Lampiran email merupakan media favorit bagi penyerang untuk mengirimkan malware. Lampiran dapat digunakan untuk menargetkan satu pengguna tertentu atau beberapa pengguna sekaligus dengan meluncurkan kampanye email spam.
Agar berhasil melancarkan serangan malware yang direncanakan, penerima email berbahaya harus memercayai email tersebut dan melakukan apa yang diinginkan penyerang. Untuk mencapai hal ini, pembuat malware terus-menerus menggunakan taktik baru agar email berbahaya mereka terlihat seaman mungkin.
Quick Heal Security Labs baru-baru ini mengamati kampanye spam berbahaya baru yang menyebarkan malware SmokeLoader. SmokeLoader adalah malware pengunduh Trojan yang terkenal karena mengunduh dan memasang malware lain di komputer yang terinfeksi.
Rutinitas infeksi
Serangan dalam kampanye ini dimulai dengan email spam yang berpura-pura menjadi "lamaran kerja situs web". Email ini berisi berkas zip yang dilindungi kata sandi. Kata sandi untuk membuka berkas zip tersebut tercantum di badan email spam itu sendiri. Trik ini memberikan keuntungan berikut kepada penyerang:
- Email tersebut terlihat lebih sah bagi pengguna yang ditargetkan
- Sulit bagi modul keamanan perlindungan email untuk memindai file di dalam file zip yang dilindungi kata sandi.
Gambar 1 di bawah menunjukkan contoh email yang digunakan dalam kampanye ini.
Gbr. 1. Email dengan lampiran berbahaya
Seperti yang dapat kita lihat pada Gambar 1, email tersebut berpura-pura menjadi email lamaran pekerjaan, berisi resume dalam file zip. File zip ini dilindungi kata sandi. Setelah mengunduh file zip ini, email tersebut meminta kata sandi (12345), yang sudah diberikan di isi email. Setelah berhasil diekstrak, file “resume.doc” diperoleh. Dokumen ini adalah dokumen Word yang disisipkan makro berbahaya. Jika pengguna mencoba menjalankan file dokumen ini untuk melihat isinya, pengguna akan diminta untuk menjalankan makro dengan mengklik tombol Aktifkan Konten seperti yang ditunjukkan pada Gambar 2.
Gbr. 2. File dokumen yang meminta untuk mengaktifkan makro
Saat pengguna mengaktifkan makro dengan mengklik " Aktifkan Konten" , di latar belakang, makro berbahaya akan dieksekusi yang selanjutnya meluncurkan PowerShell yang meminta file yang dihosting dari jarak jauh, yang kemudian mengunduh dan meluncurkan muatan berbahaya pada sistem pengguna.
Gambar 3 di bawah menunjukkan kode makro berbahaya yang terdapat dalam berkas doc.
Gambar 3. Kode makro berbahaya di dalam file doc
Kode yang disebutkan di atas meluncurkan PowerShell dengan parameter berbahaya seperti yang ditunjukkan pada gambar 4.
Gbr. 4. PowerShell yang dijalankan dengan parameter berbahaya
Jika kita perhatikan lebih teliti, file berbahaya tersebut dihosting sebagai file poop.jpg di server penyerang, yang sebenarnya merupakan malware SmokeLoader yang dapat dieksekusi. File ini dijatuhkan dengan nama DKSPKD.exe di lokasi %Temp% dan dijalankan untuk melakukan aktivitas berbahaya.
Beberapa aktivitas signifikan yang diamati selama analisis kampanye penipuan ini adalah sebagai berikut:
- Skenario malware berhasil dibuat hanya pada platform Microsoft Windows 8 dan di atasnya.
- Selama eksekusi, malware mematikan semua proses yang terkait dengan alat analisis malware dan debugger.
- Setelah berhasil dieksekusi, SmokeLoader dapat mengunduh komponen malware lainnya pada sistem yang terinfeksi.
Seqrite deteksi
Seqrite Browser Protection berhasil memblokir URL berbahaya yang digunakan untuk mengunduh muatan berbahaya.
Gambar 5: Seqrite Peringatan Perlindungan Penjelajahan
Seqrite Perlindungan virus berhasil mendeteksi dan memblokir file dokumen berbahaya yang bertanggung jawab untuk mengirimkan muatan berbahaya ke dalam sistem.
Gambar 6. Seqrite Peringatan perlindungan virus untuk file dokumen.
Seqrite Perlindungan antivirus juga mendeteksi dan menghentikan muatan berbahaya SmokeLoader.
Gambar 7. Seqrite Peringatan perlindungan virus untuk muatan berbahaya.
Praktik terbaik untuk tetap aman dari serangan malware semacam itu
- Jangan mengunduh lampiran atau mengklik tautan yang diterima dari sumber email yang tidak diinginkan atau tidak terduga.
- Waspadalah terhadap email yang meminta Anda mengaktifkan 'makro' untuk melihat konten.
- Jauhkan Anda antivirus diperbarui dan pastikan Anda menggunakan versi terbaru.
- Selalu simpan cadangan data penting Anda dengan aman.
- Terapkan semua pembaruan yang direkomendasikan pada Sistem Operasi dan program Anda seperti Adobe, Java, peramban Internet, dll.
- Pastikan Pembaruan Otomatis komputer Anda diaktifkan.
Pakar Materi Pokok:
Gulamgaus Syekh, Prashil Moon | Lab Keamanan Pemulihan Cepat
