Month: January 2025

Pelajaran dari Pemburuan Malspam Domain Palsu untuk Menghindari Pengamanan Meskipun ada pengamanan, spam berbahaya tetap berhasil. Untuk melewati pengamanan, aktor ancaman memalsukan atau menyamarkan alamat pengirim email agar tampak lebih sah. Dalam penelitian terbaru, Infoblox Threat Intel menganalisis spam yang dikirim oleh aktor asal China bernama Muddling Meerkat, aktor misterius yang melakukan operasi DNS melalui Great Firewall China. Penelitian ini mengungkap beberapa kampanye spam berbahaya dan penggunaan domain palsu secara luas.   Bahan pemburuan: Telemetri buatan sendiri dan umpan balik komunitas Meskipun masih ada pertanyaan setelah publikasi awal tentang Muddling Meerkat, kami berbagi apa yang kami ketahui dan meminta masukan dari komunitas yang lebih besar. Umpan balik yang diterima mencakup laporan pemberitahuan penyalahgunaan yang mendalam akibat distribusi spam berskala besar, yang mengarah ke IP sumber China, dan Infoblox memiliki beberapa domain yang disalahgunakan. Dengan pengetahuan ini, Infoblox Threat Intel memulai pemburuan dengan menghubungkan log server nama otoritatif DNS kami dengan data yang dikumpulkan dari perangkap spam. Dengan memutar balik data, kami bertujuan untuk mempelajari lebih lanjut tentang seberapa luas operasi malspam yang dilakukan oleh Muddling Meerkat. Hal ini menghasilkan wawasan tambahan tentang penggunaan malspam yang dilakukan oleh aktor yang terkait dengan China. Berikut adalah empat pengamatan utama yang diperoleh:   Temuan #1: Kampanye Phishing dengan Kode QR Kelompok terbesar dari malspam berkembang di sekitar kampanye phishing yang menargetkan penduduk China Raya. Kampanye ini menyamarkan domain lama dan menyebarkan lampiran berisi kode QR yang mengarah ke situs phishing. Para penyerang menggunakan metode dua langkah di mana penerima pertama kali membuka lampiran email dan kemudian menggunakan WhatsApp untuk memindai kode QR. Metodologi ini menyulitkan langkah pengamanan dengan memindahkan interaksi ke aplikasi obrolan terenkripsi, yang tidak terdeteksi oleh sebagian besar alat pengamanan. Pada langkah kedua, aktor ancaman juga menggunakan algoritma pembuatan domain terdaftar (RDGA) untuk membuat domain acak yang hanya aktif untuk waktu singkat guna menghindari deteksi lebih lanjut.   Temuan #2: Kampanye Phishing Jepang Persentase besar spam yang dikumpulkan berasal dari sumber dengan nama host tiga huruf. Dengan mengelompokkan ini, kami menemukan operasi malspam yang menargetkan pengguna Jepang. Kampanye ini melibatkan email yang merujuk pada merek terkenal seperti Electronic Toll Collection (ETC), Sumitomo Mitsui Banking Corporation (SMBC), Amazon, dan Mastercard. Email-email tersebut mendesak pengguna untuk melakukan autentikasi karena masalah keamanan, yang mengarah ke sistem distribusi lalu lintas (TDS) dan akhirnya ke halaman login palsu yang mencuri kredensial. Kampanye lain menargetkan pengguna Jepang dengan pesan spam terkait dengan MyEtherWallet, dompet crypto yang populer. Pesan-pesan ini menggunakan domain yang mirip dan terkadang menyertakan teks dalam bahasa Jepang, meminta pengguna untuk login ke akun mereka. Meskipun tautannya terlihat sah, mereka mengarah ke domain palsu yang dibuat oleh aktor ancaman. Penggunaan domain palsu, penyamaran domain, dan TDS menunjukkan bagaimana aktor-aktor China ini menerapkan berbagai taktik untuk tetap berada di luar sorotan penelitian ancaman dan menghindari deteksi.   Temuan #3: Kampanye Pemerasan yang Familiar Kami juga menemukan kampanye yang menggunakan taktik spam yang sudah dikenal yang melibatkan penyamaran domain. Salah satu taktik umum melibatkan email pemerasan yang mengklaim bahwa peretas telah mengakses perangkat pengguna dan merekam aktivitas memalukan. Email-email ini menyamarkan alamat email pengguna, membuatnya tampak seperti pesan yang dikirim dari akun mereka sendiri. Email tersebut meminta pembayaran dalam Bitcoin untuk menghapus malware, dengan jumlah yang bervariasi dalam pesan-pesan tersebut. Meskipun sifat email ini mengejutkan, skema ini efektif, karena beberapa dompet Bitcoin yang terkait dengan kampanye ini berisi dana yang cukup besar. Kampanye-kampanye ini, dan lainnya yang menggunakan domain pengirim yang disamarkan, kemungkinan berasal dari bot spam yang masih beroperasi, bukan hasil kerja aktor yang canggih seperti Muddling Meerkat.   Temuan #4: Malspam Misterius Penelitian ini mengungkapkan kampanye spam yang misterius dan aktif yang menggunakan domain pengirim palsu dan lampiran spreadsheet Excel yang tampak tidak berbahaya tanpa tujuan yang jelas. Email-email ini, yang menyamarkan domain seperti yang digunakan oleh Muddling Meerkat, berasal dari sebuah perusahaan pengiriman China. Alamat email bervariasi secara luas dan menyertakan nama pengguna sintetis seperti “Edward.Evelyn” dan “Heidi.Gracie.” Kampanye ini diamati setiap dua dari tiga hari pada tahun 2024, dengan baris subjek yang menunjukkan pembaruan tarif pengiriman baru, namun tidak ditemukan konten berbahaya dalam file-file ini. Menariknya, email-email ini juga tidak menyertakan ajakan untuk bertindak dan hanya merupakan serangkaian tarif pengiriman yang terus diperbarui untuk perusahaan pengiriman China. Penyamarannya membuatnya tidak jelas mengapa baik perusahaan pengiriman maupun aktor berbahaya akan mengirim email semacam itu. Teknik serupa terlihat pada spam pribadi, di mana email memberikan nilai dana investasi dari perusahaan investasi India. Pesan-pesan ini, yang ditandai oleh Google Mail sebagai spam mencurigakan, juga mengandung spreadsheet tidak berbahaya dan file PDF. Dalam kasus ini, nama pengguna pengirim adalah seorang kenalan lama, menunjukkan bahwa akun email mereka diretas untuk operasi spam. Namun, nilai dari pesan-pesan ini bagi aktor spam tetap tidak jelas.   Pembelajaran: Penyamaratan Domain adalah Taktik yang Banyak Digunakan Saat pertama kali mempublikasikan Muddling Meerkat pada Maret 2024, kami mengidentifikasi sekitar 20 domain terkait, namun kini telah mengonfirmasi beberapa ratus lainnya yang ditemukan dalam perangkap spam. Sayangnya, kami tidak dapat menghubungkannya kembali ke log server nama otoritatif DNS kami, yang meninggalkan misteri tentang aktor ini. Meskipun kami tidak dapat menentukan apa yang sedang dilakukan Muddling Meerkat, penyelidikan kami berhasil mengungkapkan banyak tentang bagaimana aktor-aktor menggunakan domain palsu dalam malspam, yang dapat memberi informasi tentang cara menghentikan mereka. Bagi peneliti ancaman seperti kami, wawasan tersebut sering kali sama pentingnya dengan mengetahui semua niat di baliknya. Untuk mendapatkan keamanan di organisasi anda dari sisi luar, kita membutuhkan cyber threat intelligence produk, untuk itu percayakan produk Cyber Threat Intelligence anda kepada Infoblox Indonesia.