Grup peretasan tak dikenal menyuntikkan kode berbahaya dalam layanan Windows Error Reporting (WER) yang sah untuk menghindari deteksi sebagai bagian dari serangan malware fileless seperti yang ditemukan oleh peneliti Malwarebytes bulan lalu.
Memanfaatkan layanan WER dalam serangan untuk menghindari pertahanan bukanlah taktik baru tetapi, seperti yang dikatakan oleh peneliti Malwarebytes Threat Intelligence Team Hossein Jazi dan Jérôme Segura, kampanye ini kemungkinan besar adalah hasil kerja dari kelompok spionase siber yang belum diketahui.
“Pelaku ancaman menyusupi situs web untuk menampung muatannya dan menggunakan kerangka CactusTorch untuk melakukan serangan fileless yang diikuti oleh beberapa teknik anti-analisis,” jelas laporan tersebut, yang dibagikan sebelumnya dengan BleepingComputer.
Muatan awal yang berbahaya masuk ke komputer target melalui spear-phishing email menggunakan klaim kompensasi pekerja sebagai umpan.
Setelah dibuka, dokumen akan mengeksekusi kode shell melalui makro berbahaya yang diidentifikasi sebagai modul CactusTorch VBA yang memuat muatan .NET langsung ke memori perangkat Windows yang sekarang terinfeksi.
Pada langkah berikutnya, binary ini dijalankan dari memori komputer tanpa meninggalkan jejak pada hard drive, memasukkan kode shell yang tertanam ke dalam WerFault.exe, proses Windows layanan WER.
Jika semua pemeriksaan dilewati dan malware yang dimuat terasa cukup aman untuk melanjutkan ke langkah berikutnya, malware akan mendekripsi dan memuat kode shell terakhir di thread WER yang baru dibuat, yang akan dieksekusi di thread baru.
Muatan malware terakhir yang dihosting di asia-kotoba[.]Net dalam bentuk favicon palsu kemudian akan diunduh dan dimasukkan ke dalam proses baru.
Sementara para peneliti Malwarebytes tidak dapat mengaitkan serangan itu dengan kelompok peretas mana pun dengan cukup percaya diri, beberapa indikator kompromi dan taktik yang digunakan mengarah ke kelompok spionase cyber APT32 yang didukung Vietnam (juga dilacak sebagai OceanLotus dan SeaLotus).
Sayangnya, Malwarebytes tidak berhasil mendapatkan salinan muatan terakhir setelah menyelidiki serangan ini untuk membuat koneksi langsung.
Baca berita selengkapnya pada tautan di bawah ini;
Source: Bleeping Computer
