Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Spyware

Spyware

Varian Spyware Gamaredon Baru yang Didukung Rusia Menargetkan Pihak Berwenang Ukraina

by

Pusat Perlindungan Siber Negara (SCPC) Ukraina telah memanggil aktor ancaman yang disponsori negara Rusia yang dikenal sebagai Gamaredon atas serangan siber yang ditargetkan pada otoritas publik dan infrastruktur informasi penting di negara tersebut.

Ancaman gigih tingkat lanjut, juga dikenal sebagai Actinium, Armageddon, Iron Tilden, Primitive Bear, Shuckworm, Trident Ursa, dan UAC-0010, memiliki rekam jejak entitas Ukraina yang menyerang sejak tahun 2013.

Tujuan serangan lebih diarahkan pada spionase dan pencurian informasi daripada sabotase, catat agensi tersebut. SCPC juga menekankan evolusi taktik grup yang “terus-menerus” dengan mengembangkan kembali perangkat malware-nya agar tetap berada di bawah radar, menyebut Gamaredon sebagai “ancaman dunia maya utama”.

Rantai serangan dimulai dengan email spear-phishing yang membawa arsip RAR yang, ketika dibuka, mengaktifkan urutan panjang yang terdiri dari lima tahap perantara – file LNK, file HTA, dan tiga file VBScript – yang pada akhirnya berujung pada pengiriman muatan PowerShell.

Serangan tersebut berbentuk halaman web mirip yang menyamar sebagai Kementerian Luar Negeri Ukraina, Dinas Keamanan Ukraina, dan Polisi Polandia (Policja) dalam upaya mengelabui pengunjung agar mengunduh software yang mengklaim dapat mendeteksi komputer yang terinfeksi.

Namun, setelah meluncurkan file – skrip batch Windows bernama “Protector.bat” – itu mengarah ke eksekusi skrip PowerShell yang mampu menangkap tangkapan layar dan memanen file dengan 19 ekstensi berbeda dari workstation.

CERT-UA mengaitkan operasi tersebut dengan aktor ancaman yang disebutnya UAC-0114, yang juga dikenal sebagai Winter Vivern – sebuah cluster aktivitas yang di masa lalu memanfaatkan dokumen Microsoft Excel yang dipersenjatai yang berisi makro XLM untuk menyebarkan implan PowerShell pada host yang disusupi.

Invasi Rusia ke Ukraina pada Februari 2022 telah dilengkapi dengan kampanye phishing yang ditargetkan, serangan malware yang merusak, dan serangan denial-of-service (DDoS) terdistribusi.

sumber : thehackernews

Infeksi Malware Android SpyNote Melonjak Setelah Source Code Leak

by

SpyNote (atau SpyMax) tiba-tiba mengalami peningkatan deteksi pada kuartal terakhir tahun 2022, yang dikaitkan dengan kebocoran kode sumber dari salah satu yang terbaru, yang dikenal sebagai ‘CypherRat.’

‘CypherRat’ menggabungkan kemampuan memata-matai SpyNote, seperti menawarkan akses jarak jauh, pelacakan GPS, dan pembaruan status dan aktivitas perangkat, dengan fitur trojan perbankan yang menyamar sebagai lembaga perbankan untuk mencuri kredensial akun.

Pelaku ancaman dengan cepat mengambil kode sumber malware dan meluncurkan kampanye mereka sendiri. Hampir seketika, varian khusus muncul yang menargetkan bank terkemuka seperti HSBC dan Deutsche Bank.

Beberapa bank yang ditargetkan oleh SpyNote (ThreatFabric)

Aktivitas ini diamati oleh analis ThreatFabric, yang memperingatkan tentang kemungkinan CypherRat menjadi ancaman yang lebih meluas.

Fitur malware SpyNote
Semua varian SpyNote yang beredar bergantung pada permintaan akses ke Layanan Aksesibilitas Android untuk diizinkan menginstal aplikasi baru, mencegat pesan SMS (untuk bypass 2FA), mengintai panggilan, dan merekam video dan audio di perangkat.

Aplikasi berbahaya meminta akses ke Layanan Aksesibilitas (ThreatFabric)

ThreatFabric mencantumkan yang berikut ini sebagai fitur “menonjol”:

Gunakan Camera API untuk merekam dan mengirim video dari perangkat ke server C2

  • GPS dan informasi pelacakan lokasi jaringan
  • Mencuri kredensial akun Facebook dan Google.
  • Gunakan Aksesibilitas (A11y) untuk mengekstrak kode dari Google Authenticator.
  • Gunakan keylogging didukung oleh layanan Aksesibilitas untuk mencuri kredensial perbankan.
  • Untuk menyembunyikan kode jahatnya dari pengawasan, versi terbaru SpyNote menggunakan pengaburan string dan menggunakan pengemas komersial untuk membungkus APK.

Selain itu, semua informasi yang diambil dari SpyNote ke server C2-nya disamarkan menggunakan base64 untuk menyembunyikan host.

Pelaku ancaman saat ini menggunakan CypherRat sebagai trojan perbankan, tetapi malware tersebut juga dapat digunakan sebagai spyware dalam operasi spionase bertarget volume rendah.

pengguna disarankan untuk sangat berhati-hati selama penginstalan aplikasi baru, terutama jika berasal dari luar Google Play, dan menolak permintaan untuk memberikan izin untuk mengakses Layanan Aksesibilitas.

Sayangnya, meskipun Google berupaya terus-menerus untuk menghentikan penyalahgunaan API Layanan Aksesibilitas oleh malware Android, masih ada cara untuk melewati batasan yang diberlakukan.

sumber : bleepingcomputer

Skandal Spyware Eropa Adalah Panggilan Darurat Global

by Leave a Comment

Beberapa pemerintah Eropa menggunakan alat pengawasan canggih untuk memata-matai rakyatnya sendiri

Investigasi spyware yang dipimpin oleh 16 media di seluruh dunia. Wartawan menemukan bahwa pemerintah telah menargetkan lebih dari 50.000 nomor telepon di seluruh dunia menggunakan alat pengawasan

Spyware memungkinkan untuk secara diam-diam melacak dan menarik informasi dari suatu perangkat. Setelah perangkat lunak mengakses ponsel atau komputer target, siapa pun yang menginstalnya dapat menarik teks dan email, mengunduh setiap foto di perangkat, dan bahkan melacak lokasi GPS perangkat.

Memungkinkan pengguna untuk diam-diam menyedot kata sandi, daftar kontak, acara kalender, pesan teks, panggilan suara langsung, dan data lainnya dari ponsel target. Bahkan memungkinkan operator perangkat lunak menyalakan kamera dan mikrofon ponsel untuk melihat orang tersebut dan lingkungannya.

Meskipun mereka mengakui itu digunakan semata-mata untuk alasan keamanan nasional, pihak berwenang Hungaria menargetkan lebih dari 300 orang, dari pengacara dan jurnalis hingga pemilik bisnis terkenal, aktivis, dan politisi oposisi, menurut laporan tersebut.

Pejabat di Siprus memperoleh teknologi pengawasan dari Eropa. secara ilegal melacak lebih dari 9,5 juta perangkat seluler. Pihak berwenang Spanyol tampaknya telah menargetkan orang-orang di Catalonia dengan Pegasus NSO Group

Penyelidik tidak melakukan apa pun: Penulis laporan menulis bahwa penyalahgunaan spyware “tanpa ampun memperlihatkan ketidakdewasaan dan kelemahan UE sebagai entitas demokrasi.”

Ada perbedaan yang jelas dan besar antara spyware dan pelanggaran pengawasan di negara-negara demokratis dan di banyak otokrasi.

Supremasi hukum dan keberadaan media yang relatif independen, di antara banyak faktor lainnya, memberi lebih banyak ruang untuk skandal dan reformasi.

Tapi itulah mengapa laporan UE tentang penyalahgunaan spyware menjadi pengingat penting.

Mengontrol teknologi ini sangat sulit, karena jenis kontrol ekspor yang diberlakukan pemerintah pada barang fisik, seperti senjata dan bahan kimia, tidak dapat diterjemahkan dengan cara yang sama ke perangkat lunak. Namun untuk benar-benar berjuang melindungi privasi di era modern.

sumber : slate

Dua Kampanye Spyware Android yang Menargetkan Uyghurs

by Leave a Comment

Dua kampanye pengawasan jangka panjang telah ditemukan menargetkan komunitas Uyghur di China dan di tempat lain dengan alat spyware Android yang dirancang untuk mengumpulkan informasi sensitif dan melacak keberadaan mereka.

Ini mencakup jenis malware yang sebelumnya tidak terdokumentasi yang disebut BadBazaar dan varian terbaru dari artefak spionase yang dijuluki MOONSHINE oleh para peneliti dari Citizen Lab Universitas Toronto pada September 2019.

BadBazaar, setelah diinstal, hadir dengan beberapa fitur yang memungkinkannya mengumpulkan log panggilan, lokasi GPS, pesan SMS, dan file yang diinginkan; merekam panggilan telepon; ambil foto; dan mengekstrak metadata perangkat yang substansial.

Serangan yang menggunakan MOONSHINE, dalam nada yang sama, telah menggunakan lebih dari 50 aplikasi berbahaya sejak Juli 2022 yang direkayasa untuk mengumpulkan data pribadi dari perangkat yang terinfeksi, selain merekam audio dan mengunduh file sewenang-wenang.

Perkembangan ini juga mengikuti laporan dari Google Project Zero minggu lalu, yang mengungkap bukti vendor pengawasan komersial yang tidak disebutkan namanya mempersenjatai tiga kelemahan keamanan zero-day di ponsel Samsung dengan chip Exynos yang menjalankan kernel versi 4.14.113. Lubang keamanan dipasang oleh Samsung pada Maret 2021.

Yang mengatakan, raksasa pencarian mengatakan eksploitasi mencerminkan pola yang mirip dengan kompromi baru-baru ini di mana aplikasi Android berbahaya disalahgunakan untuk menargetkan pengguna di Italia dan Kazakhstan dengan implan yang disebut Hermit, yang telah dikaitkan dengan perusahaan Italia RCS Lab.

sumber : the hacker news

Spyware SandStrike Baru Menginfeksi Perangkat Android Melalui Aplikasi VPN Berbahaya

by

Pelaku ancaman menggunakan spyware yang baru ditemukan yang dikenal sebagai SandStrike dan dikirimkan melalui aplikasi VPN berbahaya untuk menargetkan pengguna Android.

Mereka berfokus pada praktisi Baháʼí Faith yang berbahasa Persia, sebuah agama yang berkembang di Iran dan sebagian Timur Tengah.

Para penyerang mempromosikan aplikasi VPN berbahaya sebagai cara sederhana untuk menghindari penyensoran materi keagamaan di wilayah tertentu.

Untuk menyebarkannya, mereka menggunakan akun media sosial untuk mengarahkan calon korban ke saluran Telegram yang akan memberi mereka tautan untuk mengunduh dan menginstal VPN jebakan.

Malware ini akan mencuri berbagai jenis informasi seperti log panggilan dan daftar kontak dan juga akan memantau perangkat Android yang disusupi untuk membantu pembuatnya melacak aktivitas korban.

Pada bulan September, perusahaan juga berbagi analisis pada platform malware yang baru ditemukan bernama Metatron yang digunakan terhadap perusahaan telekomunikasi, penyedia layanan internet, dan universitas di seluruh Afrika dan Timur Tengah.

sumber : bleeping computer

Spyware ‘Zero-Click’ Muncul sebagai Ancaman Seluler yang Mengancam

by

Pada Juli 2020, iPhone seorang jurnalis Azerbaijan diam-diam menerima perintah untuk membuka aplikasi Apple Music. Tanpa sepengetahuan atau interaksi jurnalis, aplikasi tersebut terhubung ke server jahat dan mengunduh spyware ke ponsel yang tetap berada di sana selama 17 bulan, menguping panggilan telepon dan pesan teks.

Peretasan itu adalah contoh serangan “zero-click” metode menempatkan spyware di ponsel tanpa menipu pengguna untuk melakukan apa pun, seperti mengklik tautan jahat yang dikirim dalam email atau pesan teks. Teknik tersebut digunakan pemerintah untuk menargetkan lawan mereka dalam skala yang lebih besar dan untuk durasi yang lebih lama daripada yang diketahui sebelumnya, menurut penelitian terbaru dari Amnesty International dan Citizen Lab.

Beberapa pemerintah telah menyalahgunakan spyware NSO dikenal sebagai Pegasus untuk menargetkan kritik di lebih dari selusin negara, kata kelompok hak asasi.

NSO telah membantu pemerintah meretas ponsel dengan malware zero-click setidaknya sejak Juli 2017 dan telah menggunakan setidaknya enam eksploitasi zero-click berbeda yang digunakan untuk meretas Apple iOS versi 10 hingga 14 secara diam-diam, menurut penelitian Amnesty dan Citizen Lab, yang dipresentasikan pada konferensi Virus Bulletin di Praha pada 28 September.

Serangan zero-click bekerja dengan memanfaatkan kerentanan keamanan di perangkat Apple, dalam beberapa kasus mengirimkan iMessage yang akan memaksa ponsel untuk terhubung ke situs web berbahaya tanpa keterlibatan pengguna, menurut penelitian. Cacat dieksploitasi di iMessage, podcast Apple dan aplikasi musik, foto Apple dan fitur panggilan Wi-Fi, para peneliti menemukan.

NSO Group juga merancang serangan tanpa klik yang dapat membahayakan ponsel Android dengan mengeksploitasi kelemahan di WhatsApp yang digunakan untuk mengirimkan kode berbahaya ke perangkat. Pada April 2019, WhatsApp memperbaiki kerentanan dengan mengatakan telah digunakan untuk menargetkan lebih dari 1.400 orang selama periode dua bulan dan mengajukan gugatan terhadap NSO Group.

Amnesty dan Citizen Lab mengatakan mereka menemukan bukti yang menunjukkan bahwa NSO telah menggunakan eksploitasi zero-click WhatsApp pada awal Juli 2018, hampir sembilan bulan sebelum diperbaiki, menunjukkan bahwa itu digunakan untuk menargetkan lebih banyak orang daripada 1.400 orang.

Ada indikasi bahwa peneliti keamanan dapat mengganggu operasi NSO Group dan segelintir perusahaan lain yang menjual alat peretasan tanpa klik kepada pemerintah. Pada Juli 2019, sebuah tim di Project Zero Google menemukan kerentanan di iMessage yang dapat digunakan untuk peretasan tanpa klik, yang kemudian diperbaiki oleh Apple.

Penemuan itu tampaknya berdampak pada NSO Group, untuk sementara mengganggu kemampuan pelanggannya untuk menyusup ke beberapa ponsel.

Sumber: Bloomberg

Spyware Android berbahaya ini dapat memengaruhi jutaan perangkat

by

Versi terbaru dari spyware Banker Android (terbuka di tab baru) telah terdeteksi, mencuri detail perbankan korban dan bahkan mungkin uang dalam beberapa kasus.

Menurut peneliti keamanan siber dari Microsoft (terbuka di tab baru), aktor ancaman yang tidak dikenal telah memulai kampanye smishing (phishing SMS), yang mencoba menipu orang agar mengunduh TrojanSpy:AndroidOS/Banker.O. Ini adalah varian malware (terbuka di tab baru) yang mampu mengekstrak semua jenis informasi sensitif, termasuk kode otentikasi dua faktor (2FA), detail login akun, dan informasi pengenal pribadi (PII) lainnya.

Apa yang membuat serangan ini sangat mengkhawatirkan adalah bagaimana diam-diam seluruh operasi bekerja.

Setelah pengguna mengunduh malware, mereka perlu memberikan izin tertentu, seperti MainActivity, AutoStartService, dan RestartBroadCastReceiverAndroid.

Itu memungkinkannya untuk mencegat panggilan, mengakses log panggilan, pesan, kontak, dan bahkan informasi jaringan. Dengan mampu melakukan hal-hal ini, malware juga dapat menerima dan membaca kode otentikasi dua faktor yang masuk melalui SMS, dan menghapusnya untuk memastikan korban tidak mencurigai sesuatu yang mencurigakan.

Lebih buruk lagi, aplikasi ini mengizinkan perintah diam, yang berarti kode 2FA yang masuk melalui SMS dapat diterima, dibaca, dan dihapus, dalam keheningan total – tidak ada suara notifikasi, tidak ada getaran, tidak ada lampu layar, tidak ada apa-apa.

Pelaku ancaman di balik kampanye tersebut tidak diketahui, tetapi yang diketahui Microsoft adalah bahwa aplikasi tersebut, pertama kali terlihat pada tahun 2021, dan ditingkatkan secara signifikan sejak itu, dapat diakses dari jarak jauh.

Selengkapnya: Tech Radar

Tangkapan Layar Pegasus Langka Menggambarkan Kemampuan Spyware Grup NSO

by

Investigasi baru telah mengungkapkan tangkapan layar langka dari spyware Pegasus iPhone NSO Group yang sedang beraksi, memamerkan antarmuka penggunanya, kemampuan, dan banyak lagi.

Tangkapan layar menggambarkan versi prototipe Pegasus yang dimaksudkan untuk digunakan oleh polisi Israel. Beberapa kemampuan spyware termasuk membaca pesan WhatsApp, mengaktifkan mikrofon telepon, dan merekam panggilan masuk atau keluar.

Tidak jelas apakah versi Pegasus di tangkapan layar sama dengan yang digunakan oleh entitas pemerintah di seluruh dunia untuk mengawasi aktivis, pembangkang, dan jurnalis.

Tangkapan layar itu diterbitkan oleh surat kabar Israel Haaretz menyusul penyelidikan oleh pemerintah negara itu. Penyelidikan itu didorong oleh laporan investigasi terpisah dari awal tahun 2022 yang menunjukkan bahwa pasukan polisi Israel telah memata-matai warga tanpa pengawasan.

Pegasus adalah spyware yang dikembangkan oleh NSO Group, pembuat perangkat lunak pengawasan yang berbasis di Israel. Spyware perusahaan telah digunakan dalam serangan yang menargetkan semua orang mulai dari pejabat Departemen Luar Negeri AS hingga jurnalis yang bekerja untuk Al Jazeera.

Kembali pada November 2021, pemerintah AS menyatakan NSO Group dan alat peretasan Pegasusnya sebagai risiko keamanan nasional. Sebelum itu, FBI sedang mempertimbangkan untuk menggunakan spyware Pegasus untuk operasi pengawasan domestik.

Apple juga menggugat NSO Group pada November 2021 atas Pegasus. Di bawah beban kontroversi dan tekanan keuangan, NSO Group dikatakan pada bulan Desember mempertimbangkan untuk mematikan alat spyware-nya.

Pada bulan Juni, laporan menunjukkan bahwa NSO Group yang kekurangan uang dapat diakuisisi oleh kontraktor pertahanan AS L3Harris, yang dikenal membuat alat pengawasannya sendiri, seperti Stingray.

Sumber: AppleInsider