Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for SEO poisoning

SEO poisoning

Keracunan SEO mendorong Zoom yang dicampur malware, TeamViewer, installer Visual Studio

by

Kampanye keracunan SEO baru sedang berlangsung, menjatuhkan malware Batloader dan Atera Agent ke sistem profesional yang ditargetkan yang mencari unduhan alat produktivitas, seperti Zoom, TeamViewer, dan Visual Studio.

Kampanye ini bergantung pada kompromi situs web yang sah untuk menanam file berbahaya atau URL yang mengarahkan pengguna ke situs yang meng-host malware yang disamarkan sebagai aplikasi populer.

Setelah mengunduh dan mengeksekusi penginstal perangkat lunak, para korban tanpa sadar menginfeksi diri mereka sendiri dengan malware dan perangkat lunak akses jarak jauh.

Hasil pencarian keracunan

Sebagai bagian dari kampanye ini, aktor ancaman melakukan teknik optimisasi mesin pencari (SEO) ke situs yang dikompromikan secara sah ke dalam hasil pencarian untuk aplikasi populer.

Kata kunci yang ditargetkan adalah untuk aplikasi populer seperti Zoom, Microsoft Visual Studio 2015, TeamViewer, dan lainnya.

Ketika pengguna mengklik tautan mesin pencari, mereka akan dibawa ke situs yang dikompromikan yang mencakup Sistem Arah Lalu Lintas (TDS). Sistem Arah Lalu Lintas adalah skrip yang memeriksa berbagai atribut pengunjung dan menggunakan informasi itu untuk memutuskan apakah mereka harus ditampilkan halaman web yang sah atau diarahkan ke situs berbahaya lain di bawah kendali penyerang.

Dalam kampanye serupa di masa lalu, TDS hanya akan mengarahkan pengunjung jika mereka berasal dari hasil mesin pencari. Jika tidak, TDS akan menunjukkan kepada pengunjung posting blog yang normal dan sah.

Teknik ini membantu mencegah analisis oleh peneliti keamanan karena hanya akan menunjukkan perilaku jahat kepada mereka yang tiba dari mesin pencari.

Jika pengunjung diarahkan, situs berbahaya akan menunjukkan kepada mereka diskusi forum palsu di mana pengguna bertanya bagaimana mendapatkan aplikasi tertentu, dan pengguna palsu lainnya menyediakan tautan unduhan, seperti yang ditunjukkan di bawah ini.

Mengklik tautan unduhan akan menyebabkan situs membuat penginstal malware kemasan menggunakan nama aplikasi yang dicari. Karena paket malware termasuk perangkat lunak yang sah, banyak pengguna tidak akan menyadari bahwa mereka juga telah terinfeksi malware.

Beberapa domain berbahaya yang ditemukan oleh peneliti Mandiant yang digunakan dalam kampanye ini adalah:

  • cmdadminu[.] Com
  • zoomvideo-s[.] Com
  • cloudfiletehnology[.] Com
  • commandaadmin[.] Com
  • awan222[.] Com
  • websekir[.] Com
  • tim-viewer[.] site
  • zoomvideo[.] site
  • sweepcakesoffers[.] Com
  • pornofilmspremium[.] Com
  • kdsjdsadas[.] online
  • bartmaaz[.] Com
  • firsone1[.] online

Selengkapnya: Bleepingcomputer

Microsoft: SEO poisoning digunakan untuk target backdoor dengan malware

by

Microsoft melacak serangkaian serangan yang menggunakan SEO poisoning untuk menginfeksi target dengan trojan akses jarak jauh (RAT) yang mampu mencuri informasi sensitif korban dan melakukan backdoor pada sistem mereka.

Malware yang dikirim dalam kampanye ini adalah SolarMarker (alias Jupyter, Polazert, dan Yellow Cockatoo), RAT .NET yang berjalan di memori dan digunakan oleh penyerang untuk menjatuhkan muatan lain pada perangkat yang terinfeksi.

SolarMarker dirancang untuk memberi masternya pintu belakang ke sistem yang disusupi dan mencuri kredensial dari browser web.

Data yang berhasil dipanen dari sistem yang terinfeksi dieksfiltrasi ke server perintah-dan-kontrol. Malware juga akan mendapatkan ketekunan dengan menambahkan dirinya ke folder Startup dan memodifikasi pintasan di desktop korban.

Pada bulan April, peneliti eSentire mengamati aktor ancaman di balik SolarMaker membanjiri hasil pencarian dengan lebih dari 100.000 halaman web yang mengklaim menyediakan formulir kantor gratis (misalnya, faktur, kuesioner, tanda terima, dan resume).

Dalam serangan terbaru yang ditemukan oleh Microsoft, penyerang telah beralih ke dokumen berisi kata kunci yang dihosting di AWS dan Strikingly, dan sekarang menargetkan sektor lain, termasuk keuangan dan pendidikan.

Setelah korban menemukan salah satu PDF perusak dan membukanya, mereka akan diminta untuk mengunduh dokumen PDF atau DOC lain yang berisi informasi yang mereka cari.

Alih-alih mendapatkan akses ke info, mereka diarahkan melalui beberapa situs web menggunakan .site, .tk, dan .ga TLD ke halaman web Google Drive yang dikloning di mana mereka menyajikan muatan terakhir, malware SolarMaker.

Selengkapnya: Bleeping Computer

Malware Gootkit hidup kembali bersama REvil ransomware

by

Setelah tidak muncul selama 1 tahun, Trojan pencuri informasi Gootkit telah hidup kembali bersama REvil Ransomware dalam kampanye baru yang menargetkan Jerman.

Trojan Gootkit adalah malware berbasis Javascript yang melakukan berbagai aktivitas berbahaya, termasuk akses jarak jauh, pengambilan keystroke, perekaman video, pencurian email, pencurian kata sandi, dan kemampuan untuk menyuntikkan skrip berbahaya untuk mencuri kredensial perbankan online.

Tahun lalu, pelaku ancaman Gootkit mengalami kebocoran data setelah membiarkan database MongoDB terbuka di Internet. Setelah pelanggaran ini, diyakini bahwa para aktor Gootkit telah menghentikan operasinya sampai mereka tiba-tiba hidup kembali awal bulan ini.

Minggu lalu, seorang peneliti keamanan yang dikenal sebagai The Analyst mengatakan kepada BleepingComputer bahwa malware Gootkit telah muncul lagi dalam serangan yang menargetkan Jerman.

Dalam kampanye baru ini, pelaku ancaman meretas situs WordPress dan memanfaatkan SEO poisoning untuk menampilkan posting forum palsu kepada pengunjung. Posting ini berpura-pura menjadi pertanyaan dan jawaban dengan tautan ke formulir atau unduhan palsu.

Saat pengguna mengklik link tersebut, mereka akan mendownload file ZIP yang berisi file JS yang dikaburkan yang akan menginstal malware Gootkit atau REvil ransomware.

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Sumber: Bleeping Computer