Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Trojan

Trojan

Microsoft menonaktifkan makro Excel 4.0 secara default untuk memblokir malware

by

Microsoft telah mengumumkan bahwa makro Excel 4.0 (XLM) sekarang akan dinonaktifkan secara default untuk melindungi pelanggan dari dokumen berbahaya. Perusahaan mengungkapkan akan menonaktifkan makro XLM di semua penyewa jika pengguna atau admin tidak mengaktifkan atau menonaktifkan fitur secara manual.

Mulai Juli 2021, admin Windows juga dapat menggunakan kebijakan grup dan pengguna pengaturan ‘Aktifkan makro XLM saat makro VBA diaktifkan’ dari Pusat Kepercayaan Excel untuk menonaktifkan fitur ini secara manual.

Admin dapat mengonfigurasi bagaimana makro Excel diizinkan untuk berjalan menggunakan pengaturan Kebijakan Grup, kebijakan Cloud, dan kebijakan ADMX.

Mereka juga dapat memblokir semua penggunaan makro XLM Excel di lingkungan mereka (termasuk file baru yang dibuat pengguna) dengan mengaktifkan Kebijakan Grup “Cegah Excel menjalankan makro XLM”, yang dapat dikonfigurasi melalui Editor Kebijakan Grup atau kunci registri.

Dokumen XLS dengan makro Excel 4.0 yang dikaburkan

Makro XLM (alias Excel 4.0) adalah format makro Excel default hingga Excel 5.0 dirilis pada tahun 1993 ketika Microsoft pertama kali memperkenalkan makro VBA yang masih merupakan format default.

Namun, meskipun dihentikan, pelaku ancaman masih menggunakan XLM tiga dekade kemudian untuk membuat dokumen yang menyebarkan malware atau melakukan perilaku berbahaya lainnya yang memanipulasi file di sistem file lokal karena versi Microsoft Office saat ini masih mendukung makro XLM.

Kampanye berbahaya yang menggunakan makro jenis ini untuk mendorong malware telah diamati dengan mengunduh dan menginstal TrickBot, Zloader, Qbot, Dridex, dan banyak jenis lainnya di komputer korban.

Microsoft juga diam-diam menambahkan Kebijakan Grup pada Oktober 2019 yang memungkinkan admin memblokir pengguna Excel dari membuka file Microsoft Query yang tidak tepercaya (dan berpotensi berbahaya) dengan ekstensi IQY, OQY, DQY, dan RQY.

File-file tersebut telah dipersenjatai dalam berbagai serangan berbahaya untuk mengirimkan Trojan akses jarak jauh dan pemuat malware sejak awal 2018.

Sumber : Bleeping Computer

Kerentanan Log4j sekarang digunakan untuk menginstal malware perbankan Dridex

by

Pelaku ancaman sekarang mengeksploitasi kerentanan penting Apache Log4j bernama Log4Shell untuk menginfeksi perangkat yang rentan dengan trojan perbankan Dridex atau Meterpreter yang terkenal jahat.

Malware Dridex adalah trojan perbankan yang awalnya dikembangkan untuk mencuri kredensial perbankan online dari para korban. Namun, seiring waktu, malware telah berkembang menjadi pemuat yang mengunduh berbagai modul yang dapat digunakan untuk melakukan berbagai perilaku jahat, seperti memasang muatan tambahan, menyebar ke perangkat lain, mengambil tangkapan layar, dan banyak lagi.

Kemarin, kelompok riset keamanan siber Cryptolaemus memperingatkan bahwa kerentanan Log4j sekarang dieksploitasi untuk menginfeksi perangkat Windows dengan Trojan Dridex dan perangkat Linux dengan Meterpreter.

Anggota Cryptolaemus Joseph Roosen mengatakan kepada BleepingComputer bahwa pelaku ancaman menggunakan varian eksploitasi Log4j RMI (Remote Method Invocation) untuk memaksa perangkat yang rentan memuat dan mengeksekusi Java class dari server jarak jauh yang dikendalikan penyerang.

Saat dijalankan, Java class pertama-tama akan mencoba mengunduh dan meluncurkan file HTA dari berbagai URL, yang akan menginstal trojan Dridex.

Jika tidak dapat menjalankan perintah Windows, itu akan menganggap perangkat menjalankan Linux/Unix dan mengunduh dan menjalankan skrip Python untuk menginstal Meterpreter.

Menjalankan Meterpreter pada Linux akan memberi pelaku ancaman shell jarak jauh yang dapat mereka gunakan untuk menyebarkan muatan lebih lanjut atau menjalankan perintah.

Dengan Log4j dieksploitasi oleh pelaku ancaman untuk menginstal berbagai malware, tidak mengherankan bahwa operasi malware yang lebih aktif akan mulai menargetkan kerentanan.

Oleh karena itu, sangat disarankan agar semua organisasi memindai aplikasi rentan yang menggunakan Log4j dan memperbaruinya ke versi terbaru.

Ini termasuk memperbarui Log4j ke versi terbaru, versi 2.17, dirilis Sabtu ini untuk memperbaiki kerentanan penolakan layanan baru.

Selengkapnya: Bleeping Computer

Lebih dari 300.000 pengguna Android telah mengunduh aplikasi malware trojan perbankan ini

by

Dirinci oleh peneliti ThreatFabric, empat bentuk malware yang berbeda dikirimkan ke korban melalui versi berbahaya dari aplikasi yang biasa diunduh, termasuk pemindai dokumen, pembaca kode QR, pemantau kebugaran, dan aplikasi cryptocurrency. Aplikasi sering datang dengan fungsi yang diiklankan untuk menghindari pengguna curiga.

Dalam setiap kasus, pengiriman malware hanya dimulai setelah aplikasi diinstal sehingga memungkinkan mereka untuk melewati deteksi Play Store.

Yang paling produktif dari empat keluarga malware adalah Anatsa, yang telah diinstal oleh lebih dari 200.000 pengguna Android – peneliti menggambarkannya sebagai trojan perbankan yang dapat mencuri nama pengguna dan kata sandi, dan menggunakan pencatatan aksesibilitas untuk menangkap semua yang ditampilkan di layar pengguna , sementara keylogger memungkinkan penyerang untuk merekam semua informasi yang dimasukkan ke dalam telepon.

Salah satu aplikasi ini adalah pemindai kode QR yang telah dipasang oleh 50.000 pengguna saja dan halaman unduhan menampilkan sejumlah besar ulasan positif, sesuatu yang dapat mendorong orang untuk mengunduh aplikasi. Pengguna diarahkan ke aplikasi melalui email phishing atau kampanye iklan berbahaya.

Setelah pengunduhan awal, pengguna dipaksa untuk memperbarui aplikasi untuk terus menggunakannya – pembaruan inilah yang menghubungkan ke server perintah dan kontrol dan mengunduh muatan Anatsa ke perangkat, memberikan penyerang sarana untuk mencuri detail perbankan dan informasi lainnya.

Keluarga malware paling produktif kedua yang dirinci oleh para peneliti di ThreatFabric adalah Alien, trojan perbankan Android yang juga dapat mencuri kemampuan otentikasi dua faktor dan yang telah aktif selama lebih dari setahun. Malware telah menerima 95.000 instalasi melalui aplikasi berbahaya di Play Store.

Salah satunya adalah aplikasi gym dan pelatihan kebugaran yang ketika dilengkapi dengan situs web pendukung yang dirancang untuk meningkatkan legitimasi, tetapi pemeriksaan ketat terhadap situs tersebut mengungkapkan teks placeholder di mana-mana. Situs web ini juga berfungsi sebagai pusat komando dan kendali untuk malware Alien.

Seperti Anasta, unduhan awal tidak mengandung malware, tetapi pengguna diminta untuk menginstal pembaruan palsu – menyamar sebagai paket rezim kebugaran baru – yang mendistribusikan muatan.

Dua bentuk malware lainnya yang telah dijatuhkan menggunakan metode serupa dalam beberapa bulan terakhir adalah Hydra dan Ermac, yang memiliki total gabungan setidaknya 15.000 unduhan. ThreatFabric telah menautkan Hydra dan Ermac ke Brunhilda, kelompok kriminal dunia maya yang diketahui menargetkan perangkat Android dengan malware perbankan.

ThreatFabric telah melaporkan semua aplikasi berbahaya ke Google dan mereka telah dihapus atau sedang ditinjau.

“Aturan praktis yang baik adalah selalu memeriksa pembaruan dan selalu sangat berhati-hati sebelum memberikan hak aksesibilitas layanan – yang akan diminta oleh muatan berbahaya, setelah “pembaruan” instalasi – dan waspada terhadap aplikasi yang meminta untuk menginstal perangkat lunak tambahan, ” ucap Durando.

ZDNet

QBot kembali untuk gelombang infeksi baru menggunakan Squirrelwaffle

by

Aktivitas trojan perbankan QBot (juga dikenal sebagai Quakbot) melonjak lagi, Beberapa perusahaan riset keamanan mengaitkannya dengan munculnya Squirrelwaffle.

Squirrelwaffle muncul mengisi kekosongan yang ditinggalkan oleh penghapusan Emotet, prediksi ini dengan cepat dikonfirmasi.

TrendMicro telah mengamati kampanye distribusi baru untuk QBot yang mengandalkan makro Visual Basic Macros (VBA) dalam dokumen Microsoft Word yang dikirim sebagai lampiran dalam email phishing.

Semua variasi kedatangan QBot
Sumber: TrendMicro

Korban masih harus membuka dokumen secara manual dan “Aktifkan Konten” di suite Microsoft Office mereka untuk membiarkan kode makro berjalan, menjatuhkan muatan QBot pada sistem.

Qbot juga dikenal bermitra dengan operasi ransomware untuk memberi mereka akses awal ke jaringan. QBot sebelumnya telah berkolaborasi dengan geng ransomware untuk menyebarkan strain REvil, Egregor, ProLock, PwndLocker, dan MegaCortex.

Kita tidak boleh lupa bahwa bahkan jika kompromi ini tidak pernah berkembang menjadi peristiwa enkripsi file, QBot dapat melakukan kerusakan signifikan dengan sendirinya.

Modul tambahan yang diunduh oleh malware QBot dapat mengambil cookie browser, kata sandi, email, menjatuhkan Cobalt Strike, mengaktifkan gerakan lateral, dan mengubah mesin yang terinfeksi menjadi proxy untuk lalu lintas C2.

Sentinel Labs menerbitkan munculnya pemuat malware SquirrelWaffle, menghubungkannya langsung ke QBot, yang dijatuhkan sebagai malware tahap kedua. Para peneliti di Minerva Labs juga telah menarik kesimpulan serupa, Lihat skema pengiriman berikut:

Rantai infeksi SquirrelWaffle
Sumber: Minerva Labs

SquirrelWaffle juga menggunakan makro VBA untuk menjalankan perintah PowerShell yang mengambil muatannya dan meluncurkannya.

Pembuatan email phishing yang lebih meyakinkan dapat dialihdayakan atau diselesaikan dengan cepat dengan menghubungi ahli di bagian operasi phishing tersebut, yang menyebabkan jumlah infeksi SquirrelWaffle yang lebih signifikan.

Selengkapnya : Bleeping Computer

Trojan Perbankan Mekotio Muncul Kembali Dengan Kode Yang Diubah, Kampanye Tersembunyi

by

Trojan perbankan Amerika Latin Mekotio bangkit kembali setelah beberapa geng yang mengoperasikannya ditangkap di Spanyol. Lebih dari 100 serangan dalam beberapa minggu terakhir telah menampilkan rutinitas infeksi baru, yang menunjukkan bahwa kelompok tersebut terus secara aktif memperlengkapi kembali.

“Kampanye baru dimulai tepat setelah Pengawal Sipil Spanyol mengumumkan penangkapan 16 orang yang terlibat dengan distribusi Mekotio [alias Metamorfo] pada bulan Juli,” menurut Check Point Research (CPR). “Tampaknya komplotan di belakang malware mampu mempersempit celah dengan cepat dan mengubah taktik untuk menghindari deteksi.”

Mekotio, seperti trojan perbankan Amerika Latin lainnya, mencuri login perbankan online dan kredensial keuangan lainnya dari korban yang tidak menaruh curiga. Tapi mereka terus berkembang untuk menghindari deteksi.

Dalam kasus ini, vektor infeksi Mekotio yang diperbarui mengandung “elemen yang belum pernah terjadi sebelumnya” untuk menjaga tingkat deteksi tetap rendah, menurut analisis perusahaan, yang dikeluarkan Rabu.

Hal tersebut adalah:File batch tersembunyi dengan setidaknya dua lapisan kerumitan; Skrip PowerShell tanpa file baru yang berjalan langsung di memori;Penggunaan Themida v3 untuk mengemas muatan DLL akhir.

“Dalam tiga bulan terakhir, kami melihat sekitar 100 serangan menggunakan teknik kebingungan baru yang sederhana, dengan bantuan sandi substitusi, untuk menyembunyikan modul serangan pertama,” menurut CPR. “Teknik kebingungan sederhana ini memungkinkannya untuk tidak terdeteksi oleh sebagian besar produk antivirus.”

Selengkapnya: Threat Post

Bug ‘Sumber Trojan’ Mengancam Keamanan Semua Kode

by

Hampir semua program yang mengubah kode sumber yang dapat dibaca manusia menjadi kode mesin yang dapat dieksekusi komputer rentan terhadap serangan berbahaya di mana musuh dapat memasukkan kerentanan yang ditargetkan ke dalam perangkat lunak apa pun tanpa terdeteksi. Pengungkapan kerentanan dikoordinasikan dengan beberapa organisasi, beberapa di antaranya sekarang merilis pembaruan untuk mengatasi kelemahan keamanan.

Para peneliti di University of Cambridge menemukan bug yang memengaruhi sebagian besar kompiler kode komputer dan banyak lingkungan pengembangan perangkat lunak. Yang dipermasalahkan adalah komponen standar pengkodean teks digital Unicode, yang memungkinkan komputer untuk bertukar informasi terlepas dari bahasa yang digunakan. Unicode saat ini mendefinisikan lebih dari 143.000 karakter di 154 skrip bahasa yang berbeda (selain banyak set karakter non-skrip, seperti emoji).

Secara khusus, kelemahannya melibatkan algoritme bi-directional atau “Bidi” Unicode, yang menangani tampilan teks yang mencakup skrip campuran dengan urutan tampilan yang berbeda, seperti bahasa Arab — yang dibaca dari kanan ke kiri — dan bahasa Inggris (kiri ke kanan).

Tetapi sistem komputer perlu memiliki cara deterministik untuk menyelesaikan arah yang saling bertentangan dalam teks. Masukkan “Bidi override”, yang dapat digunakan untuk membuat teks dari kiri ke kanan dibaca dari kanan ke kiri, dan sebaliknya.

“Dalam beberapa skenario, urutan default yang ditetapkan oleh Algoritma Bidi mungkin tidak cukup,” tulis para peneliti Cambridge. “Untuk kasus ini, Bidi menimpa karakter kontrol yang memungkinkan pengalihan urutan tampilan grup karakter.”

Bidi menimpa memungkinkan bahkan karakter skrip tunggal untuk ditampilkan dalam urutan yang berbeda dari pengkodean logisnya. Seperti yang ditunjukkan oleh para peneliti, fakta ini sebelumnya telah dieksploitasi untuk menyamarkan ekstensi file malware yang disebarkan melalui email.

Inilah masalahnya: Sebagian besar bahasa pemrograman memungkinkan Anda menempatkan penggantian Bidi ini dalam komentar dan string. Ini buruk karena sebagian besar bahasa pemrograman mengizinkan komentar di mana semua teks — termasuk karakter kontrol — diabaikan oleh kompiler dan juru bahasa. Selain itu, ini buruk karena sebagian besar bahasa pemrograman mengizinkan literal string yang mungkin berisi karakter arbitrer, termasuk karakter kontrol.

“Jadi Anda dapat menggunakannya dalam kode sumber yang tampaknya tidak berbahaya bagi pengulas manusia [yang] sebenarnya dapat melakukan sesuatu yang buruk,” kata Ross Anderson, seorang profesor keamanan komputer di Cambridge dan rekan penulis penelitian. “Itu berita buruk untuk proyek-proyek seperti Linux dan Webkit yang menerima kontribusi dari orang-orang acak, membuat mereka ditinjau secara manual, kemudian memasukkannya ke dalam kode penting. Kerentanan ini, sejauh yang saya tahu, yang pertama mempengaruhi hampir semua hal.”

Makalah penelitian, yang menjuluki kerentanan “Sumber Trojan,” mencatat bahwa sementara komentar dan string akan memiliki semantik khusus sintaks yang menunjukkan awal dan akhir mereka, batas ini tidak dihormati oleh Bidi override. Dari kertas:

Anderson mengatakan serangan seperti itu bisa menjadi tantangan bagi peninjau kode manusia untuk dideteksi, karena kode sumber yang diberikan terlihat sangat dapat diterima.

“Jika perubahan logika cukup halus untuk tidak terdeteksi dalam pengujian berikutnya, musuh dapat memperkenalkan kerentanan yang ditargetkan tanpa terdeteksi,” katanya.

Yang juga memprihatinkan adalah bahwa karakter override Bidi bertahan melalui fungsi salin dan tempel di sebagian besar browser, editor, dan sistem operasi modern.

“Setiap pengembang yang menyalin kode dari sumber yang tidak tepercaya ke dalam basis kode yang dilindungi dapat secara tidak sengaja memperkenalkan kerentanan yang tidak terlihat,” kata Anderson kepada KrebsOnSecurity. “Penyalinan kode seperti itu adalah sumber signifikan dari eksploitasi keamanan dunia nyata.”

Gambaran Infrastruktur Digital (sumber: krebsonsecurity)

Matthew Green, seorang profesor di Institut Keamanan Informasi Johns Hopkins, mengatakan penelitian Cambridge dengan jelas menunjukkan bahwa sebagian besar kompiler dapat ditipu dengan Unicode untuk memproses kode dengan cara yang berbeda dari yang diharapkan pembaca untuk diproses.

“Sebelum membaca makalah ini, gagasan bahwa Unicode dapat dieksploitasi dengan cara tertentu tidak akan mengejutkan saya,” kata Green kepada KrebsOnSecurity. “Apa yang mengejutkan saya adalah berapa banyak kompiler yang akan dengan senang hati mengurai Unicode tanpa pertahanan apa pun, dan seberapa efektif teknik pengkodean kanan-ke-kiri mereka dalam menyelundupkan kode ke dalam basis kode. Itu trik yang sangat pintar yang saya bahkan tidak tahu itu mungkin. Astaga.”

Green mengatakan kabar baiknya adalah bahwa para peneliti melakukan pemindaian kerentanan yang meluas, tetapi tidak dapat menemukan bukti bahwa ada orang yang mengeksploitasi ini. Belum.

“Kabar buruknya adalah tidak ada pertahanan untuk itu, dan sekarang orang-orang mengetahuinya, mereka mungkin mulai mengeksploitasinya,” kata Green. “Semoga pengembang kompiler dan editor kode akan menambal ini dengan cepat! Tetapi karena beberapa orang tidak memperbarui alat pengembangan mereka secara teratur, setidaknya akan ada beberapa risiko untuk sementara waktu.”

Nicholas Weaver, seorang dosen di departemen ilmu komputer di University of California, Berkeley, mengatakan penelitian Cambridge menyajikan “serangan yang sangat sederhana dan elegan yang dapat membuat serangan rantai pasokan jauh, jauh lebih buruk.”

“Sudah sulit bagi manusia untuk mengatakan ‘ini baik-baik saja’ dari ‘ini jahat’ dalam kode sumber,” kata Weaver. “Dengan serangan ini, Anda dapat menggunakan pergeseran arah untuk mengubah bagaimana hal-hal dirender dengan komentar dan string sehingga, misalnya ‘Ini baik-baik saja’ adalah bagaimana itu dirender, tetapi ‘Ini’ oke adalah bagaimana itu ada dalam kode. Untungnya, ini memiliki tanda tangan yang sangat mudah untuk dipindai, sehingga kompiler dapat [mendeteksi] jika mereka menemukannya di masa mendatang.”

Paruh terakhir dari makalah Cambridge adalah studi kasus yang menarik tentang kompleksitas pengaturan pengungkapan kerentanan dengan begitu banyak bahasa pemrograman dan perusahaan perangkat lunak yang terpengaruh. Para peneliti mengatakan mereka menawarkan periode embargo 99 hari setelah pengungkapan awal mereka untuk memungkinkan produk yang terpengaruh diperbaiki dengan pembaruan perangkat lunak.

“Kami bertemu dengan berbagai tanggapan mulai dari menambal komitmen dan karunia bug hingga pemecatan cepat dan referensi ke kebijakan hukum,” tulis para peneliti. “Dari sembilan belas pemasok perangkat lunak yang terlibat dengan kami, tujuh menggunakan platform outsourcing untuk menerima pengungkapan kerentanan, enam memiliki portal web khusus untuk pengungkapan kerentanan, empat pengungkapan yang diterima melalui email terenkripsi PGP, dan dua pengungkapan yang diterima hanya melalui email non-PGP. Mereka semua mengkonfirmasi penerimaan pengungkapan kami, dan akhirnya sembilan dari mereka berkomitmen untuk merilis patch.”

Sebelas penerima memiliki program hadiah bug yang menawarkan pembayaran untuk pengungkapan kerentanan. Namun dari jumlah tersebut, hanya lima bounty yang dibayar, dengan pembayaran rata-rata $2.246 dan kisaran $4.475, para peneliti melaporkan.

Anderson mengatakan sejauh ini sekitar setengah dari organisasi yang memelihara bahasa pemrograman komputer yang terkena dampak yang dihubungi telah menjanjikan tambalan. Yang lain menyeret kaki mereka.

“Kami akan memantau penyebaran mereka selama beberapa hari ke depan,” kata Anderson. “Kami juga mengharapkan tindakan dari Github, Gitlab, dan Atlassian, sehingga alat mereka harus mendeteksi serangan terhadap kode dalam bahasa yang masih kekurangan pemfilteran karakter bidi.”

Adapun apa yang perlu dilakukan tentang Sumber Trojan, para peneliti mendesak pemerintah dan perusahaan yang mengandalkan perangkat lunak penting untuk mengidentifikasi postur pemasok mereka, memberikan tekanan pada mereka untuk menerapkan pertahanan yang memadai, dan memastikan bahwa setiap celah ditutupi oleh kontrol di tempat lain di mereka. rantai alat.

“Fakta bahwa kerentanan Sumber Trojan mempengaruhi hampir semua bahasa komputer menjadikannya peluang langka untuk perbandingan lintas-platform dan lintas-vendor yang valid secara ekologis dan seluruh sistem,” makalah itu menyimpulkan. “Karena serangan rantai pasokan yang kuat dapat diluncurkan dengan mudah menggunakan teknik ini, sangat penting bagi organisasi yang berpartisipasi dalam rantai pasokan perangkat lunak untuk menerapkan pertahanan.”

Weaver menyebut penelitian itu “pekerjaan yang sangat bagus untuk menghentikan sesuatu sebelum menjadi masalah.”

“Pelajaran pengungkapan terkoordinasi adalah studi yang sangat baik dalam apa yang diperlukan untuk memperbaiki masalah ini,” katanya. “Kerentanan itu nyata, tetapi juga menyoroti kerentanan yang lebih besar dari pergeseran stand dependensi dan paket yang diandalkan oleh kode modern kami.”

Rust telah merilis penasehat keamanan untuk kelemahan keamanan ini, yang dilacak sebagai CVE-2021-42574 dan CVE-2021-42694. Saran keamanan tambahan dari bahasa lain yang terpengaruh akan ditambahkan sebagai pembaruan di sini.

Penelitian Sumber Trojan tersedia di sini (PDF).

sumber: KREBSONSECURITY

Mod WhatsApp berbahaya menginfeksi perangkat Android dengan malware

by

Versi jahat dari mod FMWhatsappWhatsApp memberikan muatan Triadatrojan, kejutan buruk yang menginfeksi perangkat mereka dengan malware tambahan, termasuk trojan xHelper yang sangat sulit dihapus.

FMWhatsApp berjanji untuk meningkatkan pengalaman pengguna WhatsApp dengan fitur tambahan seperti privasi yang lebih baik, tema obrolan khusus, akses ke paket emoji jejaring sosial lain, dan penguncian aplikasi menggunakan PIN, kata sandi, atau touch ID.

Namun, seperti yang ditemukan oleh peneliti Kaspersky, versi FMWhatsapp 16.80.0 juga akan menginstall trojan Triada di perangkat pengguna dengan bantuan SDK iklan.

“Aplikasi ini tersedia di beberapa situs distribusi mod WhatsApp populer. Kami tidak dapat membagikan tautan ke sana,” kata pakar keamanan Kaspersky Igor Golovin kepada BleepingComputer.

“Untuk [kloning FMWhatsApp] di Google Play – aplikasi ini biasanya hanya berisi berbagai iklan dan menginstruksikan pengguna tentang cara mengunduh dan menginstal mod, sementara sebenarnya tidak mengandung mod jahat itu sendiri.”

Setelah diinstal, Triada mulai mengumpulkan informasi perangkat dan mengirimkannya ke server perintah-dan-kontrolnya, yang membalas dengan tautan ke muatan tambahan yang akan diunduh dan diluncurkan trojan pada perangkat Android yang disusupi.

Malware yang dijatuhkan oleh Triada di perangkat Android pengguna FMWhatsApp dapat dengan mudah mendaftarkan mereka ke langganan premium mengingat aplikasi tersebut meminta akses ke pesan teks korban saat diinstal.

Di antara malware yang dikirimkan oleh Triada, xHelper sangat menonjol melalui kemampuannya yang luar biasa untuk menginfeksi ulang perangkat Android beberapa jam setelah dihapus atau setelah perangkat yang terinfeksi direset ke pengaturan pabrik.

Selengkapnya: Bleeping Computer

Awas! Malware Android Baru Meretas Ribuan Akun Facebook

by

Sebuah trojan Android baru telah ditemukan menyusupi akun Facebook lebih dari 10.000 pengguna di setidaknya 144 negara sejak Maret 2021 melalui aplikasi penipuan yang didistribusikan melalui Google Play Store dan pasar aplikasi pihak ketiga lainnya.

Dijuluki “FlyTrap,” malware yang sebelumnya tidak terdokumentasi ini diyakini sebagai bagian dari keluarga trojan yang menggunakan trik rekayasa sosial untuk membobol akun Facebook sebagai bagian dari kampanye pembajakan sesi yang diatur oleh aktor jahat yang beroperasi di luar Vietnam, menurut sebuah laporan yang diterbitkan oleh zLabs Zimperium dan dibagikan dengan The Hacker News.

Meskipun sembilan aplikasi yang melanggar telah ditarik dari Google Play, mereka terus tersedia di toko aplikasi pihak ketiga, “menyoroti risiko aplikasi sideloaded untuk endpoint seluler dan data pengguna,” kata peneliti malware Zimperium Aazim Yaswant. Daftar aplikasi adalah sebagai berikut:

  • GG Voucher (com.luxcarad.cardid)
  • Vote European Football (com.gardenguides.plantingfree)
  • GG Coupon Ads (com.free_coupon.gg_free_coupon)
  • GG Voucher Ads (com.m_application.app_moi_6)
  • GG Voucher (com.free.voucher)
  • Chatfuel (com.ynsuper.chatfuel)
  • Net Coupon (com.free_coupon.net_coupon)
  • Net Coupon (com.movie.net_coupon)
  • EURO 2021 Official (com.euro2021)

Aplikasi jahat mengklaim menawarkan kode kupon Netflix dan Google AdWords dan memungkinkan pengguna memilih tim dan pemain favorit mereka di UEFA EURO 2020, yang berlangsung antara 11 Juni dan 11 Juli 2021, hanya dengan syarat mereka masuk dengan akun Facebook mereka untuk memberikan suara mereka, atau mengumpulkan kode kupon atau kredit.

Setelah pengguna masuk ke akun, malware dilengkapi untuk mencuri ID Facebook, lokasi, alamat email, alamat IP, dan cookie serta token yang terkait dengan akun Facebook korban, sehingga memungkinkan pelaku ancaman untuk melakukan kampanye disinformasi menggunakan detail geolokasi korban atau menyebarkan malware lebih lanjut melalui teknik rekayasa sosial dengan mengirimkan pesan pribadi yang berisi tautan ke trojan.

Selengkapnya: The Hacker News