Bank-bank Afrika semakin menjadi sasaran kampanye distribusi malware yang menggunakan trik penyelundupan HTML dan domain salah ketik untuk menjatuhkan trojan akses jarak jauh (RAT).
Penjahat dunia maya yang tertarik dengan keuntungan finansial yang cepat adalah sumber masalah yang konstan bagi bank-bank di Afrika, yang terpaksa menerapkan kontrol keamanan gerbang yang ketat.
Ini telah memaksa para pelaku ancaman untuk membuat serangan yang lebih pintar yang dapat melewati langkah-langkah perlindungan, dan pada tahun 2022, kampanye penargetan bank terlihat menggunakan kombinasi trik.
Serangan dimulai dengan email phishing yang dikirim ke karyawan bank dari domain salah ketik yang menyerupai URL perusahaan yang sah, biasanya bank pesaing.
Email tersebut memberi penerima tawaran pekerjaan yang menggiurkan dan tautan ke detail di situs tersebut. Mengikuti tautan itu membawa korban ke halaman web yang berisi instruksi aplikasi.
Situs-situs ini tidak melakukan phishing atau menghosting malware, jadi satu-satunya tujuan mereka adalah mengarahkan korban ke jalur infeksi.
Payload tiba dalam bentuk lampiran HTML pada pesan email tersebut, yang merupakan file arsip ISO yang disandikan base64 yang didekodekan dengan cepat dan ditawarkan untuk diunduh melalui gumpalan JavaScript di browser.
Teknik menyelinap format file berisiko tanpa meningkatkan alarm dari produk keamanan email disebut penyelundupan HTML, dan ini adalah metode distribusi muatan yang mapan dan sedang tren.
File ISO berisi file Visual Basic Script (VBS), yang dijalankan setelah klik dua kali untuk membuat kunci Registry baru dan menjalankan perintah PowerShell yang memanggil berbagai fungsi Windows API.
Setelah serangkaian eksekusi kode berbahaya dan penyalahgunaan Windows API, GuLoader dipasang di sistem dan dieksekusi untuk mengunduh dan menjalankan malware RemcosRAT.
Menurut analis ancaman HP, GuLoader memiliki dua URL unduhan dalam konfigurasinya, satu mengarah ke Dropbox dan satu lagi ke OneDrive, jadi ada beberapa redundansi yang diterapkan pada tahap ini.
Penting juga untuk dicatat bahwa GuLoader dijalankan melalui PowerShell yang disimpan di registri, dan berjalan di memori sistem, sehingga sebagian besar alat anti-virus tidak akan mendeteksinya.
Seperti yang ditunjukkan HP, satu-satunya cara untuk memutus rantai infeksi adalah dengan mengatur aplikasi default untuk file skrip dari Windows Script Host ke Notepad, yang akan mengungkapkan sifat sebenarnya dari file VBS.
Remcos adalah alat akses jarak jauh komersial (RAT) yang sah yang telah digunakan oleh penjahat dunia maya untuk tujuan jahat selama beberapa tahun sekarang.
Ini adalah alat canggih yang mendukung eksekusi perintah jarak jauh, pengambilan tangkapan layar, pencatatan penekanan tombol, perekaman webcam dan mikrofon, dan banyak lagi.
Pelaku ancaman menggunakan Remcos untuk mengendus detail transaksi, mencuri kredensial berharga, bergerak secara lateral di jaringan bank, atau mencuri informasi yang diperlukan untuk serangan BEC.
Pemerasan finansial melalui eksfiltrasi data atau penyebaran ransomware juga mungkin terjadi, sementara pelaku ancaman selalu dapat memilih untuk menjual akses jaringan mereka ke peretas lain dan menghasilkan uang dengan cepat tanpa mempertaruhkan masalah penegakan hukum.
Sumber : Bleeping Computer
