Aktor ancaman siber berbahasa China yang sebelumnya tidak dikenal telah dikaitkan dengan operasi yang sudah berlangsung lama yang ditujukan untuk target Asia Tenggara sejauh Juli 2020 untuk menyebarkan rootkit mode kernel pada sistem Windows yang disusupi.
Serangan yang dilakukan oleh kelompok peretas, yang dijuluki GhostEmperor oleh Kaspersky, juga dikatakan telah menggunakan “kerangka kerja malware multi-tahap yang canggih” yang memungkinkan untuk memberikan ketekunan dan kendali jarak jauh atas host yang ditargetkan.
Perusahaan keamanan siber Rusia menyebut rootkit Demodex, dengan infeksi yang dilaporkan di beberapa entitas terkenal di Malaysia, Thailand, Vietnam, dan Indonesia, selain outlier yang berlokasi di Mesir, Ethiopia, dan Afghanistan.
“[Demodex] digunakan untuk menyembunyikan artefak malware mode pengguna dari penyelidik dan solusi keamanan, sambil menunjukkan skema pemuatan tidak terdokumentasi yang menarik yang melibatkan komponen mode kernel dari proyek sumber terbuka bernama Cheat Engine untuk melewati mekanisme Windows Driver Signature Enforcement,” kata peneliti Kaspersky.
Infeksi GhostEmperor telah ditemukan untuk memanfaatkan beberapa rute intrusi yang berujung pada eksekusi malware di memori, kepala di antara mereka mengeksploitasi kerentanan yang diketahui di server yang menghadap publik seperti Apache, Window IIS, Oracle, dan Microsoft Exchange — termasuk eksploitasi ProxyLogon yang terungkap pada Maret 2021 — untuk mendapatkan pijakan awal dan poros lateral ke bagian lain dari jaringan korban, bahkan pada mesin yang menjalankan versi terbaru dari sistem operasi Windows 10.
Selengkapnya: The Hackers News
