Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Infostealer

Infostealer

Graphiron: Malware Pencuri Informasi Rusia Baru yang Dikerahkan Melawan Ukraina

by

Nodaria yang terkait dengan Rusia telah menyebarkan ancaman baru yang dirancang untuk mencuri berbagai informasi dari komputer yang terinfeksi.

Grup spionase Nodaria (UAC-0056) menggunakan informasi baru untuk mencuri malware terhadap target di Ukraina. Malware (Infostealer.Graphiron) ditulis dalam Go dan dirancang untuk mengumpulkan berbagai informasi dari komputer yang terinfeksi, termasuk informasi sistem, kredensial, tangkapan layar, dan file.

Bukti paling awal dari Graphiron berasal dari Oktober 2022. Itu terus digunakan hingga pertengahan Januari 2023 dan masuk akal untuk mengasumsikan bahwa itu tetap menjadi bagian dari perangkat Nodaria.

Grafiron
Graphiron adalah ancaman dua tahap yang terdiri dari pengunduh (Downloader.Graphiron) dan muatan (Infostealer.Graphiron).

Graphiron menggunakan enkripsi AES dengan kunci hardcoded, membuat file sementara dengan ekstensi “.lock” dan “.trash”. Itu menggunakan nama file hardcode yang dirancang untuk menyamar sebagai executable Microsoft office: OfficeTemplate.exe dan MicrosoftOfficeDashboard.exe

Payload mampu melakukan tugas-tugas seperti membaca MachineGuid, memperoleh alamat IP dari https://checkip.amazonaws.com, mengambil nama host, info sistem, dan info pengguna, dan lain sebagainya.

Kesamaan dengan Alat Lama
GraphSteel dirancang untuk mengekstraksi file bersama dengan informasi sistem dan kredensial yang dicuri dari brankas kata sandi menggunakan PowerShell. Sementara Graphiron memiliki fungsi serupa tetapi dapat mengekstraksi lebih banyak lagi, seperti tangkapan layar dan kunci SSH.

Tabel perbandingan antara Graphiron dan alat Nodaria yang lebih tua (GraphSteel dan GrimPlant)
Tabel perbandingan antara Graphiron dan alat Nodaria yang lebih tua (GraphSteel dan GrimPlant)

Nodaria
Nodaria telah aktif setidaknya sejak Maret 2021 dan tampaknya terutama terlibat dalam organisasi penargetan di Ukraina. Ada juga bukti terbatas yang menunjukkan bahwa kelompok tersebut telah terlibat dalam serangan terhadap sasaran di Kyrgyzstan.

Selengkapnya: Symantec

Malware Infostealer Aurora Semakin Diadopsi Oleh Cybergangs

by

Cybercriminals beralih ke pencuri informasi berbasis Go-based bernama ‘Aurora’ untuk mencuri informasi sensitif dari browser dan aplikasi cryptocurrency, mengekstraksi data langsung dari disk, dan memuat muatan tambahan.

Latar belakang peningkatan popularitas Aurora yang tiba-tiba ini adalah tingkat deteksi yang rendah dan status yang tidak diketahui secara umum, membuat infeksinya cenderung tidak terdeteksi.

Aurora menawarkan fitur pencurian data tingkat lanjut dan mungkin stabilitas infrastruktur dan fungsional.

Sejarah Aurora
Aurora pertama kali diumumkan pada April 2022 di forum berbahasa Rusia, diiklankan sebagai proyek botnet dengan fitur mencuri informasi dan akses jarak jauh yang canggih.

Namun, pada akhir Agustus 2022, SEKOIA menyadari bahwa Aurora diiklankan sebagai pencuri, sehingga proyek tersebut mengabaikan tujuannya untuk membuat alat multifungsi.

Fitur utama yang tercantum dalam postingan promosi adalah:

  • Kompilasi polimorfik yang tidak memerlukan pembungkus crypter
  • Dekripsi data sisi server
  • Menargetkan lebih dari 40 dompet cryptocurrency
  • Pengurangan frase seed otomatis untuk MetaMask
  • Reverse lookup untuk pengumpulan kata sandi
  • Berjalan pada soket TCP
  • Berkomunikasi dengan C2 hanya sekali, selama pemeriksaan lisensi
  • Muatan kecil yang sepenuhnya asli (4,2 MB) tidak memerlukan ketergantungan

Fitur-fitur di atas diarahkan pada kemampuan sembunyi-sembunyi tingkat tinggi, yang merupakan keunggulan utama Aurora dibandingkan pencuri info populer lainnya.

Biaya untuk menyewa malware ditetapkan menjadi $250 per bulan atau $1.500 untuk lisensi seumur hidup.

Analisis Pencuri
Setelah eksekusi, Aurora menjalankan beberapa perintah melalui WMIC untuk mengumpulkan informasi host dasar, mengambil gambar desktop, dan mengirimkan semuanya ke C2.

Perintah yang dijalankan Aurora saat diluncurkan
Sumber: SEKOIA

Selanjutnya, malware menargetkan data yang disimpan di beberapa browser (cookie, kata sandi, riwayat, kartu kredit), ekstensi browser cryptocurrency, aplikasi desktop dompet cryptocurrency, dan Telegram.

Aplikasi dompet desktop yang ditargetkan termasuk Electrum, Ethereum, Exodus, Zcash, Armory, Bytecoin, Guarda, dan Jaxx Liberty.

Para analis mengamati pemuat malware Aurora yang menggunakan “net_http_Get” untuk menjatuhkan muatan baru ke sistem file menggunakan nama acak dan kemudian menggunakan PowerShell untuk menjalankannya.

Distribusi saat ini
Saat ini, Aurora didistribusikan kepada para korban melalui berbagai saluran, yang diharapkan dengan melibatkan tujuh operator berbeda.

SEKOIA mengetahui bahwa situs phishing mata uang kripto dipromosikan melalui email phishing dan video YouTube yang tertaut ke perangkat lunak palsu dan situs katalog curang.

Sumber : bleeping computer

Peretas Worok Menyembunyikan Malware Baru di PNG Menggunakan Steganografi

by

Kelompok ancaman yang dilacak sebagai ‘Worok’ menyembunyikan malware di dalam gambar PNG untuk menginfeksi mesin korban dengan malware pencuri informasi tanpa membunyikan alarm.

ESET memperingatkan bahwa Worok menargetkan korban terkenal, termasuk kesatuan pemerintah di Timur Tengah, Asia Tenggara, dan Afrika Selatan, tetapi transparasi mereka ke dalam rantai serangan kelompok itu terbatas.

mengkonfirmasi asumsi ESET tentang sifat file PNG dan menambahkan informasi baru tentang jenis muatan malware dan metode eksfiltrasi data.

Menyembunyikan Malware di File PNG
Peneliti Avast menemukan empat DLL yang berisi kode CLRLoader.

CLRLoader memuat DLL tahap kedua (PNGLoader), yang mengekstrak byte yang disematkan dalam file PNG dan menggunakannya untuk merakit dua executable.

Rantai infeksi lengkap Worok

Menyembunyikan muatan dalam PNG

LSB pada piksel gambar

Muatan pertama yang diekstraksi dari bit tersebut oleh PNGLoader adalah skrip PowerShell yang tidak dapat diambil oleh ESET maupun Avast.

Muatan kedua yang bersembunyi di file PNG adalah pencuri info .NET C# khusus (DropBoxControl) yang menyalahgunakan layanan hosting file DropBox untuk komunikasi C2, eksfiltrasi file, dan banyak lagi.

Penyalahgunaan DropBox

Malware ‘DropBoxControl’ menggunakan akun DropBox yang dikendalikan aktor untuk menerima data dan perintah atau mengunggah file dari mesin yang disusupi.

Perintah disimpan dalam file terenkripsi di DropBox aktor ancaman

Bentuk file DropBox, TaskType adalah perintah

Perintah yang didukung adalah sebagai berikut:

  • Jalankan “cmd /c” dengan parameter yang diberikan
  • Luncurkan yang dapat dieksekusi dengan parameter yang diberikan
  • Unduh data dari DropBox ke perangkat
  • Unggah data dari perangkat ke DropBox
  • Hapus data di sistem korban
  • Ganti nama data pada sistem korbaN
  • Exfiltrate info file dari direktori yang ditentukan
  • Tetapkan direktori baru untuk pintu belakang
  • Exfiltrat informasi sistem
  • Perbarui konfigurasi pintu belakang

    • Fungsi-fungsi ini menunjukkan bahwa Worok adalah kelompok spionase siber yang tertarik dengan eksfiltrasi data sembunyi-sembunyi, gerakan lateral, dan mata-mata pada perangkat yang terinfeksi.

    sumber : bleeping computer

Malware Chaes menyerang pelanggan platform e-commerce terbesar di Amerika Latin

by

Malware yang sebelumnya tidak dikenal telah terdeteksi dalam serangan yang meluas terhadap pelanggan e-commerce di Amerika Latin.

Malware, yang dijuluki Chaes oleh para peneliti Cybereason Nocturnus, digunakan oleh pelaku ancaman di seluruh wilayah LATAM (Latin America) untuk mencuri informasi keuangan.

Dalam sebuah posting blog, tim keamanan siber mengatakan pelanggan Brasil dari perusahaan e-commerce terbesar di kawasan itu, MercadoLivre, adalah fokus dari malware infostealing tersebut.

Pertama kali terdeteksi pada akhir tahun 2020 oleh Cybereason, Chaes disebarkan melalui kampanye phishing, di mana email mengklaim bahwa pembelian di platform MercadoLivre telah berhasil. Untuk mencoba dan meningkatkan tampilan email agar terlihat sah, pelaku ancaman juga menambahkan “dipindai oleh Avast” pada footer.

Pesan tersebut berisi lampiran file .docx berbahaya. Assaf Dahan, Kepala Peneliti di Cybereason, mengatakan kepada ZDNet bahwa lampiran tersebut memanfaatkan “teknik injeksi template, menggunakan fitur bawaan Microsoft Word untuk mengambil muatan dari server jarak jauh.”

Jika korban mengklik file tersebut, kerentanan digunakan untuk membuat sambungan dengan server command-and-control (C2) penyerang, serta mendownload muatan berbahaya pertama, file .msi.

File ini kemudian menyebarkan file .vbs yang digunakan untuk menjalankan proses lain, serta uninstall.dll dan engine.bin, yang keduanya bertindak sebagai “engine” malware. Trio file yang lain – hhc.exe, hha.dll dan chaes1.bin – diinstal yang menyatukan komponen utama Chaes. Modul penambangan cryptocurrency juga dicatat.

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: ZDNet

Jupyter trojan: Malware yang baru ditemukan secara diam-diam mencuri nama pengguna dan kata sandi

by

Kampanye malware trojan yang baru ditemukan menargetkan bisnis dan lembaga pendidikan tinggi dalam upaya untuk mencuri nama pengguna, kata sandi, dan informasi pribadi lainnya serta membuat backdoor yang persisten ke sistem yang disusupi.

Penyalahgunaan Jupyter telah dirinci oleh perusahaan keamanan siber Morphisec yang menemukannya di jaringan lembaga pendidikan tinggi yang tidak disebutkan namanya di AS. Trojan tersebut diperkirakan telah aktif sejak Mei tahun ini.

Serangan tersebut terutama menargetkan data browser Chromium, Firefox, dan Chrome, tetapi juga memiliki kemampuan tambahan untuk membuka backdoor pada sistem yang disusupi, memungkinkan penyerang untuk menjalankan skrip dan perintah PowerShell, serta kemampuan untuk mengunduh dan menjalankan malware tambahan.

Installer Jupyter disamarkan dalam file zip, sering kali menggunakan ikon Microsoft Word dan nama file yang sepertinya harus segera dibuka, berkaitan dengan dokumen penting, detail perjalanan, atau kenaikan gaji.

Jika installer dijalankan, ia akan menginstal alat yang sah dalam upaya untuk menyembunyikan tujuan sebenarnya dari instalasi – mengunduh dan menjalankan installer jahat ke dalam folder temporary di latar belakang.

Setelah terinstal sepenuhnya pada sistem, Jupyter mencuri informasi termasuk nama pengguna, kata sandi, autocompletes, riwayat penjelajahan & cookie dan mengirimkannya ke server perintah dan kontrol.

Analisis malware menunjukkan bahwa siapa pun yang membuatnya terus-menerus mengubah kode untuk mengumpulkan lebih banyak informasi sekaligus mempersulit korban untuk mendeteksi.

Para peneliti percaya bahwa Jupyter berasal dari Rusia. Analisis malware tidak hanya mengungkapkan bahwa itu terkait dengan server perintah dan kontrol di Rusia, tetapi reverse image searching yang dilakukan mengungkapkan gambar planet Jupiter di panel admin infostealer yang asli berasal dari forum berbahasa Rusia.

Berita selengkapnya:
Sumber: ZDNet