Operator malware QBot telah menggunakan Kalkulator Windows untuk memuat muatan berbahaya di komputer yang terinfeksi.
Pemuatan samping DLL adalah metode serangan umum yang memanfaatkan cara Dynamic Link Libraries (DLL) ditangani di Windows. Ini terdiri dari memalsukan DLL yang sah dan menempatkannya di folder tempat sistem operasi memuatnya, bukan yang sah.
QBot, juga dikenal sebagai Qakbot adalah jenis malware Windows yang dimulai sebagai trojan perbankan tetapi berkembang menjadi penetes malware, dan digunakan oleh geng ransomware pada tahap awal serangan untuk menjatuhkan suar Cobalt Strike.
Peneliti keamanan ProxyLife baru-baru ini menemukan bahwa Qakbot, telah menyalahgunakan aplikasi Kalkulator Windows 7 untuk serangan pemuatan samping DLL setidaknya sejak 11 Juli. Metode ini terus digunakan dalam kampanye malspam.
Untuk membantu pembela melindungi dari ancaman ini, ProxyLife dan peneliti di Cyble mendokumentasikan rantai infeksi QBot terbaru.
Email yang digunakan dalam kampanye terbaru membawa lampiran file HTML yang mengunduh arsip ZIP yang dilindungi kata sandi dengan file ISO di dalamnya.
Kata sandi untuk membuka file ZIP ditampilkan dalam file HTML, dan alasan mengunci arsip adalah untuk menghindari deteksi antivirus.
ISO berisi file .LNK, salinan ‘calc.exe’ (Kalkulator Windows), dan dua file DLL, yaitu WindowsCodecs.dll dan muatan bernama 7533.dll.
Saat pengguna memasang file ISO, itu hanya menampilkan file .LNK, yang disamarkan agar terlihat seperti PDF yang menyimpan informasi penting atau file yang dibuka dengan browser Microsoft Edge.
Namun, pintasan mengarah ke aplikasi Kalkulator di Windows, seperti yang terlihat di dialog properti untuk file.
Mengklik pintasan memicu infeksi dengan menjalankan Calc.exe melalui Command Prompt.
Saat dimuat, Kalkulator Windows 7 secara otomatis mencari dan mencoba memuat file DLL WindowsCodecs yang sah. Namun, itu tidak memeriksa DLL di jalur kode keras tertentu, dan akan memuat DLL apa pun dengan nama yang sama jika ditempatkan di folder yang sama dengan yang dapat dieksekusi Calc.exe.
Pelaku ancaman memanfaatkan kelemahan ini dengan membuat file WindowsCodecs.dll berbahaya mereka sendiri yang meluncurkan file .dll [bernomor] lainnya, yang merupakan malware QBot.
Dengan menginstal QBot melalui program tepercaya seperti Kalkulator Windows, beberapa perangkat lunak keamanan mungkin tidak mendeteksi malware saat dimuat, sehingga pelaku ancaman dapat menghindari deteksi.
Perlu dicatat, bahwa kelemahan sideloading DLL ini tidak lagi berfungsi di Windows 10 Calc.exe dan yang lebih baru, itulah sebabnya pelaku ancaman menggabungkan versi Windows 7.
QBot telah ada selama lebih dari satu dekade, dengan asal-usul sejak 2009 [1, 2, 3, 4]. Meskipun kampanye yang mengirimkannya tidak sering, itu diamati didistribusikan oleh botnet Emotet di masa lalu untuk menjatuhkan muatan ransomware.
Sumber: Bleeping Computer
