Jakarta, CNN Indonesia —
Malware Android baru bernama FireScam tengah beredar dalam bentuk aplikasi Telegram versi premium. Malware ini bisa mencuri data-data pribadi pengguna yang bisa berujung rekening dikuras.
Aplikasi ini didistribusikan melalui situs web phishing di GitHub yang meniru RuStore, pasar aplikasi Rusia untuk perangkat seluler.
RuStore sendiri diluncurkan pada Mei 2022 oleh grup internet Rusia VK (VKontakte) sebagai alternatif dari Google Play dan App Store milik Apple, setelah adanya sanksi dari pihak Barat yang berdampak pada akses pengguna Rusia terhadap perangkat lunak seluler.
RuStore merupakan rumah bagi aplikasi-aplikasi yang patuh terhadap peraturan di Rusia, dan dibuat dengan dukungan dari Kementerian Pengembangan Digital Rusia.
Kemampuan FireScam
Setelah dieksekusi, layar WebView yang menampilkan halaman login Telegram palsu akan mencuri kredensial pengguna.
Dikutip dari Bleeping Computer, FireScam terhubung dengan Firebase Realtime Database di mana ia mengunggah data yang dicuri secara real-time dan mendaftarkan perangkat yang disusupi dengan pengenal unik, untuk tujuan pelacakan.
Perusahaan keamanan siber Cyfirma melaporkan bahwa data yang dicuri hanya disimpan di dalam basis data untuk sementara waktu dan kemudian dihapus, mungkin setelah pelaku ancaman menyaringnya untuk mendapatkan informasi yang berharga dan menyalinnya ke lokasi yang berbeda.
Malware ini juga membuka koneksi WebSocket yang persisten dengan titik akhir Firebase C2 untuk eksekusi perintah real-time seperti meminta data tertentu, memicu unggahan langsung ke basis data Firebase, mengunduh dan mengeksekusi muatan tambahan, atau menyesuaikan parameter pengawasan.
FireScam juga disebut dapat memonitor perubahan aktivitas di layar, menangkap peristiwa hidup/mati, dan mencatat aplikasi yang aktif pada saat itu, serta data aktivitas untuk kejadian yang berlangsung lebih dari 1.000 milidetik.
Malware ini juga dengan cermat memantau setiap transaksi e-commerce, mencoba menangkap data keuangan yang sensitif.
Dengan kata lain, apa pun yang diketik pengguna, diseret, disalin ke clipboard, dan mencegat bahkan data yang secara otomatis diisi dari pengelola kata sandi atau pertukaran antar aplikasi akan disusupkan ke penjahat siber.
Meskipun Cyfirma tidak memiliki petunjuk apa pun yang mengarah pada siapa operator FireScam, para peneliti mengatakan bahwa malware tersebut merupakan “ancaman canggih dan beragam” yang “menggunakan teknik penghindaran tingkat lanjut.”
Maka dari itu, Cyfirma merekomendasikan pengguna untuk berhati-hati saat membuka file dari sumber yang mungkin tidak tepercaya atau saat mengeklik tautan yang tidak dikenal.
(lom/mik)
[Gambas:Video CNN]
