WildPressure APT Muncul Dengan Malware Baru yang Menargetkan Windows dan macOS

  • Whatsapp
Malware Menargetkan Windows dan macOS

Kampanye jahat yang menargetkan entitas terkait industri di Timur Tengah sejak 2019 telah muncul kembali dengan perangkat malware yang ditingkatkan untuk menyerang sistem operasi Windows dan macOS, yang melambangkan ekspansi baik pada targetnya maupun strateginya dalam mendistribusikan ancaman.

Perusahaan keamanan siber Rusia mengaitkan serangan itu dengan ancaman persisten tingkat lanjut (APT) yang dilacaknya sebagai “tekanan liar,” dengan korban diyakini berada di industri minyak dan gas.

Bacaan Lainnya

WildPressure pertama kali terungkap pada Maret 2020 berdasarkan operasi malware yang mendistribusikan Trojan C++ berfitur lengkap yang dijuluki “Milum” yang memungkinkan pelaku ancaman untuk mendapatkan kendali jarak jauh dari perangkat yang disusupi. Serangan itu dikatakan telah dimulai pada awal Agustus 2019.

Tim Stack Overflow

“Untuk infrastruktur kampanye mereka, operator menggunakan server pribadi virtual (VPS) OVH dan Netzbetrieb sewaan dan domain yang terdaftar dengan layanan anonimisasi Domains by Proxy,” peneliti Kaspersky Denis Legezo dicatat tahun lalu.

Sejak itu, sampel malware baru yang digunakan dalam kampanye WildPressure telah digali, termasuk versi terbaru dari C++ Milum Trojan, varian VBScript yang sesuai dengan nomor versi yang sama, dan skrip Python bernama “Guard” yang berfungsi di Windows dan macOS.

Trojan multi-OS berbasis Python, yang secara ekstensif membuat kode pihak ketiga yang tersedia untuk umum, direkayasa untuk memberi isyarat nama host mesin korban, arsitektur mesin, dan nama rilis OS ke server jarak jauh dan memeriksa produk anti-malware yang diinstal, berikut yang menunggu perintah dari server yang memungkinkannya mengunduh dan mengunggah file arbitrer, menjalankan perintah, memperbarui Trojan, dan menghapus jejaknya dari host yang terinfeksi.

Versi VBScript dari malware, bernama “Tandis,” memiliki kemampuan yang mirip dengan Guard dan Milum, sambil memanfaatkan XML terenkripsi melalui HTTP untuk komunikasi command-and-control (C2). Secara terpisah, Kaspersky mengatakan telah menemukan sejumlah plugin C++ yang sebelumnya tidak dikenal yang telah digunakan untuk mengumpulkan data pada sistem yang terinfeksi, termasuk merekam penekanan tombol dan menangkap tangkapan layar.

Mencegah Serangan Ransomware

Terlebih lagi, dalam apa yang tampaknya merupakan evolusi dari modus operandi, kampanye terbaru — selain mengandalkan VPS komersial — juga menjalin situs web WordPress yang sah yang disusupi ke dalam infrastruktur serangan mereka, dengan situs web yang berfungsi sebagai server relai Penjaga.

Sampai saat ini, tidak ada visibilitas yang jelas mengenai mekanisme penyebaran malware atau kesamaan berbasis kode atau korban yang kuat dengan aktor ancaman lain yang diketahui. Namun, para peneliti mengatakan mereka melihat ikatan kecil dalam teknik yang digunakan oleh musuh lain yang disebut BlackShadow, yang juga beroperasi di wilayah yang sama.

“Taktik tidak cukup unik untuk sampai pada kesimpulan atribusi apa pun – mungkin kedua kelompok hanya menggunakan teknik generik dan pendekatan pemrograman yang sama,” kata Legezo.

Pos terkait

Tinggalkan Balasan

Alamat email Anda tidak akan dipublikasikan. Ruas yang wajib ditandai *