Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat / RAT

RAT

Malware JavaScript baru yang tersembunyi menginfeksi PC Windows dengan RAT

by

Loader JavaScript tersembunyi baru bernama RATDispenser sedang digunakan untuk menginfeksi perangkat dengan berbagai trojan akses jarak jauh (RAT) dalam serangan phishing.

Loader baru dengan cepat membangun kemitraan distribusi dengan setidaknya delapan keluarga malware, semuanya dirancang untuk mencuri informasi dan memberi aktor kendali atas perangkat target.

Dalam 94% kasus yang dianalisis oleh tim Riset Ancaman HP, RATDispenser tidak berkomunikasi dengan server yang dikendalikan aktor dan hanya digunakan sebagai dropper malware tahap pertama.

Berlawanan dengan tren penggunaan dokumen Microsoft Office untuk menjatuhkan payload, loader ini menggunakan lampiran JavaScript, yang menurut HP memiliki tingkat deteksi yang rendah.

Infeksi dimulai dengan email phishing yang berisi lampiran JavaScript berbahaya yang diberi nama dengan ekstensi ganda ‘.TXT.js’. Karena Windows menyembunyikan ekstensi secara default, jika penerima menyimpan file ke komputer mereka, itu akan muncul sebagai file teks yang tidak berbahaya.

File teks ini sangat dikaburkan untuk melewati deteksi oleh perangkat lunak keamanan dan akan didekodekan saat file diklik dua kali dan diluncurkan.

Setelah diluncurkan, loader akan menulis file VBScript ke folder %TEMP%, yang kemudian dijalankan untuk mengunduh muatan malware (RAT).

Lapisan kebingungan ini membantu malware menghindari deteksi 89% setiap saat, berdasarkan hasil pemindaian VirusTotal.

Namun, email gateway akan mendeteksi loader jika organisasi telah mengaktifkan pemblokiran lampiran executable, seperti file .js, .exe, .bat, .com.

Cara lain untuk menghentikan rantai infeksi agar tidak terbuka adalah dengan mengubah file handler default untuk file JS, hanya mengizinkan skrip yang ditandatangani secara digital untuk dijalankan, atau menonaktifkan WSH (Windows Script Host).

Selengkapnya: Bleeping Computer

Gelombang Baru Serangan Malware Menargetkan Organisasi di Amerika Selatan

by

Kampanye spam yang mengirimkan email spear-phishing yang ditujukan untuk organisasi di Amerika Selatan telah melengkapi kembali tekniknya untuk memasukkan berbagai trojan akses jarak jauh (RAT) dan pemfilteran geolokasi untuk menghindari deteksi, menurut penelitian baru.

Perusahaan keamanan siber Trend Micro mengaitkan serangan itu dengan ancaman persisten tingkat lanjut (APT) yang dilacak sebagai APT-C-36 (alias Blind Eagle), kelompok spionase Amerika Selatan yang dicurigai telah aktif setidaknya sejak 2018 dan sebelumnya dikenal karena mengarahkan perhatiannya pada Institusi dan perusahaan pemerintah Kolombia yang mencakup sektor keuangan, perminyakan, dan manufaktur.

Sebagian besar menyebar melalui email penipuan dengan menyamar sebagai lembaga pemerintah Kolombia, seperti Direktorat Nasional Pajak dan Bea Cukai (DIAN), rantai infeksi dimulai ketika penerima pesan membuka dokumen PDF atau Word palsu yang mengklaim sebagai perintah penyitaan yang terkait dengan rekening bank mereka dan mengklik tautan yang dihasilkan dari layanan penyingkat URL seperti cort.as, acortaurl.com, dan gtly.to.

Jika korban memenuhi kriteria lokasi, pengguna diarahkan ke server file hosting, dan arsip yang dilindungi kata sandi diunduh secara otomatis, pada akhirnya mengarah ke eksekusi trojan akses jarak jauh berbasis C++ yang disebut BitRAT.

Beberapa indurstri, termasuk pemerintahan, keuangan, perawatan kesehatan, telekomunikasi, dan energi, minyak, dan gas, dikatakan telah terpengaruh, dengan mayoritas target untuk kampanye terbaru berlokasi di Kolombia dan sebagian kecil juga berasal dari Ekuador, Spanyol , dan Panama.

Selengkapnya: The Hacker News

Crimea “manifesto” menyebarkan VBA Rat menggunakan vektor serangan ganda

by

Pada 21 Juli 2021, kami mengidentifikasi dokumen mencurigakan bernama “Манифест.docx” (“Manifest.docx”) yang mengunduh dan menjalankan dua template: satu berkemampuan makro dan yang lainnya adalah objek html yang berisi eksploitasi Internet Explorer.

Sementara kedua teknik mengandalkan injeksi template untuk menjatuhkan Trojan Akses Jarak Jauh berfitur lengkap, eksploitasi IE (CVE-2021-26411) yang sebelumnya digunakan oleh Lazarus APT adalah penemuan yang tidak biasa. Penyerang mungkin ingin menggabungkan teknik rekayasa sosial dengan eksploitasi yang diketahui untuk memaksimalkan peluang mereka menginfeksi target.

Kami juga menemukan panel yang digunakan oleh aktor ancaman yang dijuluki “Ekipa” yang dapat diterjemahkan menjadi “tim.” Korban dilacak dan statistik mencakup apakah eksploitasi IE berhasil atau tidak.

Kami tidak dapat menentukan siapa yang mungkin berada di balik serangan ini berdasarkan teknik saja, tetapi dokumen umpan yang ditampilkan kepada para korban mungkin memberikan beberapa petunjuk. Ini berisi pernyataan dari kelompok yang berhubungan dengan Andrey Sergeevich Portyko dan menentang kebijakan Putin di semenanjung Krimea.

selengkapnya : blog.malwarebytes.com

Pakar Mengungkap Serangan Malware yang Menargetkan Jaringan Perusahaan di Amerika Latin

by

Peneliti keamanan siber pada hari Kamis mengumumkan kampanye spionase baru yang sedang berlangsung yang menargetkan jaringan perusahaan di negara-negara berbahasa Spanyol, khususnya Venezuela, untuk memata-matai para korbannya.

Dijuluki “Bandidos” oleh ESET karena penggunaan varian malware Bandook yang ditingkatkan, target utama pelaku ancaman adalah jaringan perusahaan di negara Amerika Selatan yang mencakup sektor manufaktur, konstruksi, perawatan kesehatan, layanan perangkat lunak, dan ritel.

Ditulis dalam Delphi dan C++, Bandook memiliki sejarah dijual sebagai trojan akses jarak jauh komersial (RAT) sejak tahun 2005. Sejak itu, banyak varian telah muncul di lanskap ancaman dan digunakan dalam kampanye pengawasan yang berbeda. pada tahun 2015 dan 2017, diduga oleh kelompok tentara bayaran cyber yang dikenal sebagai Dark Caracal atas nama kepentingan pemerintah di Kazakhstan dan Lebanon.

Dalam kebangkitan Trojan Bandook yang berkelanjutan, Check Point tahun lalu mengungkapkan tiga sampel baru — salah satunya mendukung 120 perintah — yang digunakan oleh musuh yang sama untuk menyerang pemerintah, keuangan, energi, industri makanan, perawatan kesehatan, pendidikan, TI, dan lembaga hukum yang berlokasi di Chili, Siprus, Jerman, Indonesia, Italia, Singapura, Swiss, Turki, dan AS

Rantai serangan terbaru dimulai dengan calon korban menerima email berbahaya dengan lampiran PDF, yang berisi URL singkat untuk mengunduh arsip terkompresi yang dihosting di Google Cloud, SpiderOak, atau pCloud dan kata sandi untuk mengekstraknya. Mengekstrak arsip mengungkapkan penetes malware yang memecahkan kode dan menyuntikkan Bandook ke dalam proses Internet Explorer.

selengkapnya : thehackernews.com

Microsoft: SEO poisoning digunakan untuk target backdoor dengan malware

by

Microsoft melacak serangkaian serangan yang menggunakan SEO poisoning untuk menginfeksi target dengan trojan akses jarak jauh (RAT) yang mampu mencuri informasi sensitif korban dan melakukan backdoor pada sistem mereka.

Malware yang dikirim dalam kampanye ini adalah SolarMarker (alias Jupyter, Polazert, dan Yellow Cockatoo), RAT .NET yang berjalan di memori dan digunakan oleh penyerang untuk menjatuhkan muatan lain pada perangkat yang terinfeksi.

SolarMarker dirancang untuk memberi masternya pintu belakang ke sistem yang disusupi dan mencuri kredensial dari browser web.

Data yang berhasil dipanen dari sistem yang terinfeksi dieksfiltrasi ke server perintah-dan-kontrol. Malware juga akan mendapatkan ketekunan dengan menambahkan dirinya ke folder Startup dan memodifikasi pintasan di desktop korban.

Pada bulan April, peneliti eSentire mengamati aktor ancaman di balik SolarMaker membanjiri hasil pencarian dengan lebih dari 100.000 halaman web yang mengklaim menyediakan formulir kantor gratis (misalnya, faktur, kuesioner, tanda terima, dan resume).

Dalam serangan terbaru yang ditemukan oleh Microsoft, penyerang telah beralih ke dokumen berisi kata kunci yang dihosting di AWS dan Strikingly, dan sekarang menargetkan sektor lain, termasuk keuangan dan pendidikan.

Setelah korban menemukan salah satu PDF perusak dan membukanya, mereka akan diminta untuk mengunduh dokumen PDF atau DOC lain yang berisi informasi yang mereka cari.

Alih-alih mendapatkan akses ke info, mereka diarahkan melalui beberapa situs web menggunakan .site, .tk, dan .ga TLD ke halaman web Google Drive yang dikloning di mana mereka menyajikan muatan terakhir, malware SolarMaker.

Selengkapnya: Bleeping Computer

Microsoft memperingatkan: Waspadai malware baru ini yang mencuri kata sandi, kamera web, dan data browser

by

Microsoft telah mengeluarkan peringatan atas alat akses jarak jauh (RAT) yang dijuluki RevengeRAT yang dikatakan telah digunakan untuk menargetkan sektor kedirgantaraan dan perjalanan dengan email spear-phishing.

RevengeRAT, juga dikenal sebagai AsyncRAT, didistribusikan melalui pesan email yang dibuat dengan hati-hati yang meminta karyawan untuk membuka file yang menyamar sebagai lampiran file Adobe PDF yang sebenarnya mengunduh file berbahaya visual basic (VB).

Menurut Microsoft, email phishing mendistribusikan loader yang kemudian mengirimkan RevengeRAT atau AsyncRAT. Morphisec mengatakan itu juga memberikan RAT Agent Tesla.

“Kampanye menggunakan email yang menipu organisasi yang sah, dengan umpan yang relevan dengan penerbangan, perjalanan, atau kargo. Gambar yang menyamar sebagai file PDF berisi tautan yang disematkan (biasanya menyalahgunakan layanan web yang sah) yang mengunduh VBScript berbahaya, yang menjatuhkan muatan RAT , “Kata Microsoft.

Morphisec menamai layanan cryptor “Snip3” berdasarkan nama pengguna yang diambil dari malware yang ditemukan pada varian sebelumnya.

Snip3 telah dikonfigurasi untuk tidak memuat RAT jika mendeteksi itu dijalankan dalam Windows Sandbox – fitur keamanan mesin virtual yang diperkenalkan Microsoft pada 2018. Windows Sandbox dimaksudkan untuk memungkinkan pengguna tingkat lanjut untuk menjalankan file yang berpotensi berbahaya dalam sandbox aman yang dimenangkan. tidak mempengaruhi sistem operasi host.

“Jika dikonfigurasi oleh [penyerang], PowerShell mengimplementasikan fungsi yang mencoba mendeteksi apakah skrip dijalankan dalam lingkungan Microsoft Sandbox, VMWare, VirtualBox, atau Sandboxie,” kata Morphisec.

selengkapnya : www.zdnet.com

Malware tersembunyi di cheat dan mod game yang digunakan untuk menargetkan gamer

by

Pelaku ancaman menargetkan pemain game dengan tweak, patch, dan cheat game backdoor yang menyembunyikan malware yang mampu mencuri informasi dari sistem yang terinfeksi.

Para penyerang kebanyakan menggunakan saluran media sosial dan video petunjuk YouTube untuk mengiklankan alat permainan terkait modding yang mengandung malware.

Peneliti Cisco Talos yang melihat beberapa kampanye menggunakan taktik ini mengatakan bahwa mereka “telah melihat beberapa alat kecil yang tampak seperti patch game, tweak, atau alat modding” ditanami dengan malware yang dikaburkan.

Salah satu jenis malware yang disebarkan pada komputer gamer yang terinfeksi adalah XtremeRAT (alias ExtRat), trojan akses jarak jauh (RAT) yang tersedia secara komersial yang digunakan dalam serangan yang ditargetkan dan kejahatan siber tradisional sejak setidaknya tahun 2010.

XtremeRAT memungkinkan operatornya untuk mengekstrak dokumen dari sistem yang dikompromikan, mencatat penekanan tombol, menangkap tangkapan layar, merekam audio menggunakan kamera web atau mikrofon, berinteraksi langsung dengan korban melalui remote shells, dan banyak lagi.

Game cheats adalah sumber infeksi malware yang diketahui dan telah digunakan untuk menginfeksi pemain dengan trojan akses jarak jauh, penambang cryptocurrency, dan jenis malware lainnya.

Tetapi para gamer juga menjadi sasaran serangan lain yang lebih kompleks. Misalnya, bulan lalu, para peneliti ESET menemukan bahwa aktor ancaman yang tidak dikenal membahayakan mekanisme pembaruan emulator Android untuk Windows dan macOS untuk menginfeksi gamer dengan malware.

Selengkapnya: Bleeping Computer

Seorang Pria Menunjukkan Apa yang Dilihat Peretas Saat Mereka Mengakses Komputer Anda

by

Matthew Linkert, dari Kanada, memposting klip ke akunnya yang menjelaskan seberapa besar kebebasan yang berpotensi dimiliki peretas jika mereka masuk ke perangkat Anda.

Dalam klip tersebut, dia menjelaskan bahwa dia menggunakan program yang sekarang sudah tidak berfungsi bernama Orcus, yang memungkinkan seseorang meretas komputer dan melakukan apa yang mereka inginkan – bahkan mengakses kamera Anda.

Menunjukkan bahwa ini untuk ‘tujuan pendidikan saja’, Matt mengatakan: “Program khusus ini disebut ‘Orcus’, ini adalah RAT, yang merupakan singkatan dari ‘Remote Administration Tool’ (Alat Administrasi Jarak Jauh), dan digunakan untuk mengakses komputer Anda, melihat semua file Anda , kamera web Anda, ketukan keyboard, semuanya.

Dalam video selanjutnya, Matt menunjukkan bahwa Anda tidak bisa benar-benar mendapatkan Orcus lagi, dan Anda tidak boleh mencobanya.

Video tersebut dapat Anda lihat pada link ini.

Sumber: Lad Bible