Sebuah kampanye yang dikenal sebagai “Stayin' Alive” telah secara aktif menargetkan organisasi pemerintah dan penyedia layanan telekomunikasi di seluruh Asia sejak tahun 2021.
Tujuan serangan
Dengan menggunakan beragam malware "sekali pakai" untuk menghindari deteksi, kampanye ini terutama berfokus pada entitas di Kazakhstan, Uzbekistan, Pakistan, dan Vietnam, dengan Check Point, sebuah perusahaan keamanan siber, yang melacak aktivitas ini.
Peneliti Check Point telah mencatat penggunaan berbagai alat khusus oleh pelaku ancaman dalam kampanye ini. Alat-alat ini dirancang agar mudah dibuang, sehingga sulit untuk mengaitkan serangan satu sama lain atau dengan rangkaian alat yang sudah dikenal.
Modus operasi
Serangan dimulai melalui email spear-phishing yang dirancang khusus untuk individu tertentu di dalam organisasi-organisasi penting. Email tersebut meminta penerima untuk membuka file ZIP yang berisi file eksekusi yang ditandatangani secara digital dan sesuai dengan konteks email, serta sebuah DLL berbahaya. DLL ini memasukkan malware "CurKeep" ke dalam sistem. CurKeep, sebuah backdoor berukuran 10kb, membangun persistensi, mengirimkan informasi sistem ke server command-and-control (C2), dan menunggu instruksi lebih lanjut.
Selain CurKeep, kampanye ini menerapkan alat tambahan seperti pemuat CurLu, CurCore, dan CurLog, masing-masing dengan fungsi dan mekanisme infeksi yang berbeda. CurCore menonjol karena dapat membuat file, menjalankan perintah jarak jauh, dan memanipulasi data.
Pintu belakang lain yang berbeda, 'StylerServ,' berfungsi sebagai pendengar pasif yang memantau port tertentu untuk file konfigurasi terenkripsi. Tujuan pastinya masih dirahasiakan tetapi dianggap berfungsi sebagai mekanisme konfigurasi untuk komponen malware lainnya.
Kampanye ini menyesuaikan alat-alat ini dengan target regional tertentu, dengan memanfaatkan berbagai sampel dan varian. Alat-alat yang teridentifikasi ini mungkin hanya mewakili sebagian dari kampanye yang lebih luas yang melibatkan alat-alat dan metode serangan yang belum ditemukan.
Terlepas dari keragaman dan penyesuaian alat-alat ini, semuanya diduga terhubung ke infrastruktur yang sama, yang sebelumnya terkait dengan ToddyCat, sekelompok mata-mata dunia maya Tiongkok.
Salah satu malware terkenal yang ditemukan adalah 'Ninja Agent' , yang dilengkapi dengan kemampuan manajemen file dan reverse shell.
ToddyCat juga menerapkan alat lain seperti LoFiSe, Cobalt Strike, DropBox Uploader, dan pintu belakang UDP pasif dalam serangan ini, yang menunjukkan luas dan kompleksitas operasi mereka.
Pencegahan merupakan faktor penting
RELIANOID menawarkan solusi mutakhir yang dirancang untuk mencegah dan memitigasi ancaman cyber yang canggih seperti kampanye “Stayin' Alive” yang dilakukan di seluruh Asia. Memanfaatkan intelijen ancaman tingkat lanjut dan langkah-langkah keamanan adaptif, RELIANOIDPlatform kami mendeteksi dan menggagalkan beragam malware sekali pakai yang digunakan dalam serangan ini dengan menganalisis pemeriksaan konten dan mencegah pengunduhan file yang dapat dieksekusi. Dengan menggunakan pemantauan proaktif, analisis perilaku, dan protokol keamanan yang dapat disesuaikan, RELIANOID secara efektif membentengi jaringan dan sistem terhadap intrusi dunia maya yang terus berkembang. Unduh penyeimbang beban siap pakai perusahaan dan nikmati Pengalaman Keandalan Situs.
Blog terkait
