Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for BazarBackdoor

BazarBackdoor

Formulir kontak situs web perusahaan digunakan untuk menyebarkan malware BazarBackdoor

by

Malware BazarBackdoor yang tersembunyi sekarang menyebar melalui formulir kontak situs web daripada email phishing biasa untuk menghindari deteksi oleh perangkat lunak keamanan.

BazarBackdoor adalah malware backdoor tersembunyi yang dibuat oleh grup TrickBot dan sekarang sedang dikembangkan oleh operasi ransomware Conti. Malware ini memberikan akses jarak jauh kepada pelaku ancaman ke perangkat internal yang dapat digunakan sebagai landasan peluncuran untuk pergerakan lateral lebih lanjut dalam jaringan.

Malware BazarBackdoor biasanya menyebar melalui email phishing yang menyertakan dokumen berbahaya yang mengunduh dan menginstal malware.

Namun, karena secure email gateways menjadi lebih baik dalam mendeteksi malware droppers ini, distributor beralih ke cara baru untuk menyebarkan malware.

Dalam laporan baru oleh Abnormal Security, analis menjelaskan bahwa kampanye distribusi baru yang dimulai pada Desember 2021 menargetkan korban perusahaan dengan BazarBackdoor, dengan kemungkinan tujuan menyebarkan Cobalt Strike atau muatan ransomware.

Alih-alih mengirim email phishing ke target, pelaku ancaman pertama-tama menggunakan formulir kontak perusahaan untuk memulai komunikasi.

Misalnya, dalam salah satu kasus yang dilihat oleh analis Abnormal, pelaku ancaman menyamar sebagai karyawan di perusahaan konstruksi Kanada yang mengajukan permintaan penawaran penawaran produk melalui formulis kontak yang ada di website perusahaan.

Setelah karyawan menanggapi email phishing, penyerang mengirim kembali file ISO berbahaya yang dianggap relevan dengan negosiasi.

Karena mengirim file ini secara langsung tidak mungkin atau akan memicu peringatan keamanan, pelaku ancaman menggunakan layanan berbagi file seperti TransferNow dan WeTransfer.

Lampiran arsip ISO berisi file .lnk dan file .log. Idenya di sini adalah untuk menghindari deteksi AV dengan mengemas muatan dalam arsip dan meminta pengguna mengekstraknya secara manual setelah mengunduh.

File .lnk berisi instruksi perintah yang membuka jendela terminal menggunakan binari Windows yang ada dan memuat file .log, yang pada kenyataannya adalah DLL BazarBackdoor.

Selengkapnya: Bleeping Computer

Operasi malware TrickBot dimatikan, pengembang pindah ke malware yang lebih tersembunyi

by

Operasi malware TrickBot telah ditutup setelah pengembang intinya pindah ke kelompok ransomware Conti untuk memfokuskan pengembangan pada keluarga malware BazarBackdoor dan Anchor yang tersembunyi.

TrickBot adalah infeksi malware Windows terkenal yang telah mendominasi lanskap ancaman sejak 2016.

Malware biasanya diinstal melalui email phishing berbahaya atau malware lainnya, dan diam-diam akan berjalan di komputer korban saat mendownload modul untuk melakukan tugas yang berbeda.

Modul-modul ini melakukan berbagai aktivitas berbahaya, termasuk mencuri database Layanan Direktori Aktif domain, menyebar secara lateral di jaringan, mengunci layar, mencuri cookie dan kata sandi browser, dan mencuri kunci OpenSSH.

Pada tahun 2019, TrickBot Group bermitra dengan operasi ransomware Ryuk untuk menyediakan akses awal geng ransomware ke jaringan. Pada tahun 2020, grup ransomware Conti, yang diyakini sebagai rebranding Ryuk, juga bermitra dengan TrickBot untuk akses awal.

Pada tahun 2021, TrickBot berusaha meluncurkan operasi ransomware mereka sendiri yang disebut Diavol, yang tidak pernah benar-benar berkembang, mungkin karena salah satu pengembangnya ditangkap.

Meskipun banyak upaya pencopotan oleh penegak hukum, TrickBot telah berhasil membangun kembali botnetnya dan terus meneror jaringan Windows. Pada Desember 2021, ketika kampanye distribusi TrickBot tiba-tiba berhenti.

Selama setahun terakhir, Conti telah menjadi salah satu operasi ransomware yang paling tangguh dan menguntungkan, bertanggung jawab atas banyak serangan terhadap korban terkenal dan mengumpulkan ratusan juta dolar dalam pembayaran tebusan.

Namun, Conti tidak merekrut “pengembang dan manajer elit” ini untuk bekerja pada malware TrickBot, melainkan untuk bekerja pada keluarga malware BazarBackdoor dan Anchor yang lebih tersembunyi seperti yang terlihat dari percakapan internal.

AdvIntel menjelaskan minggu lalu bahwa pergeseran dalam pengembangan ini karena malware TrickBot terlalu mudah dideteksi oleh perangkat lunak keamanan dan bahwa operasinya akan segera dihentikan.

Kremez menjelaskan bahwa jaringan kejahatan TrickBot, yang awalnya diluncurkan untuk mengejar penipuan, sekarang berfokus hampir seluruhnya pada ransomware dan pembobolan jaringan.

Sebuah laporan yang dirilis kemarin oleh perusahaan intelijen siber Intel471 juga mengkonfirmasi bahwa operasi itu dihentikan demi platform yang lebih menguntungkan.

Meskipun selalu baik untuk melihat operasi malware ditutup, kenyataannya adalah bahwa geng ransomware telah beralih ke keluarga BazarBackdoor yang lebih tersembunyi.

BazarBackdoor telah melihat peningkatan distribusi melalui email selama enam bulan terakhir, tetapi dengan penutupan TrickBot, kita mungkin akan melihatnya menjadi lebih umum dalam pelanggaran jaringan entitas perusahaan.

Sumber : Bleeping Computer

TrickBot bekerja sama dengan phisher Shatak untuk serangan ransomware Conti

by

Seorang aktor ancaman yang dilacak sebagai Shatak (TA551) baru-baru ini bermitra dengan geng ITG23 (alias TrickBot dan Wizard Spider) untuk menyebarkan Conti ransomware pada sistem yang ditargetkan.

Operasi Shatak bermitra dengan pengembang malware lain untuk membuat kampanye phishing yang mengunduh dan menginfeksi korban dengan malware.

Para peneliti dari IBM X-Force menemukan bahwa Shatak dan TrickBot mulai bekerja sama pada Juli 2021, dengan hasil yang tampaknya bagus, karena kampanye terus berlanjut hingga hari ini.

Rantai infeksi tipikal dimulai dengan email phishing yang dikirim oleh Shatak, membawa arsip yang dilindungi kata sandi yang berisi dokumen berbahaya.

Menurut laporan bulan Oktober oleh IBM X-Force, Shatak biasanya menggunakan email berantai balasan yang dicuri dari korban sebelumnya dan menambahkan lampiran arsip yang dilindungi kata sandi.

Lampiran ini berisi skrip yang mengeksekusi kode base-64 encoded untuk mengunduh dan menginstal malware TrickBot atau BazarBackdoor dari situs jarak jauh.

Situs distribusi yang digunakan dalam kampanye terbaru berbasis di negara-negara Eropa seperti Jerman, Slovakia, dan Belanda.

Setelah berhasil menerapkan TrickBot dan/atau BazarBackdoor, ITG23 mengambil alih dengan menerapkan suar Cobalt Strike pada sistem yang disusupi, menambahkannya ke task schedule untuk persistance.

Aktor Conti kemudian menggunakan BazarBackdoor yang dijatuhkan untuk pengintaian jaringan, menghitung pengguna, admin domain, komputer bersama, dan sumber daya bersama.

Kemudian mereka mencuri kredensial pengguna, hash kata sandi, dan data Active Directory, dan menyalahgunakan apa yang mereka bisa gunakan untuk menyebar secara lateral melalui jaringan.

Langkah selanjutnya adalah eksfiltrasi data, yang merupakan tahap terakhir sebelum enkripsi file, dengan Conti menggunakan alat ‘Rclone’ untuk mengirim semuanya ke endpoint jarak jauh di bawah kendali mereka.

Setelah mengumpulkan semua data berharga dari jaringan, pelaku ancaman menyebarkan ransomware untuk mengenkripsi perangkat.

Selengkapnya: Bleeping Computer