Malware Sponsor Serbu 34 Perusahaan di Dunia

Dunia terasa semakin sempit, internet membuat batas-batas dunia seperti hilang sepenuhnya, terbukti ancaman malware Sponsor serbu 34 perusahaan di Dunia bisa dilakukan dengan mudah begitu saja.

Penjahat siber yang mengancam negara yang dikenal sebagai ‘Charming Kitten’ (Fosfor, TA453, APT35/42) diketahui menyebarkan malware backdoor yang sebelumnya tidak dikenal bernama Sponsor terhadap 34 perusahaan di seluruh dunia.

Salah satu fitur penting dari pintu belakang Sponsor adalah ia menyembunyikan file konfigurasi yang tidak berbahaya di disk korban sehingga file tersebut dapat digunakan secara diam-diam oleh skrip batch berbahaya, sehingga berhasil menghindari deteksi.

Operasi yang diidentifikasi oleh para peneliti ESET berlangsung antara Maret 2021 dan Juni 2022, menargetkan organisasi pemerintah dan layanan kesehatan serta perusahaan yang bergerak di bidang jasa keuangan, teknik, manufaktur, teknologi, hukum, telekomunikasi, dan banyak lagi.

Negara yang paling menjadi sasaran kampanye yang diamati ESET adalah Israel, Brasil, dan Uni Emirat Arab.

Kelemahan Microsoft Exchange

ESET melaporkan bahwa Charming Kitten mengeksploitasi CVE-2021-26855, kerentanan Remote Code Execution Microsoft Exchange, untuk mendapatkan akses awal ke jaringan targetnya.

Dari sana, para peretas menggunakan berbagai alat sumber terbuka yang memfasilitasi eksfiltrasi data, pemantauan sistem, dan infiltrasi jaringan dan juga membantu penyerang mempertahankan akses ke komputer yang disusupi.

Sebelum menerapkan pintu belakang Sponsor, muatan terakhir yang terlihat dalam serangan ini, peretas menjatuhkan file batch pada jalur file tertentu di mesin host, yang kemudian menulis file konfigurasi yang diperlukan.

File-file ini diberi nama config.txt, node.txt, dan error.txt agar menyatu dengan file biasa dan menghindari timbulnya kecurigaan.

Backdoor Sponsor

Sponsor adalah backdoor C++ yang membuat layanan saat peluncuran seperti yang diinstruksikan oleh file konfigurasi, yang juga berisi alamat server perintah dan kontrol terenkripsi (C2), interval kontak C2, dan kunci dekripsi RC4.

Malware mengumpulkan informasi sistem seperti sumber daya (baterai atau colokan) versi OS (32 atau 64-bit) dan mengirimkannya ke C2 melalui port 80, menerima kembali ID node, yang ditulis ke file konfigurasi.

Selanjutnya, backdoor Sponsor memasuki loop di mana ia menghubungi C2 dalam interval waktu yang ditentukan oleh file konfigurasi untuk memperoleh perintah untuk dieksekusi pada host.

Daftar Perintah yang Didukung

• Mengirimkan ID proses Sponsor yang sedang berjalan.
• Menjalankan perintah tertentu pada host Sponsor dan melaporkan hasilnya ke server C2.
• Menerima dan menjalankan file dari C2 dengan berbagai parameter dan mengkomunikasikan keberhasilan atau kesalahan ke C2.
• Mengunduh dan menjalankan file melalui Windows API dan melaporkan ke C2.
• Jalankan Uninstall.bat dari direktori saat ini.
• Tidur secara acak sebelum terhubung kembali dengan server C2.
• Memperbarui daftar K&C di config.txt dan melaporkan ke C2.
• Menyesuaikan interval check-in di config.txt dan melaporkan ke C2.

ESET juga telah melihat Sponsor versi kedua, yang menampilkan pengoptimalan kode dan lapisan penyamaran yang membuatnya tampak sebagai alat pembaru.

Meskipun tidak ada lagi alamat IP yang digunakan dalam kampanye ini yang online, ESET telah membagikan IOC lengkapsecara umum.

Tujuannya adalah untuk membantu mempertahankan diri dari ancaman di masa depan penggunaan kembali alat dan infrastruktur Charming Kitten.

Demikian informasi mengenai malware Sponsor serbu 34 perusahaan di Dunia, semoga para pengguna internet lebih mawas diri terhadap ancaman siber.

Sumber berita:

WeLiveSecurity