Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for TrickBot

TrickBot

Badan keamanan siber mengungkapkan jenis malware teratas tahun lalu

by

Badan Keamanan Cybersecurity dan Infrastruktur AS (CISA) merilis daftar jenis malware yang paling banyak terdeteksi tahun lalu dalam konsultasi bersama dengan Australian Cyber ​​Security Center (ACSC).

“Pengguna malware paling produktif dari jenis malware teratas adalah penjahat cyber, yang menggunakan malware untuk mengirimkan ransomware atau memfasilitasi pencurian informasi pribadi dan keuangan.”

Strain malware teratas yang diamati pada tahun 2021 termasuk Agen Tesla, AZORult, Formbook, Ursnif, LokiBot, MOUSEISLAND, NanoCore, Qakbot, Remcos, TrickBot, dan GootLoader.

Dari jumlah tersebut, Agen Tesla, AZORult, Formbook, LokiBot, NanoCore, Remcos, dan TrickBot telah digunakan dalam serangan setidaknya selama lima tahun terakhir, sementara Qakbot dan Ursnif telah digunakan selama lebih dari satu dekade.

Umur panjang keluarga malware ini disebabkan oleh upaya berkelanjutan pengembang mereka untuk meningkatkannya dengan menambahkan kemampuan dan cara baru untuk menghindari deteksi.

Penasihat bersama mencakup tanda tangan Snort untuk semua malware di atas untuk mendeteksi muatan dengan memantau lalu lintas jaringan dan daftar tindakan mitigasi.

CISA dan ACSC mendorong admin dan tim keamanan untuk menerapkan mitigasi berikut untuk mempertahankan diri dari serangan malware:

  • Perbarui perangkat lunak, termasuk sistem operasi, aplikasi, dan firmware, di I.T. aset jaringan
  • Terapkan MFA semaksimal mungkin
  • Jika Anda menggunakan RDP dan/atau layanan lain yang berpotensi berisiko, amankan dan pantau dengan cermat
  • Pertahankan cadangan data offline (yaitu, terputus secara fisik)
  • Memberikan kesadaran dan pelatihan pengguna akhir untuk membantu memblokir rekayasa sosial dan serangan spearphishing
  • Menerapkan segmentasi jaringan untuk memisahkan segmen jaringan berdasarkan peran dan fungsionalitas

Pada bulan April, otoritas keamanan siber di seluruh dunia, dalam kemitraan dengan NSA dan FBI, juga merilis daftar 15 kerentanan teratas yang secara rutin dieksploitasi dalam serangan selama tahun 2021.

CISA dan FBI juga telah menerbitkan daftar 10 bug keamanan yang paling banyak dieksploitasi antara tahun 2016 dan 2019 dan bug teratas yang paling sering disalahgunakan pada tahun 2020 bekerja sama dengan ACSC dan National Cyber ​​Security Center (NCSC) Inggris.

Pada bulan Juni, MITRE juga membagikan daftar 25 bug perangkat lunak paling berbahaya tahun ini setelah mengungkapkan kelemahan keamanan pemrograman, desain, dan arsitektur paling berbahaya yang mengganggu perangkat keras pada November 2021.

Sumber: Bleeping Computer

Malware Bumblebee baru menggantikan Conti’s BazarLoader dalam serangan siber

by

Pemuat malware yang baru ditemukan bernama Bumblebee kemungkinan merupakan pengembangan terbaru dari sindikat Conti, yang dirancang untuk menggantikan pintu belakang BazarLoader yang digunakan untuk mengirimkan muatan ransomware.

Munculnya Bumblebee dalam kampanye phishing pada bulan Maret bertepatan dengan penurunan penggunaan BazarLoader untuk mengirimkan malware enkripsi file, kata para peneliti.

BazarLoader adalah karya pengembang botnet TrickBot, yang menyediakan akses ke jaringan korban untuk serangan ransomware. Geng TrickBot sekarang bekerja untuk sindikat Conti.

Dalam sebuah laporan pada bulan Maret tentang aktor ancaman yang dilacak sebagai ‘Exotic Lily’ yang menyediakan akses awal untuk operasi ransomware Conti dan Diavol, Grup Analisis Ancaman Google mengatakan bahwa aktor tersebut mulai menjatuhkan Bumblebee, alih-alih malware BazarLoader biasa, untuk mengirimkan Cobalt Strike .

Eli Salem, pemimpin ancaman hunter dan malware reverse engineer di Cybereason mengatakan bahwa teknik penyebaran untuk Bumblebee sama seperti untuk BazarLoader dan IcedID, keduanya terlihat di masa lalu menyebarkan Conti ransomware.

Proofpoint mengkonfirmasi temuan Salem, dengan mengatakan bahwa mereka telah mengamati kampanye phishing di mana “Bumblebee [telah] digunakan oleh beberapa aktor ancaman crimeware yang sebelumnya diamati mengirimkan BazaLoader dan IcedID.”

Perusahaan juga mencatat bahwa “beberapa pelaku ancaman yang biasanya menggunakan BazaLoader dalam kampanye malware telah beralih ke Bumblebee” untuk menghapus shellcode dan kerangka kerja Cobalt Strike, Sliver, dan Meterpreter yang dirancang untuk penilaian keamanan tim merah.

Pada saat yang sama, BazaLoader telah hilang dari data Proofpoint sejak Februari.

Dalam sebuah laporan hari ini, Proofpoint mengatakan bahwa mereka mengamati beberapa kampanye email yang mendistribusikan Bumblebee dalam lampiran ISO yang berisi file pintasan dan DLL.

Satu kampanye memanfaatkan umpan dokumen DocuSign yang mengarah ke arsip ZIP dengan wadah ISO berbahaya yang dihosting di layanan penyimpanan cloud OneDrive Microsoft.

Para peneliti mengatakan bahwa email berbahaya itu juga menyertakan lampiran HTML yang muncul sebagai email ke faktur yang belum dibayar, kata Proofpoint.

URL yang disematkan dalam file HTML menggunakan layanan pengalihan yang mengandalkan Prometheus TDS (layanan distribusi lalu lintas) yang memfilter unduhan berdasarkan zona waktu dan cookie korban. Tujuan akhir juga adalah ISO berbahaya yang dihosting di OneDrive.

Pada bulan Maret, Proofpoint mengamati kampanye yang mengirimkan Bumblebee melalui formulir kontak di situs web target. Pesan tersebut mengklaim bahwa situs web menggunakan gambar curian dan menyertakan tautan yang pada akhirnya mengirimkan file ISO yang berisi malware.

Proofpoint mengaitkan kampanye ini dengan aktor ancaman lain yang dilacak perusahaan sebagai TA578 sejak Mei 2020 dan menggunakan kampanye email untuk mengirimkan malware seperti Ursnif, IcedID, KPOT Stealer, Buer Loader, dan BazaLoader, serta Cobalt Strike.

Para peneliti mendeteksi kampanye lain pada bulan April yang membajak utas email untuk mengirimkan pemuat malware Bumblebee sebagai balasan ke target dengan lampiran ISO yang diarsipkan.

Sumber: Proofpoint

Meskipun belum menemukan bukti yang tidak dapat disangkal, Proofpoint percaya bahwa pelaku ancaman yang menggunakan Bumblebee adalah pialang akses jaringan awal yang bekerja dengan pelaku ransomware.

Para peneliti setuju bahwa Bumblebee adalah “pemuat malware baru yang sangat canggih” yang mengintegrasikan teknik penghindaran yang rumit dan trik anti-analisis yang mencakup metode anti-virtualisasi yang kompleks.

Dalam analisis teknis pada hari Kamis, Eli Salem menunjukkan bahwa penulis Bumblebee menggunakan seluruh kode anti-analisis dari aplikasi ‘malware’ PoC al-khaser yang tersedia untuk umum.

Pemeriksaan kode Salem mengungkapkan bahwa malware mencari beberapa alat untuk analisis dinamis dan statis, mencoba mendeteksi “setiap jenis lingkungan virtualisasi” dengan mencari prosesnya, dan dengan memeriksa kunci registri dan jalur file.

Peneliti mencatat bahwa salah satu hal paling menarik yang dia temukan di komponen pemuat inti Bumblebee adalah adanya dua file DLL 32/64-bit yang disebut RapportGP.dll, nama yang digunakan oleh perangkat lunak keamanan Trusteer’s Rapport untuk melindungi data sensitif seperti kredensial.

Peneliti malware di perusahaan keamanan siber Proofpoint dan Cybereason menganalisis Bumblebee dan melihat kesamaan dengan malware TrickBot dalam kode, metode pengiriman, dan muatan yang dijatuhkan.

Salem membuat koneksi antara Bumblebee ke TrickBot setelah melihat bahwa kedua malware bergantung pada mekanisme instalasi yang sama untuk hook.

sumber: Eli Salem

Kesamaannya bahkan lebih jauh, karena Bumblebee menggunakan teknik penghindaran yang sama untuk RapportGP.DLL seperti TrickBot untuk modul web-inject-nya.

Selain itu, kedua malware mencoba menggunakan LoadLibrary dan mendapatkan alamat dari fungsi yang ingin mereka kaitkan, peneliti menemukan.

Salem mengatakan bahwa meskipun tidak ada cukup bukti untuk mengatakan bahwa Bumblebee dan TrickBot memiliki penulis yang sama, masuk akal untuk mengasumsikan bahwa pengembang Bumblebee memiliki kode sumber untuk modul web-inject TrickBot.

Sumber: Bleeping Computer

Apakah geng Trickbot membajak router Anda? Pemindai ini mungkin punya jawaban

by

Microsoft telah menerbitkan alat yang memindai dan mendeteksi perangkat Internet-of-Things yang didukung MikroTik yang telah dibajak oleh geng Trickbot.

Pemindai open-source muncul setelah penyelidikan oleh tim peneliti Redmond’s Defender for IoT tentang bagaimana kru malware jahat mengambil alih router MikroTik dan mengaturnya untuk menyalurkan komunikasi ke dan dari komputer yang terinfeksi Trickbot di jaringan dan server backend penjahat.

Tim keamanan Microsoft menguraikan bagaimana penjahat berkompromi dengan perangkat MikroTik untuk memperkuat komunikasi C2 Trickbot. Geng pertama-tama harus memperoleh kredensial untuk gateway, dan menurut Microsoft ia melakukan ini melalui berbagai metode termasuk menggunakan kata sandi MikroTik default dan meluncurkan serangan brute force.

Atau mereka dapat mengeksploitasi CVE-2018-14847 pada perangkat yang menjalankan versi RouterOS yang lebih lama dari 6.42. Ini memungkinkan penyerang untuk membaca file arbitrer seperti user.dat, yang berisi kata sandi, Microsoft menjelaskan.

Penjahat kemudian mengubah kata sandi router untuk mempertahankan akses, dan kemudian menggunakan perangkat yang disusupi untuk mengirim perintah ke sistem beracun Trickbot di jaringan agar mereka menjalankan ransomware, menambang koin, mencuri atau menghapus data, dan sebagainya.

Microsoft mencatat bahwa lalu lintas C2 yang dialihkan diterima dari port 449 port Trickbot yang dikenal dan dialihkan melalui port 80.

Pemindai terhubung ke perangkat MikroTik dan mencari aturan konfigurasi pengalihan lalu lintas dan perubahan port, di antara indikator Trickbot lainnya. Jika Anda ingin mencari sendiri, tanpa menggunakan kode Microsoft, atau memerlukan saran tentang apa yang harus dilakukan jika Anda merasa router Anda telah disusupi, Redmond menawarkan ini:

Jalankan perintah berikut [pada router] untuk mendeteksi apakah aturan NAT diterapkan ke perangkat (dilengkapi oleh alat juga):

/ip firewall nat print

Jika ada data berikut, ini mungkin mengindikasikan infeksi:

rantai=dstnat action=dst-nat ke-alamat=

ke-port=80 protokol=tcp dst-address=

rantai=srcnat action=masquerade src-address=

Jalankan perintah berikut untuk menghapus aturan NAT yang berpotensi berbahaya:

/ip firewall nat menghapus angka=

Tips nomor satu untuk melindungi dari serangan Trickbot di masa depan: tetap ditambal, dan gunakan kata sandi yang kuat bukan kata sandi default MikroTik.

Sumber : The Register

Operasi malware TrickBot dimatikan, pengembang pindah ke malware yang lebih tersembunyi

by

Operasi malware TrickBot telah ditutup setelah pengembang intinya pindah ke kelompok ransomware Conti untuk memfokuskan pengembangan pada keluarga malware BazarBackdoor dan Anchor yang tersembunyi.

TrickBot adalah infeksi malware Windows terkenal yang telah mendominasi lanskap ancaman sejak 2016.

Malware biasanya diinstal melalui email phishing berbahaya atau malware lainnya, dan diam-diam akan berjalan di komputer korban saat mendownload modul untuk melakukan tugas yang berbeda.

Modul-modul ini melakukan berbagai aktivitas berbahaya, termasuk mencuri database Layanan Direktori Aktif domain, menyebar secara lateral di jaringan, mengunci layar, mencuri cookie dan kata sandi browser, dan mencuri kunci OpenSSH.

Pada tahun 2019, TrickBot Group bermitra dengan operasi ransomware Ryuk untuk menyediakan akses awal geng ransomware ke jaringan. Pada tahun 2020, grup ransomware Conti, yang diyakini sebagai rebranding Ryuk, juga bermitra dengan TrickBot untuk akses awal.

Pada tahun 2021, TrickBot berusaha meluncurkan operasi ransomware mereka sendiri yang disebut Diavol, yang tidak pernah benar-benar berkembang, mungkin karena salah satu pengembangnya ditangkap.

Meskipun banyak upaya pencopotan oleh penegak hukum, TrickBot telah berhasil membangun kembali botnetnya dan terus meneror jaringan Windows. Pada Desember 2021, ketika kampanye distribusi TrickBot tiba-tiba berhenti.

Selama setahun terakhir, Conti telah menjadi salah satu operasi ransomware yang paling tangguh dan menguntungkan, bertanggung jawab atas banyak serangan terhadap korban terkenal dan mengumpulkan ratusan juta dolar dalam pembayaran tebusan.

Namun, Conti tidak merekrut “pengembang dan manajer elit” ini untuk bekerja pada malware TrickBot, melainkan untuk bekerja pada keluarga malware BazarBackdoor dan Anchor yang lebih tersembunyi seperti yang terlihat dari percakapan internal.

AdvIntel menjelaskan minggu lalu bahwa pergeseran dalam pengembangan ini karena malware TrickBot terlalu mudah dideteksi oleh perangkat lunak keamanan dan bahwa operasinya akan segera dihentikan.

Kremez menjelaskan bahwa jaringan kejahatan TrickBot, yang awalnya diluncurkan untuk mengejar penipuan, sekarang berfokus hampir seluruhnya pada ransomware dan pembobolan jaringan.

Sebuah laporan yang dirilis kemarin oleh perusahaan intelijen siber Intel471 juga mengkonfirmasi bahwa operasi itu dihentikan demi platform yang lebih menguntungkan.

Meskipun selalu baik untuk melihat operasi malware ditutup, kenyataannya adalah bahwa geng ransomware telah beralih ke keluarga BazarBackdoor yang lebih tersembunyi.

BazarBackdoor telah melihat peningkatan distribusi melalui email selama enam bulan terakhir, tetapi dengan penutupan TrickBot, kita mungkin akan melihatnya menjadi lebih umum dalam pelanggaran jaringan entitas perusahaan.

Sumber : Bleeping Computer

TrickBot Menghancurkan Browser Peneliti untuk Memblokir Analisis Malware

by

Malware TrickBot yang terkenal telah menerima fitur baru yang membuatnya lebih menantang untuk meneliti, menganalisis, dan mendeteksi dalam varian terbaru, termasuk tab browser yang menabrak ketika mendeteksi skrip yang dipercantik.

TrickBot telah mendominasi lanskap ancaman malware sejak 2016, terus-menerus menambahkan pengoptimalan dan peningkatan sambil memfasilitasi penyebaran malware dan ransomware yang merusak.

Karena TrickBot bersifat modular, aktor ancaman dapat menyebarkan modul yang melakukan berbagai aktivitas berbahaya, termasuk serangan man-in-the-browser untuk mencuri kredensial perbankan online, mencuri basis data direktori aktif, menyebar melalui jaringan, eksfiltrasi data, dan banyak lagi.

Selain sebagai trojan perbankan, TrickBot juga digunakan untuk menyebarkan muatan lain berkat stealthiness dan efektivitasnya.

Baru-baru ini, telah dikaitkan dengan kelompok ransomware Diavol, geng ransomware Conti, dan bahkan munculnya kembali Emotet.

Para peneliti di IBM Trusteer telah menganalisis sampel terbaru untuk melihat fitur anti-analisis baru apa yang telah diperkenalkan baru-baru ini oleh penulis dan menyajikan beberapa temuan menarik dalam laporan mereka.

Para peneliti tidak menyambut

Pertama, pengembang TrickBot menggunakan berbagai obfuscation dan base64 lapisan pengkodean untuk skrip, termasuk minify, ekstraksi string dan penggantian, basis nomor dan mewakili, injeksi kode mati, dan patching monyet.

Obfuscation diharapkan di dunia malware, tetapi TrickBot memiliki banyak lapisan dan bagian yang berlebihan untuk membuat analisis lambat, rumit, dan sering menghasilkan hasil yang tidak meyakinkan.

Kedua, ketika menyuntikkan skrip berbahaya ke halaman web untuk mencuri kredensial, suntikan tidak melibatkan sumber daya lokal tetapi hanya mengandalkan server aktor. Dengan demikian, analis tidak dapat mengambil sampel dari memori mesin yang terinfeksi.

TrickBot berkomunikasi dengan server perintah dan kontrol (C2) menggunakan protokol HTTPS, yang mendukung pertukaran data terenkripsi.

Juga, permintaan injeksi termasuk parameter yang menandai sumber yang tidak diketahui, sehingga analis tidak dapat mengambil sampel dari C2 menggunakan titik akhir yang tidak terdaftar.

Dengan mengumpulkan sidik jari perangkat, operator TrickBot dapat menyuntikkan skrip khusus ke browser masing-masing korban, menargetkan bank tertentu dan membujuk sistemnya bahwa ia berinteraksi dengan pelanggan yang sebenarnya.

Akhirnya, TrickBot memiliki skrip anti-debugging dalam kode JS, yang membantu mengantisipasi ketika sedang dianalisis dan memicu kelebihan memori yang crash halaman.

TrickBot sebelumnya berusaha untuk menentukan apakah itu sedang dianalisis dengan memeriksa resolusi layar host, tetapi sekarang juga mencari tanda-tanda “mempercantik kode.”

Kode mempercantik adalah transformasi kode yang dikaburkan atau teks yang belum dipahat menjadi konten yang lebih mudah dibaca oleh mata manusia dan dengan demikian lebih mudah untuk mengidentifikasi kode yang menarik di dalamnya.

Varian terbaru dari TrickBot menggunakan ekspresi reguler untuk mendeteksi ketika salah satu skrip yang disuntikkan telah dipercantik, biasanya menunjukkan seorang peneliti keamanan menganalisisnya.

Jika kode yang dipercantik ditemukan, TrickBot sekarang crash browser untuk mencegah analisis lebih lanjut dari script disuntikkan.

TrickBot menggunakan RegEx untuk mendeteksi pengaturan yang dipercantik dan melemparkan dirinya ke dalam loop yang meningkatkan ukuran array dinamis pada setiap iterasi. Setelah beberapa putaran, memori akhirnya kelebihan beban, dan browser crash, “peneliti IBM Trusteer menjelaskan dalam posting blog baru.

Bagaimana untuk tetap aman

TrickBot biasanya tiba pada sistem target melalui email phishing yang mencakup lampiran berbahaya yang mengeksekusi makro untuk mengunduh dan menginstal malware.

Selain memperlakukan email masuk dengan hati-hati, disarankan juga untuk mengaktifkan otentikasi multi-faktor pada semua akun Anda dan secara teratur memantau log login jika memungkinkan.

Karena banyak infeksi TrickBot berakhir dengan serangan ransomware, mengikuti praktik segmentasi jaringan dan jadwal cadangan offline reguler juga penting untuk mengandung potensi ancaman.

Sumber: Bleepingcomputer

FBI menautkan ransomware Diavol ke grup kejahatan dunia maya TrickBot

by

FBI telah secara resmi menghubungkan operasi ransomware Diavol ke Grup TrickBot, pengembang malware di balik trojan perbankan TrickBot yang terkenal kejam.

Geng TrickBot, alias Wizard Spider, adalah pengembang infeksi malware yang telah merusak jaringan perusahaan selama bertahun-tahun, umumnya mengarah pada serangan ransomware Conti dan Ryuk, penyusupan jaringan, penipuan keuangan, dan spionase perusahaan.

Pada Juli 2021, peneliti dari FortiGuard Labs merilis analisis ransomware baru bernama Diavol (bahasa Rumania untuk Iblis) yang terlihat menargetkan korban perusahaan.

Para peneliti melihat muatan ransomware Diavol dan Conti disebarkan di jaringan dalam serangan ransomware yang sama pada awal Juni 2021.

Setelah menganalisis dua sampel ransomware, kesamaan ditemukan, seperti penggunaan operasi I/O asinkron untuk antrian enkripsi file dan parameter baris perintah yang hampir identik untuk fungsi yang sama.

Sebulan kemudian, peneliti IBM X-Force membangun hubungan yang lebih kuat antara ransomware Diavol dan malware TrickBot Gang lainnya, seperti Anchor dan TrickBot.

FBI menghubungkan ransomware Diavol ke geng TrickBot
FBI telah secara resmi mengumumkan bahwa mereka telah menghubungkan operasi Ransomware Diavol ke Geng TrickBot dalam indikator berbagi penasehat baru dari kompromi yang terlihat pada serangan sebelumnya.

Sejak itu, FBI telah melihat tuntutan tebusan berkisar antara $10.000 dan $500.000, dengan pembayaran yang lebih rendah diterima setelah negosiasi tebusan.

Warning.txt ransom note dari Diavol ransomware

Jumlah ini sangat kontras dengan tebusan yang lebih tinggi yang diminta oleh operasi ransomware lain yang terkait dengan TrickBot, seperti Conti dan Ryuk, yang secara historis meminta tebusan jutaan dolar.

FBI dapat secara resmi menghubungkan Diavol ke Geng TrickBot setelah penangkapan Alla Witte, seorang wanita Latvia yang terlibat dalam pengembangan ransomware untuk geng malware.

“Alla Witte memainkan peran penting untuk operasi TrickBot dan berdasarkan wawasan permusuhan mendalam AdvIntel sebelumnya, dia bertanggung jawab atas pengembangan ransomware Diavol dan proyek frontend/backend yang dimaksudkan untuk mendukung operasi TrickBot dengan ransomware khusus yang disesuaikan dengan bot backconnectivity antara TrickBot dan Diavol,” kata Kremez

“Nama lain untuk ransomware Diavol disebut ransomware “Enigma” yang dimanfaatkan oleh kru TrickBot sebelum merek ulang Diavol.”

Perlu dicatat bahwa ransomware Diavol awalnya membuat catatan tebusan bernama ‘README_FOR_DECRYPT.txt’ seperti yang ditunjukkan oleh penasihat FBI, tetapi geng ransomware beralih pada bulan November ke catatan tebusan bernama ‘Warning.txt.’

FBI juga mendesak semua korban, terlepas dari apakah mereka berencana untuk membayar uang tebusan, untuk segera memberi tahu penegak hukum tentang serangan untuk mengumpulkan IOC baru yang dapat mereka gunakan untuk tujuan investigasi dan operasi penegakan hukum.

Jika Anda terkena serangan Diavol, penting juga untuk memberi tahu FBI sebelum membayar karena mereka “mungkin dapat memberikan sumber daya mitigasi ancaman kepada mereka yang terkena dampak ransomware Diavol.”

Sumber : Bleeping Computer

Sekarang Emotet Menyebar Melalui Paket Adobe Windows App Installer Palsu

by Leave a Comment

Malware Emotet sekarang terdistribusi melalui paket Windows App Installer berbahaya yang berpura-pura menjadi perangkat lunak Adobe PDF.

Emotet adalah infeksi malware terkenal yang menyebar melalui email phishing dan lampiran berbahaya. Setelah terinstal, ia akan mencuri email korban untuk kampanye spam lainnya dan menyebarkan malware, seperti TrickBot dan Qbot, yang biasanya menyebabkan serangan ransomware.

Aktor ancaman di belakang Emotet sekarang menginfeksi sistem dengan menginstal paket berbahaya menggunakan fitur bawaan Windows 10 dan Windows 11 yang disebut App Installer.

Para peneliti sebelumnya melihat metode yang sama digunakan untuk mendistribusikan malware BazarLoader di mana ia menginstal paket berbahaya yang dihosting di Microsoft Azure.

—

Emotet adalah malware yang paling banyak didistribusikan di masa lalu sampai operasi penegakan hukum ditutup dan merebut infrastruktur botnet. Sepuluh bulan kemudian, Emotet bangkit kembali dengan bantuan trojan TrickBot.

Sehari kemudian, kampanye spam Emotet dimulai, dengan email berisi berbagai umpan dan dokumen berbahaya yang menginstal malware.

Kampanye ini telah memungkinkan Emotet untuk membangun kehadirannya dengan cepat, dan sekali lagi, melakukan kampanye phishing skala besar yang menginstal TrickBot dan Qbot.

Kampanye emotet biasanya mengarah pada serangan ransomware. Admin Windows harus tetap berhati-hati dan melatih karyawan untuk melihat kampanye Emotet.

Selengkapnya: Bleepingcomputer

Phishing TrickBot Memeriksa Resolusi Layar untuk Menghindari Peneliti

by

Operator malware TrickBot telah menggunakan metode baru untuk memeriksa resolusi layar sistem korban untuk menghindari deteksi perangkat lunak keamanan dan analisis oleh para peneliti.

Baru-baru ini, TheAnalyst – seorang pemburu ancaman dan anggota kelompok riset keamanan Cryptolaemus, menemukan bahwa lampiran HTML dari kampanye malspam TrickBot berperilaku berbeda di mesin nyata daripada di mesin virtual.

Peneliti mengatakan kepada BleepingComputer bahwa dia melihat taktik yang digunakan beberapa kali dalam berbagai kampanye phishing sebagai sarana untuk menghindari penyelidik.

Script menentukan apakah pengguna yang mendarat di halaman phishing menggunakan mesin virtual atau fisik dengan memeriksa apakah browser web menggunakan perender perangkat lunak seperti SwiftShader, LLVMpipe, atau VirtualBox, yang biasanya berarti lingkungan virtual.

Skrip juga memeriksa apakah kedalaman warna layar pengunjung kurang dari 24-bit, atau jika tinggi dan lebar layar kurang dari 100 piksel.

TrickBot tidak menggunakan skrip yang sama seperti di atas tetapi mengandalkan taktik yang sama untuk mendeteksi kotak pasir peneliti. Namun, ini adalah pemutaran perdana bagi geng untuk menggunakan skrip seperti itu dalam lampiran HTML.

Ini mungkin juga pertama kalinya malware menggunakan lampiran untuk menjalankan pemeriksaan resolusi layar daripada melakukannya di halaman arahan yang menyajikan malware yang dapat dieksekusi.

Selengkapnya: Bleeping Computer