Microsoft hari ini menambal Windows Defender SmartScreen zero-day, yang dieksploitasi secara liar oleh kelompok ancaman yang bermotivasi finansial untuk menyebarkan trojan DarkMe Remote Access (RAT).
Sebuah kelompok peretas (dilacak sebagai Water Hydra dan DarkCasino) terlihat menggunakan zero-day (CVE-2024-21412) dalam serangan Hari Tahun Baru oleh peneliti keamanan Trend Micro.
“Penyerang yang tidak diautentikasi dapat mengirimkan file yang dibuat khusus ke pengguna target yang dirancang untuk melewati kontrol keamanan yang ditampilkan,” kata Microsoft dalam peringatan keamanan yang dirilis hari ini.
“Namun, penyerang tidak memiliki cara untuk memaksa pengguna melihat konten yang dikontrol oleh penyerang. Sebaliknya, penyerang harus meyakinkan mereka untuk mengambil tindakan dengan mengklik link file.”
Peneliti keamanan Trend Micro Peter Girnus, yang bertanggung jawab melaporkan zero-day ini, mengungkapkan bahwa CVE-2024-21412 melewati kerentanan lain di Defender SmartScreen (CVE-2023-36025).
CVE-2023-36025 telah diperbaiki selama Patch Selasa November 2023, dan seperti yang diungkapkan Trend Micro bulan lalu, CVE-2023-36025 juga dieksploitasi untuk melewati perintah keamanan Windows saat membuka file URL untuk menyebarkan malware pencuri informasi Phemedrone.
Zero Day digunakan untuk menargetkan pedagang di pasar keuangan
Zero-day yang ditambal Microsoft hari ini digunakan dalam serangan yang menargetkan “pedagang valas yang berpartisipasi dalam pasar perdagangan berisiko tinggi,” dengan tujuan akhir yang mungkin adalah pencurian data atau penyebaran ransomware pada tahap selanjutnya.
“Pada akhir Desember 2023, kami mulai memantau kampanye yang dilakukan oleh kelompok Water Hydra yang berisi alat, taktik, dan prosedur (TTP) serupa yang melibatkan eksploitasi komponen Internet Shortcuts (.URL) dan WebDAV (Web-based Distributed Authoring and Versioning). jelas Trend Mikro.
“Kami menyimpulkan bahwa memanggil pintasan dalam pintasan lain sudah cukup untuk menghindari SmartScreen gagal menerapkan Mark-of-the-Web (MotW) dengan benar, sebuah komponen penting Windows yang memperingatkan pengguna ketika membuka atau menjalankan file dari sumber yang tidak tepercaya.”
Water Hydra mengeksploitasi CVE-2024-21412 untuk menargetkan forum perdagangan valas dan saluran perdagangan saham Telegram dalam serangan spearphishing, mendorong grafik saham berbahaya yang tertaut ke situs informasi perdagangan yang disusupi dari Rusia (fxbulls[.]ru) berpura-pura menjadi platform broker forex (fxbulls[.]com).
Tujuan penyerang adalah membuat pedagang yang ditargetkan memasang malware DarkMe melalui rekayasa sosial.
Taktik yang mereka gunakan termasuk mengirimkan pesan dalam bahasa Inggris dan Rusia meminta atau menawarkan instruksi perdagangan dan menyebarkan saham dan instrumen keuangan palsu yang berkaitan dengan analisis grafik teknis dan alat indikator grafik.
Daftar lengkap Indikator Kompromi (IoC) untuk kampanye malware DarkMe yang baru diamati ini tersedia di sini.
Peretas Water Hydra telah mengeksploitasi kerentanan zero-day lainnya di masa lalu. Misalnya, mereka menggunakan kerentanan yang sangat serius (CVE-2023-38831) pada perangkat lunak WinRAR yang digunakan oleh lebih dari 500 juta pengguna untuk menyusupi akun bisnis beberapa bulan sebelum perbaikan tersedia.
Vendor lain kemudian mengaitkan eksploitasi CVE-2023-38831 dengan beberapa kelompok peretas yang didukung pemerintah, termasuk kelompok ancaman Sandworm, APT28, APT40, DarkPink (NSFOCUS), dan Konni (Knownsec) dari Rusia, Tiongkok, dan Korea Utara.
+ There are no comments
Add yours