Operator geng TrickBot semakin menargetkan target bernilai tinggi dengan trojan BazarLoader siluman baru sebelum menyebarkan ransomware Ryuk.
Selama bertahun-tahun, geng TrickBot telah menggunakan trojan mereka untuk menyusupi jaringan perusahaan dengan mengunduh modul perangkat lunak berbeda yang digunakan untuk perilaku tertentu seperti mencuri kata sandi, menyebarkan ke komputer lain, atau bahkan mencuri domain database Active Directory.
Karena modul-modul ini telah banyak dianalisis dari waktu ke waktu, solusi keamanan menjadi lebih baik dalam mendeteksi modul-modul ini sebelum digunakan.
Dalam laporan baru, peneliti keamanan Advanced Intel menjelaskan bahwa alih-alih menyerang korban dengan trojan TrickBot yang sangat tinggi potensinya untuk terdeteksi, pelaku ancaman sekarang lebih memilih BazarBackdoor sebagai alat pilihan mereka untuk target perusahaan bernilai tinggi.
Penyusupan BazarLoader dimulai dengan serangan phishing yang ditargetkan, seperti yang ditunjukkan oleh email phishing yang diterima oleh BleepingComputer pada bulan April.
Setelah menginfeksi komputer, BazarLoader akan menggunakan proses hollowing untuk menyuntikkan komponen BazarBackdoor ke dalam proses Windows yang sah seperti cmd.exe, explorer.exe, dan svchost.exe. Sebuah scheduled task dibuat untuk memuat BazarLoader setiap kali pengguna masuk ke sistem.
Akhirnya, BazarBackdoor akan menyebarkan suar Cobalt Strike, yang menyediakan akses jarak jauh ke pelaku ancaman yang memasang alat pasca-eksploitasi seperti BloodHound dan Lasagne untuk memetakan domain Windows dan mengekstrak kredensial.
Pada akhirnya, serangan tersebut mengarah pada pelaku ancaman yang menyebarkan ransomware Ryuk di seluruh jaringan dan menuntut tebusan besar-besaran.
Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: Bleeping Computer
