# MA-840.062022: MyCERT Alert - Kempen SMSSpy bagi Mencuri Maklumat Peribadi Perbankan Pengguna Internet Malaysia

**Date:** 10 Jun 2022  
**Source:** https://www.mycert.org.my/portal/advisory?id=MA-840.062022  
**Advisory ID:** MA-840.062022

---

**1.0 Pengenalan**
Hasil pemerhatian MyCERT mendapati bahawa penjenayah siber telah mengeksploitasi aplikasi Android berniat jahat dalam kempen SMSSpy yang menyasarkan pengguna Internet di Malaysia, melalui dua kempen. Melalui kempen pertama, kaedah yang digunakan adalah dengan melakukan penyamaran sebagai agensi Penguatkuasaan Undang-undang (LEA) dan badan pengawal selia. Mangsa menerima panggilan telefon daripada LEA memaklumkan bahawa mereka mempunyai tunggakan kewangan bagi syarikat mangsa atau terlibat dalam sesuatu jenayah di mana pembekuan akaun kewangan mangsa akan dilaksanakan. Dalam hal ini, mangsa perlu membayar sejumlah wang untuk membatalkan tindakan pembekuan tersebut dan mangsa diarahkan untuk memuat turun satu aplikasi Android berniat jahat untuk menyelesaikan proses pembayaran.
Menerusi kempen kedua, kaedah yang digunakan adalah di mana pelaku cuba untuk mencuri maklumat peribadi perbankan mangsa melalui laman web palsu yang menyamar sebagai laman penyedia perkhidmatan yang sah. Selain itu, pelaku juga menggunakan iklan di Facebook untuk mempengaruhi bakal mangsa dengan memuat turun perisian jahat Android daripada laman web palsu. Hasil siasatan mendapati terdapat lapan laman web yang menyamar sebagai penyedia perkhidmatan, hanya di Malaysia: tujuh daripadanya ialah Grabmaid, Maria's Cleaning, Maid4u, YourMaid, Maideasy, MaidACall dan MyMaidKL dalam bidang perkhidmatan pembersihan, dan kelapan ialah kedai haiwan peliharaan PetsMore. Untuk mengelabui bakal mangsa, pelaku membangunkan laman web palsu dengan menggunakan nama laman web yang hampir serupa dengan perkhidmatan yang sah.
**2.0 Impak**
Kehilangan wang dari akaun bank mangsa dan kecurian maklumat peribadi mangsa.
**3.0 Sistem dan Perkakasan yang Terkesan**
Android.
**4.0 Amaran dan Nasihat Lain yang Berkaitan**
Disertakan berberapa Amaran dan Nasihat yang dikeluarkan sebelum ini yang berkaitan dengan kempen SMSSpy, bagi rujukan pengguna internet:
• [MA-790.072020: MyCERT Alert - SMSSpy using Malaysian Law Enforcement as theme](https://www.mycert.org.my/portal/advisory?id=MA-790.072020)
• [MA-695.012018: MyCERT Alert - Fake Bank Negara Malicious APK - New Variant](https://www.mycert.org.my/portal/advisory?id=MA-695.012018)
• [MA-694.012018: MyCERT Alert - Fake Bank Negara Malicious APK](https://www.mycert.org.my/portal/advisory?id=MA-694.012018)
**5.0 Petunjuk Tanda Pencerobohan (Indicator of Compromised)*Jadual 1: Senarai Petunjuk Tanda Pencerobohan bagi kempen yang menyasarkan Penguatkuasa Undang-undang.*
|  | --- | --- | **Penanda** | **Jenis Penanda** | **191.apk** 849d69c1f9d370f953ac99a7e96029f350dd6d02fbc21611ae610679e67f0c9f  **base.apk** c527f89bbbea34cce21a558dbc4ddcf88570b54dc887c8f8b44f5647ef061acc c6cc383f1f6aa8b70e39ee60d95344b2f28ada02f5a47fb3d30912538738bb19 *c6e6066b7da082d6a8e8171e1901eea9cd18c9aaff2d1fb4062adef8ce0551c3*110.apk** fc9d34436b4711d6f586903d07a99b089ca5aa61f931febd57abba9a7135d98d | apk, SHA256 | 139.162.61.96 | IP |
*Jadual 2: Senarai Penunjuk Tanda Pencerobohan bagi kempen yang menyasarkan Perkhidmatan Pembersihan – alamat IP.*
|  |
| --- | --- | --- | **Alamat IP** | **Pembekal** | **Maklumat Terperinci** | 185.244.150[.]159 | Dynadot | token2[.]club Distribution website | 194.195.211[.]26 | Hostinger | grabamaid-my[.]online Distribution website | 172.67.177[.]79 | Hostinger | maidacalls[.]online Distribution website | 172.67.205[.]26 | Hostinger | petsmore[.]online Distribution website | 172.67.174[.]195 | Hostinger | cleangmy[.]site Distribution website | N/A | Hostinger | my-maid4us[.]site Distribution website | N/A | Hostinger | yourmaid[.]online Distribution website | 194.195.211[.]26 | Hostinger | muapks[.]online C&C server | 194.195.211[.]26 | Hostinger | grabsapks[.]online C&C server | 104.21.19[.]184 | Hostinger | grabmyapks90[.]online C&C server | 104.21.29[.]168 | Hostinger | m4apks[.]online C&C server | 172.67.208[.]54 | Hostinger | maid4uapks90[.]online C&C server | 172.67.161[.]142 | Hostinger | grabmaidsapks80[.]online C&C server | 2.57.90[.]16 | Hostinger | puapks[.]online C&C server | 124.217.246[.]203 | Shinjiru | 124.217.246[.]203:8099 C&C server | 172.67.166[.]180 | Hostinger | meapks[.]xyz C&C server |
*Jadual 3: Senarai Petunjuk Tanda Pencerobohan bagi kempen yang menyasarkan Perkhidmatan Pembersihan – Hash value, laman (domain)*
|  | --- | --- | **SHA-256** | **Penerangan** | 9b4a0019e7743a46b49a4d8704ffd6e064db2e5d8db6da4056f7eae5369e16f9  **C&C:** muapks[.]online | Malicious app impersonating Grabmaid service. | e949bac52d39b6e207a7943ec778d96d8811fb63d4a037f70e5b6e6706a12986  **C&C:** m4apks[.]online | Malicious app impersonated Maria’s  Cleaning service. | d1017952d1ef0ceec6c2c766d2c794e8cc4fb61b2ffa10ed6b6228e8cadf0b39  **C&C:** maid4uapks90[.]online | Malicious app impersonating Maid4u service. | 5f8a54d54e25400f52ce317bfdbbc866e11ea784ab2d5e3bd0a082a53c6b2d7b  **C&C:** grabsapks[.]online | Malicious app impersonating MaidACall service. | d8be8f7b8b224fca2bb3e7632f6b97b67a74202dc4456f8a79a8856b478c0c6e  **C&C:** grabmyapks90[.]online | Malicious app impersonating MaidACall service. | a5c7373be95571418c41af0de6a03ce78e82bc1f432e662c0dc42b988640e678  **C&C:** m4apks[.]online | Malicious app impersonating PetsMore service. | dff93fd8f3bc26944962a56cb6b31246d2121ae703298a86f20ea9e8967f6510  **C&C:** m4apks[.]online | Malicious app impersonating PetsMore service. | a091b15f008b117167a17a8db4c19e60bd9c99f1047bc82d60e3fd42157333ae  **C&C:** grabmaidsapks80[.]online | Malicious app impersonating YourMaid service. | 4904c26e90dc4d18ad6a2d291af2cd61390661b628f202abfeddf8056502f64a  **C&C:** 124.217.246[.]203:8099 | Malicious app impersonating Maid4u service. | 6db2d526c3310fad6c857aa1310f74dc0a5fe21402e408937330827aca2879b7  **C&C:** meapks[.]xyz | Malicious app impersonating Maideasy service. | **mymaid\_beta\_v7.0.5.2.apk** 8bc920af87fa19c3bfe76b40f85390d983b81340af690a49113f247cca957456  **URL:** hxxps://api.lapubo[.]com hxxps://mymaidkl[.]com hxxps://mobile666.mymaidkl[.]com  **Phone Number** +60172675873 | Malicious app impersonating MyMaidKL service. |
**6.0 Cadangan**
Aplikasi ini bertujuan untuk mendapatkan maklumat yang terdapat di dalam telefon bimbit mangsa yang boleh digunakan untuk tujuan jahat yang lain. Oleh itu, MyCERT menyarankan langkah-langkah penjagaan (amalan terbaik) seperti berikut:
• Sahkan kebenaran capaian aplikasi tersebut dan juga pemilik atau penerbit aplikasi sebelum memasangnya pada telefon bimbit anda. Pengguna Internet boleh rujuk kepada Cyber999, bagi mendapatkan maklumat tentang kebenaran atau kesahihan sesuatu aplikasi telefon bimbit.
• Sebaiknya elakkan dari pemuatan sisi (memasang aplikasi daripada sumber bukan rasmi). Jika anda perlu memasang perisian Android selain daripada sumber yang boleh dipercayai, pastikan ia datang daripada sumber yang mempunyai reputasi yang baik dan boleh dipercayai. Pengguna internet boleh rujuk ke Cyber999, bagi mendapatkan maklumat tentang kebenaran atau kesahihan sesuatu aplikasi telefon bimbit.
• Jangan klik pada adware atau URL yang mencurigakan yang dihantar melalui perkhidmatan SMS dan mesej. Pengguna Internet boleh melaporkan adware atau URL berkenaan ke Cyber999 bagi tindakan selanjutnya.
• Perisian berniat jahat boleh dikepilkan bersama semasa memuat turun sesuatu perisian yang tidak diketahui kesahihan dari internet, bagi mengumpul maklumat pengguna tanpa pengetahuan.
• Sentiasa menggunakan perisian anti-virus yang bereputasi di dalam telefon pintar/peranti mudah alih anda dan pastikan ia sentiasa dikemas kini.
• Sentiasa kemas kini sistem pengendalian dan aplikasi pada telefon pintar/tablet, termasuk perisian pelayar laman sesawang (browser), untuk mengelakkan sebarang eksploitasi ke atas kelemahan yang terdapat dalam perisian versi lama.
• Jangan melakukan system root atau 'Jailbreak' pada telefon anda.
• Hubungi pihak berkuasa yang berkaitan seperti Cyber999 untuk sebarang pertanyaan dan bantuan yang diperlukan berkaitan ancaman ini.
• Bagi pengguna Android, memuat turun aplikasi MyCERT - MASSA dari Google Play Store bagi mengesan dan membuang perisian kod hasad dan perisian pemuatan sisi.
Secara amnya, MyCERT menasihatkan pengguna untuk mengemaskini peranti berdasarkan pengumuman keselamatan terkini oleh penjual (vendor) dan mengikuti amalan terbaik berkaitan dasar keselamatan bagi memastikan hanya perisian yang kemas kini digunakan.
Bagi maklumat lanjut, sila hubungi MyCERT melalui saluran berikut:
Emel: cyber999[at]cybersecurity.my 
Telefon: 1-300-88-2999 (dipantau dalam waktu pejabat)  
Telefon bimbit: +60 19 2665850 (24x7 pelaporan insiden On-call) 
Waktu pejabat: Isnin - Jumaat 09:00 -18:00 MYT 
Laman sesawang:  <https://www.mycert.org.my> 
Twitter: <https://twitter.com/mycert> 
Facebook: <https://www.facebook.com/mycert.org.my>
**7.0 Rujukan**
1. MA-790.072020: MyCERT Alert - SMSSpy using Malaysian Law Enforcement as theme
<https://www.mycert.org.my/portal/advisory?id=MA-790.072020>
2. MA-690.122017: MyCERT Alert - Fake PDRM Malicious APK
<https://www.mycert.org.my/portal/advisory?id=MA-690.122017>
3. MA-695.012018: MyCERT Alert - Fake Bank Negara Malicious APK - New Variant
<https://www.mycert.org.my/portal/advisory?id=MA-695.012018>
4. MA-694.012018: MyCERT Alert - Fake Bank Negara Malicious APK
<https://www.mycert.org.my/portal/advisory?id=MA-694.012018>
5. <https://www.virustotal.com/gui/ip-address/139.162.61.96/relations>
6. <https://www.virustotal.com/gui/file/fc9d34436b4711d6f586903d07a99b089ca5aa61f931febd57abba9a7135d98d/relations>
7. <https://twitter.com/esetresearch/status/1526440685460672512?s=24&t=xveoIxTaZLIdhpnzy-YSag>
8. <https://www.welivesecurity.com/2022/04/06/fake-eshops-prowl-banking-credentials-android-malware/>
9. <https://play.google.com/store/apps/details?id=mycert.ctrc.massalite>