Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Malspam

Malspam

Pencuri informasi Meta baru didistribusikan dalam kampanye malspam

by

Kampanye malspam telah ditemukan mendistribusikan malware META baru, malware pencuri info baru yang tampaknya semakin populer di kalangan penjahat dunia maya.

META adalah salah satu pencuri info baru, bersama dengan Mars Stealer dan BlackGuard, yang operatornya ingin memanfaatkan keluarnya Raccoon Stealer dari pasar yang membuat banyak orang mencari platform berikutnya.

Alat ini dijual dengan harga $125 untuk pelanggan bulanan atau $1.000 untuk penggunaan seumur hidup tanpa batas dan dipromosikan sebagai versi perbaikan dari RedLine.

Kampanye spam baru yang dilihat oleh peneliti keamanan dan ISC Handler Brad Duncan adalah bukti bahwa META secara aktif digunakan dalam serangan, digunakan untuk mencuri kata sandi yang disimpan di Chrome, Edge, dan Firefox, serta dompet cryptocurrency.

Rantai infeksi dalam kampanye tertentu mengikuti pendekatan “standar” dari spreadsheet Excel berlapis makro yang tiba di kotak masuk calon korban sebagai lampiran email.

Rantai infeksi META pada kampanye berbintik (isc.sans.edu)

Pesan tersebut membuat klaim palsu tentang transfer dana yang tidak terlalu meyakinkan atau dibuat dengan baik tetapi masih bisa efektif terhadap persentase penerima yang signifikan.

Email yang membawa lampiran Excel berbahaya (isc.sans.edu)

File spreadsheet menampilkan umpan DocuSign yang mendesak target untuk “mengaktifkan konten” yang diperlukan untuk menjalankan makro VBS berbahaya di latar belakang.

Umpan DocuSign yang memikat pengguna untuk mengaktifkan konten (isc.sans.edu)

Ketika skrip berbahaya berjalan, itu akan mengunduh berbagai muatan, termasuk DLL dan yang dapat dieksekusi, dari beberapa situs, seperti GitHub.

Beberapa file yang diunduh dikodekan base64 atau byte-nya dibalik untuk melewati deteksi oleh perangkat lunak keamanan. Misalnya, di bawah ini adalah salah satu sampel yang dikumpulkan oleh Duncan yang byte-nya dibalik dalam unduhan aslinya.

DLL disimpan dalam urutan byte terbalik (isc.sans.edu)

Akhirnya, muatan akhir dirakit pada mesin dengan nama “qwveqwveqw.exe,” yang kemungkinan acak, dan kunci registri baru ditambahkan untuk kegigihan.

Kunci registri baru dan executable berbahaya (isc.sans.edu)

Tanda infeksi yang jelas dan terus-menerus adalah file EXE yang menghasilkan lalu lintas ke server perintah dan kontrol di 193.106.191[.]162, bahkan setelah sistem di-boot ulang, memulai kembali proses infeksi pada mesin yang disusupi.

Lalu lintas berbahaya ditangkap di Wireshark (isc.sans.edu)

Satu hal yang perlu diperhatikan adalah bahwa META memodifikasi Windows Defender melalui PowerShell untuk mengecualikan file .exe dari pemindaian, untuk melindungi file dari deteksi.

Sumber : Bleeping Computer

Malware Dridex Kembali Dalam Kampanye Malspam QuickBooks Global Baru

by

Serangan phishing yang menyamar sebagai faktur QuickBooks menargetkan pengguna perangkat lunak akuntansi populer dalam upaya menginfeksi perangkat korban dengan Trojan perbankan Dridex yang terkenal.

Ditemukan oleh Bitdefender Antispam Lab, kampanye malspam bertema Intuit yang baru ini menarik pengguna QuickBooks dengan pemberitahuan dan faktur pembayaran palsu.

Kampanye phishing yang sedang berlangsung dimulai pada 19 April, menargetkan pengguna QuickBooks dari seluruh dunia. Secara keseluruhan, 14% email berbahaya mencapai Amerika Serikat, 11% di Korea Selatan, Jerman, dan India, 7% di Inggris dan Prancis, 4% di Italia, 3% di Swedia, dan 2% di Kanada, Belgia, Austria, Swiss, dan Belanda.

Dridex adalah Trojan perbankan, biasanya dikirimkan melalui email phishing yang berisi dokumen Microsoft Word dan Excel yang berbahaya.

Perangkat lunak berbahaya ini mencuri informasi rahasia dari para korban, termasuk kredensial perbankan yang dapat digunakan pelaku ancaman untuk mengakses rekening bank dan melakukan transaksi penipuan.

Pengguna yang ceroboh dapat berakhir dengan biaya penipuan pada kartu kredit, transfer wire yang tidak biasa dari akun perusahaan, dan bahkan pelanggaran data yang dapat membahayakan seluruh jaringan dan basis pelanggan organisasi.

Selengkapnya: Hot For Security

Malware QBot kembali menggantikan IcedID di kampanye malspam

by

Distributor malware memutar muatan sekali lagi, beralih di antara trojan yang sering kali merupakan tahap perantara dalam rantai infeksi yang lebih panjang.

Awal tahun ini, para peneliti mengamati kampanye email berbahaya yang menyebarkan dokumen Office yang mengirimkan trojan QBot, hanya untuk mengubah muatan setelah beberapa saat.

Pada bulan Februari, IcedID adalah malware baru yang berasal dari URL yang digunakan untuk melayani QBot. Brad Duncan dari Palo Alto Networks menangkap perubahan dan catatan dalam analisisnya pada saat itu:

“URL HTTPS yang dibuat oleh makro Excel diakhiri dengan /ds/2202.gif yang biasanya mengirimkan Qakbot, tetapi hari ini mengirimkan IcedID” – Brad Duncan

Peneliti ancaman James Quinn dari Binary Defense membuat pengamatan yang sama dalam posting blog pada bulan Maret, ketika perusahaan menemukan varian IcedID/BokBot baru saat melacak kampanye spam berbahaya dari distributor QakBot.

Peneliti malware dan reverse engineer reecDeep melihat pergantian tersebut pada hari Senin, mengatakan bahwa kampanye tersebut bergantung pada makro XLM yang diperbarui.

Sumber: Bleeping Computer

Seperti yang terlihat pada tangkapan layar di atas, file Office yang berbahaya berperan sebagai dokumen DocuSign untuk mengelabui pengguna agar mengaktifkan dukungan makro yang mengambil muatan pada sistem.

Menurut Intel 471, beberapa kelompok penjahat dunia maya mulai menggunakan layanan EtterSilent, termasuk IcedID, QakBot, Ursnif, dan Trickbot.

Selengkapnya: Bleeping Computer

Dokumen Word TA551 (Shathak) mendorong IcedID (Bokbot) terinstal pada perangkat korban

by

Seorang peneliti dari malware-traffic-analysis.net, Brad Duncan, telah memposting mengenai detail bagaimana TA551 (Shathak) menggunakan dokumen word untuk mengintal IcedID (Bokbot) pada mesin korban.

Pada postingan tersebut, Duncan menjelaskan bahwa kampanye TA551 (Shathak) masih terus menggunakan malware IcedID (Bokbot) sejak ia menulis laporan mengenai kampanye ini pada Agustus 2020. Kampanye ini, yang tidak hanya menargetkan korban yang tidak berbahasa Inggris, sekarang mengganti template email mereka untuk menghindari deteksi.

Sumber: SANS ISC InfoSec Forums

TA551 menggunakan malspam untuk mengirim malware IcedID pada tahap awal. Malspam dari TA551 menggunakan rantai email sah yang dicuri dari klien email pada host Windows yang sebelumnya terinfeksi, Email ini mencoba untuk menipu pengirim dengan menggunakan nama dari rantai email sebagai alias untuk alamat pengiriman.

Selanjutnya, korban yang tidak berhati-hati akan menggunakan password yang ada pada email untuk mengekstrak dokumen zip yang terlampir. Infeksinya dimulai ketika korban mengaktifkan makro pada host Windows yang rentan dan mengabaikan peringatan keamanan apa pun.

Sumber: SANS ISC InfoSec Forums

Mengaktifkan makro menyebabkan host Windows yang rentan mengambil file DLL Windows dari URL yang diakhiri dengan .cab. DLL ini disimpan pada host dan dijalankan menggunakan regsvr32.exe. DLL ini adalah penginstal untuk IcedID.

Setelah DLL dijalankan menggunakan regsvr32.exe, host Windows korban mengambil gambar PNG melalui lalu lintas HTTPS. PNG awal ini disimpan ke direktori AppData\Local\Temp korban dengan ekstensi file .tmp. Gambar PNG memiliki data yang dikodekan yang digunakan penginstal DLL untuk membuat EXE untuk IcedID. EXE ini juga disimpan ke direktori yang sama.

Selama proses infeksi, EXE pertama untuk IcedID menghasilkan lebih banyak lalu lintas HTTPS, dan Duncan menemukan gambar PNG lain yang disimpan di suatu tempat di bawah direktori AppData\Local atau AppData\Roaming korban. PNG kedua ini juga berisi data yang dikodekan.

Pada akhirnya, Duncan melihat EXE lain untuk IcedID yang disimpan ke direktori baru dan dibuat persisten melalui tugas terjadwal. EXE persisten ini berukuran sama dengan EXE pertama, tetapi memiliki hash file yang berbeda.

Untuk IoC serta detail gambar dapat dilihat pada tautan berikut ini;
Source: SANS ISC InfoSec Forums

Serangan Emotet baru menggunakan umpan Pembaruan Windows palsu

by

Dalam lanskap keamanan siber saat ini, botnet Emotet adalah salah satu sumber malspam terbesar – istilah yang digunakan untuk mendeskripsikan email yang mengirimkan lampiran file yang mengandung malware.

Kampanye malspam ini sangat penting bagi operator Emotet. Mereka adalah basis yang menopang botnet, memberikan banyak korban baru ke mesin Emotet – operasi kejahatan siber Malware-as-a-Service (MaaS) yang disewakan ke kelompok kriminal lain.

Untuk mencegah perusahaan keamanan mengejar dan menandai email mereka sebagai “email jahat” atau “spam”, grup Emotet secara teratur mengubah cara email ini dikirim dan tampilan lampiran file.

Operator emotet mengubah baris subjek email, teks di badan email, jenis lampiran file, tetapi juga konten lampiran file, yang sama pentingnya dengan email lainnya.

Tapi minggu ini, Emotet datang dari liburan baru-baru ini dengan membawa dokumen baru.

Lampiran file yang dikirim dalam kampanye Emotet baru-baru ini memperlihatkan pesan yang mengaku dari layanan Pembaruan Windows, memberi tahu pengguna bahwa aplikasi Office perlu diperbarui. Tentu saja, ini harus dilakukan dengan mengklik tombol Enable Editing (jangan tekan).

source: ZDNet

Menurut update dari grup Cryptolaemus, sejak kemarin iming-iming Emotet ini telah di-spam dalam jumlah besar ke pengguna yang berada di seluruh dunia.

Berdasarkan laporan ini, pada beberapa host yang terinfeksi, Emotet menginstal trojan TrickBot, mengkonfirmasikan laporan ZDNet dari awal pekan ini bahwa botnet TrickBot selamat dari upaya penghapusan baru-baru ini dari Microsoft dan mitranya.

Selain itu, Emotet sering kali menggunakan teknik yang disebut pembajakan percakapan, di mana ia mencuri utas email dari host yang terinfeksi, memasukkan dirinya ke dalam utas dengan balasan palsu salah satu peserta, dan menambahkan dokumen Office yang dibuat secara khusus sebagai lampiran.

Dalam kasus ini, pelatihan dan kesadaran adalah cara terbaik untuk mencegah serangan Emotet. Pengguna yang bekerja dengan email secara teratur harus diberi tahu tentang bahaya mengaktifkan makro di dalam dokumen, fitur yang sangat jarang digunakan untuk tujuan yang sah.

Baca berita selengkapnya pada tautan di bawah ini;
Source: ZDNet

Christmas Is Near! So Does the Christmas Malware!

by

Source: Tom’s Guide

 

Kampanye malspam baru bertandakan “Pesta Natal,” “Pesta Natal minggu depan,” “Menu pesta,” “Jadwal liburan” telah ditemukan. Email tersebut memiliki dokumen Word terlampir yang sebenarnya adalah malware Emotet Trojan yang terkenal.

 

Karena Emotet menyebar dari satu mesin Windows ke mesin lain dengan merampas daftar kontak email orang yang terinfeksi, email jahat tersebut dapat menyapa Anda dengan nama dan berasal dari seseorang yang Anda kenal. Jadi, Anda akan tergoda untuk membuka dokumen terlampir.

 

Baca berita pada link di atas untuk mengetahui bagaimana cara pencegahannya!