JAKARTA – Para ahli Kaspersky telah terjadi mengidentifikasi versi baru dari backdoor Loki yang sebelumnya tidak ada diketahui. Malware ini sudah digunakan di rangkaian serangan yang tersebut ditargetkan pada setidaknya 12 perusahaan Rusia pada berbagai sektor, termasuk teknik lalu kesehatan.
Apa itu Backdoor Loki?
Malware ini, yang digunakan dideteksi oleh Kaspersky sebagai Backdoor.Win64.MLoki, adalah versi agen pribadi dari kerangka kerja pasca-eksploitasi sumber terbuka Mythic. Loki menyebar melalui email phishing yang mana berisi lampiran berbahaya.
Setelah diaktifkan, penyerang dapat mengendalikan sistem yang dimaksud terinfeksi, menjalankan token akses Windows, menyuntikkan kode ke di proses yang tersebut sedang berjalan, lalu mentransfer file antara mesin yang mana terinfeksi kemudian server perintah kemudian kontrol.
Meningkatnya Pemakaian Kerangka Kerja Informan Terbuka oleh Penyerang
“Meningkatnya pengaplikasian kerangka kerja sumber terbuka oleh penyerang mengkhawatirkan,” kata Artem Ushkov, pengembang penelitian di area Kaspersky. “Loki menunjukkan bagaimana alat-alat ini dimodifikasi untuk menghindari deteksi lalu atribusi.”
Cara Kerja Loki
Agen Loki sendiri tidak ada menggalang tunneling lalu lintas, sehingga penyerang menggunakan utilitas yang dimaksud tersedia untuk umum seperti ngrok lalu gTunnel untuk menembus jaringan pribadi. Kaspersky menemukan bahwa, di beberapa kasus, utilitas gTunnel dimodifikasi menggunakan goreflect untuk menjalankan kode berbahaya di dalam memori komputer target, sehingga lebih banyak sulit dideteksi.
Serangan yang tersebut Ditargetkan
Meskipun Kaspersky belum mengaitkan Loki dengan kelompok ancaman tertentu, analisis mereka itu menunjukkan bahwa penyerang menyesuaikan setiap email phishing untuk targetnya. Ini adalah menunjukkan bahwa serangan ini sangat terarah dan juga terencana dengan baik.
Untuk melindungi organisasi dari ancaman seperti Loki, berikut beberapa tipsnya:
– Jangan mengekspos layanan desktop jarak jauh, seperti RDP, ke jaringan masyarakat kecuali benar-benar diperlukan, dan juga terus-menerus gunakan kata sandi yang mana kuat.
– Pastikan VPN komersial juga solusi perangkat lunak sisi server lainnya setiap saat diperbarui oleh sebab itu eksploitasi jenis perangkat lunak ini merupakan vektor infeksi ransomware yang umum. Selalu perbarui aplikasi mobile sisi klien.
– Fokuskan strategi pertahanan untuk mendeteksi pergerakan lateral juga pencurian data ke internet. Berikan perhatian khusus pada lalu lintas mengundurkan diri dari untuk mendeteksi koneksi penjahat dunia maya.
– Cadangkan data secara teratur. Pastikan Anda dapat mengaksesnya dengan cepat di keadaan darurat.
– Gunakan informasi Threat Intelligence terbaru untuk masih mengetahui TTP terbaru yang tersebut digunakan olehpelakuancaman.
