Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cybersecurity / Cyber Crime

Cyber Crime

Ransomware Luna baru mengenkripsi sistem Windows, Linux, dan ESXi

by

Keluarga ransomware baru yang dijuluki Luna dapat digunakan untuk mengenkripsi perangkat yang menjalankan beberapa sistem operasi, termasuk sistem Windows, Linux, dan ESXi.

Ditemukan oleh peneliti keamanan Kaspersky melalui iklan forum ransomware web gelap yang ditemukan oleh sistem pemantauan aktif Darknet Threat Intelligence perusahaan, Luna ransomware tampaknya dirancang khusus untuk digunakan hanya oleh aktor ancaman berbahasa Rusia.

Luna (Rusia untuk bulan) adalah ransomware yang sangat sederhana yang masih dalam pengembangan dan dengan kemampuan terbatas berdasarkan opsi baris perintah yang tersedia.

Namun, ia menggunakan skema enkripsi yang tidak umum, menggabungkan kurva elips X25519 yang cepat dan aman, pertukaran kunci Diffie-Hellman menggunakan Curve25519 dengan algoritma enkripsi simetris Advanced Encryption Standard (AES).

Argumen baris perintah ransomware Luna (Kaspersky)

Grup di balik ransomware baru ini mengembangkan jenis baru di Rust dan memanfaatkan sifat platform-agnostiknya untuk memindahkannya ke berbagai platform dengan sangat sedikit perubahan pada kode sumber.

Menggunakan bahasa lintas platform juga memungkinkan Luna ransomware untuk menghindari upaya analisis kode statis otomatis.

Luna lebih lanjut mengkonfirmasi tren terbaru yang diadopsi oleh geng kejahatan dunia maya yang mengembangkan ransomware lintas platform yang menggunakan bahasa seperti Rust dan Golang untuk membuat malware yang mampu menargetkan beberapa sistem operasi dengan sedikit atau tanpa perubahan.

Kaspersky mengatakan ada sangat sedikit data tentang korban yang telah dienkripsi menggunakan Luna ransomware, jika ada, mengingat kelompok itu baru saja ditemukan dan aktivitasnya masih dipantau.

Keluarga ransomware baru lainnya di bulan ini termasuk Lilith, ransomware berbasis konsol C/C++ yang menargetkan perangkat Windows 64-bit, dan 0mega, operasi ransomware baru yang menargetkan perusahaan sejak Mei dan menuntut tebusan jutaan dolar.

Keduanya dikenal mencuri data dari jaringan korban sebelum mengenkripsi sistem mereka untuk mendukung serangan pemerasan ganda mereka.

Sumber: Bleeping Computer

Peretas SVR Rusia menggunakan Google Drive, Dropbox untuk menghindari deteksi

by

Peretas yang didukung negara bagian dari Federasi Layanan Intelijen Asing (SVR) Rusia telah mulai menggunakan layanan penyimpanan cloud Google Drive yang sah untuk menghindari deteksi.

Dengan menggunakan layanan penyimpanan online yang dipercaya oleh jutaan orang di seluruh dunia untuk mengekstrak data dan menyebarkan malware dan alat berbahaya mereka, pelaku ancaman Rusia menyalahgunakan kepercayaan itu untuk membuat serangan mereka menjadi sangat rumit atau bahkan mustahil untuk dideteksi dan diblokir.

Kelompok ancaman yang dilacak sebagai APT29 (alias Cozy Bear atau Nobelium) telah mengadopsi taktik baru ini dalam kampanye baru-baru ini yang menargetkan misi diplomatik Barat dan kedutaan asing di seluruh dunia antara awal Mei dan Juni 2022.

Namun, seperti yang diungkapkan Mandiant dalam laporan April yang melacak salah satu kampanye phishing grup, ini bukan pertama kalinya peretas APT29 menyalahgunakan layanan web yang sah untuk tujuan perintah-dan-kontrol dan penyimpanan.

Sama seperti dalam kampanye yang diamati oleh Unit 42, Mandiant juga melihat serangan phishing kelompok spionase siber terhadap karyawan dari berbagai organisasi diplomatik di seluruh dunia, sebuah fokus yang konsisten dengan kepentingan strategis geopolitik Rusia saat ini dan penargetan APT29 sebelumnya.

Ikhtisar kampanye phishing APT29 (Unit 42)

APT29 (juga dilacak Cozy Bear, The Dukes, dan Cloaked Ursa) adalah divisi peretasan Layanan Intelijen Asing Rusia (SVR) yang melakukan serangan rantai pasokan SolarWinds, yang menyebabkan kompromi beberapa agen federal AS pada tahun 2020.

Pada akhir Juli, Departemen Kehakiman A.S. adalah pemerintah A.S. terakhir yang mengungkapkan bahwa 27 kantor Kejaksaan A.S. dibobol selama peretasan global SolarWinds.

Pada April 2021, pemerintah AS secara resmi menyalahkan divisi SVR karena mengoordinasikan “kampanye spionase dunia maya” SolarWinds yang mengarah pada kompromi beberapa lembaga pemerintah AS.

Sejak itu, APT29 telah menembus jaringan organisasi lain setelah serangan rantai pasokan SolarWinds, menggunakan malware tersembunyi yang tetap tidak terdeteksi selama bertahun-tahun, termasuk varian backdoor GoldMax Linux dan malware baru yang dilacak sebagai TrailBlazer.

Kelompok ini juga menargetkan I.T. rantai pasokan, seperti yang diungkapkan Microsoft pada bulan Oktober, mengorbankan setidaknya 14 perusahaan setelah menyerang sekitar 140 penyedia layanan terkelola (MSP) dan penyedia layanan cloud sejak Mei 2021.

Unit 42 juga baru-baru ini mengamati alat simulasi serangan permusuhan Brute Ratel yang digunakan dalam serangan yang diduga terkait dengan mata-mata SVR Rusia.

Seperti yang diamati oleh analis ancaman Unit 42 pada saat itu, sampel Brute Rate “dikemas dengan cara yang konsisten dengan teknik APT29 yang diketahui dan kampanye terbaru mereka, yang memanfaatkan penyimpanan cloud terkenal dan aplikasi kolaborasi online.”

Sumber: Bleeping Computer

Grup peretas ‘8220’ mengembangkan botnet cloud ke lebih dari 30.000 host

by

Geng cryptomining yang dikenal sebagai 8220 Gang telah mengeksploitasi kerentanan Linux dan aplikasi cloud untuk mengembangkan botnet mereka ke lebih dari 30.000 host yang terinfeksi.

Grup ini adalah aktor berketerampilan rendah, bermotivasi finansial yang menginfeksi host AWS, Azure, GCP, Alitun, dan QCloud setelah menargetkan sistem yang tersedia untuk umum yang menjalankan versi Docker, Redis, Confluence, dan Apache yang rentan.

Serangan sebelumnya dari geng ini mengandalkan eksploitasi yang tersedia untuk umum untuk mengkompromikan server Confluence.

Setelah mendapatkan akses, penyerang menggunakan paksaan SSH untuk menyebar lebih jauh dan membajak sumber daya komputasi yang tersedia untuk menjalankan cryptominers yang menunjuk ke kumpulan yang tidak dapat dilacak.

Geng 8220 telah aktif setidaknya sejak 2017 dan tidak dianggap sangat canggih, tetapi ledakan tiba-tiba dalam jumlah infeksi menggarisbawahi betapa berbahaya dan berdampaknya aktor tingkat bawah ini ketika mereka mengabdikan diri untuk tujuan mereka.

Dalam kampanye terbaru, yang diamati dan dianalisis oleh SentinelLabs, Geng 8220 telah menambahkan hal-hal baru ke skrip yang digunakan untuk memperluas botnet mereka, sepotong kode yang cukup tersembunyi meskipun tidak memiliki mekanisme penghindaran deteksi khusus.

Mulai akhir bulan lalu, grup tersebut mulai menggunakan file khusus untuk pengelolaan langkah paksa SSH, yang berisi 450 kredensial hardcode yang sesuai dengan berbagai perangkat dan aplikasi Linux.

Pembaruan lainnya adalah penggunaan daftar blokir dalam skrip untuk mengecualikan host tertentu dari infeksi, sebagian besar mengenai honeypot yang dibuat oleh peneliti keamanan.

Akhirnya, 8220 Gang sekarang menggunakan versi baru dari cryptominer kustomnya, PwnRig, yang didasarkan pada XMRig penambang Monero open-source.

Dalam versi terbaru PwnRig, penambang menggunakan subdomain FBI palsu dengan alamat IP yang mengarah ke domain pemerintah federal Brasil untuk membuat permintaan kumpulan palsu dan mengaburkan tujuan sebenarnya dari uang yang dihasilkan.

Penurunan harga cryptocurrency memaksa aktor cryptojacking untuk meningkatkan operasi mereka sehingga mereka dapat mempertahankan keuntungan yang sama. Monero, khususnya, telah kehilangan lebih dari 20% nilainya selama enam bulan terakhir.

Sumber: Bleeping Computer

Peretas Korea Utara Menargetkan Bisnis Kecil dan Menengah dengan Ransomware H0lyGh0st

by

Grup yang menyebut dirinya H0lyGh0st sedang dilacak oleh Microsoft Threat Intelligence Center di bawah moniker DEV-0530, sebutan yang ditetapkan untuk grup aktivitas ancaman yang tidak diketahui, muncul, atau berkembang.

Entitas yang ditargetkan terutama mencakup usaha kecil hingga menengah seperti organisasi manufaktur, bank, sekolah, dan perusahaan perencanaan acara dan pertemuan.

“Bersama dengan muatan H0lyGh0st mereka, DEV-0530 memelihara situs .onion yang digunakan kelompok untuk berinteraksi dengan korban mereka,” kata para peneliti dalam analisis hari Kamis.

“Metodologi standar grup ini adalah mengenkripsi semua file pada perangkat target dan menggunakan ekstensi file .h0lyenc, mengirimkan sampel file kepada korban sebagai bukti, dan kemudian meminta pembayaran dalam Bitcoin sebagai imbalan untuk memulihkan akses ke file.”

Jumlah tebusan yang diminta oleh DEV-0530 berkisar antara 1,2 dan 5 bitcoin, meskipun analisis dompet cryptocurrency penyerang menunjukkan tidak ada pembayaran tebusan yang berhasil dari korbannya pada awal Juli 2022.

Sebagai tanda yang menunjukkan pengembangan aktif, empat varian berbeda dari ransomware H0lyGh0st dibuat antara Juni 2021 dan Mei 2022 untuk menargetkan sistem Windows: BTLC_C.exe, HolyRS.exe, HolyLock.exe, dan BLTC.exe.

Sementara BTLC_C.exe (dijuluki SiennaPurple) ditulis dalam C++, tiga versi lainnya (dengan nama kode SiennaBlue) diprogram dalam Go, menunjukkan upaya dari pihak musuh untuk mengembangkan malware lintas platform.

Strain yang lebih baru juga dilengkapi dengan peningkatan fungsionalitas intinya, termasuk kebingungan string dan kemampuan untuk menghapus tugas terjadwal dan menghapus dirinya sendiri dari mesin yang terinfeksi.

Penyusupan dikatakan telah difasilitasi melalui eksploitasi kerentanan yang belum ditambal dalam aplikasi web yang menghadap publik dan sistem manajemen konten (misalnya, CVE-2022-26352), memanfaatkan pembelian untuk menjatuhkan muatan ransomware dan mengekstrak data sensitif sebelum mengenkripsi file.

Temuan ini muncul seminggu setelah badan keamanan siber dan intelijen AS memperingatkan tentang penggunaan ransomware Maui oleh peretas yang didukung pemerintah Korea Utara untuk menargetkan sektor perawatan kesehatan setidaknya sejak Mei 2021.

Ekspansi dari perampokan finansial ke ransomware dipandang sebagai taktik lain yang disponsori oleh pemerintah Korea Utara untuk mengimbangi kerugian akibat sanksi, bencana alam, dan kemunduran ekonomi lainnya.

Sumber: The Hacker News

Operasi Ransomware Holy Ghost terkait dengan peretas Korea Utara

by

Selama lebih dari setahun, peretas Korea Utara telah menjalankan operasi ransomware yang disebut HolyGhost, menyerang usaha kecil di berbagai negara.

Para peneliti di Microsoft Threat Intelligence Center (MSTIC) melacak geng ransomware Holy Ghost sebagai DEV-0530. Dalam sebuah laporan sebelumnya hari ini, mereka mengatakan bahwa muatan pertama dari aktor ancaman ini terlihat tahun lalu pada bulan Juni.

Diklasifikasikan sebagai SiennaPurple (BTLC_C.exe), varian Ransomware Holy Ghost awal tidak datang dengan banyak fitur dibandingkan dengan versi berbasis Go berikutnya yang muncul pada Oktober 2021.

Microsoft melacak varian yang lebih baru sebagai SiennaBlue (HolyRS.exe, HolyLocker.exe, dan BTLC.exe) dan mencatat bahwa fungsinya diperluas dari waktu ke waktu untuk menyertakan beberapa opsi enkripsi, kebingungan string, manajemen kunci publik, dan dukungan internet/intranet.

Muatan ransomware Holy Ghost
Microsoft

Para peneliti mengatakan bahwa DEV-0530 berhasil mengkompromikan beberapa target, terutama usaha kecil hingga menengah. Di antara korban adalah bank, sekolah, organisasi manufaktur, dan perusahaan perencanaan acara dan pertemuan.

Aktor Holy Ghost mengikuti pola serangan ransomware yang khas dan mencuri data sebelum menerapkan rutin enkripsi pada sistem yang terinfeksi.

Penyerang meninggalkan catatan tebusan pada mesin yang disusupi dan mereka juga mengirim email kepada korban dengan tautan ke sampel data yang dicuri untuk mengumumkan bahwa mereka bersedia menegosiasikan uang tebusan dengan imbalan kunci dekripsi.

Catatan tebusan Roh Kudus
Microsoft

Biasanya, para pelaku menuntut pembayaran kecil antara 1,2 hingga 5 bitcoin, atau hingga sekitar $100.000 dengan nilai tukar saat ini.

Detail ini, tingkat serangan yang jarang, dan pemilihan korban secara acak menambah teori bahwa operasi ransomware HolyGhost mungkin tidak dikendalikan oleh pemerintah Korea Utara.

Sebaliknya, peretas yang bekerja untuk rezim Pyongyang mungkin melakukan ini sendiri, untuk keuntungan finansial pribadi.

Koneksi dengan kelompok peretas yang didukung negara hadir, karena MSTIC menemukan komunikasi antara akun email milik HolyGhost dan Andariel, aktor ancaman bagian dari Grup Lazarus di bawah Biro Umum Pengintaian Korea Utara.

Hubungan antara kedua kelompok menjadi lebih kuat dengan fakta bahwa keduanya “beroperasi dari set infrastruktur yang sama, dan bahkan menggunakan pengontrol malware khusus dengan nama yang mirip,” kata para peneliti.

Situs web Holy Ghost sedang down saat ini tetapi penyerang menggunakan visibilitas kecil yang dimilikinya untuk berpura-pura sebagai entitas yang sah yang mencoba membantu korban meningkatkan postur keamanan mereka.

Seperti aktor lain dalam bisnis ransomware, Holy Ghost meyakinkan para korban bahwa mereka tidak akan menjual atau membocorkan data yang dicuri jika mereka dibayar.

Laporan Microsoft mencakup serangkaian tindakan yang direkomendasikan untuk mencegah infeksi dengan muatan HolyGhost serta beberapa indikator kompromi yang ditemukan saat menyelidiki malware.

Sumber: Bleeping Computer

Karyawan Rogue HackerOne mencuri laporan bug untuk dijual di samping

by

Seorang karyawan HackerOne mencuri laporan kerentanan yang dikirimkan melalui platform bug bounty dan mengungkapkannya kepada pelanggan yang terpengaruh untuk mengklaim hadiah finansial.

Pekerja nakal telah menghubungi sekitar setengah lusin pelanggan HackerOne dan mengumpulkan hadiah “dalam beberapa pengungkapan,” kata perusahaan itu pada hari Jumat.

HackerOne adalah platform untuk mengoordinasikan pengungkapan kerentanan dan menengahi hadiah uang untuk pemburu bug yang mengirimkan laporan keamanan.

Pada 22 Juni, HackerOne menanggapi permintaan pelanggan untuk menyelidiki pengungkapan kerentanan yang mencurigakan melalui saluran komunikasi di luar platform dari seseorang yang menggunakan pegangan “rzlr.”

Pelanggan telah memperhatikan bahwa masalah keamanan yang sama sebelumnya telah dikirimkan melalui HackerOne.

Tabrakan bug, di mana banyak peneliti menemukan dan melaporkan masalah keamanan yang sama, sering terjadi; dalam hal ini, laporan asli dan laporan dari aktor ancaman memiliki kesamaan yang jelas yang mendorong untuk melihat lebih dekat.

Investigasi HackerOne menentukan bahwa salah satu karyawannya memiliki akses ke platform selama lebih dari dua bulan, sejak mereka bergabung dengan perusahaan pada 4 April hingga 23 Juni, dan menghubungi tujuh perusahaan untuk melaporkan kerentanan yang telah diungkapkan melalui sistemnya.

Karyawan nakal itu menerima hadiah untuk beberapa laporan yang mereka kirimkan, kata perusahaan itu. Ini memungkinkan HackerOne untuk mengikuti jejak uang dan mengidentifikasi pelaku sebagai salah satu pekerjanya yang melakukan triage pengungkapan kerentanan untuk “banyak program pelanggan.”

Menganalisis lalu lintas jaringan aktor ancaman mengungkapkan lebih banyak bukti yang menghubungkan akun utama dan sockpuppet mereka di HackerOne.

Kurang dari 24 jam setelah memulai penyelidikan, platform bug bounty mengidentifikasi pelaku ancaman, menghentikan akses sistem mereka, dan mengunci laptop mereka dari jarak jauh sambil menunggu penyelidikan.

Selama beberapa hari berikutnya, HackerOne melakukan pencitraan forensik jarak jauh dan analisis komputer tersangka dan selesai meninjau log akses data untuk karyawan tersebut selama masa kerja untuk menentukan semua program hadiah bug yang berinteraksi dengan aktor ancaman.

Pada 30 Juni, HackerOne menghentikan pekerjaan aktor ancaman.

HackerOne mencatat bahwa mantan karyawannya telah menggunakan bahasa “mengancam” dan “mengintimidasi” dalam interaksi mereka dengan pelanggan dan mendesak pelanggan untuk menghubungi perusahaan jika mereka menerima pengungkapan yang dibuat dengan nada agresif.

Perusahaan mengatakan bahwa “dalam sebagian besar kasus” tidak ada bukti data kerentanan telah disalahgunakan. Namun, pelanggan yang memiliki laporan yang diakses oleh pelaku ancaman internal, baik untuk tujuan jahat atau sah, telah diinformasikan secara individual tentang tanggal dan waktu akses untuk setiap pengungkapan kerentanan.

Pemberitahuan tersebut memberi tahu peretas tentang insiden tersebut dan menyertakan daftar laporan yang diakses oleh aktor ancaman baik secara sah, sebagai bagian dari pekerjaan mereka, atau dengan maksud untuk menyalahgunakan kerentanan yang dikirimkan.

Pembaruan [3 Juli, 14:21 EST]: Artikel diperbarui dengan pemberitahuan HackerOne kepada peretas dengan laporan yang diakses oleh karyawan nakal.

Sumber: Bleeping Computer

Backdoor ‘SessionManager’ Baru Menargetkan Server Microsoft IIS di Alam Liar

by

Malware yang baru ditemukan telah digunakan di alam liar setidaknya sejak Maret 2021 ke server Microsoft Exchange pintu belakang milik berbagai entitas di seluruh dunia, dengan infeksi yang masih ada di 20 organisasi pada Juni 2022.

Dijuluki SessionManager, alat jahat menyamar sebagai modul untuk Layanan Informasi Internet (IIS), perangkat lunak server web untuk sistem Windows, setelah mengeksploitasi salah satu kelemahan ProxyLogon dalam server Exchange.

Target termasuk 24 LSM, pemerintah, militer, dan organisasi industri yang berbeda yang mencakup Afrika, Amerika Selatan, Asia, Eropa, Rusia, dan Timur Tengah. Total 34 server telah disusupi oleh varian SessionManager hingga saat ini.

Ini jauh dari pertama kalinya teknik ini diamati dalam serangan dunia nyata. Penggunaan modul IIS nakal sebagai sarana untuk mendistribusikan implan tersembunyi memiliki gema dalam pencuri kredensial Outlook yang disebut Owowa yang terungkap pada Desember 2021.

“Menjatuhkan modul IIS sebagai pintu belakang memungkinkan pelaku ancaman untuk mempertahankan akses yang persisten, tahan pembaruan, dan relatif tersembunyi ke infrastruktur TI dari organisasi yang ditargetkan; baik itu untuk mengumpulkan email, memperbarui akses jahat lebih lanjut, atau secara sembunyi-sembunyi mengelola server yang disusupi yang dapat dimanfaatkan sebagai infrastruktur berbahaya,” kata peneliti Kaspersky, Pierre Delcher.

ProxyLogon, sejak pengungkapannya pada Maret 2021, telah menarik perhatian berulang kali dari beberapa pelaku ancaman dengan kru Gelsemium mengeksploitasi kelemahan untuk menjatuhkan SessionManager, sebuah pintu belakang yang dikodekan dalam C++ dan direkayasa untuk memproses HTTP permintaan dikirim ke server.

“Modul jahat seperti itu biasanya mengharapkan permintaan HTTP yang tampaknya sah tetapi dibuat secara khusus dari operator mereka, memicu tindakan berdasarkan instruksi tersembunyi operator jika ada, kemudian secara transparan meneruskan permintaan ke server untuk diproses seperti permintaan lainnya,” Delcher dijelaskan.

Dikatakan sebagai “pintu belakang akses awal persisten yang ringan,” SessionManager hadir dengan kemampuan untuk membaca, menulis, dan menghapus file arbitrer; mengeksekusi binari dari server; dan membangun komunikasi dengan titik akhir lain dalam jaringan.

Malware ini selanjutnya bertindak sebagai saluran rahasia untuk melakukan pengintaian, mengumpulkan kata sandi dalam memori, dan mengirimkan alat tambahan seperti Mimikatz serta utilitas dump memori dari Avast.

Temuan ini muncul saat Badan Keamanan Siber dan Infrastruktur AS (CISA) mendesak lembaga pemerintah dan entitas sektor swasta yang menggunakan platform Exchange untuk beralih dari metode Otentikasi Dasar lama ke alternatif Otentikasi Modern sebelum dihentikan pada 1 Oktober 2022.

Sumber: The Hacker News

Server Microsoft Exchange di Seluruh Dunia Di-backdoor dengan Malware Baru

by Leave a Comment

Penyerang menggunakan malware yang baru ditemukan untuk mem-backdoor server Microsoft Exchange milik pemerintah dan organisasi militer dari Eropa, Timur Tengah, Asia, dan Afrika.

Malware, yang dijuluki SessionManager oleh peneliti keamanan di Kaspersky, yang pertama kali terlihat pada awal 2022 adalah modul kode asli berbahaya untuk perangkat lunak server web Internet Information Services (IIS) Microsoft.

“Pintu belakang SessionManager memungkinkan pelaku ancaman untuk menjaga akses yang gigih, tahan pembaruan, dan agak tersembunyi ke infrastruktur TI dari organisasi yang ditargetkan,” Kaspersky mengungkapkan pada hari Kamis.

“Setelah masuk ke sistem korban, penjahat dunia maya di balik pintu belakang dapat memperoleh akses ke email perusahaan, memperbarui akses berbahaya lebih lanjut dengan menginstal jenis malware lain atau secara sembunyi-sembunyi mengelola server yang disusupi, yang dapat dimanfaatkan sebagai infrastruktur berbahaya.”

Kemampuan SessionManager mencakup, di antara fitur-fitur lainnya:

  • menjatuhkan dan mengelola file arbitrer di server yang disusupi
  • eksekusi perintah jarak jauh pada perangkat pintu belakang
  • menghubungkan ke titik akhir dalam jaringan lokal korban dan memanipulasi lalu lintas jaringan

Setelah penyebaran, modul IIS yang berbahaya memungkinkan operatornya untuk mengambil kredensial dari memori sistem, mengumpulkan informasi dari jaringan korban dan perangkat yang terinfeksi, dan mengirimkan muatan tambahan (seperti pemuat reflektif Mimikatz berbasis PowerSploit, Mimikatz SSP, ProcDump, dan alat pembuangan memori Avast yang sah).

Tautan grup APT Gelsemium

Berdasarkan viktimologi serupa dan penggunaan varian pintu belakang tipe server HTTP yang disebut OwlProxy, pakar keamanan Kaspersky percaya bahwa pintu belakang SessionManager IIS dimanfaatkan dalam serangan ini oleh aktor ancaman Gelsemium sebagai bagian dari operasi spionase di seluruh dunia.

Grup peretasan ini telah aktif setidaknya sejak 2014 dan dikenal menargetkan pemerintah, produsen elektronik, dan universitas dari Asia Timur dan Timur Tengah dan sebagian besar terbang di bawah radar.
“Eksploitasi kerentanan server pertukaran telah menjadi favorit penjahat dunia maya yang ingin masuk ke infrastruktur yang ditargetkan sejak Q1 2021. SessionManager yang baru ditemukan tidak terdeteksi dengan baik selama satu tahun dan masih digunakan di alam liar,” tambah Pierre Delcher, Peneliti Keamanan Senior di GREAT Kaspersky.

Sumber: BleepingComputer