Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat / Phishing

Phishing

Kit phishing PayPal ditambahkan ke situs WordPress yang diretas untuk pencurian ID lengkap

by

Kit phishing yang baru ditemukan yang menargetkan pengguna PayPal mencoba mencuri sejumlah besar informasi pribadi dari para korban yang mencakup dokumen dan foto identitas pemerintah.

Kit ini di-host di situs web WordPress yang sah yang telah diretas, yang memungkinkannya untuk menghindari deteksi hingga tingkat tertentu.

Para peneliti di perusahaan teknologi internet Akamai menemukan kit phishing setelah pelaku ancaman menanamnya di honeypot WordPress mereka.

Pelaku ancaman menargetkan situs web yang kurang aman dan memaksa masuk mereka menggunakan daftar pasangan kredensial umum yang ditemukan secara online. Mereka menggunakan akses ini untuk menginstal plugin manajemen file yang memungkinkan pengunggahan kit phishing ke situs yang dilanggar.

Akamai menemukan bahwa salah satu metode yang digunakan kit phishing untuk menghindari deteksi adalah dengan referensi silang alamat IP ke domain milik sekumpulan perusahaan tertentu, termasuk beberapa organisasi di industri keamanan siber.

Para peneliti memperhatikan bahwa pembuat kit phishing berusaha membuat halaman penipuan terlihat profesional dan meniru situs PayPal asli sebanyak mungkin.

Salah satu aspek yang mereka amati adalah penulis menggunakan htaccess untuk menulis ulang URL sehingga tidak diakhiri dengan ekstensi file PHP. Ini menambah penampilan yang lebih bersih dan lebih halus yang memberikan legitimasi.

Menulis ulang URL untuk menghapus akhiran php (Akamai)

Selain itu, semua elemen antarmuka grafis dalam formulir ditata sesuai dengan tema PayPal, sehingga halaman phishing memiliki tampilan yang tampak autentik.

Mencuri data pribadi korban dimulai dengan memberi mereka tantangan CAPTCHA, sebuah langkah yang menciptakan rasa legitimasi yang salah.

CAPTCHA palsu menginjak situs phishing (Akamai)

Setelah tahap ini, korban diminta untuk masuk ke akun PayPal mereka menggunakan alamat email dan kata sandi mereka, yang secara otomatis dikirimkan ke pelaku ancaman. Setelah itu pelaku ancaman meminta informasi verifikasi lebih lanjut.

Di halaman berikutnya, korban diminta untuk memberikan sejumlah rincian pribadi dan keuangan yang mencakup data kartu pembayaran bersama dengan kode verifikasi kartu, alamat fisik, nomor jaminan sosial, nama gadis ibu.

Tampaknya kit phishing dibuat untuk memeras semua informasi pribadi dari korban. Selain data kartu yang biasanya dikumpulkan dalam penipuan phishing, yang satu ini juga meminta nomor jaminan sosial, nama gadis ibu, dan bahkan nomor PIN kartu untuk transaksi di mesin ATM.

Info lebih lanjut dikumpulkan (Akamai)

Mengumpulkan informasi sebanyak ini tidak khas untuk kit phishing. Namun, yang satu ini melangkah lebih jauh dan meminta korban untuk menautkan akun email mereka ke PayPal. Ini akan memberi penyerang token yang dapat digunakan untuk mengakses konten dari alamat email yang diberikan.

Akun email phishing (Akamai)

Meskipun telah mengumpulkan sejumlah besar informasi pribadi, pelaku ancaman belum selesai. Langkah selanjutnya, mereka meminta korban untuk mengunggah dokumen identitas resmi mereka untuk mengkonfirmasi identitas mereka.

Dokumen yang diterima adalah paspor, ID nasional, atau SIM dan prosedur pengunggahan dilengkapi dengan instruksi khusus, seperti yang diminta PayPal atau layanan resmi dari penggunanya.

Petunjuk tentang cara mengunggah dokumen (Akamai)

Penjahat dunia maya dapat menggunakan semua informasi ini untuk berbagai kegiatan ilegal mulai dari apa pun yang terkait dengan pencurian identitas hingga pencucian uang (misalnya membuat akun perdagangan mata uang kripto, mendaftarkan perusahaan) dan mempertahankan anonimitas saat membeli layanan hingga mengambil alih rekening perbankan atau mengkloning kartu pembayaran.

Meskipun kit phishing tampak canggih, para peneliti menemukan bahwa fitur unggah filenya dilengkapi dengan kerentanan yang dapat dieksploitasi untuk mengunggah shell web dan mengendalikan situs web yang disusupi.

Mengingat sejumlah besar informasi yang diminta, penipuan mungkin tampak jelas bagi sebagian pengguna. Namun, peneliti Akamai percaya bahwa elemen rekayasa sosial khusus inilah yang membuat kit ini berhasil.

Mereka menjelaskan bahwa verifikasi identitas adalah hal yang normal akhir-akhir ini dan ini dapat dilakukan dengan berbagai cara. “Orang-orang menilai merek dan perusahaan berdasarkan langkah-langkah keamanan mereka akhir-akhir ini,” kata para peneliti.

Penggunaan tantangan captcha menandakan dari awal bahwa verifikasi tambahan mungkin diharapkan. Dengan menggunakan metode yang sama seperti layanan yang sah, pelaku ancaman memantapkan kepercayaan korban.

Pengguna disarankan untuk memeriksa nama domain halaman yang meminta informasi sensitif. Mereka juga dapat membuka halaman resmi layanan, dengan mengetiknya secara manual di browser, untuk memeriksa apakah verifikasi identitas sudah dilakukan.

Sumber: Bleeping Computer

Microsoft: Phishing melewati MFA dalam serangan terhadap 10.000 organisasi

by

Microsoft mengatakan serangkaian besar serangan phishing telah menargetkan lebih dari 10.000 organisasi mulai September 2021, menggunakan akses yang diperoleh ke kotak surat korban dalam serangan kompromi email bisnis (BEC) lanjutan.

Pelaku ancaman menggunakan halaman arahan yang dirancang untuk membajak proses otentikasi Office 365 (bahkan pada akun yang dilindungi oleh otentikasi multifaktor (MFA) dengan memalsukan halaman otentikasi online Office.

Dalam beberapa serangan yang diamati, calon korban diarahkan ke halaman arahan dari email phishing menggunakan lampiran HTML yang bertindak sebagai penjaga gerbang memastikan target dikirim melalui redirector HTML.

Setelah mencuri kredensial target dan cookie sesi mereka, pelaku ancaman di balik serangan ini masuk ke akun email korban. Mereka kemudian menggunakan akses mereka dalam kampanye kompromi email bisnis (BRC) yang menargetkan organisasi lain.

“Kampanye phishing skala besar yang menggunakan situs phishing adversary-in-the-middle (AiTM) mencuri kata sandi, membajak sesi masuk pengguna, dan melewatkan proses otentikasi meskipun pengguna telah mengaktifkan otentikasi multifaktor (MFA),” kata tim peneliti Microsoft 365 Defender dan Microsoft Threat Intelligence Center (MSTIC).

“Para penyerang kemudian menggunakan kredensial yang dicuri dan cookie sesi untuk mengakses kotak surat pengguna yang terpengaruh dan melakukan kampanye kompromi email bisnis (BEC) lanjutan terhadap target lain.”

Ikhtisar kampanye phishing (Microsoft)

​Proses phishing yang digunakan dalam kampanye phishing skala besar ini dapat diotomatisasi dengan bantuan beberapa toolkit phishing open-source, termasuk Evilginx2, Modlishka, dan Muraena yang banyak digunakan.

Situs phishing yang digunakan dalam kampanye ini berfungsi sebagai proxy terbalik dan dihosting di server web yang dirancang untuk mem-proksi permintaan autentikasi target ke situs web sah yang mereka coba masuki melalui dua sesi Transport Layer Security (TLS) terpisah.

Menggunakan taktik ini, halaman phishing penyerang bertindak sebagai agen man-in-the-middle yang mencegat proses otentikasi untuk mengekstrak informasi sensitif dari permintaan HTTP yang dibajak, termasuk kata sandi dan, yang lebih penting, cookie sesi.

Setelah penyerang mendapatkan cookie sesi target, mereka menyuntikkannya ke browser web mereka sendiri, yang memungkinkan mereka untuk melewati proses otentikasi, bahkan jika korban mengaktifkan MFA pada akun yang disusupi.

Otentikasi penyadapan situs phishing (Microsoft)

​Untuk mempertahankan diri dari serangan semacam itu, Microsoft merekomendasikan penggunaan implementasi MFA “tahan phish” dengan otentikasi berbasis sertifikat dan dukungan Fast ID Online (FIDO) v2.0.

Praktik terbaik lain yang direkomendasikan yang akan meningkatkan perlindungan termasuk pemantauan upaya masuk yang mencurigakan dan aktivitas kotak surat, serta kebijakan akses bersyarat yang akan memblokir upaya penyerang untuk menggunakan cookie sesi yang dicuri dari perangkat yang tidak sesuai atau alamat IP yang tidak tepercaya.

Sumber: Bleeping Computer

Peretas meniru perusahaan keamanan siber dalam serangan callback phishing

by

Peretas meniru perusahaan keamanan siber terkenal, seperti CrowdStrike, dalam email phishing panggilan balik untuk mendapatkan akses awal ke jaringan perusahaan.

Selama setahun terakhir, pelaku ancaman semakin sering menggunakan kampanye phishing “Callback” yang meniru perusahaan terkenal yang meminta Anda menelepon nomor untuk menyelesaikan masalah, membatalkan perpanjangan langganan, atau mendiskusikan masalah lain.

Ketika target memanggil nomor, pelaku ancaman menggunakan rekayasa sosial untuk meyakinkan pengguna untuk menginstal perangkat lunak akses jarak jauh pada perangkat mereka, menyediakan akses awal ke jaringan perusahaan. Akses ini kemudian digunakan untuk mengkompromikan seluruh domain Windows.

Dalam kampanye phishing callback baru, para peretas meniru CrowdStrike untuk memperingatkan penerima bahwa penyusup jaringan jahat telah menyusup ke stasiun kerja mereka dan bahwa audit keamanan mendalam diperlukan.

Email phishing yang meniru CrowdStrike

Kampanye callback phishing ini berfokus pada manipulasi psikologis, menjelaskan secara rinci mengapa mereka harus diberikan akses ke perangkat penerima.

Pada akhirnya, email phishing meminta karyawan untuk menghubungi mereka melalui nomor telepon terlampir untuk menjadwalkan audit keamanan tempat kerja mereka.

Jika dipanggil, peretas akan memandu karyawan melalui pemasangan alat administrasi jarak jauh (RAT) yang memungkinkan pelaku ancaman untuk mendapatkan kendali penuh atas workstation.

Pelaku ancaman ini sekarang dapat menginstal alat tambahan dari jarak jauh yang memungkinkan mereka menyebar secara lateral melalui jaringan, mencuri data perusahaan, dan berpotensi menyebarkan ransomware untuk mengenkripsi perangkat.

Dalam sebuah laporan oleh CrowdStrike, perusahaan yakin kampanye ini kemungkinan akan mengarah pada serangan ransomware, seperti yang terlihat pada kampanye phishing panggilan balik sebelumnya.

CrowdStrike mencatat bahwa pada Maret 2022, analisnya mengidentifikasi kampanye serupa di mana pelaku ancaman menggunakan AteraRMM untuk menginstal Cobalt Strike dan kemudian bergerak secara lateral di jaringan korban sebelum mereka menyebarkan malware.

Kampanye phishing panggilan balik menjadi umum pada tahun 2021 dengan peluncuran kampanye phishing BazarCall yang digunakan oleh geng ransomware Conti untuk mendapatkan akses awal ke jaringan perusahaan.

Sejak itu, kampanye callback phishing telah menggunakan berbagai umpan, termasuk antivirus dan langganan dukungan serta pembaruan kursus online.

Vitali Kremez dari AdvIntel mengatakan bahwa kampanye yang dilihat oleh CrowdStrike diyakini dilakukan oleh geng ransomware Quantum, yang telah meluncurkan kampanye mirip BazarCall mereka sendiri.

Quantum adalah salah satu operasi ransomware penargetan perusahaan yang paling cepat berkembang saat ini, baru-baru ini dikaitkan dengan serangan terhadap PFC yang berdampak pada lebih dari 650 organisasi layanan kesehatan.

Analis keamanan juga telah mengkonfirmasi bahwa banyak mantan anggota Conti telah melompat ke Quantum setelah operasi sebelumnya ditutup karena peningkatan pengawasan oleh para peneliti dan penegak hukum.

Meskipun akan sulit bagi email phishing untuk menemukan kesuksesan massal di masa lalu, dalam situasi saat ini, dengan banyak karyawan yang bekerja dari jarak jauh dari rumah dan jauh dari tim TI mereka, prospek pelaku ancaman meningkat secara signifikan.

Sumber: Bleeping Computer

Peretas Menggunakan Tawaran Pekerjaan Palsu untuk Meretas dan Mencuri $540 Juta dari Axie Infinity

by

Peretasan Bridge Ronin Axie Infinity senilai $ 540 juta pada akhir Maret 2022 adalah konsekuensi dari salah satu mantan karyawannya yang ditipu oleh tawaran pekerjaan palsu di LinkedIn, telah muncul.

Menurut sebuah laporan, seorang insinyur senior di perusahaan tersebut ditipu untuk melamar pekerjaan di perusahaan yang tidak ada, menyebabkan individu tersebut mengunduh dokumen penawaran palsu yang disamarkan sebagai PDF.

Dokumen penawaran kemudian bertindak sebagai saluran untuk menyebarkan malware yang dirancang untuk menembus jaringan Ronin, yang pada akhirnya memfasilitasi salah satu peretasan terbesar di sektor kripto hingga saat ini.

“Karyawan Sky Mavis berada di bawah serangan spear-phishing tingkat lanjut yang konstan di berbagai saluran sosial dan satu karyawan dikompromikan,” kata perusahaan itu dalam analisis post-mortem pada bulan April.

“Karyawan ini tidak lagi bekerja di Sky Mavis. Penyerang berhasil memanfaatkan akses itu untuk menembus infrastruktur TI Sky Mavis dan mendapatkan akses ke node validator.”

Pada April 2022, Departemen Keuangan AS melibatkan Grup Lazarus yang didukung Korea Utara dalam insiden tersebut, dengan menyebut sejarah serangan kolektif musuh yang menargetkan sektor cryptocurrency untuk mengumpulkan dana bagi kerajaan pertapa.

Tawaran pekerjaan palsu telah lama digunakan oleh ancaman terus-menerus yang canggih sebagai iming-iming rekayasa sosial, sejak Agustus 2020 hingga kampanye yang dijuluki oleh perusahaan keamanan siber Israel ClearSky sebagai “Operation Dream Job.”

Dalam Laporan Ancaman T1 untuk tahun 2022, ESET mencatat bagaimana aktor yang beroperasi di bawah payung Lazarus telah menggunakan tawaran pekerjaan palsu melalui media sosial seperti LinkedIn sebagai strategi mereka untuk menyerang kontraktor pertahanan dan perusahaan kedirgantaraan.

Sementara Bridge Ethereum Ronin diluncurkan kembali pada bulan Juni, tiga bulan setelah peretasan, Grup Lazarus juga diduga berada di balik pencurian altcoin senilai $100 juta baru-baru ini dari Jembatan Harmony Horizon.

Temuan ini juga datang ketika proyek blockchain yang berpusat di sekitar Web 3.0 telah kehilangan lebih dari $2 miliar karena peretasan dan eksploitasi dalam enam bulan pertama tahun ini, audit blockchain dan perusahaan keamanan CertiK mengungkapkan dalam sebuah laporan minggu lalu.

Sumber : The Hacker News

$540 Juta Crypto Gaming Hack Dimungkinkan Dengan Skema Phishing yang Rumit

by

Klon Pokémon NFT, Axie Infinity, berubah dari terkenal karena pemain yang mengambil untung dari penipuan game “play-to-earn” menjadi terkenal karena diretas dari $ 540 juta dalam cryptocurrency.

Bagi mereka yang tidak terbiasa dengan grift Axie, pengembang Sky Mavis mengembangkan sidechain terkait Ethereum yang disebut Ronin Network dan mencangkok pada game tentang bertarung dan membiakkan monster lucu yang disebut Axie Infinity.

Di game tersebut pemain diundang untuk mendapatkan cryptocurrency berbasis Ethereum, awalnya game tersebut menghasilkan keuntungan besar karena pemain baru mencurahkan waktu dan uang mereka ke dalam platform. Namun pada awal tahun ini, perusahaan itu menghadapi segala macam hambatan, mulai dari pertumbuhan yang stagnan hingga inflasi mata uang dan, yang paling penting, salah satu peretasan crypto terbesar sepanjang masa.

Pengembang Sky Mavis mengungkapkan kembali pada bulan April bahwa pelanggaran keamanan dimungkinkan oleh seorang karyawan yang “dikompromikan” oleh “serangan spear-phishing tingkat lanjut.” “Penyerang berhasil memanfaatkan akses itu untuk menembus infrastruktur TI Sky Mavis dan mendapatkan akses ke node validator,” tulis perusahaan saat itu.

The Block sekarang melaporkan, berdasarkan dua sumber yang mengetahui langsung insiden tersebut, bahwa karyawan tersebut adalah seorang insinyur senior di Axie Infinity dan cara untuk menyusup ke komputer mereka adalah tawaran pekerjaan yang terlalu bagus untuk menjadi kenyataan.

Menurut The Block, penipu yang mewakili perusahaan palsu mendekati insinyur melalui LinkedIn, mendorong mereka untuk melamar pekerjaan, mengadakan beberapa putaran wawancara, dan akhirnya membuat tawaran pekerjaan yang mencakup “paket kompensasi yang sangat murah hati.” Namun tawaran itu tertuang dalam file PDF.

Setelah Mark mengunduhnya, spyware dilaporkan dapat menyusup ke sistem Jaringan Ronin dan memberi peretas akses ke empat dari lima node (dari total sembilan) yang mereka butuhkan untuk diuangkan. Akses ke yang kelima diperoleh melalui sesuatu yang disebut Axie DAO—organisasi terpisah yang diminta oleh Sky Mavis untuk membantu masuknya transaksi selama puncak popularitas Axie Infinity. Sky Mavis gagal menghapus akses DAO dari sistemnya setelah bantuannya tidak lagi diperlukan.

Salah satu daya tarik teknologi blockchain yang banyak digembar-gemborkan adalah kemampuannya untuk membuat basis data publik dan dapat diakses oleh semua orang sambil tetap menjaganya tetap aman. Tetapi setiap pintu yang terkunci, tidak peduli seberapa kuatnya, hanya akan seaman orang yang memegang kuncinya.

Di sini, dengan Axie Infinity, kerentanan karyawan Sky Mavis diperparah oleh pintasan ceroboh yang diperlukan untuk tetap berada di puncak pertumbuhan meteorik game musim gugur lalu. (Sky Mavis telah meningkatkan total node validatornya menjadi 11, dengan rencana jangka panjang untuk memiliki lebih dari 100.)

Tentu saja, sementara itu perusahaan masih perlu membayar kembali semua orang yang kehilangan uang dalam peretasan. Pada bulan April, ia mengumpulkan $150 juta lagi, sebagian dalam upaya untuk membuat playerbase yang ada menjadi utuh kembali.

Pada bulan yang sama, FBI mengidentifikasi peretas Korea Utara “Lazarus Group” sebagai pelaku di balik serangan Axie Infinity. Badan penegak hukum federal juga baru-baru ini memperingatkan perusahaan agar tidak secara tidak sengaja mempekerjakan peretas Korea Utara sebagai spesialis TI jarak jauh.

Sumber: Kotaku

OpenSea mengungkapkan pelanggaran data, memperingatkan pengguna akan serangan phishing

by

OpenSea, pasar non-fungible token (NFT) terbesar, mengungkapkan pelanggaran data pada hari Rabu dan memperingatkan pengguna tentang serangan phishing yang dapat menargetkan mereka dalam beberapa hari mendatang.

Pasar NFT online mengatakan memiliki lebih dari 600.000 pengguna dan volume transaksi yang melampaui $20 miliar.

Kepala Keamanan perusahaan, Cory Hardman, mengatakan bahwa seorang karyawan Customer.io, vendor pengiriman email platform, mengunduh alamat email milik pengguna OpenSea dan pelanggan buletin.

Karena alamat email yang dicuri dalam insiden tersebut juga dibagikan dengan pihak eksternal yang tidak berwenang, Hardman mendesak pengguna yang berpotensi terpengaruh untuk waspada terhadap upaya phishing yang meniru OpenSea.

“Jika Anda pernah membagikan email Anda dengan OpenSea di masa lalu, Anda harus berasumsi bahwa Anda terkena dampaknya. Kami sedang bekerja dengan Customer.io dalam penyelidikan mereka yang sedang berlangsung, dan kami telah melaporkan kejadian ini ke penegak hukum,” kata Hardman.

Pemberitahuan pelanggaran data OpenSea (Yocantseeme)

Pengguna juga diminta untuk mencari email yang dikirim dari domain yang dapat digunakan oleh pelaku jahat untuk menipu domain email resmi OpenSea, opensea.io.

Contoh domain yang dapat digunakan dalam serangan phishing yang menargetkan pengguna OpenSea termasuk opensea.org, opensea.xyz, dan opeansae.io.

Hardman juga membagikan serangkaian rekomendasi keamanan yang akan membantu mempertahankan diri dari upaya phishing yang menyarankan mereka untuk curiga terhadap email apa pun yang mencoba meniru OpenSea, tidak mengunduh dan membuka lampiran email, dan untuk memeriksa URL halaman yang ditautkan dalam email OpenSea.

Pengguna juga diimbau untuk tidak pernah membagikan atau mengonfirmasi kata sandi atau frasa dompet rahasia mereka dan tidak pernah menandatangani transaksi dompet jika diminta langsung melalui email.

Di masa lalu, pengguna OpenSea telah ditargetkan oleh aktor ancaman yang menyamar sebagai staf pendukung palsu dan oleh serangan phishing yang menyebabkan lebih dari selusin pengguna tanpa ratusan NFT senilai sekitar $2 juta.

Pada bulan September, OpenSea juga menutup bug yang dapat membuat penyerang mengosongkan dompet cryptocurrency pemilik akun OpenSea dengan memikat mereka untuk mengklik seni NFT yang berbahaya.

Sumber: Bleeping Computer

Operasi phishing Facebook Messenger besar-besaran menghasilkan jutaan

by

Para peneliti telah menemukan operasi phishing skala besar yang menyalahgunakan Facebook dan Messenger untuk memikat jutaan pengguna ke halaman phishing, menipu mereka agar memasukkan kredensial akun mereka dan melihat iklan.

Operator kampanye menggunakan akun curian ini untuk mengirim pesan phishing lebih lanjut ke teman-teman mereka, menghasilkan pendapatan yang signifikan melalui komisi iklan online.

Menurut PIXM, sebuah perusahaan keamanan siber yang berfokus pada AI yang berbasis di New York, kampanye tersebut mencapai puncaknya pada April-Mei 2022 tetapi telah aktif setidaknya sejak September 2021.

PIXM dapat melacak pelaku ancaman dan memetakan kampanye karena salah satu halaman phishing yang teridentifikasi menghosting tautan ke aplikasi pemantauan lalu lintas (whos.amung.us) yang dapat diakses publik tanpa autentikasi.

Meskipun tidak diketahui bagaimana kampanye awalnya dimulai, PIXM menyatakan bahwa korban tiba di halaman arahan phishing dari serangkaian pengalihan yang berasal dari Facebook Messenger.

Karena semakin banyak akun Facebook yang dicuri, pelaku ancaman menggunakan alat otomatis untuk mengirim tautan phishing lebih lanjut ke teman akun yang disusupi, menciptakan pertumbuhan besar-besaran dalam akun yang dicuri.

Sementara Facebook memiliki langkah-langkah perlindungan untuk menghentikan penyebaran URL phishing, pelaku ancaman menggunakan trik untuk melewati perlindungan ini.

Pesan phishing menggunakan layanan pembuatan URL yang sah seperti litch.me, famous.co, amaze.co, dan funnel-preview.com, yang akan menjadi masalah untuk diblokir karena aplikasi yang sah menggunakannya.

Beberapa URL yang digunakan dalam kampanye phishing (PIXM)

Setelah menemukan bahwa mereka dapat memperoleh akses yang tidak diautentikasi ke halaman statistik kampanye phishing, para peneliti menemukan bahwa pada tahun 2021, 2,7 juta pengguna telah mengunjungi salah satu portal phishing. Angka ini naik menjadi 8,5 juta pada tahun 2022, mencerminkan pertumbuhan besar-besaran dari kampanye.

Dengan menyelam lebih dalam, para peneliti mengidentifikasi 405 nama pengguna unik yang digunakan sebagai pengidentifikasi kampanye, masing-masing memiliki halaman phishing Facebook yang terpisah. Halaman phishing ini memiliki tampilan halaman mulai dari hanya 4.000 tampilan hingga jutaan, dengan satu tampilan halaman mencapai 6 juta.

Contoh pengguna diseminasi yang teridentifikasi (PIXM)

Para peneliti percaya bahwa 405 nama pengguna ini hanya mewakili sebagian kecil dari akun yang digunakan untuk kampanye.

Setelah korban memasukkan kredensial mereka di halaman arahan phishing, babak baru pengalihan dimulai, membawa mereka ke halaman iklan, formulir survei, dll.

Salah satu iklan ditampilkan kepada pengguna phishing (PIXM)

Pelaku ancaman menerima pendapatan rujukan dari pengalihan ini, yang diperkirakan mencapai jutaan USD pada skala operasi ini.

PIXM menemukan potongan kode umum di semua halaman arahan, yang berisi referensi ke situs web yang telah disita dan merupakan bagian dari penyelidikan terhadap seorang pria Kolombia yang diidentifikasi sebagai Rafael Dorado.

Situs web milik operator kampanye

Pencarian whois terbalik mengungkapkan tautan ke perusahaan pengembangan web yang sah di Kolombia dan situs lama yang menawarkan Facebook “seperti bot” dan layanan peretasan.

PIXM membagikan hasil penyelidikannya kepada Polisi Kolombia dan Interpol, tetapi seperti yang mereka ketahui, kampanye masih berlangsung, meskipun banyak URL yang diidentifikasi telah offline.

Sumber: Bleeping Computer

Malware SVCReady baru dimuat dari properti dokumen Word

by

Pemuat malware yang sebelumnya tidak dikenal bernama SVCReady telah ditemukan dalam serangan phishing, menampilkan cara yang tidak biasa untuk memuat malware dari dokumen Word ke mesin yang disusupi.

Lebih khusus lagi, ia menggunakan kode makro VBA untuk mengeksekusi shellcode yang disimpan di properti dokumen yang tiba di target sebagai lampiran email.

Menurut laporan baru oleh HP, malware tersebut telah digunakan sejak April 2022, dengan pengembang merilis beberapa pembaruan pada Mei 2022. Ini menunjukkan bahwa malware tersebut saat ini sedang dalam pengembangan berat, kemungkinan masih dalam tahap awal.

Namun, itu sudah mendukung eksfiltrasi informasi, ketekunan, fitur anti-analisis, dan komunikasi C2 terenkripsi.

Rantai infeksi dimulai dengan email phishing yang membawa lampiran .doc berbahaya.

Namun, bertentangan dengan praktik standar menggunakan PowerShell atau MSHTA melalui makro berbahaya untuk mengunduh muatan dari lokasi yang jauh, kampanye ini menggunakan VBA untuk menjalankan shellcode yang bersembunyi di properti file.

Seperti yang ditunjukkan di bawah ini, shellcode ini disimpan di properti dokumen Word, yang diekstraksi dan dieksekusi oleh makro.

Shellcode disembunyikan di properti dokumen (HP)

Dengan memisahkan makro dari kode shell berbahaya, pelaku ancaman berusaha untuk melewati perangkat lunak keamanan yang biasanya dapat mendeteksinya.

Kode shell yang sesuai dimuat memori tino dari mana ia akan menggunakan fungsi Windows API “Virtual Protect” untuk memperoleh hak akses yang dapat dieksekusi.

Selanjutnya, SetTimer API meneruskan alamat shellcode dan mengeksekusinya. Tindakan ini menghasilkan DLL (payload malware) jatuh ke direktori %TEMP%.

Salinan “rundll32.exe”, biner Windows yang sah, juga ditempatkan di direktori yang sama dengan nama yang berbeda dan akhirnya disalahgunakan untuk menjalankan SVCReady.

Malware SVCReady dimulai dengan membuat profil sistem melalui kueri Registry dan panggilan Windows API dan mengirimkan semua informasi yang dikumpulkan ke server C2 melalui permintaan HTTP POST.

Komunikasi dengan C2 dienkripsi menggunakan kunci RC4. Analis HP berkomentar bahwa fungsi ini ditambahkan pada bulan Mei selama salah satu pembaruan malware.

Malware ini juga membuat dua kueri WMI pada host untuk mencari tahu apakah itu berjalan di lingkungan virtual dan memasuki mode tidur selama 30 menit jika melakukannya untuk menghindari analisis.

Malware memasuki mode tidur untuk menggagalkan analisis (HP)

Mekanisme persistensi saat ini bergantung pada pembuatan tugas terjadwal dan kunci registri baru, tetapi karena kesalahan dalam penerapannya, malware tidak akan diluncurkan setelah reboot.

Tugas terjadwal yang dibuat oleh SVCready (HP)

Fase pengumpulan informasi kedua dimulai setelah semua itu, dan itu melibatkan tangkapan layar, mengekstraksi “osinfo”, dan mengirimkan semuanya ke C2.

Mekanisme pengambilan tangkapan layar (HP) malware

SVCReady terhubung ke C2 setiap lima menit untuk melaporkan statusnya, menerima tugas baru, mengirim informasi yang dicuri, atau memvalidasi domain.

Fungsi-fungsi yang didukung oleh SVCReady saat ini adalah sebagai berikut:

  • Unduh file ke klien yang terinfeksi
  • Ambil tangkapan layar
  • Jalankan perintah shell

Selengkapnya

Laporan HP melihat tautan ke kampanye TA551 (Shatak) sebelumnya seperti gambar memikat yang digunakan dalam dokumen berbahaya, URL sumber daya yang digunakan untuk mengambil muatan, dll. Sebelumnya, geng phishing menggunakan domain ini untuk menampung muatan Ursnif dan IcedID.

TA551 telah ditautkan ke berbagai operator malware dan bahkan afiliasi ransomware, sehingga hubungan dengan SVCReady saat ini tidak jelas dan dapat berupa kemitraan distribusi.

Sumber: Bleeping Computer