Microsoft Mengungkap Perusahaan Austria yang Mengeksploitasi Windows dan Adobe Zero-Day Exploits

Windows and Adobe Zero-Days

Seorang tentara bayaran cyber yang “pura-pura menjual keamanan umum dan layanan analisis informasi kepada pelanggan komersial” menggunakan beberapa eksploitasi Windows dan Adobe zero-day dalam serangan terbatas dan sangat bertarget terhadap entitas Eropa dan Amerika Tengah.

Perusahaan, yang digambarkan Microsoft sebagai aktor ofensif sektor swasta (PSOA), adalah perusahaan yang berbasis di Austria bernama DSIRF yang terkait dengan pengembangan dan percobaan penjualan senjata siber yang disebut sebagai Di bawah titik bekuyang dapat digunakan untuk meretas ponsel, komputer, dan perangkat yang terhubung ke internet target.

“Korban yang diamati hingga saat ini termasuk firma hukum, bank, dan konsultan strategis di negara-negara seperti Austria, Inggris, dan Panama,” kata tim keamanan siber raksasa teknologi itu dalam laporan Rabu.

Microsoft melacak aktor di bawah moniker KNOTWEED, melanjutkan tren penamaan PSOA menggunakan nama yang diberikan untuk pohon dan semak belukar. Perusahaan sebelumnya menetapkan nama SOURGUM untuk vendor spyware Israel Candiru.

KNOTWEED dikenal mencoba-coba dalam operasi akses sebagai layanan dan peretasan untuk disewa, menawarkan perangkatnya kepada pihak ketiga serta secara langsung mengaitkan dirinya dalam serangan tertentu.

Keamanan cyber

Sementara yang pertama memerlukan penjualan alat peretasan ujung ke ujung yang dapat digunakan oleh pembeli dalam operasi mereka sendiri tanpa keterlibatan aktor ofensif, kelompok peretasan untuk menyewa menjalankan operasi yang ditargetkan atas nama klien mereka.

Related Post :   SmokeLoader Menginfeksi Sistem Target dengan Malware Pencuri Info Amadey

Penyebaran Subzero dikatakan terjadi melalui eksploitasi beberapa masalah, termasuk rantai eksploitasi yang memanfaatkan kelemahan eksekusi kode jarak jauh (RCE) Adobe Reader dan bug eskalasi hak istimewa zero-day (CVE-2022-22047), yang terakhir dari yang ditangani oleh Microsoft sebagai bagian dari pembaruan Juli Patch Tuesday.

“CVE-2022-22047 digunakan dalam serangan terkait KNOTWEED untuk eskalasi hak istimewa. Kerentanan ini juga memberikan kemampuan untuk keluar dari kotak pasir dan mencapai eksekusi kode tingkat sistem,” Microsoft menjelaskan.

Rantai serangan serupa yang diamati pada tahun 2021 memanfaatkan kombinasi dua eksploitasi eskalasi hak istimewa Windows (CVE-2021-31199 dan CVE-2021-31201) bersama dengan kelemahan pembaca Adobe (CVE-2021-28550). Tiga kerentanan diselesaikan pada Juni 2021.

Penyebaran Subzero kemudian terjadi melalui eksploitasi keempat, kali ini memanfaatkan kerentanan eskalasi hak istimewa di Windows Update Medic Service (CVE-2021-36948), yang ditutup oleh Microsoft pada Agustus 2021.

Di luar rantai eksploitasi ini, file Excel yang menyamar sebagai dokumen real estat telah digunakan sebagai saluran untuk mengirimkan malware, dengan file yang berisi makro Excel 4.0 yang dirancang untuk memulai proses infeksi.

Terlepas dari metode yang digunakan, intrusi berujung pada eksekusi shellcode, yang digunakan untuk mengambil payload tahap kedua yang disebut Corelump dari server jauh dalam bentuk gambar JPEG yang juga menyematkan loader bernama Jumplump yang, pada gilirannya, memuat Corelump ke dalam memori.

Related Post :   Peretas 'Gallium' China Menggunakan Malware PingPull Baru dalam Serangan Cyberspionage

Implan evasive hadir dengan berbagai kemampuan, termasuk keylogging, menangkap tangkapan layar, mengekstrak file, menjalankan shell jarak jauh, dan menjalankan plugin sewenang-wenang yang diunduh dari server jarak jauh.

Juga digunakan selama serangan adalah utilitas yang dipesan lebih dahulu seperti Mex, alat baris perintah untuk menjalankan plugin keamanan sumber terbuka seperti Chisel, dan PassLib, alat untuk membuang kredensial dari browser web, klien email, dan manajer kredensial Windows.

Microsoft mengatakan telah menemukan KNOTWEED yang secara aktif menyajikan malware sejak Februari 2020 melalui infrastruktur yang dihosting di DigitalOcean dan Choopa, di samping mengidentifikasi subdomain yang digunakan untuk pengembangan malware, men-debug Mex, dan mengatur muatan Subzero.

Keamanan cyber

Beberapa tautan juga telah ditemukan antara DSIRF dan alat berbahaya yang digunakan dalam serangan KNOTWEED.

“Ini termasuk infrastruktur perintah-dan-kontrol yang digunakan oleh malware yang terhubung langsung ke DSIRF, akun GitHub terkait DSIRF yang digunakan dalam satu serangan, sertifikat penandatanganan kode yang dikeluarkan untuk DSIRF yang digunakan untuk menandatangani eksploitasi, dan berita sumber terbuka lainnya. laporan yang menghubungkan Subzero dengan DSIRF,” kata Redmond.

Subzero tidak berbeda dengan malware off-the-shelf seperti Pegasus, Predator, Hermit, dan DevilsTongue, yang mampu menyusup ke ponsel dan mesin Windows untuk mengontrol perangkat dari jarak jauh dan menyedot data, terkadang tanpa mengharuskan pengguna untuk mengklik tautan berbahaya.

Related Post :   Trojan Perbankan Android Baru Terlihat di Alam Liar

Jika ada, temuan terbaru menyoroti pasar internasional yang sedang berkembang untuk teknologi pengawasan canggih seperti itu untuk melakukan serangan yang ditargetkan yang ditujukan kepada anggota masyarakat sipil.

Meskipun perusahaan yang menjual spyware komersial mengiklankan barang mereka sebagai sarana untuk mengatasi kejahatan serius, bukti yang dikumpulkan sejauh ini telah menemukan beberapa contoh alat ini disalahgunakan oleh pemerintah otoriter dan organisasi swasta untuk mengintai para pembela hak asasi manusia, jurnalis, pembangkang, dan politisi.

Grup Analisis Ancaman Google (TAG), yang melacak lebih dari 30 vendor yang menjajakan eksploitasi atau kemampuan pengawasan kepada aktor yang disponsori negara, mengatakan ekosistem yang berkembang pesat menggarisbawahi “sejauh mana vendor pengawasan komersial memiliki kemampuan yang berkembang biak secara historis hanya digunakan oleh pemerintah.”

“Vendor ini beroperasi dengan keahlian teknis yang mendalam untuk mengembangkan dan mengoperasionalkan eksploitasi,” kata Shane Huntley dari TAG dalam sebuah kesaksian kepada Komite Intelijen DPR AS pada hari Rabu, menambahkan, “penggunaannya meningkat, didorong oleh permintaan dari pemerintah.”


Tinggalkan Balasan

Alamat email Anda tidak akan dipublikasikan.