Kaspersky Ungkap Taktik Infeksi yang Kompleks dari Jenis Malware DarkGate, Emotet, dan LokiBot

JAKARTA - Laporan terbaru Kaspersky mengungkap taktik infeksi yang kompleks dari jenis malware DarkGate, Emotet, dan LokiBot. Di tengah enkripsi unik DarkGate dan kembalinya Emotet yang kuat, eksploitasi LokiBot tetap ada, menggambarkan lanskap keamanan siber yang semakin berkembang.

DarkGate

Pada Juni 2023, para peneliti Kaspersky berhasil menemukan loader baru bernama DarkGate yang menawarkan serangkaian fitur melampaui fungsi pengunduh biasa, seperti VNC tersembunyi, pengecualian Windows Defender, pencurian riwayat browser, proxy terbalik, manajemen file, dan pencurian token Discord. 

Pembeda loader ini dengan yang lain adalah caranya yang unik dalam mengenkripsi string dengan kunci yang dipersonalisasi dan versi kustom pengkodean Base64, menggunakan rangkaian karakter khusus.

Aktivitas Emotet Kembali

Selain itu, penelitian Kaspersky juga menemukan aktivitas Emotet, botnet terkenal yang muncul kembali setelah dihapus pada tahun 2021. Dalam kampanye terbaru ini, pengguna yang tanpa sadar membuka file OneNote berbahaya memicu eksekusi VBScript yang tersembunyi dan disamarkan. 

Skrip kemudian mencoba mengunduh muatan berbahaya dari berbagai situs web hingga berhasil menyusup ke sistem. Begitu masuk, Emotet menanam DLL di direktori sementara, lalu menjalankannya. 

DLL ini berisi instruksi tersembunyi, atau kode shell, bersama dengan fungsi impor terenkripsi. Melalui keterampilan mendekripsi file tertentu dari bagian sumber dayanya, Emotet unggul, pada akhirnya mengeksekusi muatan berbahayanya.

Phishing LokiBot

Terakhir, Kaspersky juga berhasil mendeteksi kampanye phishing yang menargetkan perusahaan kapal kargo yang mengirimkan LokiBot. kampanye ini dirancang untuk mencuri kredensial dari berbagai aplikasi, termasuk browser dan klien FTP. 

Menurut perusahaan keamanan siber itu, email ini membawa lampiran dokumen Excel yang mendorong pengguna untuk mengaktifkan makro. Penyerang mengeksploitasi kerentanan yang diketahui (CVE-2017-0199) di Microsoft Office, yang mengarah ke pengunduhan dokumen RTF. Dokumen RTF ini kemudian memanfaatkan kerentanan lain (CVE-2017-11882) untuk mengirimkan dan mengeksekusi malware LokiBot.