Peneliti Merinci PureCrypter Loader yang Digunakan Penjahat Cyber ​​untuk Mendistribusikan Malware

PureCrypter Malware Loader

Peneliti keamanan siber telah merinci cara kerja pemuat malware berfitur lengkap yang dijuluki PureCrypter yang dibeli oleh penjahat cyber untuk mengirimkan trojan akses jarak jauh (RAT) dan pencuri informasi.

“Pemuat adalah .NET yang dapat dieksekusi yang dikaburkan dengan SmartAssembly dan menggunakan kompresi, enkripsi, dan pengaburan untuk menghindari produk perangkat lunak antivirus,” kata Romain Dumont dari Zscaler dalam laporan baru.

Keamanan cyber

Beberapa keluarga malware yang didistribusikan menggunakan PureCrypter termasuk Agen Tesla, Arkei, AsyncRAT, AZORult, DarkCrystal RAT (DCRat), LokiBot, NanoCore, RedLine Stealer, Remcos, Snake Keylogger, dan Warzone RAT.

Pemuat Malware PureCrypter

Dijual dengan harga $59 oleh pengembangnya bernama “PureCoder” untuk paket satu bulan (dan $249 untuk pembelian satu kali seumur hidup) sejak setidaknya Maret 2021, PureCrypter diiklankan sebagai “satu-satunya crypter di pasar yang menggunakan offline dan teknik pengiriman online.”

Crypters bertindak sebagai lapisan pertahanan pertama melawan rekayasa balik dan biasanya digunakan untuk mengemas muatan berbahaya. PureCrypter juga menampilkan apa yang dikatakannya sebagai mekanisme canggih untuk menyuntikkan malware yang disematkan ke dalam proses asli dan berbagai opsi yang dapat dikonfigurasi untuk mencapai kegigihan saat startup dan mengaktifkan opsi tambahan untuk terbang di bawah radar.

Juga ditawarkan adalah pembuat makro Microsoft Office dan pengunduh, yang menyoroti rute infeksi awal potensial yang dapat digunakan untuk menyebarkan malware.

Keamanan cyber

Menariknya, sementara PureCoder menekankan bahwa “perangkat lunak itu dibuat hanya untuk tujuan pendidikan,” persyaratan layanannya (ToS) melarang pembeli mengunggah alat ke basis data pemindaian malware seperti VirusTotal, Jotti, dan MetaDefender.

Related Post :   Peneliti Mengungkap Serangan Rantai Pasokan Karat yang Menargetkan Pipa Cloud CI

“Anda tidak diizinkan untuk memindai file terenkripsi, karena crypter itu sendiri memiliki pemindai bawaan,” lanjut ToS.

Dalam satu sampel yang dianalisis oleh Zscaler, file gambar disk (.IMG) ditemukan berisi pengunduh tahap pertama yang, pada gilirannya, mengambil dan menjalankan modul tahap kedua dari server jarak jauh, yang kemudian menyuntikkan muatan malware terakhir ke dalam proses lain seperti MSBuild.

PureCryter juga menawarkan sejumlah fitur penting yang memungkinkannya untuk menghapus dirinya sendiri dari mesin yang disusupi dan melaporkan status infeksi kepada penulis melalui Discord dan Telegram.


Tinggalkan Balasan

Alamat email Anda tidak akan dipublikasikan.