Winter Vivern Eksploitasi Zero-Day

Pelaku ancaman yang dikenal sebagai Winter Vivern eksploitasi zero-day di perangkat lunak email web Roundcube pada 11 Oktober 2023, untuk mengambil pesan email dari akun korban.

“Winter Vivern telah meningkatkan operasinya dengan menggunakan kerentanan zero-day di Roundcube,” kata peneliti keamanan ESET Matthieu Faou dalam laporan terbarunya.

Sebelumnya, mereka menggunakan kerentanan yang diketahui di Roundcube dan Zimbra, yang bukti konsepnya tersedia online.

Winter Vivern

Winter Vivern, juga dikenal sebagai TA473 dan UAC-0114, adalah ancaman kolektif yang tujuannya selaras dengan tujuan Belarusia dan Rusia.

Selama beberapa bulan terakhir, serangan ini dikaitkan dengan serangan terhadap Ukraina dan Polandia, serta entitas pemerintah di Eropa dan India.

Kelompok ini juga dinilai telah mengeksploitasi kelemahan Roundcube lainnya sebelumnya (CVE-2020-35730), menjadikannya kelompok negara-bangsa kedua setelah APT28 yang menargetkan perangkat lunak email web sumber terbuka.

Perangkat Lunak Email Web Roundcube

Kerentanan keamanan baru yang dimaksud adalah CVE-2023-5631 (skor CVSS: 5.4), cacat skrip lintas situs yang tersimpan yang memungkinkan penyerang jarak jauh memuat kode JavaScript sewenang-wenang. Perbaikan dirilis pada 14 Oktober 2023.

Rantai serangan yang dipasang oleh kelompok tersebut dimulai dengan pesan phishing yang menggabungkan muatan berkode Base64 dalam kode sumber HTML

Yang pada gilirannya, diterjemahkan menjadi injeksi JavaScript dari server jarak jauh dengan mempersenjatai kelemahan XSS.

“Singkatnya, dengan mengirimkan pesan email yang dibuat khusus, pelaku dapat memuat kode JavaScript sembarang dalam konteks jendela browser pengguna Roundcube,” jelas Faou.

“Tidak diperlukan interaksi manual selain melihat pesan di browser web.” tambahnya lagi.

JavaScript tahap kedua (checkupdate.js) adalah pemuat yang memfasilitasi eksekusi muatan JavaScript akhir yang memungkinkan pelaku ancaman mengekstrak pesan email ke server perintah dan kontrol (C2).

Persistensi Ancaman

Meskipun perangkat yang dimiliki kelompok ini memiliki tingkat kecanggihan yang rendah, ada hal lain yang bisa menjadi ancaman bagi pemerintah di Eropa, sebagai berikut:

Persistensinya.
Operasi phising yang dilakukan secara rutin.
Dan karena sejumlah besar aplikasi yang terhubung ke internet tidak diperbarui secara berkala meskipun diketahui mengandung kerentanan.

Winter Vivern telah meningkatkan operasinya dengan menggunakan kerentanan zero-day di Roundcube. Sebelumnya, mereka menggunakan kerentanan yang diketahui di Roundcube dan Zimbra, yang bukti konsepnya tersedia online.

Demikian pemaparan mengenai Winter Vivern eksploitasi zero-day, semoga informasi seputar dunia siber ini dapat bermanfaat.

Baca juga: