Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat / Malware

Malware

Malware pencuri kata sandi Erbium menyebar sebagai game cracks

by

Malware pencuri informasi ‘Erbium’ baru sedang didistribusikan sebagai celah palsu dan cheat untuk video game populer untuk mencuri kredensial korban dan dompet cryptocurrency.

Erbium adalah Malware-as-a-Service (MaaS) baru yang memberi pelanggan malware pencuri informasi baru yang semakin populer di komunitas kejahatan dunia maya berkat fungsionalitasnya yang luas, dukungan pelanggan, dan harga yang kompetitif.

Para peneliti di tim Cluster25 adalah yang pertama melaporkan Erbium awal bulan ini, tetapi laporan baru oleh Cyfirma membagikan informasi lebih lanjut tentang bagaimana trojan pencuri kata sandi didistribusikan.

Erbium awalnya berharga $9 per minggu, tetapi karena popularitasnya meningkat pada akhir Agustus, harganya naik menjadi $100 per bulan atau $1000 untuk lisensi setahun penuh.

Seperti malware pencuri informasi lainnya, Erbium akan mencuri data yang disimpan di browser web (berbasis Chromium atau Gecko), seperti kata sandi, cookie, kartu kredit, dan informasi pengisian otomatis.

Malware ini juga mencoba untuk mengekstrak data dari sejumlah besar dompet cryptocurrency yang dipasang di browser web sebagai ekstensi.

Dompet cryptocurrency panas yang ditargetkan (Cyfirma)

Dompet desktop seperti Exodus, Atomic, Armory, Bitecoin-Core, Bytecoin, Dash-Core, Electrum, Electron, Coinomi, Ethereum, Litecoin-Core, Monero-Core, Zcash, dan Jaxx juga dicuri.

Erbium juga mencuri kode otentikasi dua faktor dari Trezor Password Manager, EOS Authenticator, Authy 2FA, dan Authenticator 2FA.

Malware dapat mengambil tangkapan layar dari semua monitor, mengambil token Steam dan Discord, mencuri file auth Telegram, dan membuat profil host berdasarkan OS dan perangkat keras.

Semua data dieksfiltrasi ke C2 melalui sistem API bawaan, sementara operator mendapatkan gambaran umum tentang apa yang telah dicuri dari setiap host yang terinfeksi di dasbor Erbium, yang ditunjukkan di bawah ini.

Malware menggunakan tiga URL untuk terhubung ke panel, termasuk Jaringan Pengiriman Konten (CDN) Discord, sebuah platform yang sering disalahgunakan oleh operator malware.

Cluster25 melaporkan tanda-tanda infeksi Erbium di seluruh dunia, termasuk di Amerika Serikat, Prancis, Kolombia, Spanyol, Italia, India, Vietnam, dan Malaysia.

Sementara kampanye Erbium pertama menggunakan celah permainan sebagai umpan, saluran distribusi dapat terdiversifikasi secara signifikan kapan saja, karena pembeli malware dapat memilih untuk mendorongnya melalui metode yang berbeda.

Untuk menghindari ancaman dari sistem, hindari mengunduh perangkat lunak bajakan, pindai semua file yang diunduh pada alat AV, dan perbarui perangkat lunak Anda dengan menginstal patch keamanan terbaru yang tersedia.

Sumber: Bleeping Computer

Situs palsu menipu pengguna Zoom agar mengunduh kode mematikan

by

Waspadalah terhadap situs Zoom yang tidak Anda kenal, karena geng kriminal membuat beberapa versi palsu yang bertujuan memikat pengguna untuk mengunduh malware yang dapat mencuri data perbankan, alamat IP, dan informasi lainnya.

Peneliti ancaman di perusahaan cybersecurity Cyble menemukan enam situs Zoom palsu yang menawarkan aplikasi yang, jika diklik, akan mengunduh malware Vidar Stealer, yang juga mengambil banyak barang lainnya. Situs Zoom palsu adalah bagian dari upaya mencuri informasi yang lebih luas, menurut Cyble Research and Intelligence Lab (CRIL).

Perusahaan seperti Zoom memberi penyerang kelompok pengguna yang luas untuk dimangsa. Basis pengguna perusahaan telah meroket selama tiga tahun terakhir karena pandemi COVID-19, dan itu menjadikannya target yang sangat menarik.

Pada kuartal kedua, Zoom melaporkan 204.100 pelanggan perusahaan, meningkat 18 persen dari tahun ke tahun. Itu juga menghasilkan pendapatan hampir $ 1,1 miliar, melonjak 8 persen dibandingkan periode yang sama tahun lalu.

Mereka kemudian menemukan enam situs yang masih beroperasi: zoom-download[.]host; zoom-download[.]space, zoom-download[.]menyenangkan, zoomus[.]host, zoomus[.]tech, dan zoomus[.]website.

Situs-situs tersebut mengarahkan pengguna ke URL GitHub di backend yang menunjukkan aplikasi yang dapat diunduh. Jika pengguna mengunduh aplikasi berbahaya, itu menjatuhkan dua binari ZOOMIN-1.EXE dan Decoder.exe ke dalam folder sementara.

Malware disuntikkan ke MSBuild.exe dan kemudian mengekstrak alamat IP yang menampung DLL dan data konfigurasi, menempatkannya pada posisi untuk mencuri lebih banyak informasi. Itu juga dapat menyembunyikan alamat IP dari server command-and-control (C&C).

“Kami menemukan bahwa malware ini memiliki Tactics, Techniques, and Procedures (TTPs) yang tumpang tindih dengan Vidar Stealer,” tulis para peneliti, menambahkan bahwa, seperti Vidar Stealer, “payload malware ini menyembunyikan alamat IP C&C dalam deskripsi Telegram. teknik infeksi tampaknya serupa.”

Cyble menulis laporan mendalam tentang Vidar Stealer setahun yang lalu, mengatakan bahwa malware tersebut telah ada sejak 2018. Malware tersebut juga memiliki tautan ke ancaman serupa, Arkei Stealer.

Biz keamanan menguraikan langkah-langkah yang dapat diambil perusahaan dan pengguna untuk menghindari malware semacam itu, termasuk tidak mengunduh perangkat lunak bajakan, menggunakan kata sandi yang kuat dan otentikasi multi-faktor, memastikan pembaruan sistem secara otomatis, dan melatih karyawan untuk tidak membuka tautan yang tidak tepercaya.

Organisasi juga harus memantau suar jaringan untuk mendeteksi dan memblokir data yang dieksfiltrasi oleh malware atau kelompok ancaman, tambahnya.

Sumber: The Register

Peneliti Mengungkap APT Baru “Metador ” yang Menargetkan Telco, ISP, dan Universitas

by

Seorang aktor ancaman yang sebelumnya tidak terdokumentasi dengan asal tidak diketahui telah dikaitkan dengan serangan yang menargetkan telekomunikasi, penyedia layanan internet, dan universitas di berbagai negara di Timur Tengah dan Afrika.

“Operator sangat menyadari keamanan operasi, mengelola infrastruktur yang tersegmentasi dengan hati-hati per korban, dan dengan cepat menerapkan tindakan pencegahan yang rumit dengan adanya solusi keamanan,” kata peneliti dari SentinelOne dalam sebuah laporan baru.

Perusahaan keamanan siber menamai grup Metador dengan mengacu pada string “Saya meta” di salah satu sampel malware mereka dan karena respons bahasa Spanyol dari server command-and-control (C2).

Aktor ancaman dikatakan telah terutama berfokus pada pengembangan malware lintas platform dalam mengejar tujuan spionase. Keunggulan lain dari kampanye ini adalah jumlah gangguan yang terbatas dan akses jangka panjang ke target.

Ini termasuk dua platform malware Windows yang berbeda yang disebut metaMain dan Mafalda yang secara tegas dirancang untuk beroperasi di dalam memori dan menghindari deteksi. metaMain juga bertindak sebagai saluran untuk menyebarkan Mafalda, implan interaktif fleksibel yang mendukung 67 perintah.

metaMain, pada bagiannya, kaya fitur sendiri, memungkinkan musuh untuk mempertahankan akses jangka panjang, mencatat penekanan tombol, mengunduh dan mengunggah file arbitrer, dan mengeksekusi shellcode.

Sebagai tanda bahwa Mafalda secara aktif dikelola oleh pengembangnya, malware tersebut memperoleh dukungan untuk 13 perintah baru antara dua varian yang dikompilasi pada bulan April dan Desember 2021, menambahkan opsi untuk pencurian kredensial, pengintaian jaringan, dan manipulasi sistem file.

Selengkapnya: The Hacker News

VMware, Microsoft memperingatkan serangan malware Chromeloader yang meluas

by

VMware dan Microsoft memperingatkan kampanye malware Chromeloader yang sedang berlangsung dan meluas yang telah berkembang menjadi ancaman yang lebih berbahaya, terlihat menjatuhkan ekstensi browser berbahaya, malware node-WebKit, dan bahkan ransomware dalam beberapa kasus.

Infeksi Chromeloader melonjak pada Q1 2022, dengan para peneliti di Red Canary memperingatkan tentang bahaya pembajak peramban yang digunakan untuk afiliasi pemasaran dan penipuan iklan.

Saat itu, malware menginfeksi Chrome dengan ekstensi berbahaya yang mengarahkan lalu lintas pengguna ke situs iklan untuk melakukan penipuan klik dan menghasilkan pendapatan bagi pelaku ancaman.

Beberapa bulan kemudian, Unit 42 Jaringan Palo Alto memperhatikan bahwa Chromeloader berkembang menjadi pencuri info, mencoba mengambil data yang disimpan di browser sambil mempertahankan fungsi adwarenya.

Pada Jumat malam, Microsoft memperingatkan tentang “kampanye penipuan klik luas yang sedang berlangsung” yang dikaitkan dengan aktor ancaman yang dilacak sebagai DEV-0796 menggunakan Chromeloader untuk menginfeksi korban dengan berbagai malware.

Alur serangan Chromeloader
Sumber: Microsoft

Hari ini, analis di VMware menerbitkan laporan teknis yang menjelaskan berbagai varian Chromeloader yang digunakan pada bulan Agustus dan bulan ini, beberapa di antaranya menurunkan muatan yang jauh lebih kuat.

Malware ChromeLoader dikirimkan dalam file ISO yang didistribusikan melalui iklan berbahaya, pengalihan browser, dan komentar video YouTube.

File ISO telah menjadi metode populer untuk mendistribusikan malware sejak Microsoft mulai memblokir makro Office secara default. Selanjutnya, ketika mengklik dua kali pada ISO di Windows 10 dan yang lebih baru, mereka secara otomatis dipasang sebagai CDROM di bawah huruf drive baru, menjadikannya cara yang efisien untuk mendistribusikan beberapa file malware sekaligus.

File yang terdapat dalam arsip ISO ChromeLoader

ISO ChromeLoader biasanya berisi empat file, arsip ZIP yang berisi malware, file ICON, file batch (biasanya bernama Resources.bat) yang menginstal malware, dan pintasan Windows yang meluncurkan file batch.

Sebagai bagian dari penelitian mereka, VMware mengambil sampel setidaknya sepuluh varian Chromeloader sejak awal tahun, dengan yang paling menarik muncul setelah Agustus.

Contoh pertama adalah program yang meniru OpenSubtitles, sebuah utilitas yang membantu pengguna menemukan subtitle untuk film dan acara TV. Dalam kampanye ini, pelaku ancaman pindah dari file “Resources.bat” mereka yang biasa dan beralih ke file bernama “properties.bat,” yang digunakan untuk menginstal malware dan membangun kegigihan dengan menambahkan kunci Registry.

Kasus penting lainnya adalah “Flbmusic.exe,” meniru pemutar Musik FLB, menampilkan runtime Electron dan memungkinkan malware memuat modul tambahan untuk komunikasi jaringan dan pengintaian port.

Untuk beberapa varian, serangan berubah menjadi sedikit destruktif, mengekstraksi ZipBombs yang membebani sistem dengan operasi pembongkaran besar-besaran.

Yang lebih memprihatinkan, varian Chromeloader terbaru terlihat menyebarkan ransomware Enigma dalam file HTML.

Enigma adalah jenis ransomware lama yang menggunakan penginstal berbasis JavaScript dan executable tertanam sehingga dapat diluncurkan langsung dari browser default.

Setelah enkripsi selesai, ekstensi nama file “.enigma” ditambahkan ke file, sementara ransomware menjatuhkan file “readme.txt” yang berisi instruksi untuk korban.

Karena adware tidak menyebabkan kerusakan signifikan pada sistem korban, selain memakan bandwidth, biasanya adware merupakan ancaman yang diabaikan atau diremehkan oleh analis.

Namun, setiap perangkat lunak yang bersarang ke dalam sistem tanpa terdeteksi adalah kandidat untuk masalah yang lebih signifikan, karena pembuatnya mungkin menerapkan modifikasi yang memfasilitasi opsi monetisasi yang lebih agresif.

Sumber: Bleeping Computer

Paket malware baru menyebar sendiri melalui video game YouTube

by

Bundel malware baru menggunakan saluran YouTube korban untuk mengunggah video tutorial berbahaya yang mengiklankan cheat dan crack palsu untuk video game populer untuk menyebarkan paket berbahaya lebih jauh.

Bundel malware yang menyebar sendiri telah dipromosikan di video YouTube yang menargetkan penggemar yang bermain FIFA, Final Fantasy, Forza Horizon, Lego Star Wars, dan Spider-Man.

Video yang diunggah ini berisi tautan untuk mengunduh crack dan cheat palsu, tetapi pada kenyataannya, mereka memasang bundel malware yang menyebar sendiri yang menginfeksi pengunggah.

Dalam laporan baru oleh Kaspersky, para peneliti menemukan arsip RAR yang berisi kumpulan malware, terutama RedLine, yang saat ini merupakan salah satu pencuri informasi yang paling banyak didistribusikan.

RedLine dapat mencuri informasi yang disimpan di browser web korban, seperti cookie, kata sandi akun, dan kartu kredit, mengakses percakapan instant messenger, dan membahayakan dompet cryptocurrency.

Selain itu, penambang disertakan dalam arsip RAR, mengambil keuntungan dari kartu grafis korban, yang kemungkinan besar mereka miliki karena mereka menonton video game di YouTube, untuk menambang cryptocurrency untuk penyerang.

Berkat utilitas Nirsoft NirCmd yang sah dalam bundel, bernama “nir.exe,” saat diluncurkan, semua yang dapat dieksekusi akan disembunyikan dan tidak menghasilkan jendela di antarmuka atau ikon bilah tugas apa pun, jadi semuanya tetap tersembunyi dari korban.

Infeksi yang dibundel dan yang dapat dieksekusi sendiri tidak terlalu menarik dan biasanya digunakan oleh aktor ancaman dalam kampanye distribusi malware lainnya.

Namun, Kaspersky menemukan mekanisme propagasi diri yang tidak biasa dan menarik yang bersembunyi di arsip yang memungkinkan malware menyebar sendiri ke korban lain di Internet.

Secara khusus, RAR berisi file batch yang menjalankan tiga executable berbahaya, yaitu “MakiseKurisu.exe”, “download.exe”, dan “upload.exe”, yang melakukan self-propagation bundel.

File yang terdapat dalam RAR (Kaspersky)

Yang pertama, MakiseKurisu, adalah versi modifikasi dari pencuri kata sandi C# yang tersedia secara luas, yang digunakan hanya untuk mengekstrak cookie dari browser dan menyimpannya secara lokal.

Eksekusi kedua, “download.exe”, digunakan untuk mengunduh video dari YouTube, yang merupakan salinan video yang mempromosikan bundel berbahaya.

Video diunduh dari tautan yang diambil dari repositori GitHub untuk menghindari mengarah ke URL video yang dilaporkan dan dihapus dari YouTube.

Video YouTube yang mempromosikan bundel malware (Kaspersky)

Akhirnya, “upload.exe” digunakan untuk mengunggah video yang mempromosikan malware ke YouTube, menggunakan cookie yang dicuri untuk masuk ke akun YouTube korban dan menyebarkan bundel melalui saluran mereka.

Code to upload the malicious videos (Kaspersky)

“Itu [upload.exe] menggunakan Puppiteer Node library, yang menyediakan API tingkat tinggi untuk mengelola Chrome dan Microsoft Edge menggunakan protokol DevTools,” jelas Kaspersky dalam laporannya.

“Ketika video berhasil diunggah ke YouTube, upload.exe mengirim pesan ke Discord dengan tautan ke video yang diunggah.”

Menghasilkan pemberitahuan Discord (Kaspersky)

Sementara pelaku ancaman mendapat informasi tentang unggahan baru, pemilik saluran kemungkinan tidak akan menyadari bahwa mereka mempromosikan perangkat lunak perusak di YouTube jika mereka tidak terlalu aktif di platform tersebut.

Metode distribusi agresif ini membuat pengawasan dan penghapusan di YouTube semakin sulit, karena video yang mengarah ke unduhan berbahaya diunggah dari akun yang kemungkinan memiliki catatan bersih yang sudah lama ada.

Sumber: Bleeping Computer

Malware tersembunyi baru yang menargetkan Linux

by

Malware Linux baru yang dikenal sebagai Shikitega telah ditemukan menginfeksi komputer dan perangkat IoT dengan muatan tambahan.

Malware ini mengeksploitasi kerentanan untuk meningkatkan hak istimewanya, menambahkan persistensi pada host melalui crontab, dan akhirnya meluncurkan penambang cryptocurrency pada perangkat yang terinfeksi.

Shikitega berhasil menghindari deteksi anti-virus menggunakan encoder polimorfik yang membuat deteksi statis berbasis tanda tangan menjadi tidak mungkin.

Para peneliti di AT&T mengatakan malware menggunakan rantai infeksi multi-langkah di mana setiap lapisan hanya mengirimkan beberapa ratus byte, mengaktifkan modul sederhana dan kemudian pindah ke yang berikutnya.

Infeksi dimulai dengan file ELF 370 byte, yang merupakan penetes yang berisi kode shell yang disandikan.

File ELF yang memulai rantai infeksi (AT&T)

Pengkodean dilakukan menggunakan enkoder umpan balik aditif XOR polimorfik ‘Shikata Ga Nai,’ yang sebelumnya dianalisis oleh Mandiant.

“Dengan menggunakan encoder, malware berjalan melalui beberapa loop decode, di mana satu loop mendecode lapisan berikutnya hingga payload shellcode terakhir didekodekan dan dieksekusi,” lanjut laporan tersebut.

Loop dekripsi Shikata Ga Nai (AT&T)

Setelah dekripsi selesai, shellcode dieksekusi untuk menghubungi command and control server (C2) malware dan menerima shellcode (perintah) tambahan yang disimpan dan dijalankan langsung dari memori.

Salah satu dari perintah ini mengunduh dan menjalankan ‘Mettle,’ muatan Metasploit Meterpreter kecil dan portabel yang memberi penyerang lebih jauh kendali jarak jauh dan opsi eksekusi kode pada host.

Mettle mengambil file ELF yang lebih kecil, yang mengeksploitasi CVE-2021-4034 (alias PwnKit) dan CVE-2021-3493 untuk meningkatkan hak istimewa dan mengunduh payload tahap akhir, penambang cryptocurrency, sebagai root.

Kegigihan untuk penambang crypto dicapai dengan mengunduh lima skrip shell yang menambahkan empat cronjobs, dua untuk pengguna root dan dua untuk pengguna saat ini.

Lima skrip shell dan fungsinya (AT&T)

Crontab adalah mekanisme persistensi yang efektif, sehingga semua file yang diunduh dihapus untuk mengurangi kemungkinan malware ditemukan.

Penambang kripto adalah XMRig versi 6.17.0, berfokus pada penambangan Monero yang berfokus pada anonimitas dan sulit dilacak.

Ikhtisar rantai infeksi Shikitega (AT&T)

Untuk lebih mengurangi kemungkinan meningkatkan alarm pada produk keamanan jaringan, aktor ancaman di belakang Shikitega menggunakan layanan hosting cloud yang sah untuk meng-host infrastruktur komando dan kontrol mereka.

Tim AT&T melaporkan peningkatan tajam dalam malware Linux tahun ini, menyarankan admin sistem untuk menerapkan pembaruan keamanan yang tersedia, menggunakan EDR di semua endpoint, dan membuat cadangan rutin untuk data penting.

Sumber : Bleeping Computer

Ekstensi Chrome dengan 1,4 juta pemasangan mencuri data penjelajahan

by

Analis ancaman di McAfee menemukan lima ekstensi Google Chrome yang mencuri aktivitas penelusuran pengguna yang telah diunduh lebih dari 1,4 juta kali.

Tujuan dari ekstensi jahat adalah untuk memantau saat pengguna mengunjungi situs web e-niaga dan untuk mengubah cookie pengunjung agar tampak seolah-olah mereka datang melalui tautan perujuk. Untuk ini, penulis ekstensi mendapatkan biaya afiliasi untuk setiap pembelian di toko elektronik.

Lima ekstensi berbahaya yang ditemukan oleh peneliti McAfee adalah sebagai berikut:

  • Netflix Party (mmnbenehknklpbendgmgneaignppnbe) – 800.000 unduhan
  • Netflix Party 2 (flijfnhifgdcbhglkneplegafminjnhn) – 300.000 unduhan
  • Full Page Screenshot Capture – Screenshotting (pojgkmkfincpdkdgjepkmdekcahmckjp) – 200.000 unduhan
  • FlipShope – Price Tracker Extension (adikhbfjdbjkhelbdnffogkobkekkkej) – 80.000 unduhan
  • AutoBuy Flash Sales (gbnahglfafmhaehbdmjedfhdmimjcbed) – 20.000 unduhan
Empat dari ekstensi berbahaya (McAfee)

Kelima ekstensi yang ditemukan oleh McAfee memiliki perilaku yang serupa. Manifes aplikasi web (file “manifest.json”), yang menentukan bagaimana ekstensi harus berperilaku pada sistem, memuat skrip multifungsi (B0.js) yang mengirimkan data penelusuran ke domain yang dikontrol penyerang (“langhort[.] com”).

Data dikirimkan melalui permintaan POST setiap kali pengguna mengunjungi URL baru. Info yang menjangkau penipu termasuk URL dalam bentuk base64, ID pengguna, lokasi perangkat (negara, kota, kode pos), dan URL rujukan yang disandikan.

Jika situs web yang dikunjungi cocok dengan entri apa pun pada daftar situs web yang pembuat ekstensinya memiliki afiliasi aktif, server akan merespons B0.js dengan salah satu dari dua kemungkinan fungsi.

Yang pertama, “Result[‘c’] – passf_url “, memerintahkan skrip untuk memasukkan URL yang disediakan (tautan rujukan) sebagai iframe di situs web yang dikunjungi.

Yang kedua, “Result[‘e’] setCookie”, memerintahkan B0.js untuk memodifikasi cookie atau menggantinya dengan cookie yang disediakan jika ekstensi telah diberikan izin terkait untuk melakukan tindakan ini.

Untuk menghindari deteksi, analisis, dan untuk membingungkan peneliti atau pengguna yang waspada, beberapa ekstensi menampilkan penundaan 15 hari sejak pemasangannya sebelum mulai mengirimkan aktivitas browser.

Pada saat penulisan ini, “Full Page Screenshot Capture – Screenshotting” dan “FlipShope – Price Tracker Extension” masih tersedia di Toko Web Chrome.

Kedua ekstensi Netflix Party telah dihapus dari toko, tetapi ini tidak menghapusnya dari browser web, jadi pengguna harus mengambil tindakan manual untuk mencopot pemasangannya.

Sumber: Bleeping Computer

Bagaimana peretas ‘Kimsuky’ memastikan malware mereka hanya mencapai target yang valid

by

Aktor ancaman ‘Kimsuky’ Korea Utara akan berusaha keras untuk memastikan bahwa muatan berbahaya mereka hanya diunduh oleh target yang valid dan bukan pada sistem peneliti keamanan.

Menurut laporan Kaspersky yang diterbitkan hari ini, kelompok ancaman telah menggunakan teknik baru untuk menyaring permintaan unduhan yang tidak valid sejak awal tahun 2022, ketika kelompok tersebut meluncurkan kampanye baru terhadap berbagai target di semenanjung Korea.

Perlindungan baru yang diterapkan oleh Kimsuky sangat efektif sehingga Kaspersky melaporkan ketidakmampuan untuk memperoleh muatan akhir bahkan setelah berhasil terhubung ke server perintah dan kontrol pelaku ancaman.

Serangan yang ditemukan oleh Kaspersky dimulai dengan email phishing yang dikirim ke politisi, diplomat, profesor universitas, dan jurnalis di Korea Utara dan Selatan.

Kaspersky dapat mengkompilasi daftar target potensial berkat skrip C2 yang diambil yang berisi sebagian alamat email target.

Target potensial yang diturunkan oleh Kaspersky

Email berisi tautan yang membawa korban ke server C2 tahap pertama yang memeriksa dan memverifikasi beberapa parameter sebelum mengirimkan dokumen berbahaya. Jika pengunjung tidak cocok dengan daftar target, mereka akan disuguhi dokumen yang tidak berbahaya.

Parameter termasuk alamat email pengunjung, OS (Windows valid), dan file “[who].txt” yang dijatuhkan oleh server tahap kedua.

Pada saat yang sama, alamat IP pengunjung diteruskan ke server C2 tahap kedua sebagai parameter pemeriksaan berikutnya.

Dokumen yang dijatuhkan oleh C2 tahap pertama berisi makro berbahaya yang menghubungkan korban ke C2 tahap kedua, mengambil muatan tahap berikutnya, dan menjalankannya dengan proses mshta.exe.

Beberapa dokumen dikirim ke target (Kaspersky)

Payload adalah file .HTA yang juga membuat tugas terjadwal untuk eksekusi otomatis. Fungsinya untuk profil korban dengan memeriksa jalur folder ProgramFiles, nama AV, nama pengguna, versi OS, versi MS Office, versi .NET framework, dan banyak lagi.

Hasil sidik jari disimpan dalam string (“chnome”), salinan dikirim ke C2, dan muatan baru diambil dan didaftarkan dengan mekanisme persistensi.

Payload berikutnya adalah file VBS yang dapat membawa korban ke blog yang sah atau, jika targetnya valid, bawa mereka ke fase download payload berikutnya.

Ini adalah saat sistem korban diperiksa untuk keberadaan string “chnome” yang tidak biasa, yang sengaja salah eja untuk berfungsi sebagai validator unik yang masih tidak menimbulkan kecurigaan.

Proses infeksi terbaru Kimsuky (Kaspersky)

Sayangnya, Kaspersky tidak dapat melanjutkan dari sini dan mengambil payload tahap berikutnya, jadi apakah itu akan menjadi yang terakhir atau jika ada sebagian besar langkah validasi masih belum diketahui.

Kimsuky adalah aktor ancaman yang sangat canggih yang baru-baru ini terlihat menyebarkan malware khusus dan menggunakan ekstensi Google Chrome untuk mencuri email dari korban.

Kampanye yang disorot oleh Kaspersky menggambarkan teknik rumit yang digunakan oleh peretas Korea untuk menghalangi analisis dan membuat pelacakan mereka jauh lebih sulit.

Sumber: