Peretas Rusia melakukan trojan pada aplikasi WebEx dan Zoom untuk mendorong malware Starland

Aktor ancaman Rusia yang bermotivasi finansial yang dilacak sebagai UAT-11795 menggunakan perangkat lunak trojan untuk mencuri kredensial dan mata uang kripto dengan menerapkan pintu belakang baru yang disebut Starland RAT.

Serangan telah terjadi setidaknya sejak bulan Juni 2025 dan berfokus pada pengguna di AS, meskipun korban di Jerman, Rumania, dan Venezuela juga telah diamati.

Menurut peneliti di Cisco Talos, pelaku ancaman mendistribusikan muatan melalui penginstal trojan untuk perangkat lunak sah seperti MobaXterm, WebEx, Zoom, DBeaver, dan FaceIT.

Meskipun para peneliti tidak dapat mengkonfirmasi vektor infeksi, mereka berspekulasi bahwa file berbahaya tersebut kemungkinan besar didorong menggunakan metode ClickFix.

Dalam analisis yang diterbitkan hari ini, kata Cisco Talos bahwa serangan dimulai dengan file HTA yang mengambil penginstal NSIS yang di trojan berisi pemuat Python yang disamarkan sebagai file teks (LICENSE.txt).

Pemuat memodifikasi Registri Windows untuk membangun persistensi dan kemudian mendekripsi dan memuat trojan akses jarak jauh (RAT) Starland.

Saat diluncurkan, Starland memeriksa apakah ia berjalan di lingkungan sandbox, menambahkan tugas terjadwal dan item folder Startup untuk persistensi, dan mencoba meningkatkan hak istimewanya.

Malware mencari jenis data berikut pada sistem yang disusupi:

• Data browser dan aset dompet mata uang kripto, termasuk lebih dari 40 dompet desktop dan ekstensi browser
• Detail sistem, termasuk HWID, RAM, prosesor, sistem operasi, nama komputer, wilayah, alamat IP publik, dan produk antivirus yang diinstal
• Informasi Direktori Aktif, termasuk struktur domain, pengontrol domain, dan hak istimewa domain korban

StarlandRAT juga dapat menangkap tangkapan layar desktop korban, menjalankan perintah shell, menyuntikkan kode shell 32 atau 64-bit, dan mengunduh muatan tambahan (EXE, MSI, DLL, ZIP).

Dalam serangan yang diamati, rantai shellcode 64-bit mengirimkan malware pencuri informasi CastleStealer, sedangkan rantai 32-bit mengirimkan malware pencuri informasi CastleStealer. Remcos trojan akses jarak jauh (RAT).

CastleStealer menargetkan kredensial browser, informasi dompet mata uang kripto, sesi Discord dan Telegram, kredensial Steam, dan file sistem file.

Remcos RAT menyediakan kemampuan seperti keylogging, webcam dan tangkapan layar, perekaman audio, pemantauan clipboard, manajemen file, dan eksekusi perintah jarak jauh.

Cisco Talos menyoroti bahwa komunikasi perintah dan kontrol (C2) malware memiliki mekanisme redundansi jika gagal mencapai alamat hardcode, yang melibatkan permintaan kontrak pintar Polygon dengan domain fallback terenkripsi XOR.

Talos juga menemukan bahwa UAT-11795 menggunakan kerangka kerja PowerShell C2 yang sebelumnya tidak terdokumentasikan yang disebut WLDR, yang menggunakan suar dan komunikasi terenkripsi (PBKDF2-SHA256), beroperasi sepenuhnya di memori, dan mengikat pengiriman muatan ke setiap pengidentifikasi perangkat keras korban.

Untuk bertahan dari serangan UAT-11795, organisasi harus menggunakan indikator kompromi IoC dalam laporan Cisco Talos.

Pengguna harus menghindari menjalankan perintah yang ditemukan online jika mereka tidak memahami apa yang mereka lakukan dan harus mengunduh perangkat lunak hanya dari portal vendor resmi yang dikonfirmasi.