Kelompok kejahatan yang diberi nama StopAndProtect oleh perusahaan Check Point Research, menggunakan sekitar 2000 blog WordPress yang dikelola dengan buruk untuk menempatkan malware yang mencuri seed phrase dompet cryptocurrency, kata sandi, dan file dari komputer yang terinfeksi yang menjalankan Windows.
Bagi pemilik cryptocurrency, hal yang paling mengkhawatirkan adalah penipuan ini terjadi di situs web yang sah, yang terlihat seperti blog bisnis atau situs web biasa.
Check Point mempublikasikan detailnya pada 18 Agustus, menghubungkan sampel ransomware yang terdeteksi pertengahan Mei dengan kampanye pemerasan dan pengintaian yang lebih luas.
Mengapa penulis menampilkan cerita ini?
Sebagian besar malware disebarkan dari server yang disewa atau diretas oleh penyerang. StopAndProtect menggunakan pendekatan yang berbeda, kata peneliti Yaromyr Goreishi. Ransomware, payload, infrastruktur komando dan kendali, serta penyimpanan data curian mereka, ditempatkan di domain WordPress yang tidak perlu dibayar atau diretas oleh penjahat.
"Ini adalah bagian paling menarik dari kampanye ini," kata Goreishi. Satu server dapat menjadi tuan rumah payload, mengalihkan instruksi ke komputer yang dikompromikan, dan menyimpan file yang dicuri. Menurut Security Affairs, situs web yang diretas tidak lagi sekadar situs web yang diretas. Itu bisa menjadi batu loncatan bagi penyerang lain.
Situs-situs tersebut dikelola dengan buruk, seperti yang ditemukan tim Khoreishi ketika memutuskan untuk memeriksa instance WordPress di balik salah satu domain berbahaya. Peneliti menemukan hampir 40 kerentanan berbeda dalam perangkat lunak, yang berasal dari tahun 2021.
Bagaimana serangan phishing CAPTCHA palsu bekerja
Pemilik cryptocurrency harus sangat waspada terhadap ancaman ini. Kampanye phishing menipu pengguna Windows agar percaya bahwa mereka perlu menyelesaikan CAPTCHA untuk mengakses situs web. Namun, CAPTCHA sebenarnya adalah penipuan, dan pengguna yang mencoba menyelesaikannya akan diminta untuk menyalin dan menempelkan perintah PowerShell ke baris perintah.
Perintah PowerShell ini akan mulai mengunduh malware .NET yang memungkinkan penyerang untuk mengekstrak kata sandi yang disimpan, seed phrase dompet crypto, dan data lainnya dari komputer yang dikompromikan.
Malware juga dapat menyalin file dari folder jaringan bersama, drive USB, mengambil tangkapan layar dari komputer yang terinfeksi, dan bahkan mengenkripsinya untuk meminta tebusan. Menurut Decrypt, pengguna harus waspada terhadap situs yang meminta mereka untuk menempelkan atau memasukkan sesuatu, dan segera meninggalkan halaman begitu mereka melihat permintaan seperti itu.
Dompet cryptocurrency bukan satu-satunya target kampanye ini. Dalam banyak kasus, penyerang menggunakan malware untuk mencuri file dari komputer korban. Menurut laporan, penyerang memindai file di komputer yang terinfeksi dan memilih yang paling menarik untuk dicuri.
Versi malware yang lebih baru juga mampu merekam penekanan tombol, mengambil tangkapan layar setiap 30 detik, dan bahkan menggunakan WhatsApp untuk memotret daftar kontak korban.
Apa yang diunggah pelaku ke internet
Informasi paling berharga tentang kampanye StopAndProtect berasal dari server milik pelaku itu sendiri. Penyerang menggunakan metode keamanan siber yang tidak efektif, meninggalkan direktori dan file log terbuka untuk diakses dari internet. Check Point menduga bahwa salah satu komputer penyerang telah diretas, dan bahwa pelaku mengunggah beberapa file ke server.
Di antara file-file tersebut, Khoreishi menemukan kode sumber alat otomatisasi yang digunakan penyerang untuk mengelola situs web yang diretas.
Alat yang ditulis dalam bahasa Visual Basic 6 yang sudah ketinggalan zaman ini memungkinkan penyerang untuk mengalihkan halaman phishing CAPTCHA dari jarak jauh, mengalihkan pengunjung situs, dan memperbarui malware di situs yang dikompromikan. File teks yang dilampirkan pada alat tersebut juga berisi daftar hampir 2000 domain yang telah diretas dan diubah menjadi situs phishing.
Log peristiwa juga membantu peneliti memahami skala serangan. Per 24 Juli, kampanye tersebut telah menginfeksi lebih dari 6000 alamat IP unik. Dari jumlah tersebut, 1852 pengguna berada di AS, dan masing-masing 630 di Rusia dan India.
Dari pertengahan Mei hingga akhir Juli, para peneliti menemukan lebih dari 700 arsip file yang dicuri. Di salah satu folder terbuka di server, terdapat lebih dari 20.000 tangkapan layar dari komputer korban.
end-content
