena dapat digunakan untuk mengotomatiskan tugas dan bahkan melakukan taps (klik) atas nama pengguna.

BlackRock menggunakan fitur Aksesibilitas untuk memberikan dirinya akses ke izin Android lainnya dan kemudian menggunakan DPC Android (pengontrol kebijakan perangkat, alias work profile) untuk memberikan sendiri akses admin ke perangkat.

Kemudian menggunakan akses ini untuk menampilkan overlay berbahaya, tetapi ThreatFabric mengatakan trojan juga dapat melakukan operasi mengganggu lainnya, seperti:

  • Menyadap pesan SMS
  • Melakukan SMS Floods
  • Melakukan Spam Kontak dengan SMS yang telah ditentukan
  • Memulai aplikasi tertentu
  • Menyimpan log key taps(fungsionalitas keylogger)
  • Menampilkan push notification yang telah dicustom
  • Menyabotase aplikasi antivirus seluler, dan banyak lagi

Saat ini, BlackRock didistribusikan dengan menyamar sebagai paket pembaruan Google palsu yang ditawarkan di situs pihak ketiga, dan trojan tersebut belum terlihat di Play Store resmi.

Sangat disarankan kepada seluruh pengguna Android untuk tidak mengunduh aplikasi Android di luar Google PlayStore dan tetap waspada sebelum mengunduh sesuatu, baik itu dari toko resmi Google atau tidak.

Baca berita selengkapnya pada tautan di bawah ini;
Source: ZDNet

Varian Baru Malware Joker di Android

by

Analis dari Check Point Research menemukan sejumlah aplikasi yang menggunakan apa yang peneliti deskripsikan sebagai varian baru dari malware Joker dan yang bersembunyi di Google Play Store dalam “aplikasi yang tampaknya sah.”

“Kami menemukan bahwa versi Joker yang diperbarui ini dapat mengunduh malware tambahan ke perangkat, yang membuat pengguna berlangganan ke layanan premium tanpa sepengetahuan atau persetujuan mereka,” tulis tim Check Point dalam ringkasan temuan mereka. Laporan itu memberikan nama paket untuk 11 aplikasi (salah satunya terdaftar dua kali), sehingga Anda dapat menggunakan ini untuk melihat apakah salah satu dari mereka mungkin ada di ponsel Anda tetapi dengan identitas yang berbeda:

com.imagecompress.android
com.contact.withme.texts
com.hmvoice.friendsms
com.relax.relaxation.androidsms
com.cheery.message.sendsms
com.cheery.message.sendsms
com.peason.lovinglovemessage
com.file.recovefiles
com.LPlocker.lockapps
com.remindme.alram
com.training.memorygame

Untuk membuat orang berlangganan ke layanan premium tanpa mereka sadari, malware Joker tampaknya menggunakan layanan Notification Listener aplikasi asli, serta file dex dinamis yang dimuat oleh server perintah dan kontrol untuk melakukan pendaftaran pengguna yang sebenarnya. Check Point mengatakan itu adalah teknik umum bagi pengembang malware PC Windows untuk mengaburkan “sidik jari” kode mereka dengan menyembunyikan file dex sambil tetap memastikannya dapat memuat.

Google telah menghapus aplikasi di atas dari Play Store, tetapi Aviran Hazum dari Check Point mengatakan kepada salah satu outlet berita bahwa malware Joker kemungkinan akan kembali lagi dalam beberapa bentuk. “Malware Joker sulit dideteksi, meskipun ada investasi Google dalam menambahkan perlindungan Play Store. Meskipun Google menghapus aplikasi jahat dari Play Store, kami sepenuhnya dapat beranggapan bahwa Joker bisa beradaptasi lagi.”

Baca berita selengkapnya pada tautan di bawah ini;
Source: BGR | Check Point Research

Malware Baru Ditemukan di Perangkat Lunak Perpajakan Cina

by

GoldenHelper, sebagaimana peneliti dari perusahaan keamanan Trustwave menjuluki malware ini, bersembunyi di dalam perangkat lunak Faktur Pajak Golden, yang semua perusahaan yang terdaftar di China diberi mandat untuk menggunakan perangkat lunak ini untuk membayar pajak. Malware ini dapat memintas Kontrol Akun Pengguna, mekanisme Windows yang mengharuskan pengguna untuk memberikan persetujuan mereka sebelum perangkat lunak dapat menginstal program atau membuat perubahan sistem lainnya. Setelah selesai, GoldenSpy dapat menginstal modul dengan hak istimewa tingkat Sistem. Trustwave menerbitkan temuannya pada hari Selasa di sini.

GoldenHelper menggunakan trik lain untuk menyembunyikan perilaku jahatnya dan menghindari deteksi dari sistem dan perangkat lunak perlindungan endpoint.

Penemuan ini terjadi tiga minggu setelah Trustwave mengekspos GoldenSpy, sepotong spyware canggih yang ditemukan oleh peneliti perusahaan dan terpasang di jaringan perusahaan teknologi multinasional besar yang baru saja membuka kantor di Cina. Seperti GoldenHelper, GoldenSpy menggunakan modus operasi instalasi yang sama — melalui Proyek Pajak Golden.

Perangkat lunak pajak yang menyimpan GoldenHelper diproduksi oleh perusahaan yang dikenal sebagai Baiwang. Baiwang dan Aisino adalah satu-satunya dua penyedia resmi sistem faktur. Penemuan terbaru menunjukkan bahwa GoldenSpy bukan kampanye satu kali, melainkan kampanye yang menggunakan setidaknya satu bagian malware lainnya dalam periode waktu yang lebih lama daripada yang diketahui sebelumnya.

File yang menjadi indikator utama malware ini bernama taxver.exe , dengan beberapa file indikator lain bernama :

1. msxxxs999.dat
2. Wmiasssrv.dll
3. Wmiasssrv.dll
4. Skpc.dll
5. JSKP_BWB_1.0.4.0.exe
6. skpc.dll

Tidak jelas mengapa GoldenHelper ditutup dengan tiba-tiba. Satu tebakan adalah bahwa operatornya meninggalkan proyek setelah tingkat deteksi melonjak, dari sekitar tiga pada Januari 2019 menjadi sebanyak 29 pada Maret. Di bawah ini adalah timeline yang melacak sejarah malware:

Sumber: Trustwave

 

Berita selengkapnya baca di tautan berikut ini;
Source: Ars Technica | Trustwave

Penegakan Hukum Menangkap Ratusan Penjahat Setelah Menyadap Sistem Obrolan Terenkripsi

by

National Crime Agency (NCA) Inggris telah membuat 746 penangkapan dan membubarkan puluhan kelompok kejahatan terorganisir setelah menyadap jutaan pesan teks terenkripsi, lapor BBC.

Pesan-pesan itu dikirim melalui EncroChat, sistem telepon berbasis langganan yang populer di kalangan para penjahat. NCA mengatakan dalam sebuah konferensi pers pada hari Kamis bahwa operasi telah memiliki “dampak terbesar pada geng kejahatan terorganisir yang pernah ada.”

Lembaga penegak hukum Eropa tampaknya telah memantau percakapan ini selama berbulan-bulan. Polisi Prancis pertama-tama meretas jaringan, mengerahkan “alat teknis” untuk menembus komunikasi EncroChat setelah mengetahui bahwa beberapa servernya dihosting di negara itu. Pihak berwenang pertama kali memecahkan kode enkripsi EncroChat pada bulan Maret dan mulai menerima data pada bulan April.

Menurut laporan Motherboard, polisi mengakses percakapan yang diyakini aman dan pribadi oleh para pengguna. Percakapan itu berisi percakapan mengenai berbagai kejahatan, termasuk operasi narkoba dan skema pencucian uang.

EncroChat menjual handset Android dengan fungsi GPS, kamera, dan mikrofon yang dihapus. Ponsel ini dijual dengan aplikasi pesan terenkripsi serta sistem operasi sekunder yang aman (selain Android) di dalamnya. Ini juga dilengkapi dengan fitur penghancuran diri yang dapat menghapus perangkat jika Anda memasukkan PIN.

Layanan ini memiliki pelanggan di 140 negara. Sementara layanan ini disebut sebagai platform yang sah, sumber anonim mengatakan kepada Motherboard bahwa itu digunakan secara luas di antara para kelompok-kelompok kriminal, termasuk organisasi perdagangan narkoba, kartel, dan geng, serta pembunuh bayaran.

EncroChat tidak menyadari bahwa perangkatnya telah disadap, hingga pada bulan Mei setelah beberapa pengguna memperhatikan bahwa fungsi penghapusan tidak berfungsi. Setelah mencoba dan gagal memulihkan fitur dan memonitor malware, EncroChat memotong layanan SIM-nya dan mematikan jaringan, menyarankan pelanggan untuk membuang perangkat mereka.

“Ini baru permulaan,” kata Dame Cressida Dick, komisaris Polisi Metropolitan London, pada sebuah konferensi. “Kami akan mengganggu jaringan kriminal terorganisir sebagai hasil dari operasi ini selama berminggu-minggu dan berbulan-bulan dan mungkin bertahun-tahun mendatang.”

Berita selengkapnya:
Source: The Verge

Pencurian ID: Peringatan Google palsu kini menyisipkan malware

by

Email yang memberi tahu Anda bahwa data Anda telah dikompromikan sekarang terkadang adalah email palsu. Hati-hati dengan apa yang Anda klik.

Pada hari Senin (06/29), Karen Roby dari TechRepublic melalui panggilan video berbicara dengan Eva Velasquez, CEO dari Identity Theft Resource Center mengenai ancaman malware baru yang terlihat seperti peringatan adanya pelanggaran data.

Pada wawancara tersebut, mereka berbicara tentang adanya beberapa pemberitahuan pelanggaran data palsu yang dikirim melalui peringatan Google. Peringatan mengenai pelanggaran data ini memang sebagian adalah peringatan yang sah dari organisasi / perusahaan yang diharuskan hukum untuk memberi tahu konsumen ketika informasi, identitas dan data mereka telah dikompromikan. Namun, ide ini disalahgunakan oleh para pelaku untuk menarik minat korbannya, membuat mereka berpikir bahwa mereka membutuhkan informasi tersebut untuk melihat data apa yang terkompromikan, kata Eva.

Eva juga menambahkan, bahwa sekarang ini banyak pelaku yang menyisipkan lampiran berbahaya pada sebuah situs jahat. Dan jika korban dengan polosnya mengunduh lampiran tersebut, perangkat mereka akan langsung terinfeksi dengan malware. Lebih buruk, malware dapat menyebar kesuluruh sistem jika perangkat korban terhubung dengan suatu jaringan.

Lebih baik untuk mengunjungi sumber resmi dengan mengetikkan alamat website pada browser Anda, daripada meng-klik link atau mengunduh lampiran pada pemberitahuan pelanggaran data atau pelanggaran lainnya.

Pada wawancara tersebut Eva juga menekankan bahwa sangat penting untuk “memasang antivirus atau program pendeteksi malware di komputer Anda, dan pastikan Anda melakukan patch ketika Anda mendapatkan pembaruan ini.”

Masih banyak orang yang gemar menunda-nunda untuk menerapkan pembaruan pada perangkat mereka. Mereka berfikir bahwa mereka dapat melakukannya nanti dan ada sesuatu yang lebih penting dari itu. Padahal ini adalah sesuatu yang dapat dimanfaatkan oleh peretas dan penjahat siber untuk melangsungkan serangannya. Hal-hal yang sangat sederhana inilah yang sesungguhnya dapat Anda lakukan untuk memastikan bahwa mesin Anda tetap sehat dan terlindungi.

Tidak terburu-buru untuk meng-klik suatu link dan mengunduh suatu file adalah salah satu pencegahan yang dapat Anda lakukan.

Untuk membaca percakapan selengkapnya dan video wawancara, silahkan klik link di bawah ini;
Source: Tech Republic

Ransomware Mac Baru Ditemukan di Aplikasi Mac Bajakan

by

Peneliti keamanan dari Malwarebytes menemukan adanya Varian baru ransomware Mac ‘EvilQuest’ menyebar melalui aplikasi Mac bajakan. Ransomware baru ini ditemukan dalam unduhan bajakan untuk aplikasi Little Snitch yang ditemukan di forum Rusia.

Tepat dari titik pengunduhan, jelas ada sesuatu yang salah dengan versi ilegal Snitch karena memiliki paket penginstal generik. Memang setelah diunduh akan menginstal versi Little Snitch yang sebenarnya, tetapi juga menginstal file tambahan yang dapat dieksekusi bernama “Patch” ke direktori /Users/Shared dan skrip post-install untuk menginfeksi mesin.

Script instalasi memindahkan file Patch ke lokasi baru dan menamainya CrashReporter, sebuah proses macOS yang sah, menjaganya tetap tersembunyi di Activity Monitor. Dari sana, file Patch menginstal dirinya sendiri di beberapa tempat di Mac.

Ransomware mengenkripsi pengaturan dan file data pada Mac, seperti file Keychain, dan menghasilkan kegagalan ketika mencoba mengakses Keychain iCloud. Finder juga tidak berfungsi setelah instalasi, dan ada masalah dengan dock dan aplikasi lainnya.

Malwarebytes menemukan bahwa ransomware ini berfungsi dengan buruk dan tidak ada instruksi untuk membayar uang tebusan, tetapi tangkapan layar yang ditemukan di forum tempat perangkat lunak berbahaya itu berawal menunjukkan bahwa pengguna dimeminta untuk membayar $50 untuk memulihkan akses ke file mereka.

Catatan: siapa pun yang terinfeksi ransomware ini atau ransomware apa pun tidak boleh membayar biaya, karena itu tidak menghapus malware.

Tangkapan layar pesan enkripsi yang dipost ke forum RUTracker

Bersamaan dengan aktivitas ransomeware, malware juga dapat menginstal keylogger, tetapi apa yang dilakukan malware dengan fungsi ini tidak diketahui.

Ransomware serupa juga ditemukan di aplikasi bajakan lainnya, pengguna Mac dapat menghindarinya dengan tidak mengunduh aplikasi bajakan dari situs web dan forum yang tidak dapat dipercaya.

 

Source: MacRumors