Pengguna Telegram Hati-hati, Ada Malware Berbahaya yang Mengincar Pengguna Aktif Layanan Fintech dan E-Commerce

JawaPos.com - Tim Riset dan Analisis Global Kaspersky (GReAT) mengklaim telah mengungkap kampanye global berbahaya oleh para hacker dengan menggunakan Telegram. Via aplikasi chatting tersebut, hacker mengincar untuk mengirimkan malware berupa spyware Trojan, yang berpotensi menargetkan individu dan bisnis di industri fintech dan perdagangan.

Disebutkan dalam laporan itu bahwa malware tersebut dirancang untuk mencuri data sensitif, seperti kata sandi, dan mengambil alih perangkat pengguna untuk tujuan spionase.

Kampanye tersebut diyakini terkait dengan DeathStalker, aktor APT (Advanced Persistent Threat) bayaran yang terkenal yang menawarkan layanan peretasan dan intelijen keuangan khusus.

Dalam gelombang serangan terbaru yang diamati oleh Kaspersky, aktor ancaman mencoba menginfeksi korban dengan malware DarkMe, Trojan akses jarak jauh (RAT), yang dirancang untuk mencuri informasi dan menjalankan perintah jarak jauh dari server yang dikendalikan oleh para pelaku.

Aktor ancaman di balik kampanye tersebut tampaknya telah menargetkan korban di sektor perdagangan dan fintech, karena indikator teknis menunjukkan malware tersebut kemungkinan didistribusikan melalui saluran Telegram yang berfokus pada topik-topik ini.

Kampanye tersebut bersifat global, karena Kaspersky telah mengidentifikasi korban di lebih dari 20 negara di seluruh Eropa, Asia, Amerika Latin, dan Timur Tengah.

Analisis rantai infeksi mengungkap bahwa penyerang kemungkinan besar melampirkan arsip berbahaya ke posting di saluran Telegram. Arsip itu sendiri, seperti file RAR atau ZIP, tidak berbahaya, tetapi berisi file berbahaya dengan ekstensi seperti .LNK, .com, dan .cmd.

Jika calon korban meluncurkan file-file ini, hal itu mengarah pada pemasangan malware tahap akhir, DarkMe, dalam serangkaian tindakan.

“Alih-alih menggunakan metode phishing tradisional, pelaku ancaman mengandalkan saluran Telegram untuk mengirimkan malware. Dalam kampanye sebelumnya, kami juga mengamati operasi ini menggunakan platform pengiriman pesan lain, seperti Skype, sebagai vektor untuk infeksi awal," jelas Maher Yamout, Peneliti Keamanan Utama dari GReAT, Kaspersky melalui keterangannya.

Dirinya melanjutkan, metode ini dapat membuat calon korban lebih cenderung mempercayai pengirim dan membuka file berbahaya daripada dalam kasus situs web phishing. Selain itu, mengunduh file melalui aplikasi pengiriman pesan dapat memicu lebih sedikit peringatan keamanan dibandingkan dengan unduhan internet standar, yang menguntungkan bagi pelaku ancaman.

Selain menggunakan Telegram untuk pengiriman malware, para penyerang juga meningkatkan keamanan operasional dan pembersihan pasca-kompromi mereka.

Setelah instalasi, malware akan menghapus file yang digunakan untuk menyebarkan implan DarkMe. Untuk lebih menghalangi analisis dan mencoba menghindari deteksi, pelaku meningkatkan ukuran file implan dan menghapus jejak lain, seperti file pascaeksploitasi, alat, hingga kunci registri, setelah mencapai tujuan mereka.

Deathstalker, yang sebelumnya dikenal sebagai Decepticons, adalah kelompok pelaku ancaman yang aktif setidaknya sejak 2018, dan mungkin sejak 2012. Kelompok ini diyakini sebagai kelompok tentara bayaran siber atau peretas bayaran, di mana pelaku ancaman tampaknya memiliki anggota yang kompeten yang mengembangkan perangkat internal, dan memahami ekosistem ancaman persisten yang canggih.

Tujuan utama kelompok ini adalah mengumpulkan informasi bisnis, keuangan, dan pribadi, mungkin untuk tujuan intelijen bisnis atau kompetitor yang melayani klien mereka.

Mereka biasanya menargetkan bisnis kecil dan menengah, keuangan, fintech, firma hukum, dan dalam beberapa kesempatan, entitas pemerintah. Meskipun mengincar jenis target ini, DeathStalker tidak pernah terlihat melakukan pencurian dana, itulah sebabnya Kaspersky meyakini bahwa kelompok ini merupakan kelompok intelijen swasta.