Abdi Bimantara

Abdi Bimantara

Security Analyst

WishperGate Malware Analysis

1 minute read

Published:

Laporan merah kembali tercatat pada awal tahun 2022. hal ini terbukti dengan kembali terdeteksinya beberapa jenis malware baru. Menurut laporan yang ditulis oleh cisa pada tanggal 26 februari 2022 kemarin, Terdapat jeni malware baru yang termasuk kedalam kategori malware destructive. Dimana terdeteksinya malware tersebut bertepatan dengan isu agresi militer Russi terhadap Ukraina. Malware ini pun ditujukan khusu untuk organisasi ataupun instansi pemerintahan ukraina.

WhisperGate, begitu beberapa forum memberikan nama untuk jenis malware baru ini. Umumnya berbagaia jenis antivirus mendeteksi malware WhsiperGate sebagai salah satu jenis keluarga dari ransomware. Namun pada kenyataanya malware WhisperGate ini cukup berbeda jika dibandingkan dengan Ransomware. Malware WhisperGate akan menghancurkan atau menghapus total file yang berada pada device target, dan tidak akan mengembalikan data walaupun korban telah membayar tebusan.

Karakteristik WhisperGate memiliki kesaaman terhadap malware NotPetya. Dimana malware NotPetya telah lebih dulu muncul. Hal ini membuktikan bahwa, Teknik penyamaran sebagai ransomware bukan pertama kalinya. Dalam kasus penyebaran yang dilakukan oleh WhisperGate ini, korban akan menerima beberapa payload yang mencoba melakukan proses penghapusan MBR serta menuliskan catatan seperti ransomware umumnya. Di waktu yang bersaaman, WhisperGate akan mencoba melakukan perusakan partisi C:\ dengan cara menuliskan beberapa data pada MBR.

Secara umum, terdapat 3 tahap penyebaran serangan WhisperGate. Pada gambar 1 terlihat bahwa stage 1 akan melakukan aksi penulisan payload secara terus menerus pada MBR device target dan disaat yang bersamaan juga menjalankan perintah penghancuran semua partisi pada device target. Pada stage2, proses penyebaran tergolong cukup singkat. Dimana pada stage2 ini akan menjalankan proses download file stage3. Pada akhir tahap penyebaran yang dilakukan oleh stage3, akan melakukan beberapa proses. Proses pertama yaitu menjalankan perintan advancerun yang dimana akan menghasilkan menonaktifkan layanan windows defender serta mengijinkan device untuk menginstall file apa saja. Proses kedua yaitu akan menjalankan proses penghapusan massal semua data pada device target termasuk juga malware tersebut.

Read More

You May Also Enjoy

Ransomware Investigated with splunk - BOTS Case

less than 1 minute read

Published:

Ransomware yang menginfeksi local environment adalah cerber ransomware. Media infeksi malware tersebut melalui removable media (Flashdisk) dengan nama MIRANDA_PRI, dan file malicious pertama kali yang diketahui adalah Miranda_Tate_unveiled.dotm. Malicious domain yang dikunjungi oleh host terinfeksi adalah solidaritedeproximite(.)org dan cerberhhyed5frqa(.)xmfir0(.)win. terdapat file .txt dan .pdf yang terindikasi terenkripsi oleh ransomware tersebut.

Pcap Investigasi - Scaning Activity from Internal Network

less than 1 minute read

Published:

Tim SOC mendapati adanya aktivitas anomaly yang terdeteksi pertanggal 7 Februari 2021. Aktivitas tersebut terindikasi sebagai aktivitas scanning yang berasal dari ip internal ke internal. Setelah dilakukan penelurusan aktivitas scanning tersebut berasal dari IP 10.251.96.4. Aktivitas Anomaly tersebut berupa port scanning, brute force url, file upload attack serta TCP reverse shell with python. Aktivitas tersebut terindikasi menggunakan tactic reconnaissance, Resource Development, serta Execution.

Malicious APK-Buka Undangan Pernikahan

less than 1 minute read

Published:

Terdapat aktivitas suspicious yang disebabkan oleh malicious apk dengan nama "Undangan Pernikahan". Malicious apk tersebut disebarkan melalui sosial media Whatsapp, sehingga memakan korban yang cukup banyak. Attacker tersebut menggunakan metode Sosial Engineering berupa pengiriman undangan pernikahan sehingga korban akan membuka apk tersebut dengan sendirinya. Attacker akan mendapatkan informasi pada device ter-Compromise melalui bot Telegram dengan nama gacorniannnbot.

Ransomware Attack Analysis - LetsDefend Case

less than 1 minute read

Published:

Berdasarkan informasi yang didapatkan oleh tim SOC, terdapat adanya aktivitas Malware yang terdeteksi pada lingkungan kerja disuatu perushaan klien. Malware tersebut termasuk jenis Ransomware yang dibuktikan dengan adanya notepad intruksi ancaman serta semua file telah terenkripsi dalam bentuk .2s6lc. Ransomware tersebut berasal dari grup Sodinokibi. Diketahui bahwa user yang menlakukan proses download file tersebut adalah “charles” dan malicious file tersebut juga disebarkan dari ip internal. Technique yang digunakan attacker adalah T1574 dengan tactics Persistence, Privilege Escalation, Defense Evasion.