Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for News

Microsoft Exchange baru zero-day secara aktif dieksploitasi dalam serangan

by

Peneliti keamanan siber Vietnam GTSC telah menemukan pelaku ancaman mengeksploitasi bug zero-day Microsoft Exchange yang belum diungkapkan yang memungkinkan eksekusi kode jarak jauh.

Penyerang merantai sepasang zero-days untuk menyebarkan web shell China Chopper di server yang disusupi untuk kegigihan dan pencurian data, serta pindah secara lateral ke sistem lain di jaringan korban.

GTSC mencurigai bahwa kelompok ancaman China bertanggung jawab atas serangan berdasarkan halaman kode web shell, pengkodean karakter Microsoft untuk bahasa China yang disederhanakan.

Agen pengguna yang digunakan untuk menginstal web shell juga milik Antsword, alat admin situs web open-source berbasis Cina dengan dukungan manajemen web shell.

Kerentanan tersebut dilaporkan ke Microsoft secara pribadi tiga minggu lalu melalui Zero Day Initiative, yang melacak mereka sebagai ZDI-CAN-18333 dan ZDI-CAN-18802 setelah analis memvalidasi masalah tersebut.

Trend Micro merilis penasihat keamanan pada kamis malam dan mengonfirmasi bahwa mereka menyerahkan dua kerentanan zero-day Microsoft Exchange baru yang ditemukan oleh GTSC ke Microsoft.

Perusahaan telah menambahkan deteksi untuk zero-days ini ke produk IPS N-Platform, NX-Platform, atau TPS.

GTSC telah merilis sangat sedikit detail mengenai bug zero-day ini. Namun, para penelitinya mengungkapkan bahwa permintaan yang digunakan dalam rantai eksploitasi ini mirip dengan yang digunakan dalam serangan yang menargetkan kerentanan ProxyShell.

Eksploitasi bekerja dalam dua tahap:

  • Permintaan dengan format yang mirip dengan kerentanan ProxyShell: autodiscover/autodiscover.json?@evil.com/&Email=autodiscover/autodiscover.json%3f@evil.com.
  • Penggunaan tautan di atas untuk mengakses komponen di backend tempat RCE dapat diimplementasikan.

GTSC membagikan mitigasi sementara yang akan memblokir upaya serangan dengan menambahkan aturan server IIS baru menggunakan modul Aturan Penulisan Ulang URL:

  • Di Autodiscover di FrontEnd, pilih tab URL Rewrite, lalu Request Blocking.
  • Tambahkan string “.*autodiscover\.json.*\@.*Powershell.*“ ke Jalur URL.
  • Condition input: Pilih {REQUEST_URI}

Admin yang ingin memeriksa apakah server Exchange mereka telah disusupi menggunakan eksploitasi ini dapat menjalankan perintah PowerShell berikut untuk memindai file log IIS untuk indikator kompromi:

Get-ChildItem -Recurse -Path -Filter “*.log” | Select-String -Pattern ‘powershell.*autodiscover\.json.*\@.*200

Sumber: Bleeping Computer

Malware Prilex ditingkatkan untuk melewati keamanan kartu kredit

by

Analis keamanan telah mengamati tiga versi baru malware penargetan Prilex PoS tahun ini, yang menunjukkan bahwa pembuat dan operatornya kembali beraksi.

Prilex dimulai sebagai malware yang berfokus pada ATM pada tahun 2014 dan beralih ke perangkat PoS (point of sale) pada tahun 2016. Disaat pengembangan dan distribusi mencapai puncaknya pada tahun 2020, malware tersebut menghilang pada tahun 2021.

Analis Kaspersky sekarang melaporkan bahwa Prilex telah kembali, dan jeda operasional tahun lalu tampaknya menjadi jeda untuk fokus mengembangkan versi yang lebih canggih dan kuat.

Angsuran terbaru mampu menghasilkan kriptogram EMV (Europay, MasterCard, dan Visa), yang diperkenalkan pada tahun 2019 oleh VISA sebagai sistem validasi transaksi untuk membantu mendeteksi dan memblokir penipuan pembayaran.

Hal tersebut juga memungkinkan pelaku ancaman untuk menggunakan kriptogram EMV (pesan terenkripsi antara kartu dan pembaca yang berisi detail transaksi) untuk melakukan ‘transaksi GHOST’ bahkan menggunakan kartu kredit yang dilindungi dengan teknologi CHIP dan PIN.

Rantai serangan malware Prilex (Kaspersky)

Infeksi dimulai dengan email spear phishing yang menyamar sebagai teknisi dari vendor PoS, menuduh bahwa perusahaan perlu memperbarui perangkat lunak PoS-nya.

Selanjutnya, teknisi palsu mengunjungi lokasi target secara langsung dan menginstal pembaruan berbahaya di terminal PoS.

Atau, penyerang mengarahkan korban untuk menginstal alat akses jarak jauh AnyDesk di komputer mereka dan kemudian menggunakannya untuk mengganti firmware PoS dengan versi yang dicampur.

Setelah infeksi, operator akan mengevaluasi mesin untuk menentukan apakah target cukup produktif dalam hal volume transaksi keuangan atau tidak sepadan dengan waktu mereka.

Versi Prilex baru telah menambahkan pintu belakang untuk komunikasi, pencuri untuk mencegat semua pertukaran data, dan modul pengunggah untuk eksfiltrasi.

Modul pencurinya menggunakan pengait pada beberapa API Windows untuk mengintip saluran komunikasi antara bantalan PIN dan perangkat lunak PoS dan dapat memodifikasi konten transaksi, menangkap informasi kartu, dan meminta kriptogram EMV baru dari kartu.

Informasi yang diambil disimpan dalam bentuk terenkripsi secara lokal di komputer yang disusupi dan secara berkala diunggah ke server command and control (C2) malware melalui permintaan HTTP POST.

“Grup Prilex telah menunjukkan tingkat pengetahuan yang tinggi tentang transaksi kartu kredit dan debit, dan bagaimana perangkat lunak yang digunakan untuk pemrosesan pembayaran bekerja,” Kaspersky menyimpulkan.

“Ini memungkinkan penyerang untuk terus memperbarui alat mereka untuk menemukan cara untuk menghindari kebijakan otorisasi, memungkinkan mereka untuk melakukan serangan mereka.”

Sumber: Bleeping Computer

Cacat Penumpukan VLAN Ethernet memungkinkan peretas meluncurkan serangan DoS, MiTM

by

Empat kerentanan dalam fitur Ethernet ‘Stacked VLAN’ yang diadopsi secara luas memungkinkan penyerang melakukan serangan denial-of-service (DoS) atau man-in-the-middle (MitM) terhadap target jaringan menggunakan paket yang dibuat khusus.

Stacked VLAN, juga dikenal sebagai VLAN Stacking, adalah fitur di router dan switch modern yang memungkinkan perusahaan untuk merangkum beberapa ID VLAN ke dalam satu koneksi VLAN yang dibagikan dengan penyedia upstream.

Kerentanan mempengaruhi perangkat jaringan seperti switch, router, dan sistem operasi yang menggunakan kontrol keamanan Layer-2 (L2) untuk menyaring lalu lintas untuk isolasi jaringan virtual.

Cisco dan Juniper Networks telah mengkonfirmasi bahwa beberapa produk mereka terpengaruh oleh kekurangan tersebut, tetapi banyak vendor perangkat belum menyelesaikan penyelidikan mereka; maka dampak keseluruhan tetap tidak diketahui.

Kerentanan ada dalam protokol enkapsulasi Ethernet yang memungkinkan penumpukan header Virtual Local Area Network (VLAN).

Penyerang yang berdekatan dan tidak diautentikasi dapat menggunakan kombinasi header VLAN dan LLC/SNAP untuk melewati perlindungan pemfilteran jaringan L2 seperti pelindung RA IPv6, inspeksi ARP dinamis, perlindungan penemuan tetangga IPv6, dan pengintaian DHCP.

Empat kerentanan tersebut adalah:

  • CVE-2021-27853 Kemampuan pemfilteran jaringan Layer 2 seperti pelindung IPv6 RA atau inspeksi ARP dapat dilewati menggunakan kombinasi header VLAN 0 dan header LLC/SNAP.
  • CVE-2021-27854 Kemampuan pemfilteran jaringan Layer 2 seperti pelindung IPv6 RA dapat dilewati menggunakan kombinasi header VLAN 0, header LLC/SNAP dalam terjemahan bingkai Ethernet ke Wifi, dan kebalikan dari Wifi ke Ethernet.
  • CVE-2021-27861 Kemampuan pemfilteran jaringan Layer 2 seperti pelindung RA IPv6 dapat dilewati menggunakan header LLC/SNAP dengan panjang yang tidak valid (dan opsional header VLAN0).
  • CVE-2021-27862 Kemampuan pemfilteran jaringan Layer 2 seperti pelindung IPv6 RA dapat dilewati menggunakan header LLC/SNAP dengan panjang yang tidak valid dan konversi frame Ethernet ke Wifi (dan header VLAN0 opsional).

Dengan mengeksploitasi salah satu kelemahan ini secara independen, penyerang dapat menipu perangkat target untuk merutekan lalu lintas ke tujuan yang berubah-ubah.

Yang terakhir adalah skenario yang lebih parah, karena penyerang dapat mengamati lalu lintas jaringan dan mengakses informasi sensitif jika data tidak dienkripsi.

Satu hal yang perlu diperhatikan adalah bahwa dalam produk virtualisasi dan jaringan virtual berbasis cloud modern, kemampuan jaringan L2 melampaui LAN, sehingga paparan kelemahan ini dapat diperluas ke internet.

Juniper Networks mengonfirmasi bahwa CVE-2021-27853 dan CVE-2021-27854 memengaruhi beberapa produknya dan merilis pembaruan keamanan pada 25 Agustus 2022.

Cisco merilis buletin keamanan kemarin yang mengonfirmasi bahwa banyak produk jaringannya terpengaruh oleh CVE-2021-27853 dan CVE-2021-27861.

Produk yang terpengaruh termasuk sakelar, router, dan perangkat lunak, tetapi perbaikan untuk sebagian besar dari mereka tidak akan tersedia sesuai dengan tabel di penasehat.

Semua admin jaringan disarankan untuk memeriksa dan membatasi protokol yang digunakan pada port akses, mengaktifkan semua kontrol keamanan antarmuka yang tersedia, memeriksa dan memblokir iklan router, dan menerapkan pembaruan keamanan vendor segera setelah tersedia.

Sumber: Bleeping Computer

Taiwan bersiap untuk kemungkinan cyberwar dengan China

by

Warga Taiwan menerima kesadaran keamanan siber kritis dan pelatihan pertahanan. Axios melaporkan bahwa tokoh teknologi Taiwan Robert Tsao menjanjikan sekitar $20 juta dalam pendanaan untuk Kuma Academy. Tujuannya adalah untuk mempersiapkan warga Taiwan untuk kemungkinan invasi China.

Akademi Kuma memiliki tujuan yang ambisius, yaitu memberikan pelatihan militer sipil bagi tiga juta warga Taiwan selama tiga tahun ke depan.

Materi kursus termasuk menemukan dan membongkar disinformasi online, dan mengadakan kursus lanjutan tentang pengumpulan intelijen sumber terbuka (OSINT). Kursus OSINT akan diajarkan oleh kelompok peretas sukarelawan veteran.

Menurut Axios, teknik OSINT tidak populer di Taiwan, terlepas dari jumlah kelompok peretasan Taiwan. Akademi Kuma akan membantu melatih warga Taiwan untuk mendeteksi bahasa non-Taiwan yang populer secara online, dan pelacakan media sosial untuk mendeteksi kemungkinan peniru China yang mengaku sebagai orang Taiwan.

“Perang, pada dasarnya, adalah kontes keinginan. Kedua belah pihak menggunakan berbagai metode untuk mencoba memaksa yang lain untuk mematuhi kehendaknya. Konflik bersenjata hanyalah salah satu bentuk peperangan modern.”

Harapannya adalah dengan memperkuat pertahanan Taiwan dan moral warga negara, mereka akan melawan kepercayaan umum di Taiwan bahwa jika China menyerang, mereka tidak punya pilihan selain menyerah.

Tak heran, Taiwan dan warganya sangat hati-hati menyaksikan perang Ukraina dan Rusia. Kemauan dan kekuatan rakyat Ukraina adalah sesuatu yang ingin ditiru Taiwan.

Rusia telah menyebarkan propaganda dan “disinformasi yang ditargetkan” terhadap penduduk Ukraina dengan tujuan melemahkan moral mereka, menurut Axios. Sementara itu, Ukraina telah melacak kampanye disinformasi Rusia dan menggunakan teknik OSINT untuk membantu mengumpulkan bukti kejahatan perang Rusia.

Sumber: Cyber Careers

Facebook menghancurkan jaringan China yang menargetkan orang Amerika

by

Meta menghapus jaringan pengaruh Tiongkok yang berusaha mengobarkan ketegangan politik di Facebook, Instagram, dan Twitter menjelang pemilihan.

Akun-akun itu meniru orang Amerika untuk menargetkan orang-orang di kedua sisi lorong politik atas isu-isu panas seperti akses aborsi dan hak senjata dan polarisasi tokoh masyarakat termasuk Presiden Joe Biden dan Gubernur Florida Ron DeSantis.

Ben Nimmo, pemimpin intelijen ancaman global untuk Meta, mengatakan aktivitas tersebut menandai pergeseran operasi pengaruh China yang biasanya berusaha membentuk opini publik di luar negeri dengan mendorong propaganda pro-China dan menyerang Amerika Serikat.

Operasi yang berasal dari China mendapat sedikit keterlibatan dan tidak secara langsung dikaitkan dengan pemerintah di Beijing.

China tampaknya bereksperimen dengan taktik baru sebagai bagian dari operasi pengaruhnya yang lebih luas, menurut Graham Brookie, direktur senior Laboratorium Penelitian Forensik Digital Dewan Atlantik.

Operasi pengaruh menargetkan terutama Amerika Serikat dan Republik Ceko.

Tak satu pun dari posting mencapai audiens yang besar. Secara keseluruhan, ada 81 akun Facebook, delapan Halaman, satu Grup dan dua akun di Instagram.

Sekitar 20 akun mengikuti satu atau lebih halaman. Sekitar 250 akun bergabung dengan satu atau lebih grup. Kurang dari 10 akun mengikuti satu atau lebih akun Instagram, menurut Meta.

Meta mengatakan mereka menghapus semuanya karena melanggar kebijakannya terhadap “perilaku tidak autentik yang terkoordinasi.”

Meta menghapus jaringan China lainnya pada tahun 2020 yang memposting tentang politik AS tetapi terutama menargetkan pengguna di Filipina dan Asia Tenggara.

Pada bulan Agustus, Facebook, Instagram, WhatsApp, dan Twitter menghapus operasi pengaruh yang mempromosikan kepentingan kebijakan luar negeri AS di luar negeri.

Operasi itu mempromosikan pandangan Amerika Serikat saat menyerang China, Iran, Rusia, dan negara-negara lain, menurut temuan para peneliti dari Stanford Internet Observatory dan perusahaan riset Graphika.

Sumber: phys.org

Malware pencuri kata sandi Erbium menyebar sebagai game cracks

by

Malware pencuri informasi ‘Erbium’ baru sedang didistribusikan sebagai celah palsu dan cheat untuk video game populer untuk mencuri kredensial korban dan dompet cryptocurrency.

Erbium adalah Malware-as-a-Service (MaaS) baru yang memberi pelanggan malware pencuri informasi baru yang semakin populer di komunitas kejahatan dunia maya berkat fungsionalitasnya yang luas, dukungan pelanggan, dan harga yang kompetitif.

Para peneliti di tim Cluster25 adalah yang pertama melaporkan Erbium awal bulan ini, tetapi laporan baru oleh Cyfirma membagikan informasi lebih lanjut tentang bagaimana trojan pencuri kata sandi didistribusikan.

Erbium awalnya berharga $9 per minggu, tetapi karena popularitasnya meningkat pada akhir Agustus, harganya naik menjadi $100 per bulan atau $1000 untuk lisensi setahun penuh.

Seperti malware pencuri informasi lainnya, Erbium akan mencuri data yang disimpan di browser web (berbasis Chromium atau Gecko), seperti kata sandi, cookie, kartu kredit, dan informasi pengisian otomatis.

Malware ini juga mencoba untuk mengekstrak data dari sejumlah besar dompet cryptocurrency yang dipasang di browser web sebagai ekstensi.

Dompet cryptocurrency panas yang ditargetkan (Cyfirma)

Dompet desktop seperti Exodus, Atomic, Armory, Bitecoin-Core, Bytecoin, Dash-Core, Electrum, Electron, Coinomi, Ethereum, Litecoin-Core, Monero-Core, Zcash, dan Jaxx juga dicuri.

Erbium juga mencuri kode otentikasi dua faktor dari Trezor Password Manager, EOS Authenticator, Authy 2FA, dan Authenticator 2FA.

Malware dapat mengambil tangkapan layar dari semua monitor, mengambil token Steam dan Discord, mencuri file auth Telegram, dan membuat profil host berdasarkan OS dan perangkat keras.

Semua data dieksfiltrasi ke C2 melalui sistem API bawaan, sementara operator mendapatkan gambaran umum tentang apa yang telah dicuri dari setiap host yang terinfeksi di dasbor Erbium, yang ditunjukkan di bawah ini.

Malware menggunakan tiga URL untuk terhubung ke panel, termasuk Jaringan Pengiriman Konten (CDN) Discord, sebuah platform yang sering disalahgunakan oleh operator malware.

Cluster25 melaporkan tanda-tanda infeksi Erbium di seluruh dunia, termasuk di Amerika Serikat, Prancis, Kolombia, Spanyol, Italia, India, Vietnam, dan Malaysia.

Sementara kampanye Erbium pertama menggunakan celah permainan sebagai umpan, saluran distribusi dapat terdiversifikasi secara signifikan kapan saja, karena pembeli malware dapat memilih untuk mendorongnya melalui metode yang berbeda.

Untuk menghindari ancaman dari sistem, hindari mengunduh perangkat lunak bajakan, pindai semua file yang diunduh pada alat AV, dan perbarui perangkat lunak Anda dengan menginstal patch keamanan terbaru yang tersedia.

Sumber: Bleeping Computer

Alat pencurian data Ransomware mungkin menunjukkan pergeseran dalam taktik pemerasan

by

Malware pemusnahan data yang dikenal sebagai Exmatter dan sebelumnya ditautkan dengan grup ransomware BlackMatter kini ditingkatkan dengan fungsionalitas korupsi data yang mungkin mengindikasikan taktik baru yang mungkin digunakan oleh afiliasi ransomware di masa mendatang.

Sampel baru ditemukan oleh analis malware dengan tim Operasi Khusus Cyderes selama respons insiden baru-baru ini setelah serangan ransomware BlackCat dan kemudian dibagikan dengan tim Stairwell Threat Research untuk analisis lebih lanjut (Symantec melihat sampel serupa digunakan dalam serangan ransomware Noberus).

Sementara Exmatter telah digunakan oleh afiliasi BlackMatter setidaknya sejak Oktober 2021, ini adalah pertama kalinya alat berbahaya itu terlihat menggunakan modul yang merusak.

Taktik menggunakan data dari satu file yang dieksfiltrasi untuk merusak file lain mungkin merupakan bagian dari upaya untuk menghindari ransomware atau deteksi berbasis heuristik penghapus yang dapat memicu saat menggunakan data yang dibuat secara acak.

Seperti yang ditemukan oleh peneliti ancaman Stairwell, kemampuan penghancuran data yang diimplementasikan sebagian dari Exmatter kemungkinan masih dalam pengembangan mengingat bahwa:

Tidak ada mekanisme untuk menghapus file dari antrian korupsi, yang berarti bahwa beberapa file dapat ditimpa berkali-kali sebelum program dihentikan, sementara yang lain mungkin tidak pernah dipilih.

Fungsi yang membuat instance kelas Eraser, bernama Erase, tampaknya tidak sepenuhnya diimplementasikan dan tidak didekompilasi dengan benar.

Panjang potongan file kedua, yang digunakan untuk menimpa file pertama, ditentukan secara acak dan bisa sesingkat satu byte.

Fitur korupsi data ini merupakan perkembangan yang menarik, dan meskipun juga dapat digunakan untuk menghindari perangkat lunak keamanan, peneliti di Stairwell dan Cyderes berpikir ini mungkin bagian dari perubahan strategi yang digunakan oleh afiliasi ransomware.

Banyak operasi ransomware berjalan sebagai Ransomware-as-a-Service, di mana operator/pengembang bertanggung jawab mengembangkan ransomware, situs pembayaran, dan menangani negosiasi, sementara afiliasi bergabung untuk menembus jaringan perusahaan, mencuri data, menghapus cadangan, dan mengenkripsi perangkat .

Sebagai bagian dari pengaturan ini, operator ransomware menerima antara 15-30% dari setiap pembayaran tebusan, dan afiliasi menerima sisanya.

Namun, operasi ransomware telah dikenal di masa lalu untuk memperkenalkan bug yang memungkinkan peneliti keamanan membuat dekripsi yang membantu korban memulihkan file secara gratis.

Ketika ini terjadi, afiliasi kehilangan potensi pendapatan yang akan mereka terima sebagai bagian dari pembayaran tebusan.

Karena itu, para peneliti percaya bahwa fitur korupsi data baru ini bisa menjadi perubahan baru dari serangan ransomware tradisional, di mana data dicuri dan kemudian dienkripsi, ke serangan di mana data dicuri dan kemudian dihapus atau rusak.

Di bawah metode ini, afiliasi dapat menyimpan semua pendapatan yang dihasilkan dari serangan, karena mereka tidak perlu berbagi persentase dengan pengembang encryptor.

“Afiliasi juga kehilangan keuntungan dari penyusupan yang berhasil karena kelemahan yang dapat dieksploitasi dalam ransomware yang disebarkan, seperti halnya dengan BlackMatter, ransomware yang terkait dengan penampilan sebelumnya dari alat eksfiltrasi berbasis .NET ini,” tambah Cyderes.

Menghancurkan data sensitif setelah mengekstraknya ke server mereka akan mencegah hal ini terjadi dan kemungkinan besar juga akan bertindak sebagai insentif tambahan bagi korban untuk membayar permintaan tebusan.

Ini mungkin mengapa kami melihat alat eksfiltrasi dalam proses ditingkatkan dengan kemampuan korupsi data dalam pengembangan yang kemungkinan akan memungkinkan afiliasi RaaS untuk menghapus bagian penyebaran ransomware dalam serangan mereka untuk menyimpan semua uang untuk diri mereka sendiri.

Sumber: Bleeping Computer

Situs palsu menipu pengguna Zoom agar mengunduh kode mematikan

by

Waspadalah terhadap situs Zoom yang tidak Anda kenal, karena geng kriminal membuat beberapa versi palsu yang bertujuan memikat pengguna untuk mengunduh malware yang dapat mencuri data perbankan, alamat IP, dan informasi lainnya.

Peneliti ancaman di perusahaan cybersecurity Cyble menemukan enam situs Zoom palsu yang menawarkan aplikasi yang, jika diklik, akan mengunduh malware Vidar Stealer, yang juga mengambil banyak barang lainnya. Situs Zoom palsu adalah bagian dari upaya mencuri informasi yang lebih luas, menurut Cyble Research and Intelligence Lab (CRIL).

Perusahaan seperti Zoom memberi penyerang kelompok pengguna yang luas untuk dimangsa. Basis pengguna perusahaan telah meroket selama tiga tahun terakhir karena pandemi COVID-19, dan itu menjadikannya target yang sangat menarik.

Pada kuartal kedua, Zoom melaporkan 204.100 pelanggan perusahaan, meningkat 18 persen dari tahun ke tahun. Itu juga menghasilkan pendapatan hampir $ 1,1 miliar, melonjak 8 persen dibandingkan periode yang sama tahun lalu.

Mereka kemudian menemukan enam situs yang masih beroperasi: zoom-download[.]host; zoom-download[.]space, zoom-download[.]menyenangkan, zoomus[.]host, zoomus[.]tech, dan zoomus[.]website.

Situs-situs tersebut mengarahkan pengguna ke URL GitHub di backend yang menunjukkan aplikasi yang dapat diunduh. Jika pengguna mengunduh aplikasi berbahaya, itu menjatuhkan dua binari ZOOMIN-1.EXE dan Decoder.exe ke dalam folder sementara.

Malware disuntikkan ke MSBuild.exe dan kemudian mengekstrak alamat IP yang menampung DLL dan data konfigurasi, menempatkannya pada posisi untuk mencuri lebih banyak informasi. Itu juga dapat menyembunyikan alamat IP dari server command-and-control (C&C).

“Kami menemukan bahwa malware ini memiliki Tactics, Techniques, and Procedures (TTPs) yang tumpang tindih dengan Vidar Stealer,” tulis para peneliti, menambahkan bahwa, seperti Vidar Stealer, “payload malware ini menyembunyikan alamat IP C&C dalam deskripsi Telegram. teknik infeksi tampaknya serupa.”

Cyble menulis laporan mendalam tentang Vidar Stealer setahun yang lalu, mengatakan bahwa malware tersebut telah ada sejak 2018. Malware tersebut juga memiliki tautan ke ancaman serupa, Arkei Stealer.

Biz keamanan menguraikan langkah-langkah yang dapat diambil perusahaan dan pengguna untuk menghindari malware semacam itu, termasuk tidak mengunduh perangkat lunak bajakan, menggunakan kata sandi yang kuat dan otentikasi multi-faktor, memastikan pembaruan sistem secara otomatis, dan melatih karyawan untuk tidak membuka tautan yang tidak tepercaya.

Organisasi juga harus memantau suar jaringan untuk mendeteksi dan memblokir data yang dieksfiltrasi oleh malware atau kelompok ancaman, tambahnya.

Sumber: The Register