Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Mobile Security

Mobile Security

Malware Android Iran “RANA” juga Memata-matai Pesan Instan

by

Sebuah tim peneliti mengungkap kemampuan implan spyware Android yang sebelumnya dirahasiakan — yang dikembangkan oleh aktor ancaman Iran yang dikenai sanksi — yang memungkinkan penyerang memata-matai obrolan pribadi dari aplikasi pesan instan populer, memaksa koneksi Wi-Fi, dan menjawab panggilan otomatis dari nomor tertentu untuk tujuan menguping percakapan.

Pada bulan September, Departemen Keuangan AS menjatuhkan sanksi pada APT39 (alias Chafer, ITG07, atau Remix Kitten) – aktor ancaman Iran yang didukung oleh Kementerian Intelijen dan Keamanan (MOIS) negara itu – karena melakukan kampanye malware yang menargetkan para pembangkang Iran, wartawan, dan perusahaan internasional di sektor telekomunikasi dan perjalanan.

Bertepatan dengan sanksi tersebut, Federal Bureau of Investigation (FBI) merilis laporan analisis ancaman publik yang menjelaskan beberapa alat yang digunakan oleh Rana Intelligence Computing Company, yang beroperasi sebagai front untuk aktivitas cyber berbahaya yang dilakukan oleh grup APT39.

Secara resmi menghubungkan operasi APT39 ke Rana, FBI merinci delapan set malware terpisah dan berbeda yang sebelumnya tidak diungkapkan yang digunakan oleh grup untuk melakukan gangguan komputer dan aktivitas pengintaian, termasuk aplikasi spyware Android yang disebut “optimizer.apk” dengan kemampuan mencuri informasi dan akses jarak jauh.

Menurut peneliti Karlo Zanki, implan tidak hanya memiliki izin untuk merekam audio dan mengambil foto untuk keperluan pengawasan pemerintah, tetapi juga berisi fitur untuk menambahkan titik akses Wi-Fi khusus dan memaksa perangkat yang dikompromikan untuk terhubung dengannya.

Yang juga perlu diperhatikan adalah kemampuan untuk menjawab panggilan secara otomatis dari nomor telepon tertentu, sehingga memungkinkan pelaku ancaman untuk memanfaatkan percakapan sesuai permintaan.

Selain menampilkan dukungan untuk menerima perintah yang dikirim melalui pesan SMS, varian terbaru malware “optimizer” yang direferensikan oleh FBI menyalahgunakan layanan aksesibilitas untuk mengakses konten aplikasi pesan instan seperti WhatsApp, Instagram, Telegram, Viber, Skype, dan klien Telegram tidak resmi yang berbasis di Iran bernama Talaeii.

Sumber: The Hacker News

Play Store diidentifikasi sebagai vektor distribusi utama untuk sebagian besar malware Android

by

Google Play Store resmi telah diidentifikasi sebagai sumber utama penginstalan malware di perangkat Android dalam studi akademis baru-baru ini.

Menggunakan data telemetri yang disediakan oleh NortonLifeLock (sebelumnya Symantec), para peneliti menganalisis asal penginstalan aplikasi di lebih dari 12 juta perangkat Android selama periode empat bulan antara Juni dan September 2019.

Secara total, para peneliti melihat lebih dari 34 juta penginstalan APK (aplikasi Android) untuk 7,9 juta aplikasi unik.

Peneliti mengatakan bahwa sesuai klasifikasi malware Android yang berbeda, antara 10% dan 24% aplikasi yang mereka analisis dapat dikategorikan sebagai aplikasi yang berbahaya atau tidak diinginkan.

Namun para peneliti berfokus secara khusus pada “hubungan siapa-menginstal-siapa antara installer dan aplikasi anak” untuk menemukan jalur yang diambil aplikasi berbahaya untuk menjangkau perangkat pengguna.

Hasilnya menunjukkan bahwa sekitar 67% dari pemasangan aplikasi berbahaya yang diidentifikasi peneliti berasal dari Google Play Store.

Sumber: ZDNet

Penelitian berjudul “How Did That Get In My Phone? Unwanted App Distribution on Android Devices,” tersedia untuk diunduh dalam format PDF dan ditulis oleh peneliti dari NortonLifeLock dan IMDEA Software Institute di Madrid, Spanyol.

Baca berita selengkapnya pada tautan berikut ini;
Source: ZDNet

Avast memperingatkan mengenai Skin Minecraft, aplikasi mod menipu ‘jutaan’ pengguna Android

by

Aplikasi modding Minecraft yang aktif di Google Play menarik pelanggan melalui model pembayaran yang besar dan kuat, peneliti memperingatkan.

Meskipun tidak selalu berbahaya, aplikasi fleeceware masih dapat merampas uang hasil jerih payah pengguna tanpa disadari dengan menyediakan barang atau layanan yang buruk melalui langganan otomatis yang berlebihan.

Game adalah arena yang populer untuk fleeceware karena skin add-on, wallpaper, item virtual, dan mod mungkin sangat dicari oleh pengguna khusus.

Minecraft telah menjadi sarang mod selama bertahun-tahun. Pengguna game populer, yang dikembangkan oleh Mojang dan diambil alih oleh Microsoft pada tahun 2014 seharga $2,5 miliar, sekarang menjadi sasaran melalui gelombang aplikasi perangkat lunak yang telah masuk ke Google Play Store.

Beginilah cara kerjanya: aplikasi fleeceware akan menawarkan uji coba “gratis” selama beberapa hari sebelum pengguna secara otomatis mendaftar untuk berlangganan. Biaya ini bisa sangat tinggi, dan di aplikasi yang ditemukan oleh Avast, yang paling mahal adalah $30 per minggu, atau $120 per bulan.

Secara total, tujuh aplikasi berbasis Minecraft telah dilaporkan ke Google, tetapi pada saat penulisan, semua aplikasi tersebut masih tersedia.

Aplikasi Android yang dilaporkan adalah: Skins, Mods, Maps for Minecraft PE, Skins for Roblox, Live Wallpapers HD & 3D Background, MasterCraft for Minecraft, Master for Minecraft, Boys and Girls Skins, dan Maps Skins and Mods for Minecraft.

Tidak cukup hanya dengan menghapus aplikasi jenis ini – Anda harus ingat untuk membatalkan langganan juga. Untuk melakukannya, buka menu Google Play Store dan arahkan ke tab “Langganan” untuk menghapusnya seluruhnya.

Sumber: ZDNet

Malware ‘Ghimob’ baru dapat memata-matai 153 aplikasi seluler Android

by

Peneliti keamanan telah menemukan trojan perbankan Android baru yang dapat memata-matai dan mencuri data dari 153 aplikasi Android.

Dinamakan Ghimob, trojan tersebut diyakini telah dikembangkan oleh kelompok yang sama di belakang malware Windows Astaroth (Guildma), menurut sebuah laporan yang diterbitkan pada hari Senin oleh perusahaan keamanan Kaspersky.

Kaspersky mengatakan trojan Android baru tersebut telah dipromosikan dengan dikemas ulang di dalam aplikasi Android berbahaya di situs dan server yang sebelumnya digunakan oleh operasi Astaroth (Guildama).

Distribusi tidak pernah dilakukan melalui Play Store resmi. Sebaliknya, grup Ghimob menggunakan email atau situs jahat untuk mengarahkan pengguna ke situs web yang mempromosikan aplikasi Android.

Aplikasi ini meniru aplikasi dan merek resmi, dengan nama seperti Google Defender, Google Docs, WhatsApp Updater, atau Flash Update.

Setelah diunduh, jika akses ke Aksesibilitas diberikan, aplikasi akan mencari di ponsel yang terinfeksi untuk daftar 153 aplikasi yang nantinya akan menampilkan halaman login palsu dalam upaya untuk mencuri kredensial pengguna.

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: ZDNet

Malware Android Firestarter Menyalahgunakan Google Firebase Cloud Messaging

by

Grup APT memulai serangan dengan loader malware Android baru, yang menggunakan layanan perpesanan Google yang sah untuk melewati deteksi.

Malware, yang dijuluki “Firestarter”, digunakan oleh grup ancaman APT yang disebut “DoNot”. DoNot menggunakan Firebase Cloud Messaging (FCM), yang merupakan solusi cloud lintas platform untuk pesan dan notifikasi untuk aplikasi Android, iOS, dan web. Layanan ini disediakan oleh Firebase, anak perusahaan Google, dan sebelumnya juga telah dimanfaatkan oleh penjahat siber.

Dalam hal ini, loader menggunakannya sebagai mekanisme komunikasi untuk terhubung dengan server perintah-dan-kontrol (C2) DoNot, membantu aktivitas grup menghindari deteksi.

“Penelitian kami mengungkapkan bahwa DoNot telah bereksperimen dengan teknik baru untuk menjaga pijakan pada mesin korban mereka,” menurut peneliti dengan Cisco Talos dalam analisis hari Kamis. “Eksperimen ini, yang dibuktikan dengan loader Firestarter, adalah tanda betapa bertekadnya mereka untuk tetap menjalankan operasi meskipun terekspos, yang menjadikan mereka aktor yang sangat berbahaya yang beroperasi di area spionase.”

Tim DoNot terus berfokus pada India dan Pakistan, dan dikenal karena menargetkan pejabat pemerintah Pakistan dan organisasi nirlaba Kashmir (Kashmir adalah kelompok etnis Dardik yang berasal dari Lembah Kashmir yang disengketakan).

Pengguna dibujuk untuk memasang aplikasi berbahaya di perangkat seluler mereka, kemungkinan dilakukan melalui pesan langsung yang memanfaatkan rekayasa sosial, kata peneliti. Nama file aplikasi Android ini (kashmir_sample.apk atau Kashmir_Voice_v4.8.apk) menunjukkan minat yang berkelanjutan di India, Pakistan, dan krisis Kashmir.

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: The Threat Post

Adware ditemukan di 21 aplikasi Android dengan lebih dari 7 juta unduhan

by

Google telah menghapus 15 dari 21 aplikasi Android dari Play Store resmi selama akhir pekan menyusul laporan dari pembuat antivirus Ceko, Avast.

Perusahaan keamanan mengatakan aplikasi tersebut terinfeksi dengan jenis malware yang dikenal sebagai HiddenAds.

Ditemukan pada tahun 2019, jenis adware Android ini beroperasi dengan menampilkan iklan yang berlebihan dan mengganggu dan dengan membuka browser seluler di halaman yang dipenuhi iklan atau halaman promosi.

Setelah pengguna menginstal salah satu aplikasi ini, malware HiddenAds akan menyembunyikan ikon aplikasi (untuk menyulitkan pengguna menghapus aplikasi di masa mendatang) dan kemudian mulai membombardir pengguna dengan iklan.

Enam dari 21 aplikasi masih tersedia di Play Store pada saat penulisan, seperti: Shoot Them, Helicopter Shoot, Find 5 Differences – 2020 NEW, Rotate Shape, Cover art Find the Differences – Puzzle Game, dan Money Destroyer.

Jika Anda memiliki salah satu dari daftar aplikasi di atas, sangat disarankan untuk menghapus nya.

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: ZDNet

Empat Area yang Perlu Dipertimbangkan untuk Menangani Data Cloud dengan Aman

by

Perusahaan menghadapi pertumbuhan eksplosif dari data file tidak terstruktur, dan, untuk mengatasinya, mereka beralih ke cloud untuk menyimpan dan berkolaborasi dengan lebih hemat biaya pada data tersebut di seluruh dunia. Namun, sementara cloud publik dan privat memberikan kapabilitas baru yang kuat dan potensi efisiensi finansial dan operasional, ini juga dapat memperluas profil risiko.

Faktanya, cloud dapat memberikan keamanan data yang lebih baik daripada penyimpanan tradisional… jika dilakukan dengan benar. Namun, menghadirkan cloud hybrid ke dalam jalur data memerlukan pendekatan keamanan yang berbeda dari pada file yang disimpan di lokasi. Untuk melindungi data di awan pribadi dan publik, perusahaan perlu menggunakan campuran enkripsi yang kuat dan otentikasi lokal, serta kemampuan asli dari solusi penyimpanan awan terkemuka.

Untuk memastikan data tidak terstruktur mereka tetap aman dan selalu tersedia, tim TI harus memberikan perhatian khusus pada empat area berikut.

Enkripsi
IT harus yakin untuk “mengasinkan” kunci dan sandi. Kata sandi biasanya dilindungi dengan mengenkripsinya menggunakan fungsi hash satu arah yang memerlukan kunci kriptografi untuk mendekripsinya. Salting menambahkan bit acak ke fungsi hash, yang merupakan lapisan keamanan ekstra, memastikan bahwa, bahkan jika kunci kriptografi disusupi, kata sandi dan kunci yang dilindungi akan tetap tidak dapat digunakan. Tidak ada pengguna tidak sah dari luar organisasi yang dapat mengakses data.

OpenPGP
OpenPGP menggabungkan enkripsi simetris cepat untuk melindungi data dengan kunci asimetris yang lebih lambat. Hal ini tidak hanya memberikan keamanan data yang optimal dan pada tingkat perincian yang lebih tinggi, tetapi juga menjaga kinerja agar tidak terpengaruh. Professional IT tidak boleh mengabaikan enkripsi metadata, yang berisi nama file, ukuran file, stempel waktu, informasi kontrol akses, dan lokasi dalam pohon direktori. Jika informasi ini dikirim atau disimpan dengan jelas, peretas dapat dengan mudah memperoleh dan menggunakannya untuk meluncurkan serangan bertarget yang canggih.

Memisah Folder
Jika menggunakan cloud pribadi, semua data file dan metadata sistem file harus dienkripsi dan disimpan hanya di penyimpanan objek cloud pribadi. Jalur kontrol dapat menggunakan layanan cloud publik untuk menyediakan orkestrasi dan fungsi manajemen dalam skala besar, tetapi jalur data harus disimpan sepenuhnya dalam cloud pribadi; data file tidak boleh dikirim di luar batasan keamanan perusahaan.

Dalam situasi hibrid, di mana peralatan di tempat disebarkan ke cache data secara lokal untuk memastikan kinerja, jalur data meluas di luar batas keamanan perusahaan. Namun, selama file dan metadata dienkripsi dengan benar, serta kunci dan sandi dienkripsi dan diasinkan, data tersebut aman. Jika TI menggunakan model khusus cloud, di mana peralatan diterapkan sebagai mesin virtual dalam cloud, semua data file dan metadata sistem harus dienkripsi dan disimpan dalam penyimpanan objek.

Ingat, data dan metadata tidak boleh terlihat oleh siapa pun yang tidak berwenang untuk memiliki kunci master, meskipun mereka adalah penyedia atau vendor penyimpanan cloud.

Double Check Keamanan Cloud
Penyedia cloud beroperasi pada model tanggung jawab bersama, yang berarti mereka melindungi infrastruktur secara keseluruhan, tetapi setiap pelanggan bertanggung jawab untuk mengamankan akses ke wadah dan instans penyimpanan cloud, serta untuk memastikan data yang disimpan di sana terlindungi dengan baik dari kehilangan data. Periksa kembali semua konfigurasi dan audit secara teratur untuk memastikannya benar.

Namun jangan percaya pada penyedia cloud dengan kata-kata mereka bahwa semua yang mereka miliki adalah bentuk kapal. Pastikan mitra penyimpanan cloud memiliki penyimpanan geo-redundan dan memiliki sertifikasi keamanan dan kepatuhan industri yang lengkap

Source : cpomagazine.com

Microsoft memperingatkan ransomware Android yang aktif saat Anda menekan tombol Home

by

Jenis baru ransomware seluler menyalahgunakan mekanisme di balik pemberitahuan “panggilan masuk” dan tombol “Home” untuk mengunci layar pada perangkat pengguna.

Dinamakan AndroidOS/MalLocker.B, ransomware tersembunyi di dalam aplikasi Android yang ditawarkan untuk diunduh di forum online dan situs web pihak ketiga.

Sama seperti kebanyakan jenis ransomware Android, MalLocker.B tidak benar-benar mengenkripsi file korban tetapi hanya mencegah akses ke bagian telepon lainnya.

Setelah terpasang, ransomware mengambil alih layar ponsel dan mencegah pengguna menutup catatan tebusan – yang dirancang agar terlihat seperti pesan dari penegak hukum setempat yang memberi tahu pengguna bahwa mereka melakukan kejahatan dan perlu membayar denda.

Sumber: Microsoft

Ransomware ini menggunakan mekanisme dua bagian untuk menampilkan catatan tebusannya.

Bagian pertama menyalahgunakan notifikasi “panggilan”. Ini adalah fungsi yang mengaktifkan panggilan masuk untuk menunjukkan detail tentang pemanggil, dan MalLocker.B menggunakannya untuk menampilkan jendela yang mencakup seluruh area layar dengan detail tentang panggilan masuk.

Bagian kedua menyalahgunakan function “onUserLeaveHint()”. Function ini dipanggil saat pengguna ingin mendorong aplikasi ke latar belakang dan beralih ke aplikasi baru, dan terpicu saat menekan tombol seperti Home atau Recent Apps. MalLocker.B menyalahgunakan function ini untuk menampilkan catatan tebusan kembali ke latar depan dan mencegah pengguna meninggalkan catatan tebusan untuk layar utama atau aplikasi lain.

Karena MalLocker.B berisi kode yang terlalu sederhana dan keras untuk melewati ulasan Play Store, pengguna disarankan untuk menghindari menginstal aplikasi Android dari lokasi pihak ketiga seperti forum, iklan situs web, atau toko aplikasi pihak ketiga yang tidak sah.

Baca berita selengkapnya pada tautan di bawah ini;
Source: ZDNet