Ancaman Siber Generasi Baru: AI, Botnet, dan Ransomware

Pomodo.id - Sejumlah peneliti keamanan siber kini memperhatikan adanya kampanye phishing yang memanfaatkan Microsoft Teams sebagai alat untuk menyebarkan perangkat akses jarak jauh yang sah. Dalam kampanye ini, penyerang mengarahkan korban melalui infrastruktur web yang telah dikompromikan ke halaman Microsoft Store palsu yang mengklaim bahwa Microsoft Teams perlu diperbarui sebelum dokumen yang dibagikan bisa dibuka. Penyerang menggunakan domain "teamvem[.]com" untuk mengelabui pengguna. Setelah mengklik tautan yang diberikan, korban mengunduh file bernama "supportdev.exe", yang merupakan pemuat berbasis Inno Setup. File ini kemudian menjalankan PowerShell secara tersembunyi untuk mengambil installer RMM resmi dan mendaftarkan endpoint dengan rahasia pendaftaran yang dikendalikan penyerang.

Pomodo.id - Kelompok yang didukung oleh negara Rusia, yang dikenal sebagai UAC-0099, telah meluncurkan kampanye baru dengan memanfaatkan sebuah program yang berpura-pura sebagai plugin Notepad++. Serangan ini ditangani oleh tim Computer Emergency Response Team of Ukraine (CERT-UA), yang mengidentifikasi bahwa kelompok ini telah aktif melakukan kejahatan siber sejak pertengahan 2022. Dalam aksi terbaru mereka, penyerang menggunakan email phishing yang mengandung tautan pendek yang merujuk ke layanan penyimpanan file untuk mengunduh arsip ZIP berisi skrip Visual Basic.

Pomodo.id - Chaos ransomware telah meningkatkan kompleksitas dalam melancarkan serangan siber dengan menggunakan browser korban sebagai saluran komunikasi untuk mengelola perintah dan kontrol (C2). Kelompok ransomware ini menjalankan implant yang dikenal sebagai msaRAT, yang tidak pernah menciptakan koneksi keluar secara langsung, tetapi berkomunikasi dengan perangkat tersebut melalui alamat lokal 127.0.0.1. MsaRAT memanfaatkan fitur debugging pada browser seperti Chrome dan Edge untuk mengirim pesan C2 melalui saluran data WebRTC yang dipindahkan oleh layanan TURN dari Twilio. Dengan cara ini, lalu lintas yang terlihat oleh pemantau jaringan hanya menunjukkan komunikasi antara browser dan penyedia layanan seperti Cloudflare dan Twilio, tanpa menampilkan alamat server penyerang.

Pomodo.id - Operasi cyber baru yang diidentifikasi sebagai JadeProx menunjukkan teknik baru dalam menggunakan sideloader DLL untuk menyusup ke dalam sistem target. Pelacak Group-IB mengungkapkan bahwa kelompok ini, berkaitan dengan aktor siber yang berorientasi pada China, telah menargetkan sejumlah organisasi pemerintah, kesehatan, dan pendidikan di Asia serta Amerika Latin. Teknik ini mengandalkan perangkat pemuat Windows yang belum pernah terdokumentasi sebelumnya, yang disebut TriBack Loader.

Pomodo.id - Operator malware kini semakin canggih dengan memanfaatkan teknologi AI untuk otomatisasi serangan phishing yang ditujukan kepada pengguna Windows. Baru-baru ini, Rapid7 menemukan satu set alat malware yang terdiri dari 1.048 file, termasuk template phising, pengujian spoofing nama file, serta catatan pengembangan dan catatan pengiriman yang menunjukkan bagaimana operator sedang dalam proses membangun serangan. Salah satu serangan yang telah diluncurkan menargetkan pengguna di Meksiko dengan menyebarkan program pemanen data (infostealer) melalui situs pencarian ID pemerintah yang palsu, menggunakan WebDAV sebagai metode distribusi.