• Skip to main content

Naga Cyber Defense

Trusted Security for all of Indonesia

  • Home
  • About
  • Programs
  • Contact
  • Blog
You are here: Home / Archives for SMS Verification

SMS Verification

Aplikasi Android Berbahaya Mencuri Kredensial Bank Malaysia, Kode MFA

December 2, 2021 by Eevee Leave a Comment

Aplikasi Android palsu menyamar sebagai layanan rumah tangga untuk mencuri kredensial perbankan online dari pelanggan delapan bank Malaysia.

Aplikasi ini dipromosikan melalui beberapa situs web palsu atau kloning dan akun media sosial untuk mempromosikan APK berbahaya, ‘Cleaning Service Malaysia.’

Aplikasi ini pertama kali ditemukan oleh MalwareHunterTeam minggu lalu dan kemudian dianalisis oleh para peneliti di Cyble, yang memberikan informasi rinci tentang perilaku jahat aplikasi.

Proses phishing

Setelah menginstal aplikasi, pengguna diminta untuk menyetujui tidak kurang dari 24 izin, termasuk ‘RECEIVE_SMS’ berisiko, yang memungkinkan aplikasi untuk memantau dan membaca semua teks SMS yang diterima di telepon.

Izin ini disalahgunakan untuk memantau teks SMS untuk mencuri kata sandi satu kali dan kode MFA yang digunakan dalam layanan e-banking, yang kemudian dikirim ke server penyerang.

Setelah diluncurkan, aplikasi berbahaya akan menampilkan formulir yang meminta pengguna untuk memesan janji pembersihan rumah.

Setelah pengguna memasukkan rincian layanan pembersihan mereka (nama, alamat, nomor telepon) pada aplikasi palsu, mereka diminta untuk memilih metode pembayaran.

Langkah ini menawarkan pilihan bank Malaysia dan opsi internet banking, dan jika korban mengklik satu, mereka dibawa ke halaman login palsu yang dibuat untuk meniru penampilan yang asli.

Halaman login ini di-host di infrastruktur aktor, tetapi tentu saja, korban tidak memiliki cara untuk menyadarinya dari dalam antarmuka aplikasi.

Setiap kredensial perbankan yang dimasukkan dalam langkah ini dikirim langsung ke aktor, yang dapat menggunakannya bersama dengan kode SMS yang dicegat untuk mengakses akun e-banking korban.

Tanda-tanda penipuan

Beberapa tanda penipuan yang jelas di akun media sosial yang mempromosikan APK ini adalah jumlah pengikut mereka yang rendah dan fakta bahwa mereka diciptakan baru-baru ini.

Masalah lain adalah ketidakcocokan dalam rincian kontak yang diberikan. Karena sebagian besar situs umpan memilih layanan pembersihan nyata untuk ditiru, nomor telepon atau perbedaan email adalah bendera merah besar.

Izin yang diminta juga menunjukkan ada sesuatu yang tidak beres, karena aplikasi layanan pembersihan tidak memiliki alasan yang sah untuk meminta akses ke teks perangkat.

Untuk meminimalkan kemungkinan menjadi korban serangan phishing semacam ini, hanya unduh aplikasi Android dari Google Play Store resmi.

Selain itu, selalu tinjau izin yang diminta dengan hati-hati dan jangan menginstal aplikasi yang meminta hak istimewa yang lebih besar daripada yang diperlukan untuk fungsinya.

Akhirnya, tetap up to date perangkat Anda dengan menerapkan update keamanan terbaru yang tersedia dan menggunakan solusi keamanan mobile dari vendor terkemuka.

Sumber: Beepingcomputer

Tagged With: Banking, phising, SMS Based 2FA, SMS Verification

Peringatan Baru Mendadak Akan Mengejutkan Jutaan Pengguna WhatsApp

April 13, 2021 by Winnie the Pooh

Kejutan baru yang tidak menyenangkan bagi 2 miliar pengguna WhatsApp saat ini, dengan ditemukannya risiko keamanan yang mengkhawatirkan. Hanya dengan menggunakan nomor telepon Anda, penyerang jarak jauh dapat dengan mudah menonaktifkan WhatsApp di telepon Anda dan kemudian menghentikan Anda untuk masuk kembali. Bahkan otentikasi dua faktor tidak akan menghentikan ini. Begini cara serangan itu bekerja.

Saat Anda pertama kali menginstal WhatsApp di ponsel Anda, atau berganti ponsel, WhatsApp akan mengirimi Anda kode SMS untuk memverifikasi akun. Setelah Anda memasukkan kode yang benar, aplikasi akan meminta nomor 2FA Anda untuk memastikan bahwa ini memang Anda, lalu Anda masuk.

Sekarang, mari kita mulai dengan kelemahan pertama. Siapapun dapat menginstal WhatsApp di telepon dan memasukkan nomor Anda di layar verifikasi. Anda kemudian akan menerima teks dan panggilan dari WhatsApp dengan kode enam digit. Anda juga akan melihat notifikasi aplikasi WhatsApp, memberi tahu Anda bahwa kode telah diminta, memperingatkan Anda untuk tidak membagikannya.

Sumber: Forbes

Masalahnya, proses verifikasi WhatsApp membatasi jumlah kode yang dapat dikirim. Setelah beberapa kali mencoba, WhatsApp penyerang akan mengatakan: “Kirim ulang SMS / Telepon saya dalam 12 jam”, sehingga tidak ada kode baru yang dapat dibuat. WhatsApp juga memblokir entri kode pada aplikasi setelah beberapa kali mencoba, memberi tahu penyerang “Anda telah menebak terlalu banyak … coba lagi dalam 12 jam”.

Sumber: Forbes

Semua ini seharusnya tidak menjadi masalah bagi Anda. Tidak ada masalah kecuali Anda menonaktifkan WhatsApp di ponsel Anda dan perlu memverifikasi ulang. Jadi, selanjutnya kelemahan nomor dua.

Penyerang lalu mendaftarkan alamat email baru dan mengirim email ke support@whatsapp.com. Dia akan menulis Akun hilang/dicuri, tolong nonaktifkan nomor saya.

Sumber: Forbes

WhatsApp telah menerima email yang mereferensikan nomor telepon Anda. Mereka tidak tahu apakah ini benar-benar dari Anda. Tidak ada pertanyaan lanjutan untuk mengonfirmasi kepemilikan Anda atas nomor tersebut. Tetapi proses otomatis telah dipicu, tanpa sepengetahuan Anda, dan akun Anda sekarang akan dinonaktifkan.

Sumber: Forbes

Sekitar satu jam kemudian, tiba-tiba WhatsApp berhenti bekerja di ponsel Anda dan Anda melihat pemberitahuan yang mengkhawatirkan:

Sumber: Forbes

WhatsApp Anda yang dinonaktifkan meminta nomor telepon Anda untuk mengirimkan kode. Anda memasukkan dan mengkonfirmasi nomor Anda. Tapi tidak ada teks yang masuk. Kenapa? Karena ponsel Anda sekarang tunduk pada hitungan mundur yang sama seperti milik penyerang. Anda tidak dapat meminta kode baru selama 12 jam.

Hitung mundur kemungkinan membaca 10 hingga 11 jam pada saat ini. Jika serangan berhenti di sini, Anda akan dapat meminta SMS baru dan memverifikasi akun Anda menggunakan kode enam digit baru setelah timer 12 jam itu berakhir, jika pelaku tidak melakukan ini.

Penyerang tidak perlu mengirim email ke WhatsApp selama hitungan mundur 12 jam pertama tersebut, sebagai gantinya mereka dapat menunggu dan kemudian mengulangi prosesnya. Anda akan menerima lebih banyak teks, tetapi tetap tidak ada yang dapat Anda lakukan dengannya, meskipun Anda akan curiga ada yang tidak beres.

Jika penyerang melakukan ini, maka pada siklus 12 jam ketiga, WhatsApp akan rusak. “Anda telah menebak terlalu banyak,” aplikasi mereka akan berkata, “coba lagi setelah -1 detik.”

Sumber: Forbes

Jelas, kombinasi arsitektur verifikasi ini, batasan SMS/kode, dan tindakan otomatis berbasis kata kunci yang dipicu oleh email masuk dapat disalahgunakan. Tidak ada kecanggihan untuk serangan ini — itulah masalah sebenarnya di sini dan WhatsApp harus segera menanganinya.

Selengkapnya: Forbes

Tagged With: SMS Verification, Vulnerability, WhatsApp

Copyright © 2025 · Naga Cyber Defense · Sitemap

Cookies Settings
We use cookies on our website to give you the most relevant experience by remembering your preferences and repeat visits. By clicking “Accept”, you consent to the use of ALL the cookies.
Do not sell my personal information.
AcceptReject AllCookie Settings
Manage consent

Privacy Overview

This website uses cookies to improve your experience while you navigate through the website. Out of these, the cookies that are categorized as necessary are stored on your browser as they are essential for the working of basic functionalities of the website. We also use third-party cookies that help us analyze and understand how you use this website. These cookies will be stored in your browser only with your consent. You also have the option to opt-out of these cookies. But opting out of some of these cookies may affect your browsing experience.
Necessary
Always Enabled
Necessary cookies are absolutely essential for the website to function properly. These cookies ensure basic functionalities and security features of the website, anonymously.
Functional
Functional cookies help to perform certain functionalities like sharing the content of the website on social media platforms, collect feedbacks, and other third-party features.
Performance
Performance cookies are used to understand and analyze the key performance indexes of the website which helps in delivering a better user experience for the visitors.
Analytics
Analytical cookies are used to understand how visitors interact with the website. These cookies help provide information on metrics the number of visitors, bounce rate, traffic source, etc.
CookieDurationDescription
_ga2 yearsThe _ga cookie, installed by Google Analytics, calculates visitor, session and campaign data and also keeps track of site usage for the site's analytics report. The cookie stores information anonymously and assigns a randomly generated number to recognize unique visitors.
_gat_gtag_UA_172707709_11 minuteSet by Google to distinguish users.
_gid1 dayInstalled by Google Analytics, _gid cookie stores information on how visitors use a website, while also creating an analytics report of the website's performance. Some of the data that are collected include the number of visitors, their source, and the pages they visit anonymously.
Advertisement
Advertisement cookies are used to provide visitors with relevant ads and marketing campaigns. These cookies track visitors across websites and collect information to provide customized ads.
Others
Other uncategorized cookies are those that are being analyzed and have not been classified into a category as yet.
non-necessary
SAVE & ACCEPT
Powered by CookieYes Logo