Penelitian baru, yang diterbitkan oleh Palo Alto Networks, mengkonfirmasi bahwa “aktor ancaman yang mendapat untung dari kejahatan dunia maya akan bergerak terus, termasuk menargetkan organisasi yang berada di garis depan dan menanggapi pandemi setiap hari.”
Sementara perusahaan keamanan itu tidak menyebutkan nama korban terakhir, mereka melaporkan bahwa organisasi perawatan kesehatan pemerintah Kanada dan universitas riset medis Kanada keduanya mengalami serangan ransomware, ketika kelompok-kelompok kriminal berusaha mengeksploitasi krisis untuk keuntungan finansial.
Serangan terdeteksi antara 24 Maret dan 26 Maret dan dimulai sebagai bagian dari kampanye phishing bertema coronavirus yang telah menyebar luas dalam beberapa bulan terakhir.
Menurut para peneliti, kampanye dimulai dengan email jahat yang dikirim dari alamat palsu yang meniru Organisasi Kesehatan Dunia (noreply @ who [.] Int) yang dikirim ke sejumlah orang yang terkait dengan organisasi kesehatan yang terlibat aktif dalam upaya respons COVID-19.
Umpan email berisi dokumen rich text format (RTF) bernama “20200323-sitrep-63-covid-19.doc,” yang, ketika dibuka, berupaya untuk mengirimkan ransomware EDA2 dengan memanfaatkan kerentanan buffer overflow (CVE-2012-0158 ) di kontrol ListView / TreeView ActiveX Microsoft di library MSCOMCTL.OCX.
Setelah eksekusi, ransomware binary menghubungi server perintah-dan-kontrol (C2) untuk mengunduh gambar yang berfungsi sebagai pemberitahuan utama infeksi ransomware pada perangkat korban, dan kemudian mentransmisikan rincian host untuk membuat kunci khusus untuk mengenkripsi file pada desktop sistem dengan ekstensi “.locked20”.
Selain menerima kunci, host yang terinfeksi menggunakan permintaan HTTP Post untuk mengirim kunci dekripsi, dienkripsi menggunakan AES, ke server C2.
Palo Alto Networks memastikan bahwa jenis ransomware adalah EDA2 berdasarkan pada struktur kode biner dan perilaku berbasis-host & perilaku berbasis jaringan dari ransomware. EDA2 dan Hidden Tear dianggap sebagai salah satu ransomware open-source pertama yang dibuat untuk tujuan pendidikan tetapi sejak itu telah disalahgunakan oleh peretas untuk mengejar kepentingan mereka sendiri.
Berita selengkapnya dapat dibaca pada tautan di bawah:
Source: unit42 paloalto networks | thehackernews | Threat Post
