Kampanye malspam telah ditemukan mendistribusikan malware META baru, malware pencuri info baru yang tampaknya semakin populer di kalangan penjahat dunia maya.
META adalah salah satu pencuri info baru, bersama dengan Mars Stealer dan BlackGuard, yang operatornya ingin memanfaatkan keluarnya Raccoon Stealer dari pasar yang membuat banyak orang mencari platform berikutnya.
Alat ini dijual dengan harga $125 untuk pelanggan bulanan atau $1.000 untuk penggunaan seumur hidup tanpa batas dan dipromosikan sebagai versi perbaikan dari RedLine.
Kampanye spam baru yang dilihat oleh peneliti keamanan dan ISC Handler Brad Duncan adalah bukti bahwa META secara aktif digunakan dalam serangan, digunakan untuk mencuri kata sandi yang disimpan di Chrome, Edge, dan Firefox, serta dompet cryptocurrency.
Rantai infeksi dalam kampanye tertentu mengikuti pendekatan “standar” dari spreadsheet Excel berlapis makro yang tiba di kotak masuk calon korban sebagai lampiran email.
Pesan tersebut membuat klaim palsu tentang transfer dana yang tidak terlalu meyakinkan atau dibuat dengan baik tetapi masih bisa efektif terhadap persentase penerima yang signifikan.
File spreadsheet menampilkan umpan DocuSign yang mendesak target untuk “mengaktifkan konten” yang diperlukan untuk menjalankan makro VBS berbahaya di latar belakang.
Ketika skrip berbahaya berjalan, itu akan mengunduh berbagai muatan, termasuk DLL dan yang dapat dieksekusi, dari beberapa situs, seperti GitHub.
Beberapa file yang diunduh dikodekan base64 atau byte-nya dibalik untuk melewati deteksi oleh perangkat lunak keamanan. Misalnya, di bawah ini adalah salah satu sampel yang dikumpulkan oleh Duncan yang byte-nya dibalik dalam unduhan aslinya.
Akhirnya, muatan akhir dirakit pada mesin dengan nama “qwveqwveqw.exe,” yang kemungkinan acak, dan kunci registri baru ditambahkan untuk kegigihan.
Tanda infeksi yang jelas dan terus-menerus adalah file EXE yang menghasilkan lalu lintas ke server perintah dan kontrol di 193.106.191[.]162, bahkan setelah sistem di-boot ulang, memulai kembali proses infeksi pada mesin yang disusupi.
Satu hal yang perlu diperhatikan adalah bahwa META memodifikasi Windows Defender melalui PowerShell untuk mengecualikan file .exe dari pemindaian, untuk melindungi file dari deteksi.
Sumber : Bleeping Computer
