Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for malware RedLine

malware RedLine

Pemasang pemutakhiran Windows 11 palsu menginfeksi Anda dengan malware RedLine

by

Pelaku ancaman telah mulai mendistribusikan penginstal pemutakhiran Windows 11 palsu kepada pengguna Windows 10, menipu mereka agar mengunduh dan menjalankan malware pencuri RedLine.

Waktu serangan bertepatan dengan saat Microsoft mengumumkan fase penyebaran luas Windows 11, sehingga penyerang sangat siap untuk langkah ini dan menunggu saat yang tepat untuk memaksimalkan keberhasilan operasi mereka.

Pelaku mencuri kata sandi, cookie browser, kartu kredit, dan pengambil info dompet cryptocurrency yang paling banyak digunakan, sehingga infeksinya dapat memiliki konsekuensi yang mengerikan bagi para korban.

Menurut peneliti di HP, para pelaku menggunakan domain “windows-upgraded.com” yang tampaknya sah untuk bagian distribusi malware dari kampanye mereka.

Situs tersebut tampak seperti situs Microsoft asli dan, jika pengunjung mengeklik tombol ‘Unduh Sekarang’, mereka menerima arsip ZIP 1,5 MB bernama “Windows11InstallationAssistant.zip,” diambil langsung dari CDN Discord.

Situs web palsu yang digunakan untuk penyebaran malware (HP)

Dekompresi file menghasilkan folder berukuran 753MB, menampilkan rasio kompresi 99,8% yang mengesankan, dicapai berkat adanya padding dalam file yang dapat dieksekusi.

Ketika korban meluncurkan executable di folder, proses PowerShell dengan argumen yang disandikan dimulai.

Selanjutnya, proses cmd.exe diluncurkan dengan batas waktu 21 detik, dan setelah itu berakhir, file .jpg diambil dari server web jarak jauh.

Akhirnya, proses awal memuat DLL dan mengganti konteks utas saat ini dengannya. DLL itu adalah payload pencuri RedLine yang terhubung ke server perintah-dan-kontrol melalui TCP untuk mendapatkan instruksi tentang tugas jahat apa yang harus dijalankan selanjutnya pada sistem yang baru dikompromikan.

Eksekusi RedLine dan rantai pemuatan (HP)

Windows 11 adalah peningkatan besar yang tidak dapat diperoleh banyak pengguna Windows 10 dari saluran distribusi resmi karena ketidakcocokan perangkat keras, sesuatu yang dilihat oleh operator malware sebagai peluang bagus untuk menemukan korban baru.

Pelaku ancaman juga memanfaatkan klien pembaruan Windows yang sah untuk mengeksekusi kode berbahaya pada sistem Windows yang disusupi, sehingga taktik yang dilaporkan oleh HP hampir tidak mengejutkan saat ini.

Sumber : Bleeping Computer

Versi malware RedLine baru menyebar sebagai penghitung stat Omicron palsu

by

Varian baru pencuri info RedLine didistribusikan melalui email menggunakan aplikasi penghitung statistik Omicron COVID-19 palsu sebagai iming-iming.

RedLine adalah malware komoditas tersebar luas yang dijual ke penjahat dunia maya seharga beberapa ratus USD. Ini memasok pasar web gelap dengan lebih dari setengah kredensial pengguna yang dicuri dijual ke aktor ancaman lainnya.

RedLine menargetkan kredensial akun pengguna yang disimpan di browser, kata sandi VPN, detail kartu kredit, cookie, konten IM, kredensial FTP, data dompet cryptocurrency, dan informasi sistem.

Varian baru telah menambahkan beberapa poin informasi untuk dieksfiltrasi, seperti:

  • Nama kartu grafis
  • Produsen BIOS, kode identifikasi, nomor seri, tanggal rilis, dan versi
  • Pabrikan disk drive, model, total head, dan tanda tangan
  • Informasi prosesor (CPU) seperti ID unik, ID prosesor, pabrikan, nama, kecepatan clock maks, dan informasi motherboard
  • Data ini diambil pada eksekusi pertama dari iming-iming “Omicron Stats.exe”, yang membongkar malware dan memasukkannya ke dalam vbc.exe.

Aplikasi tambahan yang ditargetkan oleh varian RedLine baru adalah browser web Opera GX, OpenVPN, dan ProtonVPN.

Versi RedLine sebelumnya menargetkan Opera biasa, tetapi GX adalah edisi khusus “berfokus pada gamer” yang semakin populer.

Selain itu, malware sekarang mencari folder Telegram untuk menemukan gambar dan riwayat percakapan dan mengirimnya kembali ke server pelaku ancaman.

Terakhir, sumber daya Discord lokal diperiksa lebih ketat untuk menemukan dan mencuri token akses, log, dan file database.

Varian RedLine baru mencari log Discord
Sumber: Fortinet

Saat menganalisis kampanye baru, para peneliti menemukan alamat IP di Inggris Raya yang berkomunikasi dengan server perintah dan kontrol melalui layanan pesan Telegram.

Para korban tersebar di 12 negara, dan serangan tidak terfokus pada organisasi atau individu tertentu.

“Varian ini menggunakan 207[.]32.217.89 sebagai server C2-nya melalui port 14588. IP ini dimiliki oleh 1gservers,” jelas laporan Fortinet

Sumber : Bleeping Computer

Have I Been Pwned menambahkan 441 ribu akun yang dicuri oleh malware RedLine

by

Layanan pemberitahuan pelanggaran data Have I Been Pwned sekarang memungkinkan Anda memeriksa apakah email dan kata sandi Anda adalah salah satu dari 441.000 akun yang dicuri dalam kampanye pencurian informasi menggunakan malware RedLine.

RedLine saat ini adalah malware pencuri informasi yang paling banyak digunakan, didistribusikan melalui kampanye phishing dengan lampiran berbahaya, penipuan YouTube, dan situs warez/crack.

Setelah diinstal, malware RedLine akan mencoba mencuri cookie, kredensial, kartu kredit, dan informasi pelengkapan otomatis yang disimpan di browser. Itu juga mencuri kredensial yang disimpan di klien VPN dan klien FTP, mencuri dompet cryptocurrency, dan dapat mengunduh perangkat lunak tambahan atau menjalankan perintah pada sistem yang terinfeksi.

Data yang dicuri dikumpulkan ke dalam arsip, yang disebut “log”, dan diunggah ke server jauh tempat penyerang dapat mengumpulkannya nanti.

Penyerang menggunakan log ini untuk berkompromi dengan akun lain atau menjualnya di pasar kriminal web gelap hanya dengan $5 per log.

Akhir pekan lalu, peneliti keamanan Bob Diachenko menemukan server yang mengekspos lebih dari 6 juta log RedLine yang dikumpulkan pada bulan Agustus dan September 2021. Pelaku ancaman kemungkinan menggunakan server ini untuk menyimpan data yang dicuri tetapi gagal mengamankannya dengan benar.

Minggu ini banyak LastPass menerima email peringatan bahwa kata sandi utama mereka mungkin disusupi karena digunakan untuk masuk dari lokasi yang tidak biasa.

Diachenko menemukan bahwa banyak kredensial LastPass dicuri dan disimpan di log RedLine yang terbuka dan memeriksa berbagai email untuk pengguna LastPass yang menerima email untuk melihat apakah mereka terdaftar.

Data RedLine berisi 441.657 alamat email unik yang dicuri oleh RedLine yang sekarang dapat dicari di Have I Been Pwned. Sayangnya, jika alamat email Anda terdaftar di log malware RedLine, tidak cukup hanya mengubah kata sandi yang terkait dengan akun email itu.

Karena RedLine menargetkan semua data Anda, Anda harus mengubah kata sandi untuk semua akun yang digunakan pada mesin, termasuk VPN perusahaan dan akun email, serta akun pribadi lainnya.

Saat RedLine mencoba mencuri dompet cryptocurrency, Anda harus segera mentransfer token ke dompet lain jika Anda memilikinya. Jika email Anda terdaftar sebagai bagian dari catatan RedLine, Anda harus memindai komputer Anda menggunakan perangkat lunak antivirus untuk mendeteksi dan menghapus malware yang diinstal.

Sumber : Bleeping Computer