Germany: Backdoor found in four smartphone models; 20,000 users infected

By: Catalin Cimpanu

German cyber-security agency warns against buying or using four low-end smartphone models.

The German Federal Office for Information Security (or the Bundesamt für Sicherheit in der Informationstechnik — BSI) has issued security alerts today warning about dangerous backdoor malware found embedded in the firmware of at least four smartphone models sold in the country.

Impacted models include the Doogee BL7000, the M-Horse Pure 1, the Keecoo P11, and the VKworld Mix Plus (malware present in the firmware, but inactive). All four are low-end Android smartphones.

PHONES INFECTED WITH BACKDOOR TROJAN

The BSI said the phones’ firmware contained a backdoor trojan named Andr/Xgen2-CY.

UK cyber-security firm Sophos Labs first spotted this malware strain in October 2018. In a report it published at the time, Sophos said the malware was embedded inside an app named SoundRecorder, included by default on uleFone S8 Pro smartphones.

Sophos said Andr/Xgen2-CY was designed to work as an unremovable backdoor on infected phones.

The malware’s basic design was to start running once the phone was turned on, collect details about an infected phone, ping back its command-and-control server, and wait for future instructions.

According to Sophos, Andr/Xgen2-CY could collect data such as:

  • The device’s phone number
  • Location information, including longitude, latitude, and a street address
  • IMEI identifier and Android ID
  • Screen resolution
  • Manufacturer, model, brand, OS version
  • CPU information
  • Network type
  • MAC address
  • RAM and ROM size
  • SD Card size
  • Language and country
  • Mobile phone service provider

More: https://www.zdnet.com/article/germany-backdoor-found-in-four-smartphone-models-20000-users-infected/

Dispositivos IoT sofreram mais de 150 milhões de tentativas de ataque em 15 meses, revela pesquisa

By: TI Inside Online

Pesquisa da Cyxtera Technologies, provedora de segurança digital, revela que os dispositivos de Internet das Coisas (IoT) estão em constante ataque, tendo recebido mais de 150 milhões de tentativas de conexão em 15 meses. O estudo foi elaborado por meio de parceria entre o pesquisador de ameaças da Cyxtera Martin Ochoa e a Universidade de Tecnologia e Design de Singapura.

Foram apuradas mais de 150 milhões de tentativas de conexão para 4.642 endereços IP distintos, de acordo com o estudo. Dessas, 64% das conexões parecem ter origem na China, enquanto 14% vem dos Estados Unidos. Em seguida aparecem Reino Unido (9%), Israel (8%) e Eslováquia (6%). É difícil confirmar definitivamente a origem do tráfego da Internet, pois é possível redirecioná-lo para outros locais, técnica frequentemente empregada para ocultar ações do tipo.

Poucos dias após o lançamento de novas campanhas de malware – como Mirai, Satori e Hakai – elas já estavam atacando dispositivos IoT do Honeypots. Em muitos casos, o aumento na atividade foi identificado nos dias e semanas anteriores de o malware ser publicamente conhecido.

Mais da metade (54%) das conexões recebidas pelo honeypot foram via Telnet, enquanto as portas HTTP receberam quase todas as conexões restantes. As câmeras IP receberam a maioria das conexões no honeypot, sugerindo um maior interesse do invasor nesses dispositivos IoT em comparação com outros, como impressoras e switches inteligentes. Vários ataques recentes em grande escala em dispositivos IoT têm como alvo câmeras IP.

Mais: http://tiinside.com.br/tiinside/seguranca/mercado-seguranca/03/06/2019

Checkers restaurant chain discloses card breach

By: Catalin Cimpanu

POS malware discovered installed at 102 Checkers and Rally’s restaurants.

Checkers and Rally’s, one of the biggest drive-thru restaurant chains in the US, disclosed a security incident yesterday that impacted over 100 locations.

In a security notice published on its website, the company said hackers breached its systems and planted malware on its payments processing system.

The malware was designed to collect information from the magnetic stripe of payment cards and was capable of detecting and extracting data such as the cardholder name, payment card number, card verification code, and expiration date.

15% OF CHECKERS’ AND RALLY’S RESTAURANTS IMPACTED

Not all Checkers restaurants were impacted. The company listed the addresses and the dates during which the malware was active on the network of each of the impacted restaurants.

The list includes the addresses of 102 drive-thru restaurants, operating under the Checkers or the Rally’s brands. The company said this amounted for 15% of all of its locations.

Most of the impacted restaurants had POS malware installed on their systems between early 2018 and 2019; however, some restaurants were infected in 2017, and the earliest infection date was in September 2016. Most of the restaurants were cleaned in April 2019, when Checkers appears to have discovered the intrusion.

Only customers who paid for meals and other products using their payment cards during infection periods are impacted.

More: https://www.zdnet.com/article/checkers-restaurant-chain-discloses-card-breach/

Golpes financeiros em dispositivos móveis crescem 58%, diz Kaspersky Lab

By: TI Inside Online

Os pesquisadores da Kaspersky Lab detectaram um aumento preocupante no número de malware criado para roubar credenciais e dinheiro de contas bancárias. Essa é uma das principais constatações do relatório da empresa sobre a evolução das ameaças no primeiro trimestre de 2019. Neste período, foram encontrados 29.841 arquivos deste tipo contra 18.501 no quarto trimestre de 2018. No total, foram detectados ataques sobre mais de 300 mil usuários.

Os trojans direcionados a bancos em dispositivos móveis são um dos tipos de ataques mais flexíveis, perigosos e que se desenvolvem mais rapidamente. Normalmente, eles roubam dinheiro diretamente das contas bancárias dos usuários, mas, às vezes, seu objetivo é obter outros tipos de credenciais. Em geral, o malware parece um aplicativo legítimo, como um app bancário. Quando a vítima tenta abrir, os invasores também conseguem acessá-lo.

No primeiro trimestre de 2019, a Kaspersky Lab detectou cerca de 30 mil modificações das diversas famílias de trojans bancários nas 312.235 tentativas de ataque contra usuários únicos. Além disso, não foi apenas o número de diferentes amostras de trojans bancários detectadas que cresceu; sua participação no cenário de ameaças também aumentou. No quarto trimestre de 2018, eles corresponderam por 1,85% de todo o malware em dispositivos móveis; no primeiro trimestre de 2019, sua participação atingiu a 3,24%.

Os usuários foram expostos a diversas famílias de malware direcionado a bancos em dispositivos móveis, mas uma delas esteve especialmente ativa nesse período: uma nova versão do malware Asacub, que surgiu em 2015, respondeu por 58,4% de todos os trojans bancários que atacaram os usuários. Os atacantes passaram dois anos aperfeiçoando sua distribuição e, como resultado, houve um pico em 2018, com ataques a 13 mil usuários por dia. Desde então, sua taxa de propagação diminuiu, embora ele continue sendo uma ameaça eficiente: no primeiro trimestre de 2019, a Kaspersky Lab detectou o Asacub atacando em média 8.200 usuários por dia.

Mais:  http://tiinside.com.br/tiinside/seguranca/mercado-seguranca/28/05/2019

Novo golpe sequestra conexões WhatsApp e pede dinheiro a contatos

By: TI Inside Online

Nas últimas semanas, a Kaspersky Lab identificou um aumento nos relatos de vítimas que tiveram suas contas do WhatsApp roubadas e os especialistas da empresa descobriram o motivo. A conclusão chamou a atenção pela criatividade dos cibercriminosos, que não utilizam nenhum malware neste golpe, e conseguem enganar até pessoas que trabalham com tecnologia.

Os criminosos monitoram as plataformas de venda pela internet para mirar usuários que criaram um anúncio de venda. Com as informações do anúncio, os fraudadores enviam uma mensagem para a pessoa se passando pela plataforma de vendas dizendo: “verificamos um anúncio recém postado, e gostaríamos de atualizar para que continue disponível para visualização” ou “devido ao grande número de reclamações referente ao seu número de contato, estamos verificando”. As mensagens terminam pedindo para a vítima informar o código que receberá via SMS para solucionar a questão.

“Quando a vítima responde à mensagem, o fraudador começa o processo de ativar o WhatsApp em um novo celular e o suposto código de verificação é, na verdade, o código de ativação da conta. Se ela não prestar atenção, acaba passando o número e tem seu WhatsApp roubado em minutos. A empresa anunciou esta semana novas medidas de segurança”, explica Fabio Assolini, analista sênior de segurança da Kaspersky Lab no Brasil.

A segunda parte do golpe é a mesma utilizada pelos criminosos que estão clonando celulares no Brasil. Nela, enviam mensagens para os contatos mais recentes, que normalmente são amigos próximos ou familiares da vítima, pedindo um empréstimo para uma despesa urgente. Não há um padrão para a quantia – nas mensagens que os especialistas tiveram acesso, o pedido era de R$ 2.100. Se a pessoa tenta ajudar prontamente, o criminoso só precisa perguntar “qual o banco mais fácil para você” e depois enviar uma conta bancária de um laranja. Até o proprietário recuperar o acesso ao WhatsApp, o criminoso já teve tempo suficiente para falar com diversas pessoas.

“Além de ter atenção, só há uma maneira de evitar este esquema com tecnologia: a dupla autenticação do WhatsApp. É uma senha que o usuário cria e é solicitada de vez em quando pelo app. Mesmo que a vítima informe o código de ativação, o criminoso terá de pedir a senha da dupla autenticação – isto já sai do contexto do anúncio e a pessoa pode perceber a fraude antes de ser tarde demais”, alerta Assolini.

O analista ressalta ainda alguns pontos técnicos curiosos deste esquema: em nenhum momento há o uso de programas maliciosos para coletar as informações nos sites de venda ou para roubar a conta da vítima no programa de mensagem. O esquema é baseado 100% em engenharia social e utiliza recursos legítimos. Além disso, os anúncios criaram uma abordagem muito convincente. “Neste fim de semana, encontrei um amigo que trabalha com desenvolvimento de software e que caiu nesse golpe. Ele havia acabado de postar um anúncio e foi contatado. Foi surpreendente, pois tem conhecimentos de segurança e mesmo assim foi iludido”, destaca.

Mesmo sem ter responsabilidades direta na fraude, o analista de segurança dá dicas para as marcas que estão sendo vítimas nesse golpe. Até o momento, foram identificadas mensagens se passando pela OLX, Webmotors e Zap Imóveis. “Embora não haja uma solução milagrosa, sugiro que as empresas reavaliem o uso de autenticação de dois fatores via SMS e as informações dos usuários que são expostas publicamente por padrão. Frente a criação deste esquema malicioso, é importante criar uma solução benéfica para os usuários e que também mantenham suas privacidades protegidas das pessoas mal-intencionadas”, avalia o especialista.

Mais: http://tiinside.com.br/tiinside/27/05/2019/novo-golpe-sequestra-conexoes-whatsapp-e-pede-dinheiro-a-contatos/

In Baltimore and Beyond, a Stolen N.S.A. Tool Wreaks Havoc

By: Nicole Perlroth and Scott Shane

For nearly three weeks, Baltimore has struggled with a cyberattack by digital extortionists that has frozen thousands of computers, shut down email and disrupted real estate sales, water bills, health alerts and many other services.

But here is what frustrated city employees and residents do not know: A key component of the malware that cybercriminals used in the attack was developed at taxpayer expense a short drive down the Baltimore-Washington Parkway at the National Security Agency, according to security experts briefed on the case.

Since 2017, when the N.S.A. lost control of the tool, EternalBlue, it has been picked up by state hackers in North Korea, Russia and, more recently, China, to cut a path of destruction around the world, leaving billions of dollars in damage. But over the past year, the cyberweapon has boomeranged back and is now showing up in the N.S.A.’s own backyard.

It is not just in Baltimore. Security experts say EternalBlue attacks have reached a high, and cybercriminals are zeroing in on vulnerable American towns and cities, from Pennsylvania to Texas, paralyzing local governments and driving up costs.

More: https://www.nytimes.com/2019/05/25/us/nsa-hacking-tool-baltimore.html

Mobile Banking Malware Rose 58% in Q1

By: Kacy Zurkus

The first quarter of 2019 saw a significant spike in mobile banking malware that steals both credentials and funds from users’ bank accounts, according to researchers at Kaspersky Lab.

“In Q1 2019, Kaspersky Lab detected a 58% increase in modifications of banking Trojan families, used in attacks on 312,235 unique users. Banking Trojans grew not only in the number of different samples detected, but their share of the threat landscape increased as well. In Q4 2018, mobile banking Trojans accounted for 1.85% of all mobile malware; in Q1 2019, their share reached 3.24%,” today’s press release stated.

Researchers reportedly uncovered 29,841 different modifications of banking Trojans during the first three months of the year, up from 18,501 in Q4 2018. “As is customary, first place in the Top 20 for Q1 went to the DangerousObject.Multi.Generic verdict (54.26%), which we use for malware detected using cloud technologies,” researchers wrote.

“Cloud technologies are deployed when the antivirus databases lack data for detecting a piece of malware, but the company’s cloud already contains information about the object. This is basically how the latest malicious programs are detected.”

The report also noted that a new version of Asacub malware, which was first noted in 2015, accounted for more than half of all banking Trojans that attacked users. Over the past two years, attackers have modified its distribution scheme, which resulted in a spike of the malware in 2018, when it was reportedly used to attack 13,000 users a day. Though distribution has since declined, the malware remains a significant threat, with researchers observing Asacub used to target 8,200 users a day on average.

More: https://www.infosecurity-magazine.com/news/mobile-banking-malware-rose-58-in-1/

SikurOS protects Whatsapp against Hackers attack

By: sikur

SikurOS was conceived to be a secure and robust operating system for devices that need to provide a security level higher than the existing in the market today.

Applying security features directly in the operating system can cause an undesired effect from the usability point of view, some may say. However, creating protection mechanisms where the attackers usually come in seem to be the most appropriate approach. Old fashioned attacks, like buffer overflow exploitation, configure situations that could easily be mitigated by doing direct implementations in the operating system. User’s current favorite Apps (like instant messaging ones), which have a massive number of users suffer from this kind of attack, opening user’s devices to the hackers.

Delivering the operating system based protection concept, while keeping product usability and flexibility, although it seems to be a hard task, it became an obsession to Sikur R&D team. The SIKURPhone was born from this need, usually neglected by security solution providers; and this concept came from past brainstorms, due to an innovative mindset of always pursuing excellence and the desire of being ahead of its time. After putting the product in the frontline, not only to the users but also to specialized bug bounty programs, confirms Sikur’s care of generating high value while guaranteeing its users’ data integrity.

Lorep ipsum Lorep ipsum, journalist Lorep ipsum Lorep ipsum, journalist Lorep ipsum Lorep ipsum, journalist Lorep ipsum Lorep ipsum, journalist Lorep ipsum Lorep ipsum, journalist Lorep ipsum Lorep ipsum, journalist Lorep ipsum Lorep ipsum, journalist Lorep ipsum Lorep ipsum, journalist

ESET descobre malware que assume o controle total da comunicação por e-mail

By: TI Inside Online

A ESET descobriu o LightNeuron, um backdoor do Microsoft Exchange que pode ler, modificar ou bloquear qualquer e-mail que passe pelo servidor, incluindo escrever novas mensagens e enviá-las ,sob a identidade de qualquer usuário legítimo da escolha dos invasores. O malware é controlado remotamente por meio de anexos em formato PDF e JPG ocultos em mensagens recebidas pelos usuarios.

O LightNeuron atende aos servidores de e-mail Microsoft Exchange pelo menos desde 2014. Os pesquisadores da ESET identificaram três organizações diferentes vítimas da ameaça, incluindo um ministério de relações exteriores em um país da Europa Oriental e uma organização diplomática regional no Oriente Médio. No Brasil, no entanto, não se tem conhecimento ainda de qual organização teria sido afetada.

O LightNeuron é o primeiro malware conhecido a usar incorretamente o mecanismo do Microsoft Exchange. “Na arquitetura do servidor de e-mail, o LightNeuron pode operar com o mesmo nível de confiança que os produtos de segurança, como filtros de spam. Como resultado, esse malware oferece ao invasor controle total sobre o servidor de e-mail e, portanto, sobre toda a comunicação do usuário”, explica Matthieu Faou, pesquisador de malware da ESET que conduziu a investigação.

Os pesquisadores da ESET coletaram evidências sugerindo que o LightNeuron pertence ao grupo de espionagem Turla, também conhecido como Snake. Este grupo e suas atividades são amplamente investigados pela ESET. “Acreditamos que os profissionais de segurança de TI devem estar cientes dessa nova ameaça”, diz Faou.

Para fazer com que os e-mails de comando e controle (C&C) pareçam inocentes, o LightNeuron usa esteganografia para ocultar seus comandos em imagens PDF ou JPG válidas. A capacidade de controlar a comunicação por e-mail torna o LightNeuron uma ferramenta perfeita para vazar documentos e também para controlar outras máquinas locais por meio de um mecanismo de C&C, o que é muito difícil de detectar e bloquear.

Mais: http://tiinside.com.br/tiinside/13/05/2019/

 

TinyPOS: Handcrafted Malware in Assembly Code

By: Kacy Zurkus

Legacy software vulnerabilities have created opportunities for hackers to steal credit card data and other personal information using tiny point of sale (POS) malware, according to research published by Forcepoint.

Researchers reportedly analyzed 2,000 samples of POS malware and found that many are handcrafted, written in assembly code and very small; thus, researchers aptly named the malware TinyPOS.

Of the samples analyzed, 95% were loaders used to distribute malware to systems. In addition, researchers found that system compromises can go months without detection due to the small code size (2.7kb). Though researchers suggested that protecting against these attacks is not difficult, the issue for many organizations is that they are using old, outdated POS software and hardware that can do a lot of damage.

The samples were grouped into four categories: loaders, mappers, scrapers and cleaners, wrote Robert Neumann, senior security researcher at Forcepoint. “The most probable initial vector would be a remote hack into the POS system to deliver the Loaders. Other options could include physical access (unlikely) or a rogue auto-update to deliver a compromised file to the POS operating system.”

That attackers are targeting POS systems is nothing new, particularly because they collect large amounts of personal data. Because of their vulnerabilities, Ryan Wilk, VP of customer success for NuData Security, a Mastercard company, said POS systems have long been a prime target for cyber-criminals.

More: https://www.infosecurity-magazine.com/news/tinypos-handcrafted-malware-in-1/