Industri judi Asia Tenggara diancam malware VPN yang dipersiapkan dengan matang untuk menyusup ke dalam sistem.
Grup APT (Advanced Persistent Threat) yang terafiliasi dengan Tiongkok yang dikenal sebagai ‘Bronze Starlight’ terlihat menargetkan industri perjudian Asia Tenggara dengan malware yang ditandatangani menggunakan sertifikat valid yang digunakan oleh penyedia VPN Ivacy.
Manfaat utama menggunakan sertifikat yang valid adalah untuk melewati tindakan keamanan, menghindari kecurigaan dengan peringatan sistem, dan berbaur dengan perangkat lunak dan lalu lintas yang sah.
Menurut peneliti keamanan yang menganalisis operasi tersebut, sertifikat tersebut milik PMG PTE LTD, vendor produk VPN ‘Ivacy VPN’ di Singapura.
Serangan dunia maya yang diamati pada Maret 2023 kemungkinan merupakan fase selanjutnya dari ‘Operasi ChattyGoblin’ yang diidentifikasi ESET dalam laporan Q4 2022 – Q1 2023.
Namun, SentinelLabs mengatakan sulit untuk bergaul dengan kluster tertentu karena berbagi alat secara ekstensif antara pelaku ancaman China.
|
Baca juga: Trojan Perbankan Ancam Isi Rekening |
DLL Berbahaya
Serangan dimulai dengan menyusupkan .NET executable (agentupdate_plugins.exe dan AdventureQuest.exe) pada sistem target, kemungkinan melalui aplikasi obrolan trojan, yang mengambil arsip ZIP yang dilindungi kata sandi dari keranjang Alibaba.
Sampel malware AdventureQuest.exe pertama kali ditemukan oleh peneliti keamanan MalwareHunterteam pada bulan Mei ketika mereka mencatat bahwa sertifikat penandatanganan kode sama dengan yang digunakan untuk penginstal resmi Ivacy VPN.
Arsip ini berisi versi perangkat lunak yang rentan seperti Adobe Creative Cloud, Microsoft Edge, dan McAfee VirusScan, yang rentan terhadap pembajakan DLL. Peretas Bronze Starlight menggunakan aplikasi rentan ini untuk menyebarkan beacon Cobalt Strike pada sistem yang ditargetkan.
DLL berbahaya (libcef.dll, msedge_elf.dll, dan LockDown.dll) dikemas di dalam arsip bersama program yang dapat dieksekusi yang sah, dan Windows memprioritaskan eksekusinya terhadap versi yang lebih aman dari DLL yang sama yang disimpan di C:\Windows\System32, karenanya memungkinkan kode berbahaya untuk dijalankan.
|
Baca juga: Facebook Messenger, Tautan Video dan Malware Berbahaya |
Pembatasan Geofencing
Diketahui bahwa .NET executable menampilkan pembatasan geofencing yang mencegah malware berjalan di Amerika Serikat, Jerman, Prancis, Rusia, India, Kanada, atau Inggris Raya.
Negara-negara ini berada di luar cakupan target kampanye ini dan dikecualikan untuk menghindari deteksi dan analisis. Namun, karena kesalahan dalam penerapan geofencing, itu tidak berfungsi.
Menyalahgunakan sertifikat
Aspek menarik dari serangan yang diamati adalah penggunaan sertifikat kode-bernyanyi milik PMG PTE LTD, perusahaan di belakang Ivacy VPN.
Faktanya, sertifikat yang sama digunakan untuk menandatangani penginstal Ivacy VPN resmi yang ditautkan dari situs web penyedia VPN.
Kemungkinan kunci penandatanganan PMG PTE LTD telah dicuri – teknik yang sudah dikenal oleh pelaku ancaman China untuk mengaktifkan penandatanganan malware.
Penyedia VPN adalah target penting karena memungkinkan pelaku ancaman berpotensi mendapatkan akses ke data dan komunikasi pengguna yang sensitif.
Jika sertifikat dicuri, peneliti keamanan khawatir tentang apa lagi yang bisa diakses oleh pelaku ancaman di penyedia VPN.
|
Baca juga: Bahaya Malware Joao Serang Gamers Indonesia |
Respons
PMG PTE LTD belum menanggapi pengungkapan ini dengan pernyataan publik, jadi cara yang tepat yang digunakan peretas untuk mendapatkan akses ke sertifikat masih belum jelas.
Sementara itu, DigiCert mencabut dan membatalkan sertifikat pada awal Juni 2023 karena melanggar pedoman “Persyaratan Dasar”.
BleepingComputer menghubungi Ivacy tentang sertifikat penandatanganan kode yang disalahgunakan tetapi tidak menerima tanggapan.
Sumber berita: