Untuk mendapatkan kepercayaan korban, BlueNoroff berpura-pura menjadi perusahaan modal ventura yang sudah ada. Peneliti Kaspersky menemukan lebih dari 15 bisnis ventura, yang nama merek dan nama karyawannya disalahgunakan selama kampanye SnatchCrypto.
Pakar Kaspersky juga percaya bahwa perusahaan asli tidak memiliki keterlibatan dengan email atau serangan terkait. Lingkungan crypto start-up dipilih oleh para pelaku kejahatan siber karena suatu alasan: perusahaan rintisan sering menerima surat atau file dari sumber yang tidak dikenal.
Misalnya, perusahaan ventura dapat mengirimi mereka kontrak atau file terkait bisnis lainnya. Pelaku APT memanfaatkan ini sebagai umpan untuk membuat korban membuka lampiran di email-dokumen berkemampuan makro.
Jika dokumen dibuka secara offline, file tersebut tidak akan menghadirkan sesuatu yang berbahaya. File itu akan terlihat seperti salinan dari beberapa jenis kontrak atau dokumen lain yang tidak berbahaya. Tetapi jika komputer terhubung ke internet pada saat membuka file, dokumen berkemampuan makro lainnya mencapai perangkat korban dan menyebarkan malware.
Kelompok APT ini memiliki berbagai metode dalam gudang infeksi mereka dan menyusun rantai infeksi tergantung pada situasinya. Selain dokumen Word yang dilengkapi fitur berbahaya, aktor ancaman ini juga menyebarkan malware yang disamarkan sebagai file pintasan Windows yang di-zip.
Selanjutnya ini akan mengirimkan informasi umum korban dan agen Powershell, yang kemudian menciptakan backdoor berfitur lengkap. Dengan menggunakan ini, BlueNoroff dapat menyebarkan alat berbahaya lainnya untuk memantau korban seperti keylogger dan pengambil tangkapan layar.
“Karena penyerang terus-menerus menemukan banyak cara baru untuk mengelabui dan menyalahgunakan kerentanan, bahkan bisnis kecil sekalipun harus memberikan edukasi kepada karyawan mereka tentang praktik keamanan siber dasar, kata Peneliti Keamanan Senior di Tim Riset dan Analisis Global (GreAT) Kaspersky Seongsu Park, melalui keterangan pers yang diterima oleh Republika, Rabu (19/1/2022).
Ikuti Whatsapp Channel Republika
