Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Trojan

Trojan

Serangan Trojan Linux “XorDdos” Melonjak, Menargetkan Cloud & IoT

by

Penggunaan kejahatan dunia maya dari Trojan Linux yang dikenal sebagai XorDdos sedang meningkat, menurut sebuah laporan baru, yang menemukan peningkatan 254% dalam aktivitas jahat terhadap titik akhir Linux menggunakan malware selama enam bulan terakhir.

Ini pertama kali ditemukan pada tahun 2014, dan Tim Riset Pertahanan Microsoft 365 menjelaskan dalam posting blog baru-baru ini bahwa Trojan XorDdos menargetkan titik akhir cloud Linux dan Internet of Things (IoT), dan menyebarkan botnet untuk melakukan penolakan layanan terdistribusi (DDoS). ) serangan.

“Dengan mengkompromikan IoT dan perangkat lain yang terhubung ke internet, XorDdos mengumpulkan botnet yang dapat digunakan untuk melakukan serangan DDoS,” tulis tim tersebut dalam menggambarkan munculnya Trojan XorDdos.

“Serangan DDoS itu sendiri bisa sangat bermasalah karena berbagai alasan, tetapi serangan semacam itu juga dapat digunakan sebagai perlindungan untuk menyembunyikan aktivitas jahat lebih lanjut, seperti menyebarkan malware dan menyusup ke sistem target.”

Dark Reading

Malware Android ERMAC 2.0 baru mencuri akun, dompet dari 467 aplikasi

by

Trojan perbankan Android ERMAC telah merilis versi 2.0, meningkatkan jumlah aplikasi yang ditargetkan dari 378 menjadi 467, mencakup lebih banyak aplikasi untuk mencuri kredensial akun dan dompet kripto.

Tujuan dari trojan adalah untuk mengirim kredensial login yang dicuri ke pelaku ancaman, yang kemudian menggunakannya untuk mengendalikan akun perbankan dan cryptocurrency orang lain dan melakukan penipuan keuangan atau bentuk lain.

ERMAC saat ini dijual kepada anggota situs darknet dengan tarif berlangganan $5.000 per bulan, yaitu $2k di atas label harga versi pertama, yang mencerminkan peningkatan fitur dan popularitasnya.

ERMAC dijual di forum peretas (ESET)

Kampanye malware pertama yang menggunakan malware ERMAC 2.0 baru adalah aplikasi Bolt Food palsu yang menargetkan pasar Polandia.

Menurut peneliti ESET, para pelaku ancaman mendistribusikan aplikasi Android melalui situs web “bolt-food[.]site”, meniru layanan pengiriman makanan Eropa yang sah. Situs palsu ini masih aktif pada saat penulisan ini.

Situs hosting malware (ESET)

Pengguna kemungkinan berakhir di situs palsu melalui email phishing, posting media sosial berbahaya, smishing, malvertising, dll. Jika mereka mengunduh aplikasi, mereka akan mendapatkan permintaan izin yang menuntut kontrol penuh atas perangkat mereka.

Izin diminta saat instalasi
(ESET)

Pemberian akses ke Layanan Aksesibilitas diperlukan untuk melayani overlay aplikasi, menipu korban untuk memasukkan kredensial mereka pada formulir yang terlihat sah tetapi hanya tiruan dari antarmuka aplikasi yang sebenarnya.

Cyble telah mengambil sampel malware untuk analisis teknis yang lebih dalam dan mengonfirmasi bahwa ia memberikan dirinya sendiri 43 izin saat penginstalan (melalui Aksesibilitas), termasuk akses SMS, akses kontak, pembuatan jendela peringatan sistem, perekaman audio, dan akses baca dan tulis penyimpanan penuh.

ERMAC pertama-tama menentukan aplikasi apa yang diinstal pada perangkat host dan kemudian mengirimkan informasi ke server C2.

Respons berisi modul injeksi yang cocok dengan daftar aplikasi dalam bentuk HTML terenkripsi, yang didekripsi oleh malware dan disimpan ke dalam file Preferensi Bersama sebagai “setting.xml.”

Tanggapan dari C2 yang berisi suntikan (Cyble)

Ketika korban mencoba untuk meluncurkan aplikasi yang sebenarnya, tindakan injeksi terjadi, dan halaman phishing dimuat di atas GUI yang sebenarnya. Kredensial yang dipanen dikirim ke C2 yang sama yang memberikan suntikan.

Injeksi yang terjadi pada perangkat (Cyble)

Analis Cyble telah menemukan banyak kesamaan dengan malware “Cerberus”, sehingga tampaknya versi kedua dari trojan kuat didasarkan pada malware tersebut.

Daftar ekstensif aplikasi yang didukung menjadikannya malware yang kuat, tetapi perlu dicatat bahwa itu akan tersandung pada masalah di Android versi 11 dan 12, berkat batasan tambahan yang ditambahkan Google untuk mencegah penyalahgunaan Layanan Aksesibilitas.

Untuk mencegah infeksi dari trojan Android, hindari mengunduh APK dari luar Play Store, terutama dari situs web yang belum Anda konfirmasikan sebagai sah.

Sumber: Bleeping Computer

Tool Windows 11 Untuk Menambahkan Google Play Store Ternyata Menginstal Malware Secara Diam-Diam

by

Skrip ToolBox Windows 11 populer yang digunakan untuk menambahkan Google Play Store ke Subsistem Android telah secara diam-diam menginfeksi pengguna dengan skrip berbahaya, ekstensi Chrome, dan kemungkinan malware lainnya.

Ketika Windows 11 dirilis pada bulan Oktober, Microsoft mengumumkan bahwa itu akan memungkinkan pengguna untuk menjalankan aplikasi Android asli langsung dari dalam Windows.

Fitur ini menarik bagi banyak pengguna, tetapi ketika pratinjau Android untuk Windows 11 dirilis pada bulan Februari, banyak yang kecewa karena mereka tidak dapat menggunakannya dengan Google Play dan terjebak dengan aplikasi dari Amazon App Store.

Meskipun ada cara untuk menggunakan ADB untuk melakukan sideload aplikasi Android, pengguna mulai mencari metode yang memungkinkan mereka menambahkan Google Play Store ke Windows 11.

Sekitar waktu itu, seseorang merilis alat baru bernama Windows Toolbox di GitHub dengan sejumlah fitur, termasuk kemampuan untuk mendebloat Windows 11, mengaktifkan Microsoft Office dan Windows, dan menginstal Google Play Store untuk subsistem Android.

Namun, tanpa sepengetahuan semua orang hingga minggu ini, Windows Toolbox sebenarnya adalah Trojan yang mengeksekusi serangkaian skrip PowerShell berbahaya yang dikaburkan untuk menginstal trojan clicker dan kemungkinan malware lain di perangkat.

Untuk menjalankan Windows Toolbox, pengembang memberi tahu pengguna untuk menjalankan perintah berikut, yang memuat skrip PowerShell dari Cloudflare worker yang dihosting di http://ps.microsoft-toolbox.workers.dev/.

Yang kami ketahui adalah bahwa skrip berbahaya hanya menargetkan pengguna di AS dan membuat banyak Tugas Terjadwal dengan nama berikut:
Microsoft\Windows\AppID\VerifiedCert
Microsoft\Windows\Application Experience\Maintenance
Microsoft\Windows\Services\CertPathCheck
Microsoft\Windows\Services\CertPathw
Microsoft\Windows\Servicing\ComponentCleanup
Microsoft\Windows\Servicing\ServiceCleanup
Microsoft\Windows\Shell\ObjectTask
Microsoft\Windows\Clip\ServiceCleanup

Trojan juga membuat folder c:\systemfile tersembunyi dan menyalin profil default untuk Chrome, Edge, dan Brave ke dalam folder.

Selengkapnya: Bleeping Computer

Malware perbankan Android menyadap panggilan ke dukungan pelanggan

by

Trojan perbankan untuk Android yang oleh para peneliti disebut Fakecalls hadir dengan kemampuan canggih yang memungkinkannya mengambil alih panggilan ke nomor dukungan pelanggan bank dan menghubungkan korban secara langsung dengan penjahat dunia maya yang mengoperasikan malware.

Menyamar sebagai aplikasi seluler dari bank populer, Fakecalls menampilkan semua tanda entitas yang ditirunya, termasuk logo resmi dan nomor dukungan pelanggan.

Ketika korban mencoba menelepon bank, malware memutuskan koneksi dan menunjukkan layar panggilannya, yang hampir tidak bisa dibedakan dari yang asli.

Antarmuka panggilan malware mobile banking palsu (sumber: Kaspersky)

Trojan mobile banking palsu dapat melakukan ini karena pada saat instalasi meminta beberapa izin yang memberikan akses ke daftar kontak, mikrofon, kamera, geolokasi, dan penanganan panggilan.

Malware muncul tahun lalu dan terlihat menargetkan pengguna di Korea Selatan, pelanggan bank populer seperti KakaoBank atau Kookmin Bank (KB), peneliti keamanan di Kaspersky mencatat dalam sebuah laporan hari ini.

Kaspersky menganalisis malware tersebut dan menemukan bahwa malware tersebut juga dapat memutar pesan yang telah direkam sebelumnya yang meniru pesan yang biasanya digunakan oleh bank untuk menyambut pelanggan yang mencari dukungan:

Kode di Fakecalls untuk memutar audio yang telah direkam sebelumnya (sumber: Kaspersky)

Pengembang malware mencatat beberapa frasa yang biasa digunakan oleh bank untuk memberi tahu pelanggan bahwa operator akan menerima panggilan mereka segera setelah tersedia.

Di bawah ini adalah dua contoh audio yang telah direkam sebelumnya (dalam bahasa Korea) yang dimainkan oleh malware Fakecalls untuk membuat tipu muslihat lebih realistis:

Halo. Terima kasih telah menelepon KakaoBank. Pusat panggilan kami saat ini menerima panggilan dengan volume yang luar biasa besar. Seorang konsultan akan berbicara kepada Anda sesegera mungkin. Untuk meningkatkan kualitas layanan, percakapan Anda akan direkam.

Selamat datang di Kookmin Bank. Percakapan Anda akan direkam. Kami sekarang akan menghubungkan Anda dengan operator.

Peneliti Kaspersky mengatakan bahwa malware juga dapat memalsukan panggilan masuk, memungkinkan penjahat dunia maya untuk menghubungi korban seolah-olah mereka adalah layanan dukungan pelanggan bank.

Izin yang diminta malware saat penginstalan memungkinkan penjahat dunia maya untuk memata-matai korban dengan menyiarkan audio dan video secara real-time dari perangkat, melihat lokasinya, menyalin file (kontak, file seperti foto dan video), dan riwayat pesan teks.

Rekomendasi Kaspersky untuk menghindari menjadi korban malware semacam itu termasuk mengunduh aplikasi hanya dari toko resmi, dan memperhatikan izin yang berpotensi berbahaya yang diminta aplikasi (akses ke panggilan, SMS, aksesibilitas), terutama jika aplikasi tidak membutuhkannya.

Selain itu, para peneliti menyarankan pengguna untuk tidak membagikan informasi rahasia melalui telepon (kredensial login, PIN, kode keamanan kartu, kode konfirmasi).

Sumber : Bleeping Computer

Malware Android Xenomorph baru menargetkan pelanggan dari 56 bank

by

Malware baru bernama Xenomorph yang didistribusikan melalui Google Play Store telah menginfeksi lebih dari 50.000 perangkat Android untuk mencuri informasi perbankan.

Xenomorph menyasar pengguna puluhan lembaga keuangan di Spanyol, Portugal, Italia, dan Belgia. ThreatFabric menganalisis Xenomorph menemukan kode yang mirip dengan trojan perbankan Alien

Kesamaan kode antara Xenomorph dan Alien (ThreatFabric)

Trojan perbankan seperti Xenomorph bertujuan untuk mencuri informasi keuangan yang sensitif, mengambil alih akun, melakukan transaksi yang tidak sah, dan operator kemudian menjual data yang dicuri kepada pembeli yang tertarik.

Malware Xenomorph memasuki Google Play Store melalui aplikasi peningkatan kinerja umum seperti “Pembersih Cepat”, yang menghitung 50.000 instalasi.

Untuk menghindari penolakan selama peninjauan aplikasi dari Play Store, Fast Cleaner mengambil muatan setelah penginstalan, sehingga aplikasi bersih pada waktu pengiriman.

Pembersih Cepat di Play Store (ThreatFabric)

Fungsionalitas Xenomorph tidak sepenuhnya berkembang pada saat ini, karena trojan sedang dalam pengembangan yang berat. Namun, itu masih merupakan ancaman yang signifikan karena dapat memenuhi tujuan mencuri informasi dan menargetkan tidak kurang dari 56 bank Eropa yang berbeda.

Misalnya, malware dapat mencegat notifikasi, mencatat SMS, dan menggunakan suntikan untuk melakukan serangan overlay, sehingga malware tersebut sudah dapat mengambil kredensial dan kata sandi satu kali yang digunakan untuk melindungi rekening perbankan.

Setelah penginstalannya, tindakan pertama yang diambil oleh aplikasi adalah mengirim kembali daftar paket yang diinstal pada perangkat yang terinfeksi untuk memuat overlay yang sesuai.

Untuk mencapai hal di atas, malware meminta pemberian izin Layanan Aksesibilitas saat penginstalan, dan kemudian menyalahgunakan hak istimewa untuk memberikan izin tambahan sesuai kebutuhan.

Aplikasi Trojan yang meminta izin Aksesibilitas (ThreatFabric)

Contoh perintah yang ada dalam kode tetapi belum diimplementasikan mengacu pada fungsi keylogging dan pengumpulan data perilaku.

Mesin Aksesibilitasnya sangat detail, dan dirancang dengan pendekatan modular. Ini berisi modul untuk setiap tindakan spesifik yang diperlukan oleh bot, dan dapat dengan mudah diperluas untuk mendukung lebih banyak fungsi. Tidak mengherankan melihat kemampuan bot sport semi-ATS ini dalam waktu dekat.

ThreatFabric menilai bahwa Xenomorph bukanlah ancaman yang kuat saat ini karena statusnya “dalam pengembangan”. Namun, pada waktunya, ia dapat mencapai potensi penuhnya, “sebanding dengan trojan Perbankan Android modern lainnya.”

Sumber :

Tim Microsoft Diincar Oleh Trojan yang Mengambil Alih Perangkat

by

Pelaku ancaman menargetkan pengguna Microsoft Teams dengan menanam dokumen berbahaya di utas obrolan yang mengeksekusi Trojan yang pada akhirnya dapat mengambil alih mesin pengguna akhir, menurut temuan para peneliti.

Pada bulan Januari, para peneliti di Avanan, sebuah Perusahaan Check Point, mulai melacak kampanye, yang menjatuhkan file berbahaya yang dapat dieksekusi dalam percakapan Teams yang, ketika diklik, akhirnya mengambil alih komputer pengguna, menurut laporan yang diterbitkan Kamis.

“Menggunakan file yang dapat dieksekusi, atau file yang berisi instruksi untuk dieksekusi sistem, peretas dapat menginstal file DLL dan memungkinkan program untuk mengatur sendiri dan mengambil kendali atas komputer,” tulis peneliti dan analis keamanan siber di Avanan Jeremy Fuchs dalam sebuah laporan. “Dengan melampirkan file ke serangan Teams, peretas telah menemukan cara baru untuk menargetkan jutaan pengguna dengan mudah.”

Penjahat dunia maya telah lama menargetkan suite pembuatan dan berbagi dokumen Microsoft yang ada di mana-mana – Office lawas dan versi berbasis cloud-nya, Office 365 – dengan serangan terhadap aplikasi individual dalam suite seperti PowerPoint serta kompromi email bisnis dan penipuan lainnya.

Sekarang Microsoft Teams – rangkaian komunikasi dan kolaborasi bisnis – muncul sebagai permukaan serangan yang semakin populer bagi penjahat dunia maya, kata Fuchs.

Minat ini dapat dikaitkan dengan lonjakan penggunaannya selama pandemi COVID-19, karena banyak karyawan organisasi yang bekerja dari jarak jauh mengandalkan aplikasi untuk berkolaborasi. Memang, jumlah pengguna aktif harian Teams hampir dua kali lipat selama setahun terakhir, meningkat dari 75 juta pengguna pada April 2020 menjadi 145 juta pada kuartal kedua 2021, menurut Statista.

Selengkapnya: Threat Post

Aplikasi 2FA Penuh dengan Trojan Perbankan Menyerang 10K Korban melalui Google Play

by

Setelah tersedia selama lebih dari dua minggu, aplikasi autentikasi dua faktor (2FA) yang berbahaya telah dihapus dari Google Play tetapi tidak sebelum diunduh lebih dari 10.000 kali. Aplikasi, yang berfungsi penuh sebagai autentikator 2FA, dilengkapi dengan malware pencuri Vultur yang menargetkan dan menyambar data keuangan.

Pelaku ancaman mengembangkan aplikasi operasional dan meyakinkan untuk menyamarkan penetes malware, menggunakan kode otentikasi Aegis open-source yang disuntikkan dengan add-on berbahaya.

Setelah diunduh, aplikasi menginstal trojan perbankan Vultur, yang mencuri data keuangan dan perbankan pada perangkat yang disusupi — tetapi dapat melakukan lebih banyak lagi.

Malware Vultur remote access trojan (RAT) adalah yang pertama dari jenisnya yang ditemukan menggunakan keylogging dan perekaman layar sebagai taktik utama untuk pencurian data perbankan, memungkinkan grup untuk mengotomatiskan proses pengambilan kredensial dan skala.

“Aktor memilih untuk menghindari strategi overlay HTML umum yang biasanya kita lihat di trojan perbankan Android lainnya: pendekatan ini biasanya membutuhkan lebih banyak waktu dan upaya dari para aktor untuk mencuri informasi yang relevan dari pengguna. Sebaliknya, mereka memilih untuk hanya merekam apa yang ditampilkan di layar, secara efektif mendapatkan hasil akhir yang sama,” kata ThreatFabric saat itu.

Autentikator 2FA scam juga meminta izin perangkat di luar apa yang diungkapkan di profil Google Play, kata tim Pradeo.

Hak istimewa yang ditinggikan dan licik itu memungkinkan penyerang melakukan berbagai fungsi di luar tarif trojan perbankan standar, seperti: Mengakses data lokasi pengguna, sehingga serangan dapat ditargetkan ke wilayah tertentu; menonaktifkan kunci perangkat dan keamanan kata sandi; mengunduh aplikasi pihak ketiga; dan mengambil alih kendali perangkat, bahkan jika aplikasi dimatikan, laporan itu menjelaskan.

Pradeo menemukan trik kotor lain yang dilakukan 2FA jahat dengan mengambil izin SYSTEM_ALERT_WINDOW, yang memberi aplikasi kemampuan untuk mengubah antarmuka aplikasi seluler lainnya. Seperti yang dijelaskan Google sendiri, “Sangat sedikit aplikasi yang harus menggunakan izin ini; jendela ini dimaksudkan untuk interaksi tingkat sistem dengan pengguna.”

Setelah perangkat sepenuhnya disusupi, aplikasi menginstal Vultur, “jenis malware yang canggih dan relatif baru yang sebagian besar menargetkan antarmuka perbankan online untuk mencuri kredensial pengguna dan informasi keuangan penting lainnya,” kata laporan itu.

Sumber : Threat Post

File PowerPoint Berbahaya Digunakan untuk Mendorong Trojan Akses Jarak Jauh

by

Sejak Desember 2021, tren yang berkembang dalam kampanye phishing telah muncul yang menggunakan dokumen PowerPoint berbahaya untuk mendistribusikan berbagai jenis malware, termasuk akses jarak jauh dan trojan pencuri informasi.

Menurut sebuah laporan oleh Netskope’s Threat Labs yang dibagikan dengan Bleeping Computer sebelum dipublikasikan, para aktor menggunakan file PowerPoint yang dikombinasikan dengan layanan cloud yang sah yang meng-host muatan malware.

Keluarga yang dikerahkan dalam kampanye yang dilacak adalah Warzone (alias AveMaria) dan AgentTesla, dua RAT yang kuat dan pencuri info yang menargetkan banyak aplikasi, sementara para peneliti juga melihat jatuhnya pencuri cryptocurrency.

Geser malware ke perangkat Windows

Lampiran phishing PowerPoint yang berbahaya berisi makro yang dikaburkan yang dieksekusi melalui kombinasi PowerShell dan MSHTA, keduanya alat Windows bawaan.

Skrip VBS kemudian didefuscated dan menambahkan entri registri Windows baru untuk ketekunan, yang mengarah ke eksekusi dua skrip. Yang pertama mengambil AgentTesla dari URL eksternal, dan yang kedua menonaktifkan Windows Defender.

Selain itu, VBS menciptakan tugas terjadwal yang mengeksekusi skrip setiap jam, yang mengambil pencuri cryptocurrency PowerShell dari URL Blogger.

Muatan kedua yang disampaikan dalam kampanye ini adalah Warzone, juga RAT, tetapi Netskope tidak memberikan banyak rincian tentang hal itu dalam laporan.

Pencuri cryptocurrency adalah muatan ketiga dari kampanye ini, yang memeriksa data clipboard dengan regex yang sesuai dengan pola dompet cryptocurrency. Jika ditemukan, itu menggantikan alamat penerima dengan satu di bawah kendali aktor.

Pencuri mendukung Bitcoin, Ethereum, XMR, DOGE, dan banyak lagi. Netskope telah menerbitkan daftar lengkap IoCs (indikator kompromi) untuk kampanye ini, termasuk semua dompet yang digunakan oleh para aktor di halaman GitHub ini.

Selengkapnya: Bleepingcomputer