Telah ditemukan bahwa peretas menggunakan SEO poisoning dan iklan mesin pencari untuk mempromosikan installer Microsoft Teams palsu yang menginfeksi perangkat Windows dengan backdoor Oyster yang menyediakan akses awal ke jaringan perusahaan.
Malware Oyster, juga dikenal sebagai Broomstick dan CleanUpLoader, merupakan backdoor yang pertama kali muncul pada pertengahan 2023 dan sejak itu telah dikaitkan dengan beberapa kampanye. Malware ini memberi penyerang akses jarak jauh ke perangkat yang terinfeksi, memungkinkan mereka untuk menjalankan perintah, menyebarkan payload tambahan, dan mentransfer file.
Oyster umumnya menyebar melalui kampanye malvertising yang meniru tool IT populer, seperti Putty dan WinSCP. Operasi Ransomware, seperti Rhysida, juga memanfaatkan malware tersebut untuk menembus jaringan perusahaan.
Installer Microsoft Teams palsu mendorong malware
Dalam kampanye malvertising dan SEO poisoning baru yang ditemukan oleh Blackpoint SOC, pelaku ancaman mempromosikan situs palsu yang muncul saat pengunjung menelusuri "Teams download."
Meskipun iklan dan domain tersebut tidak memalsukan domain Microsoft, keduanya mengarah ke website di teams-install[.]top yang meniru situs download Teams milik Microsoft. Mengklik tautan download akan mendownload file bernama "MSTeamsSetup.exe," nama file yang sama dengan yang digunakan oleh download resmi Microsoft.
MSTeamsSetup.exe [VirusTotal] yang berbahaya telah ditandatangani kode dengan sertifikat dari "4th State Oy" dan "NRM NETWORK RISK MANAGEMENT INC" untuk menambah legitimasi pada file tersebut.
Namun, ketika dijalankan, installer palsu menjatuhkan DLL berbahaya bernama CaptureService.dll [VirusTotal] ke dalam folder %APPDATA%\Roaming.
Agar tetap bertahan, installer membuat scheduled task bernama "CaptureService" untuk mengeksekusi DLL setiap 11 menit, memastikan backdoor tetap aktif bahkan saat reboot.
Aktivitas ini mirip dengan installer Google Chrome dan Microsoft Teams palsu sebelumnya yang mendorong Oyster, menyoroti bagaimana SEO poisoning dan malvertising tetap menjadi taktik populer untuk melanggar jaringan perusahaan.
"Aktivitas ini menyoroti penyalahgunaan SEO poisoning dan iklan berbahaya yang terus berlanjut untuk mengirimkan backdoor komoditas berkedok perangkat lunak tepercaya," kata Blackpoint.
“Sama seperti kampanye PuTTY palsu yang diamati awal tahun ini, pelaku ancaman mengeksploitasi kepercayaan pengguna pada hasil pencarian dan merek terkenal untuk mendapatkan akses awal.”
Karena admin TI adalah target populer untuk mendapatkan akses ke kredensial dengan hak istimewa tinggi, mereka disarankan hanya mendownload perangkat lunak dari domain terverifikasi dan menghindari mengklik iklan mesin pencari.
0 Comments
