
illustrasi
illustrasi
Cyberthreat.id – Tim Ocelot dari perusahaan keamanan siber Amerika Latin Metabase Q mengungkapkan bahwa trojan perbankan yang dijuluki Mispadu terkait dengan beberapa kampanye spam yang menargetkan negara-negara seperti Bolivia, Cile, Meksiko, Peru, dan Portugal.
Dikutip dari The Hacker News, peneliti menyebutkan kampanye tersebut dimulai sejak Agustus 2022, dan bertujuan untuk mencuri kredensial dan mengirimkan muatan lainnya kepada para korban.
Mispadu (alias URSA) pertama kali didokumentasikan oleh ESET pada November 2019, menjelaskan kemampuannya untuk melakukan pencurian uang dan kredensial dan bertindak sebagai pintu belakang dengan mengambil tangkapan layar dan menangkap penekanan tombol.
Peneliti Fernando García dan Dan Regalado mengatakan, salah satu strategi utama mereka adalah mengkompromikan situs web yang sah, mencari versi WordPress yang rentan, mengubahnya menjadi server perintah-dan-kontrol untuk menyebarkan malware dari sana, menyaring negara-negara yang tidak ingin mereka infeksi, menjatuhkan jenis virus yang berbeda. malware berdasarkan negara yang terinfeksi.
Mereka juga memiliki kesamaan dengan trojan perbankan lain yang menargetkan wilayah tersebut, seperti Grandoreiro, Javali, dan Lampion. Rantai serangan yang melibatkan malware Delphi memanfaatkan pesan email yang mendesak penerima untuk membuka tagihan jatuh tempo palsu, sehingga memicu proses infeksi multi-tahap.
“Jika korban membuka lampiran HTML yang dikirim melalui email spam, itu memverifikasi bahwa file dibuka dari perangkat desktop dan kemudian dialihkan ke server jarak jauh untuk mengambil malware tahap pertama,” kata peneliti.
Arsip RAR atau ZIP, ketika diluncurkan, dirancang untuk menggunakan sertifikat digital jahat – yang merupakan malware Mispadu dan yang lainnya, penginstal AutoIT, untuk mendekode dan mengeksekusi trojan dengan menyalahgunakan utilitas baris perintah certutil yang sah. Mispadu dilengkapi untuk mengumpulkan daftar solusi antivirus yang diinstal pada host yang disusupi, menyedot kredensial dari Google Chrome dan Microsoft Outlook, dan memfasilitasi pengambilan malware tambahan.
Ini termasuk dropper Visual Basic Script yang disamarkan yang berfungsi untuk mengunduh payload lain dari domain hard-coded, alat akses jarak jauh berbasis .NET yang dapat menjalankan perintah yang dikeluarkan oleh server yang dikendalikan aktor, dan loader yang ditulis dalam Rust yang, dalam giliran, jalankan pemuat PowerShell untuk menjalankan file langsung dari memori.
“Terlebih lagi, malware tersebut menggunakan layar overlay berbahaya untuk mendapatkan kredensial yang terkait dengan portal perbankan online dan informasi sensitif lainnya,” kata peneliti.
Metabase Q mencatat bahwa pendekatan certutil telah memungkinkan Mispadu melewati deteksi oleh berbagai perangkat lunak keamanan dan mengambil lebih dari 90.000 kredensial rekening bank dari lebih dari 17.500 situs web unik.
Share: