Cacing baru yang menyebar sendiri bernama ‘CMoon,’ yang mampu mencuri kredensial akun dan data lainnya, telah didistribusikan di Rusia sejak awal Juli 2024 melalui situs web perusahaan pasokan gas yang disusupi.
Berdasarkan Peneliti Kaspersky yang menemukan kampanye tersebut, CMoon dapat melakukan berbagai fungsi, termasuk memuat muatan tambahan, mengambil tangkapan layar, dan meluncurkan serangan penolakan layanan terdistribusi (DDoS).
Dilihat dari saluran distribusi yang digunakan pelaku ancaman, cakupan penargetan mereka difokuskan pada target bernilai tinggi dan bukan pada pengguna internet acak, yang mengindikasikan operasi yang canggih.
Mekanisme distribusi
Kaspersky mengatakan rantai infeksi dimulai ketika pengguna mengklik tautan ke dokumen peraturan (docx, .xlsx, .rtf, dan .pdf) yang ditemukan di berbagai halaman situs web perusahaan yang menyediakan layanan gasifikasi dan pasokan gas ke kota Rusia.
Pelaku ancaman mengganti tautan dokumen dengan tautan ke file yang dapat dieksekusi berbahaya, yang juga dihosting di situs tersebut dan dikirimkan kepada korban sebagai arsip ekstraksi mandiri yang berisi dokumen asli dan muatan CMoon, yang dinamai sesuai tautan asli.
“Kami belum melihat vektor distribusi malware lainnya, jadi kami yakin bahwa serangan tersebut ditujukan hanya kepada pengunjung situs tertentu,” lapor Kaspersky.
Setelah perusahaan gas diberitahu tentang peretasan ini, file dan tautan berbahaya dihapus dari situs webnya pada tanggal 25 Juli 2024.
Akan tetapi, karena mekanisme perbanyakan diri CMoon, distribusinya dapat berlanjut secara otonom.
CMoon merupakan worm .NET yang menyalin dirinya sendiri ke folder baru yang diberi nama sesuai perangkat lunak antivirus yang dideteksinya pada perangkat yang terinfeksi atau folder yang menyerupai folder sistem jika tidak ada AV yang terdeteksi.
Cacing tersebut membuat pintasan pada direktori Startup Windows untuk memastikannya berjalan saat sistem dimulai, mengamankan persistensi di antara boot ulang.
Untuk menghindari timbulnya kecurigaan selama pemeriksaan manual pengguna, ia mengubah tanggal pembuatan dan modifikasi berkasnya menjadi 22 Mei 2013.
Cacing ini memantau drive USB yang baru tersambung, dan jika ada yang tersambung ke komputer yang terinfeksi, cacing ini akan mengganti semua file kecuali ‘LNK’ dan ‘EXE’ dengan pintasan ke file yang dapat dieksekusi.
CMoon juga mencari file-file menarik yang disimpan di drive USB dan menyimpannya sementara di direktori tersembunyi (‘.intelligence’ dan ‘.usb’) sebelum diekstraksi ke server penyerang.
CMoon memiliki fitur pencuri info standar yang menyasar dompet mata uang kripto, data yang disimpan di peramban web, aplikasi messenger, klien FTP dan SSH, serta berkas dokumen di folder USB atau pengguna yang memuat rangkaian teks ‘rahasia’, ‘layanan’, atau ‘kata sandi’.
Fitur yang menarik dan agak tidak biasa adalah penargetan file yang mungkin berisi kredensial akun seperti file .pfx, .p12, .kdb, .kdbx, .lastpass, .psafe3, .pem, .key, .private, .asc, .gpg, .ovpn, dan .log.
Sumber: Kaspersky
Malware juga dapat mengunduh dan menjalankan muatan tambahan, mengambil tangkapan layar perangkat yang diretas, dan memulai serangan DDoS pada target tertentu.
File dan informasi sistem yang dicuri dikemas dan dikirim ke server eksternal, tempat file dan informasi tersebut didekripsi (RC4) dan diverifikasi integritasnya menggunakan hash MD5.
Sumber: Kaspersky
Kaspersky membuka kemungkinan adanya lebih banyak situs di luar visibilitasnya saat ini yang mendistribusikan CMoon, jadi kewaspadaan disarankan.
Tidak peduli seberapa tertargetnya kampanye ini, fakta bahwa worm tersebut menyebar secara otonom berarti ia dapat mencapai sistem yang tidak diinginkan dan menciptakan kondisi untuk serangan oportunistik.
