Selama tahun 2020, penelitian ESET melaporkan berbagai serangan rantai pasokan, seperti kasus WIZVERA VeraPort, yang digunakan oleh situs web pemerintah dan perbankan di Korea Selatan, Operasi StealthyTrident yang membahayakan perangkat lunak obrolan Able Desktop yang digunakan oleh beberapa lembaga pemerintah Mongolia, dan Operasi SignSight, yang membahayakan distribusi perangkat lunak penandatanganan yang didistribusikan oleh pemerintah Vietnam.
Pada Januari 2021, ESET menemukan serangan supply chain baru yang membahayakan mekanisme pembaruan NoxPlayer, emulator Android untuk PC dan Mac, dan bagian dari rangkaian produk BigNox dengan lebih dari 150 juta pengguna di seluruh dunia.
Perangkat lunak ini umumnya digunakan oleh para gamer untuk memainkan game seluler dari PC mereka, membuat kejadian ini agak tidak biasa.
Tiga keluarga malware yang berbeda terlihat sedang didistribusikan melaui update terbaru yang disesuaikan kepada korban yang dipilih, tanpa tanda-tanda memanfaatkan keuntungan finansial apa pun, melainkan kemampuan terkait pengawasan.
ESET melihat kesamaan pada loader yang pernah dipantau di masa lalu dengan beberapa yang digunakan dalam operasi ini, seperti contoh yang ESET temukan di peretasan rantai pasokan situs web kantor kepresidenan Myanmar pada 2018, dan pada awal 2020 dalam gangguan ke Universitas Hong Kong.
BigNox
BigNox merupakan perusahaan yang berbasis di Hongkong, yang menyediakan berbagai produk, utamanya emulator Android untuk PC dan Mac yang disebut NoxPlayer. Situs web resmi perusahaan mengklaim bahwa mereka memiliki lebih dari 150 juta pengguna di lebih dari 150 negara yang berbicara dalam 20 bahasa berbeda. Namun, penting untuk diperhatikan bahwa basis pengikut BigNox sebagian besar berada di negara-negara Asia.
BigNox juga menulis posting blog ekstensif pada tahun 2019 tentang penggunaan VPN bersama dengan NoxPlayer, yang menunjukkan kepedulian perusahaan terhadap privasi penggunanya.
ESET telah menghubungi BigNox tentang gangguan tersebut, dan mereka menyangkal terpengaruh. ESET juga telah menawarkan bantuan kepada mereka untuk menelusuri kasus ini jika mereka memutuskan untuk melakukan penyelidikan internal.
Kompromi
Yang terpengaruh: Pengguna NoxPlayer.
Cara menentukan apakah Anda menerima update berbahaya atau tidak: periksa apakah ada proses yang sedang berlangsung yang memiliki koneksi jaringan aktif dengan server C&C aktif yang diketahui, atau lihat apakah salah satu malware berdasarkan nama file yang ESET berikan dalam laporan diinstal di:
C:\ProgramData\Sandboxie\SbieIni.dat
C:\ProgramData\Sandboxie\SbieDll.dll
C:\ProgramData\LoGiTech\LBTServ.dll
C:\Program Files\Internet Explorer\ieproxysocket64.dll
C:\Program Files\Internet Explorer\ieproxysocket.dll
file dengan nama %LOCALAPPDATA%\Nox\update\UpdatePackageSilence.exe tidak ditandatangani secara digital oleh BigNox.
Bagaimana cara tetap aman:
Jika terjadi intrusi – instal ulang standar dari media yang bersih.
Untuk pengguna yang tidak disusupi: jangan mengunduh pembaruan apa pun hingga BigNox memberi tahu bahwa itu telah mengurangi ancaman.
Penyebaran
Berdasarkan telemetri ESET, terlihat indikator pertama penyusupan pada September 2020, dan aktivitas berlanjut hingga menemukan aktivitas berbahaya secara eksplisit pada 25 Januari 2021, di mana ESET melaporkan insiden tersebut ke BigNox.
Dibandingkan dengan jumlah keseluruhan pengguna aktif NoxPlayer, terdapat jumlah korban yang sangat kecil. Menurut telemetri ESET, lebih dari 100.000 pengguna ESET telah menginstal Noxplayer di mesin mereka.
Di antara mereka, hanya 5 pengguna yang menerima update berbahaya, menunjukkan bahwa Operasi NightScout adalah operasi yang sangat bertarget. Para korban berbasis di Taiwan, Hong Kong dan Sri Lanka.
ESET tidak berhasil menemukan korelasi yang menunjukkan adanya hubungan di antara para korban. Namun, berdasarkan perangkat lunak yang disusupi yang dimaksud dan malware yang dikirimkan menunjukkan kemampuan pengawasan, ESET menyakini ini mungkin menunjukkan maksud mengumpulkan intelijen pada target yang entah bagaimana terlibat dalam komunitas game.
Penting untuk disoroti bahwa, berbeda dengan operasi serupa sebelumnya seperti aktivitas Grup Winnti yang menargetkan industri game pada tahun 2019, ESET belum menemukan indikator yang menunjukkan penyebaran pembaruan berbahaya secara sembarangan di antara sejumlah besar pengguna NoxPlayer, memperkuat keyakinan bahwa ini adalah operasi yang sangat bertarget.
