TrendMicro mendapatkan malware Guerrilla telah di install di ponsel Android pertama sejak 2018, dan itu aktivitas pertama yang terditeksi.
Guerilla pertama kali didokumentasikan oleh Sophos tahun 2018 ketika menemukan 15 aplikasi yang diunggah di Play Store yang memiliki fungsi untuk terlibat dalam penipuan klik dan bertindak sebagai pintu belakang (backdoor)
Setelah di selidiki terdapat satu file di sistem Android dengan nama libandroid_runtime.so, tapi sudah di rusak dengan menyuntikan fungsi println_native.
Fungsinya untuk mencatat atau sebagai Log.
Setelah itu kode berbahaya tersebut akan membuka file DEX yang berisi data dan memasukan ke memory Smartphone.
DEX file (SHA256: f43bb33f847486bb0989aa9d4ce427a10f24bf7dcacd68036eef11c82f77d61d) has domain of Lemon Group (js***[.]big******[.]com), as well as the main plugin called “Sloth.” The DEX file has a configuration written with channel name “BSL001,” which possibly stands for that domain.
BSL001 kemunginan sebagai kanal atau berupa singkatan sebuah domain.
Injeksi pada sistem smartphone terkait ke aktivitas kriminal dengan periklanan Lemon Group. Tapi ini bukan perusahaan biasa, melainkan grup untuk kejahatan dalam bentuk bisnis.
Perusahaan memanfaatkan atau menangani data besar, dan mengirim ke produsen sesuai kategori seperti waktu tayang, dan fokus untuk penguna aplikasi di wilayah tertentu.
Aktivitas grup ini ilegal, dengan memanfaatkan smartphone Android yang diinfeksi. Lalu digunakan untuk akvititas bisnis mereka.
Temuan itu dipresentasikan peneliti Fyodor Yarochkin, Zhengyu Dong, Vladimir Kropotov, dan Paul Pajares pada konferensi Black Hat Asia yang diadakan di Singapura Mei 2023.
Smartphone dapat di flash pada ROM seperti mendapatkan update Firmware, atau program yang di Preinstall dengan OS yang berbeda dari pabrikan.
Firmware ditujukan untuk para hobi, atau mereka yang ingin mengoprek, atau sebagai pengetahuan.
Pada tahun 2016, malware Tiada dilaporkan di injeksi pada perangkat Android.
Tahun 2019, Google mengkonfirmasi dari Vendor pihak ke 3 telah memodifikasi ROM smartphone tanpa ijin.
Tahun 2021, terditeksi SMS PV atau SMS dari telepon yang sudah terverifikasi menjadi Mobile Botnet. Grup kriminal tersebut bahkan sudah beroperasi sejak 2018.
Terakhir adalah Lemon Grup. Mengunakan teknik membajak smartphone / C&C ke server mereka, diperkirakan ada 2 grup berbeda untuk aktivitas Lemon.
Siapa yang menyebar.
Cara kerja Lemon Group mirip seperti Framework dari program Xposed yang biasanya untuk software tertentu tapi tidak berhubungan dengan malware.
Inject malware terkait dengan beberapa aktivitas pada smartphone
Dan salah satu aktivitas adalah membajak nomor OTP, akun Facebook, Whatsapp.
Dibawah ini salah satu aktivitas malware yang disebarkan. Bukan seperti malware biasa, tapi informasi atau data akan dimanfaatkan bisnis mereka.
1) Plugin SMS: Mampu mencegat SMS yang diterima dan membaca pesan tertentu seperti kata sandi satu kali (OTP) dari berbagai platform seperti WhatsApp, JingDong (aplikasi belanja), dan Facebook. Plugin ini memberi SMS PVA, yang menyediakan nomor telepon dan fitur OTP untuk pelanggan mereka.
2) Plugin proxy dan penjual proxy: Dapat mengatur proxy terbalik dari ponsel yang terinfeksi dan menggunakan daya perangkat seluler yang terpengaruh yang diganti ke DoveProxy mereka.
3) Plugin cookie/plugin WhatsApp/ plugin dan platform promosi terkait dengan beberapa aktivitas lain:
A. Plugin cookie terhubung ke aplikasi terkait Facebook dan mencegat aktivitas tertentu untuk meluncurkan acara (mis., daftar aktivitas aplikasi Facebook).
Cookie terkait Facebook dari direktori data aplikasi dan dikirim ke server C&C.
Plugin ini juga bisa memanen data lain seperti daftar Contact, profil, alamat email, dan lain-lain.
B. Plugin WhatsApp digunakan untuk membajak WhatsApp untuk mengirim pesan yang tidak diinginkan.
Keduanya digunakan untuk "pemasaran luar negeri" sehingga pelanggan dapat menggunakan akun Facebook yang disusupi dan meningkatkan platform pemasaran mereka dengan memposting di Facebook atas nama akun orang lain.
Mengingat ketatnya Facebook untuk mendaftar, dan akan di blokir bila memposting hal berbahaya.
Dengan postingan dari member yang sudah ada, tapi akun Facebook yang di bajak. Pemilik akun tidak tahu bahwa akun mereka sudah dibajak dan digunakan untuk postingan.
4) Plugin Splash: Kaitkan aplikasi populer untuk mencegat aktivitas tertentu seperti meluncurkan permintaan iklan.
Korban akan melihat iklan aneh yang tidak biasa ketika membuka aplikasi resmi yang sudah di install di perangkat mereka.
5) Plugin Silent: Ketika aktivitas apa pun memerlukan izin penginstalan.
Plugin ini menjalankan penginstalan silent dan meluncurkan aplikasi yang terinstal.
Saat TrendMicro menerbitkan penelitian tentang operasi Lemon Group pada Februari 2022, grup tersebut mengubah nama operasinya.
Bulan Mei 2022, mereka menghapus beberapa jejak "Lemon" dan mengganti namanya menjadi "Durian Cloud SMS".
Namun, server masih sama dan utuh.
Melalui pemantauan TrendMicro, telah mendeteksi lebih dari 490.000 nomor ponsel yang digunakan untuk permintaan OTP SMS Lemon dan, layanan SMS Durian.
Yang terkena Lemon SMS PVA menghasilkan OTP dari platform seperti JingDong, WhatsApp, Facebook, QQ, Line, dan Tinder, serta aplikasi lain.
Jumlah perangkat yang terinfeksi sekitar 8,9 juta yang didistribusikan secara global karena pelaku mengendalikan perangkat di lebih dari 180 negara.
Termasuk ke perangkat Smartphone, Smartwatch, Android TV sampai SmartTV.
10 negara teratas yang terkena dampak:
Amerika Serikat
Meksiko
IndonesiaThailand
Rusia
Afrika Selatan
India
Angola
Filipina
Argentina
Untuk memeriksa, ada baiknya mencoba dan diberikan gratis untuk 14 hari dari aplikasi
Antivirus dari Trend Micro
Asus release Firmware dapat di upgrade penguna. Lihat di menu kanan atas dari setting Asus Wifi Router, notifikasi upgrade langsung. Firmware Asus seri DSL, GT6, GT-AXE16000, GT-AXE11000 PRO, GT-AXE11000, GT-AX6000, GS-AX3000, ZenWiFi XT9, RT-AX86U PRO, TUF-AX6000
Malware sudah dimasukan sejak smartphone diterima pembeli. Beberapa
model adalah merek ternama, dan malware tidak dapat dihapus. Tetapi
malware tidak dibawa dari produsen, melainkan dimasukan oleh pihak ke
tiga, dimana smartphone dimasukan malware.