Perangkat lunak berbahaya ini berasal dari kelompok bernama Camaro Dragon yang para peneliti Checkpoint pada Kamis mengatakan melakukan kampanye serupa dengan kelompok serangan Mustang Panda dan LuminousMoth asal China.
Checkpoint menganggap Camaro Dragon paling tertarik pada target-target di Asia – kode-kode mereka termasuk fitur-fitur yang dirancang untuk menyembunyikan dari SmadAV, solusi antivirus yang populer di wilayah tersebut.
Meskipun demikian, perusahaan pertama kali menemukan aktivitas kelompok ini di Eropa!
“Pasien pertama dalam infeksi malware diidentifikasi sebagai seorang karyawan yang telah mengikuti konferensi di Asia,” tulis para peneliti Checkpoint. “Dia membagikan presentasinya dengan peserta lain menggunakan USB drive miliknya. Sayangnya, salah satu rekan kerjanya memiliki komputer yang terinfeksi, sehingga USB drive-nya sendiri tidak disadari terinfeksi sebagai hasilnya.
“Setelah kembali ke rumah sakit tempatnya bekerja di Eropa, karyawan tersebut memasukkan USB drive yang terinfeksi ke sistem komputer rumah sakit, yang menyebabkan penyebaran infeksi.”
Checkpoint percaya bahwa rantai infeksi dimulai ketika korban meluncurkan peluncur Delphi berbahaya pada USB flash drive yang terinfeksi. Melakukan hal tersebut memicu pintu belakang yang memuat malware ke drive lain saat mereka terhubung ke mesin yang terinfeksi.
Itu memang buruk, tetapi juga dapat dikendalikan dengan berbagai teknik yang membatasi perangkat USB.
Malware tersebut menimbulkan risiko yang lebih besar bagi IT perusahaan, karena mesin yang terinfeksi menginstal malware pada setiap drive jaringan yang baru terhubung, tetapi tidak pada drive yang sudah terhubung ke mesin pada saat infeksi terjadi.
Checkpoint meyakini bahwa penyebaran ke drive jaringan yang baru terhubung tersebut tidak disengaja.
“Walaupun drive jaringan yang terinfeksi secara teori dapat digunakan sebagai sarana pergerakan lateral di dalam jaringan yang sama, perilaku ini tampaknya lebih merupakan kelemahan daripada fitur yang disengaja,” tulis para peneliti. “Memanipulasi banyak file dan menggantinya dengan file eksekusi dengan ikon USB thumb drive pada drive jaringan adalah aktivitas yang mencolok yang dapat menarik perhatian tambahan yang tidak menguntungkan.”
Selengkapnya: The Register
