Abdi Bimantara

Abdi Bimantara

Security Analyst

Write UP ­SOC — 101 Phsing Email Detected - Lets Defend

1 minute read

Published:

­SOC — 101 Phsing Email Detected is a blue team challenge available on https://app.letsdefend.io/

Our first step goes to the “Monitoring” section. focus on the soc101- Phishing Detected section.



the details of the alerts that we have to analyze



After knowing the details of the alert, enter the investigation section



click playbook to start investigation



The investigative alert stage is divided into 3 points

Detect

  • Parse email
  • Checking email, is there an attached URL in the email?


    • Analysis

  • Email Url Analysis
  • Add notes / important points
  • Delete Email if indicated phishing

    • Conclusion



    Step 1 - Detect

  • Parse Email
  • When was it sent ?
  • What is the email’s SMTP address?


    • 146.56.195.192

  • What is the sender address?

    • Lethuyan852@gmail.com

  • What is the recipient address?

    • mark@letsdefend.io

  • Cheking email, is there an attached URL in the email?


    • yes

    Step 2 - Analysis

  • Is the mail content suspicious?


    • on the attached link, I tried to analyze through several tools

    Virus Totals :


    judging by the total viral results, the links generally read clean

    Analysis Using Joe Sandbox



    The URL indicates trojan activity

    Important Points

  • Link url : http://nuangaybantiep.xyz/

  • Gmail : Lethuyan852@gmail.com

  • C2 : 146.56.195.192

    • Deleted Email

    because the email is phishing, the best advice is to delete it via mailbox

    Step 3- Conclusion

    The email contains a malicious link. The email is actually indicated as phishing. the link is involved in trojan activity

    You May Also Enjoy

    Investigate of Email Harassment

    less than 1 minute read

    Published:

    Adanya email masuk yang diterima oleh salah satu tenaga pengajar di universitas nitroba dari orang yang tak dikenal. Dimana email tersebut berisikan konten yang tidak baik. Pengiriman email tersebut memanfaatkan layanan pihak ketiga untuk menyembunyikan identital pengirim. Aktivitas pengiriman email ditemukan berasal dari segment IP mess mahasiswa. Namun dalam mess tersebut, digunakan Bersama sehingga dibutuhkan validasi secara detail untuk menemukan pelaku tersebut. Setelah dilakukan penelusuran, diketahui bahwa benar pengiriman email tersebut berasal dari salah satu mahasiswa yang berada pada kelas tersebut.

    Mengenal Lumma Stealer: Malware Pencuri Data yang Kian Canggih

    4 minute read

    Published:

    Stealer adalah jenis perangkat lunak berbahaya (malware) yang dirancang untuk mencuri informasi pribadi dan sensitif dari perangkat korban, seperti komputer atau ponsel. Informasi yang dicuri bisa berupa kata sandi, data kartu kredit, informasi login akun, dompet kripto, hingga dokumen penting.
    Malware stealer umumnya menyebar lewat tautan berbahaya, email phishing, atau software bajakan. Setelah terpasang, malware ini diam-diam mencuri data seperti kata sandi dan informasi keuangan, lalu mengirimkannya ke peretas.
    Menurut Infosecurity magazine.com, menginformasikan bahwa terjadi peningkatan terhadap aktivitas serangan malware stealer pada akhir tahun 2024. Dimana terdapat lonjakan sebesar 369 deteksi yang berasal dari Lumma stealer menurut riset Eset. Hal ini berlanjut sampai awal tahun 2025, dibuktikan dengan lumma stealer menjadi yang nomer 1 dalam world rank berdasarkan Anyrun.

    Endpoint forensic with memory dumps on windows os

    less than 1 minute read

    Published:

    Ditemukannya 3 device yang teinfeksi serangan malware. Dimana serangan malware tersebut berhasil masuk melalui website yang terindikasi sebagai phishing. Device tersebut diketahui sudah berhasil tercompromised dan berhasil di remote oleh attacker.

    Outbound connection - OpenWire Cyberdefender Lab

    less than 1 minute read

    Published:

    Adanya Outbound connection dari IP public server ke arah IP public yang terindikasi sebagai bad IP. Dimana Bad IP tersebut benar digunakan oleh threat actor guna mengekploitasi kerentanan yang ada pada server tersebut dengan service activemq kode CVE-2023-46604. Dari Analisa yang dilakukan oleh Tim SOC, didapatkan adanya 2 Bad IP, malicious code serta malicious file yang digunakan oleh threat actor dalam menjalankan aksinya.