Penulis: Dixit Panchal & Soumen Burma
Daftar Isi:
- Perkenalkan:
- Target Utama:
- Rantai Infeksi:
- Temuan Awal tentang Kampanye:
- Surat Awal:
- Lampiran Email:
- Sumber: Dokumen Pajak Penghasilan Resmi Pemerintah India:
- Analisis teknis:
- Artefak Infrastruktur & Atribusi Pelaku Ancaman.
- Garis Waktu Kampanye.
- Kesimpulan:
- Seqrite Cakupan:
- IOC:
- MITRE ATT&CK:
Perkenalkan:
Seqrite Laboratorium Secara aktif melacak dan menganalisis pelaku ancaman dan kampanye mereka, dengan fokus pada atribusi, analisis infrastruktur, dan taktik musuh. Sepanjang penelitian kami, kami telah mengaitkan banyak operasi dengan kelompok ancaman yang bersekutu dengan Tiongkok yang menargetkan entitas regional dan internasional.
Sebagai bagian dari investigasi terbaru kami, kami mengungkap sebuah kampanye yang menunjukkan kesamaan operasional dan teknis dengan klaster ancaman yang terkait dengan Tiongkok. Analisis lebih lanjut mengungkapkan TTP (Tactics, Techniques, and Procedures) yang tumpang tindih dengan aktor ancaman terkemuka dan sangat aktif yang dikenal melakukan operasi spionase siber terhadap negara-negara Asia melalui penyebaran malware berbasis RAT (Remote Access Trojan).
Target Utama:
Fokus Geografis: India (Basis pembayar pajak di seluruh India)
- Perusahaan dan Bisnis Korporasi.
- Wajib Pajak Perseorangan.
- Profesional Pajak & Akuntan Publik.
- Kontraktor Pemerintah.
- Konsultan Pajak & Agen Pengarsipan.
- Tim Keuangan dan Akuntansi Korporat.
Rantai Infeksi:
Temuan Awal tentang Kampanye:
Sebuah kampanye phishing yang canggih dan aktif telah diidentifikasi yang menargetkan wajib pajak India, para profesional pajak, dan tim keuangan perusahaan dengan menyamar sebagai Departemen Pajak Penghasilan Kementerian Keuangan, Pemerintah India. Kampanye ini pertama kali diamati pada 18 Mei 2026, dan tetap aktif hingga 17 Juni 2026, dengan varian muatan terbaru mencapai tingkat deteksi 0/66 di VirusTotal, yang menunjukkan bahwa pelaku ancaman secara aktif memelihara dan merotasi muatan berbahaya untuk menghindari deteksi.
Kampanye ini memanfaatkan musim pengajuan SPT Pajak Penghasilan 2026-27 dengan mengkloning nama file utilitas pemerintah yang sah, sehingga sangat sulit bagi pengguna yang sadar akan keamanan sekalipun untuk membedakan file berbahaya dari file yang asli.
Kampanye ini diklasifikasikan sebagai operasi Spear Phishing ke Pengiriman Malware dengan karakteristik gaya APT yang didasarkan pada TTP (Tactics, Techniques, and Procedures). Seqrite Lab telah mengamati. Ini bukan tindakan oportunistik - ketepatan dokumen umpan, penggunaan kutipan hukum yang sebenarnya, konten dwibahasa, dan rotasi muatan aktif menunjukkan operasi ancaman yang disengaja, didukung sumber daya, dan berkelanjutan yang difokuskan secara eksklusif pada ekosistem wajib pajak India. Tujuan utamanya dinilai sebagai penyebaran malware untuk keuntungan finansial atau pencurian data sensitif, dengan tingkat ancaman yang dinilai Kritis.
Surat pertama:
Kami mengamati sebuah email yang menyamar sebagai Departemen Pajak Penghasilan, Pemerintah India, yang berisi lampiran terkait pemberitahuan pajak. Penyerang tampaknya menggunakan lampiran ini untuk menciptakan rasa urgensi dan mendorong penerima untuk membuka file tersebut, yang berpotensi menyebabkan aktivitas berbahaya.
Lampiran email:
Lampiran tersebut berisi URL tersemat, govtop[.]one/pajak penghasilanSaat pengguna mengklik tautan tersebut, mereka akan dialihkan ke halaman web yang dirancang agar tampak sah dan membangun kepercayaan. Halaman jebakan ini mendorong pengguna untuk mengunduh file dari URL tersebut, yang berpotensi membuat mereka terpapar konten berbahaya.
Umpan: Dokumen Pajak Penghasilan Resmi Pemerintah India.
Halaman tersebut meniru Memorandum Kantor resmi yang memuat lambang Pemerintah India, format dwibahasa Hindi-Inggris yang konsisten dengan komunikasi pemerintah yang asli, dan nomor referensi palsu No. TAX/PEN/2026-142. Halaman tersebut mengutip bagian-bagian nyata dan penting secara hukum dari Undang-Undang Pajak Penghasilan - Pasal 271(1)(c) tentang hukuman penyembunyian penghasilan dan Pasal 276C tentang penuntutan penggelapan pajak - yang memberikan kredibilitas signifikan pada dokumen tersebut. Penandatangan palsu, Raj Kumar Sharma, Asisten Komisaris Pajak Penghasilan, disertakan bersama dengan alamat email resmi palsu.
Analisis teknis:
Setelah mengunduh file ZIP, kami mengamati bahwa namanya adalah “Common_Offline_Utility_ITR-1_to_4_AY2026-27.zip”, yang sangat mirip dengan konvensi penamaan utilitas offline resmi yang disediakan oleh Departemen Pajak Penghasilan India. Alat resmi ini umumnya digunakan oleh wajib pajak dan profesional pajak untuk menyiapkan dan mengajukan SPT pajak penghasilan secara offline sebelum mengunggahnya ke portal e-filing.
Pelaku ancaman tampaknya telah memanfaatkan kepercayaan yang terkait dengan utilitas sah ini dengan menggunakan nama file yang serupa sebagai bagian dari rantai serangan. Dengan meniru sumber daya resmi Departemen Pajak Penghasilan, penyerang meningkatkan kemungkinan bahwa penerima akan menganggap file tersebut asli dan melanjutkan pengunduhan serta eksekusinya, sehingga memfasilitasi pengiriman muatan berbahaya.
Setelah dieksekusi, file eksekusi berbahaya tersebut akan memunculkan beberapa proses cmd.exe yang memanfaatkan utilitas Windows Service Control (sc.exe) untuk membuat layanan bernama MixedSvc. Layanan tersebut dikonfigurasi untuk mengeksekusi “C:\Program Files\Windows Media Player\Mixed Reality.exe” dan diatur untuk berjalan otomatis saat sistem diny启动. Untuk menghindari kecurigaan, pelaku ancaman memberikan nama tampilan “Windows Mixed Reality Service” dan deskripsi yang tampak sah pada layanan tersebut. Layanan tersebut kemudian langsung dijalankan, memberikan eksekusi dan persistensi untuk muatan malware. Perilaku ini menunjukkan upaya untuk membangun akses jangka panjang sambil menyamar sebagai komponen Windows yang sah.
Analisis awal, file yang dapat dieksekusi COU_ITR-1_to_4_AY2026-27.exe Tampaknya ini adalah peluncur ringan yang mengimpor dan memanggil fungsi-fungsi yang diekspor, yaitu injection_initialize() dan injection_terminate(), dari DLL yang menyertainya. nvdaHelperRemote.dllFungsi WinMain() hanya berisi logika minimal dan pada akhirnya memanggil sebuah rutin yang mengarah ke fungsi runtime C standar fgetc_nolock(), yang menunjukkan bahwa file EXE itu sendiri tidak berisi fungsionalitas utama.
Setelah menganalisis nvdaHelperRemote.dll Kami menemukan bahwa program tersebut menyuntikkan muatan (payload) lain ke dalam memori. Dengan menambahkan breakpoint di VirtualAlloc, kami menemukan muatan lain yang disuntikkan.
Analisis muatan yang disuntikkan
Setelah dianalisis, kami menemukan bahwa rutinitas tersebut pertama-tama memeriksa apakah ia berjalan dengan hak akses administratif menggunakan CheckTokenMembership(). Jika hak akses yang lebih tinggi tidak tersedia, ia meluncurkan kembali dirinya sendiri menggunakan ShellExecuteW() dengan kata kerja "runas", memicu permintaan UAC sebelum menghentikan proses aslinya. Malware kemudian memberlakukan eksekusi satu instance dengan membuat event global bernama Global\ShitSetupOn26126k dan menghentikan proses jika instance yang ada terdeteksi.
Setelah inisialisasi berhasil, malware tersebut membuat dua thread pekerja melalui pembungkus pembuatan thread, memanggil rutin sub_1800015A0() dan sub_180001000(). Fungsi-fungsi ini kemungkinan bertanggung jawab atas aktivitas jahat utama. Terakhir, proses tetap aktif selama kurang lebih lima menit menggunakan Sleep(300000), memungkinkan thread pekerja untuk melanjutkan eksekusi.
Fungsi sub_1800015A0() berfungsi sebagai rutinitas anti-analisis dan validasi lingkungan. Fungsi ini melakukan beberapa pemeriksaan waktu menggunakan GetTickCount64() dan interval tidur singkat untuk mendeteksi akselerasi sandbox, gangguan debugger, atau pengait API. Teknik-teknik tersebut umumnya digunakan oleh malware untuk menghindari lingkungan analisis otomatis dan memastikan eksekusi hanya pada sistem host yang sebenarnya.
Fungsi sub_180001000() bertindak sebagai komponen utama instalasi dan persistensi malwareMalware ini pertama-tama mempersiapkan lingkungan dengan menghapus artefak sebelumnya dan membuat direktori kerja di bawah C:\Program Files\Windows Media Player. Kemudian, malware mengunduh file bernama lllyd.jpg dari alamat IP yang telah ditentukan sebelumnya, yaitu 204.194.48.250, dan menyimpannya sebagai C:\Windows\background.jpg. Analisis menunjukkan bahwa file gambar ini digunakan sebagai wadah untuk muatan sekunder, dari mana sebuah DLL berukuran 504 KB diekstrak dan ditulis ke C:\Program Files\Windows Media Player\nvdaHelperRemote.dll.
Setelah mengekstrak muatan berbahaya, malware tersebut menyalin dirinya sendiri sebagai Mixed Reality.exe dan membangun persistensi dengan membuat layanan Windows bernama MixedSvc, yang dikonfigurasi untuk berjalan otomatis saat sistem diny启动. Layanan tersebut disamarkan sebagai komponen Windows Mixed Reality yang sah melalui nama dan deskripsinya. Setelah persistensi berhasil dibangun dan layanan dimulai, penginstal menghentikan proses saat ini. Perilaku ini menegaskan bahwa sampel tersebut berfungsi sebagai pengunduh dan penginstal, menggunakan penyembunyian muatan berbasis gambar dan persistensi layanan Windows untuk mempertahankan akses jangka panjang ke sistem yang terinfeksi.
2nd Analisis muatan (Mixed Reality.exe):
Malware ini membangun persistensi dengan menyamar sebagai komponen Windows yang sah. Pengunduh menyalin dirinya sendiri ke C:\Program Files\Windows Media Player\Mixed Reality.exe dan mengekstrak muatan sekunder, nvdaHelperRemote.dll, dari file gambar yang diunduh dari jarak jauh. Untuk memastikan eksekusi otomatis setelah sistem dimulai ulang, malware ini membuat layanan Windows bernama MixedSvc dengan nama tampilan Layanan Realitas Campuran Windows, memanfaatkan lokasi dan konvensi penamaan yang tampak terpercaya untuk menghindari kecurigaan pengguna.
Setelah melakukan debugging lagi, kami menemukan payload yang disuntikkan.
Setelah menganalisis muatan yang disuntikkan, kami menemukan bahwa
Fungsi yang dianalisis dimulai dengan mendekripsi beberapa string menggunakan operasi XOR sederhana (^ 0x18 dan ^ 0x02). String-string ini kemudian digunakan untuk secara dinamis menyelesaikan API Windows yang penting melalui LoadLibraryA() dan GetProcAddress(). API yang diselesaikan sesuai dengan fungsi manajemen memori dan manipulasi proses asli yang umumnya dimanfaatkan selama injeksi proses.
Malware kemudian membuka dan membaca sumber daya atau payload yang tertanam dari disk, mengalokasikan memori dan menyalin sekitar 166 KB data shellcode/PE yang telah didekripsi ke dalam buffer yang baru dibuat. Rutin dekripsi khusus (sub_180001000) diterapkan pada data yang diekstrak sebelum buffer asli dilepaskan. Setelah persiapan payload, malware menghitung proses yang berjalan menggunakan CreateToolhelp32Snapshot() dan secara khusus mencari svchost.exe.
Setelah menemukan proses target svchost.exe, malware memperoleh handle dengan izin akses penuh dan mengalokasikan memori yang dapat dieksekusi di dalam proses jarak jauh. Muatan yang telah didekripsi ditulis ke wilayah yang dialokasikan menggunakan API penulisan memori yang diselesaikan secara dinamis. Eksekusi kemudian dialihkan ke kode yang disuntikkan dengan membuat thread jarak jauh di dalam proses target. Setelah penyuntikan berhasil, malware menghentikan prosesnya sendiri, meninggalkan muatan berbahaya yang dieksekusi dalam konteks svchost.exe.
Setelah menganalisis muatan berbahaya yang disuntikkan, kami menemukan bahwa malware tersebut mulai dengan menunggu keberadaan nvdaHelperRemote.dll di dalam direktori Windows Media Player, yang menunjukkan sinkronisasi dengan tahap lain dari malware tersebut. Setelah DLL tersebut tersedia, malware membuka dan membaca data dari C:\Windows\background.jpg, yang berfungsi sebagai wadah untuk muatan berbahaya yang tertanam di dalamnya, bukan sebagai file gambar yang sah.
Setelah muatan (payload) disiapkan, malware terus menerus menghitung sesi Terminal Services (WTS) menggunakan WTSEnumerateSessionsW(). Untuk setiap sesi pengguna aktif yang ditemukan, malware memeriksa keberadaan file penanda yang telah ditentukan sebelumnya. Jika file-file ini tidak ada, malware memanggil sub_1400011E0(), yang kemungkinan akan meluncurkan atau menyuntikkan salah satu muatan yang telah didekripsi ke dalam sesi pengguna yang bersangkutan. Dua muatan terpisah disebarkan, menunjukkan komponen fungsional yang berbeda seperti backdoor, modul akses jarak jauh, pencuri kredensial, atau komponen pengawasan.
Selain itu, untuk menjaga kesadaran operasional, malware secara berkala menulis nilai status ke file tersembunyi bernama C:\debug.txt. Isi file tersebut mengikuti format client= , di mana pengidentifikasi klien tampaknya mewakili sesi, korban, atau instance muatan. File tersebut kemudian diberi atribut tersembunyi/sistem untuk menghindari penemuan secara tidak sengaja.
Sekarang kami menemukan bahwa malware membaca background.jpg, lalu mendekripsi dan mengekstraknya. Muatan A (~1.13 MB)
Muatan B (~1.15 MB)
Analisis Muatan A
Tujuan utama dari loader adalah sebagai rutinitas eksekusi utama dan mengungkapkan suatu mekanisme yang canggih. Pemuat malware .NETSampel tersebut melakukan beberapa pemeriksaan anti-analisis, menonaktifkan pemindaian AMSI Windows, mendekripsi rakitan .NET yang tertanam, memuat runtime CLR, dan mengeksekusi muatan yang telah didekripsi langsung dari memori.
Anti-Analisis dan Bypass AMSI
Saat dijalankan, malware membuat file pengunci dan melakukan perulangan ekstensif di sekitar GetModuleHandleA() dan GetSystemInfo(), kemungkinan untuk menunda eksekusi dan menggagalkan sandbox otomatis. Kemudian, malware memeriksa apakah amsi.dll dimuat dan menambal fungsi AmsiOpenSession() di memori menggunakan VirtualProtect(). Dengan menimpa instruksi di dalam AMSI, malware secara efektif menonaktifkan pemindaian antimalware pada kode .NET selanjutnya, memungkinkan assembly berbahaya untuk dieksekusi tanpa diperiksa oleh Windows Defender.
Dekripsi Muatan
Malware ini mengambil payload terenkripsi dari sumber daya tersemat (qword_1400C4020) dan mendekripsinya menggunakan Windows Cryptography API: Next Generation (CNG). Secara spesifik, malware ini membuka AES Penyedia algoritma (BCryptOpenAlgorithmProvider) membuat kunci simetris dari kunci 16-byte yang telah ditentukan sebelumnya, dan mendekripsi muatan menggunakan BCryptDecrypt(). Buffer hasil dekripsi berisi assembly .NET terkelola yang nantinya akan dieksekusi di memori.
Inisialisasi CLR dan Eksekusi Dalam Memori
Setelah mendekripsi payload, malware secara dinamis memuat .NET Common Language Runtime (CLR) menggunakan CLRCreateInstance(). Ia memperoleh antarmuka runtime untuk .NET Kerangka v4.0.30319Kemudian, ia memverifikasi bahwa runtime dapat dimuat, memulai CLR, dan memperoleh domain aplikasi default. Assembly yang telah didekripsi disalin ke dalam SAFEARRAY dan dimuat langsung ke memori melalui AppDomain::Load_3(), sehingga menghindari kebutuhan untuk menulis payload ke disk. Malware kemudian mengambil titik masuk assembly menggunakan Assembly::get_EntryPoint() dan mengeksekusinya melalui MethodInfo::Invoke_3(). Teknik ini memungkinkan eksekusi payload .NET berbahaya sepenuhnya tanpa file.
Ketekunan dan Persiapan Lingkungan
Contoh ini juga melakukan operasi registri menggunakan RegOpenKeyExA(), RegCreateKeyExA(), dan RegSetValueExA(), yang menunjukkan pembuatan nilai registri yang terkait dengan konfigurasi atau persistensi. Selain itu, contoh ini memanggil API yang mendukung DPI (SetProcessDpiAwarenessContext, SetProcessDpiAwareness, dan SetProcessDPIAware) untuk memastikan perilaku yang benar di berbagai lingkungan tampilan Windows.
Analisis muatan .net yang diekstrak dari Muatan A
Teknik anti analisis
Ini adalah teknik anti-analisis yang umum: alih-alih mengalami crash atau keluar, malware tersebut hanya akan tidur selamanya ketika mengira sedang berjalan di dalam mesin virtual (VM) atau sandbox.
koneksi C2
Malware tersebut menciptakan sebuah Streaming SSL/TLS (System.Net.Security.SslStream) melalui soket TCP yang ada, menunjukkan bahwa semua komunikasi selanjutnya dengan server C2 dienkripsi. Titik akhir jarak jauh diresolusi menjadi 223.26.63.40:2671, yang merupakan server perintah dan kontrol (C2) aktif pada saat eksekusi. String tersebut “ikkkkddd.com” tersimpan dalam memori, menunjukkan bahwa itu adalah domain atau nama host yang dikonfigurasi yang terkait dengan infrastruktur C2.
Setelah sesi TLS dibuat (ClientSocket.KKNV7m8G(4L)), malware memanggil fungsi untuk menginisialisasi komunikasi, mengirimkan informasi sistem (Sender.SendInfo()), dan memulai timer keep-alive periodik (KeepAlivePacket) untuk mempertahankan koneksi dengan server C2.
Registrasi Korban dan Sidik Jari Sistem Awal
Setelah berhasil membangun koneksi TLS terenkripsi dengan server perintah dan kontrol (C2) miliknya, malware melakukan fase pengintaian ekstensif untuk memprofilkan sistem yang disusupi. Rutin IdSender.SendInfo() mengumpulkan berbagai informasi host, termasuk pengidentifikasi perangkat keras (HWID) korban, nama pengguna, versi dan arsitektur sistem operasi, jalur file yang dapat dieksekusi, versi malware, tingkat hak akses, judul jendela aktif, produk antivirus yang terinstal, stempel waktu eksekusi, grup kampanye, catatan operator, dan waktu idle sistem.
Untuk menghambat analisis statis, semua nama field MessagePack diselesaikan saat runtime melalui deobfuscation string sebelum diisi dengan data yang dikumpulkan. Informasi yang dikumpulkan kemudian diorganisir ke dalam objek MessagePack, menciptakan paket registrasi terstruktur yang secara unik mengidentifikasi host yang terinfeksi dan memberikan operator detail lingkungan yang berharga untuk tahapan serangan selanjutnya.
Sebelum mengirimkan data registrasi, malware menserialisasikan objek Message Pack ke dalam aliran biner dan mengompresnya menggunakan rutinitas kompresi berbasis ZIP. Muatan terkompresi ini kemudian dikirim melalui saluran komunikasi terenkripsi TLS yang telah dibuat sebelumnya, mengurangi overhead jaringan sekaligus menambahkan lapisan pengaburan tambahan pada data yang ditransmisikan. Selama analisis dinamis, paket registrasi yang ditangkap mengkonfirmasi bahwa malware berhasil mengirimkan informasi korban utama—termasuk HWID, nama pengguna, detail sistem operasi, jalur eksekusi, hak akses administrator, produk keamanan yang terpasang, dan stempel waktu eksekusi—ke server C2 jarak jauh. Mekanisme registrasi ini memungkinkan penyerang untuk menginventarisasi sistem yang baru saja dikompromikan, mengevaluasi postur keamanannya, dan menentukan tindakan lanjutan yang sesuai seperti eksekusi perintah, pencurian kredensial, atau penyebaran muatan tambahan.
Analisis Muatan B:
Kemampuan Pengambilan Gambar Desktop dan Eksfiltrasi Data
Pustaka tangkapan layar desktop (dsc_*) yang terintegrasi menunjukkan kemampuan untuk menangkap layar korban, sementara pustaka TurboJPEG terintegrasi (tjInitCompress, tjCompress2, tjFree, dan tjDestroy) memungkinkan pengkodean JPEG yang cepat dari gambar yang ditangkap. Selain itu, penyertaan fungsi kompresi zlib (compress2 dan uncompress) menunjukkan bahwa malware tersebut mengompres tangkapan layar atau data lain yang dikumpulkan sebelum transmisi, mengurangi penggunaan bandwidth dan meningkatkan efisiensi komunikasi C2.
Berdasarkan pustaka yang diimpor dan urutan inisialisasi, Payload B kemungkinan menyediakan:
- Cuplikan Layar menggunakan pustaka tangkapan desktop ter embedded (ekspor dsc_*).
- Kompresi gambar menggunakan TurboJPEG untuk pengkodean tangkapan layar yang efisien.
- Kompresi/dekompresi data umum menggunakan zlib (kompresi2/dekompresi).
Pengontrol Komunikasi C2 dan Manajemen Sesi
Fungsi sub_140001730 berfungsi sebagai thread pengontrol utama untuk Muatan B, mengatur siklus komunikasi malware daripada melakukan tugas pengawasan secara langsung. Proses dimulai dengan mengalokasikan objek koneksi dan berulang kali menyelesaikan domain perintah dan kontrol (C2) yang telah ditentukan sebelumnya. kkxqbh.top hingga alamat IP yang valid diperoleh, memungkinkan malware untuk pulih secara otomatis dari gangguan jaringan sementara. Setelah domain berhasil diatasi, malware mengkonversi alamat IP yang dikembalikan ke format yang dapat digunakan dan mencoba untuk membuat koneksi dengan server jarak jauh. Setelah koneksi berhasil, ia membuat thread komunikasi khusus (sub_140001710) yang bertanggung jawab untuk menangani lalu lintas C2 sementara thread pengontrol secara berkala memantau status koneksi.
Artefak Infrastruktur & Atribusi Pelaku Ancaman
Penentuan pelaku selalu menjadi salah satu aspek paling menantang dalam riset ancaman, khususnya bagi analis yang terlibat dalam perburuan APT dan investigasi kampanye. Berdasarkan artefak yang tersedia, tumpang tindih infrastruktur, dan bukti teknis tambahan, kami telah menetapkan pelaku kampanye ini dengan tingkat kepercayaan sedang hingga tinggi.
Pada tahap awal investigasi, kami mengamati bahwa tiga alamat IP berbeda digunakan untuk menyimpan dan mengirimkan muatan tahap pertama, yang disamarkan sebagai file gambar .JPG. Alamat IP yang teridentifikasi tercantum di bawah ini:
Analisis lebih lanjut terhadap infrastruktur mengungkapkan bahwa alamat IP yang teridentifikasi dihosting di dua Sistem Otonom. Secara spesifik, infrastruktur yang dimanfaatkan oleh pelaku ancaman terkait dengan AS152194 (CTG Server Limited) dan AS140869 (Turing Group Limited). Penggunaan infrastruktur di dalam penyedia ini menunjukkan upaya yang disengaja untuk mendistribusikan sumber daya berbahaya di berbagai lingkungan hosting, berpotensi untuk meningkatkan ketahanan operasional dan mempersulit upaya atribusi.
Setelah melakukan penelusuran lebih lanjut pada infrastruktur yang telah diidentifikasi, khususnya alamat IP 118.107.0.197 dan 27.50.54.191, kami mengamati pola infrastruktur yang umum. Kedua alamat IP tersebut terkait dengan Nomor Sistem Otonom (ASN) yang sama, menunjukkan potensi tumpang tindih operasional dalam infrastruktur pelaku ancaman. Hubungan ASN yang sama ini memberikan keterkaitan infrastruktur tambahan yang dapat membantu dalam memahami strategi hosting kampanye dan penilaian atribusi.
Seperti yang ditunjukkan pada tangkapan layar di atas, kami mengidentifikasi beberapa rangkaian teks berbahasa Mandarin dalam infrastruktur, yang mendorong penyelidikan lebih lanjut terhadap potensi keterkaitan dengan Tiongkok. Kami juga mengamati tumpang tindih infrastruktur dan TTP (Tactics, Techniques, and Procedures) dengan aktivitas yang sebelumnya dikaitkan dengan aktor ancaman yang bersekutu dengan Tiongkok, Silver Fox. Berdasarkan tumpang tindih dan artefak pendukung ini, kami menilai dengan keyakinan sedang hingga tinggi bahwa kampanye ini kemungkinan terkait dengan kelompok ancaman yang bersekutu dengan Tiongkok.
Selain itu, dalam penyelidikan kami, kami menemukan IP lain yang memiliki hubungan dengan domain di bawah ini yang juga memiliki infrastruktur yang sama.
Analisis infrastruktur mengungkapkan bahwa alamat IP 223.26.63.40 dihosting di bawah AS152194 (CTG Server Limited) dan mengekspos panel manajemen web berbahasa Mandarin (“豪凌1.6 – Web管理面板”). Penelusuran lebih lanjut pada infrastruktur ini mengidentifikasi beberapa domain terkait, termasuk 1kkkkddd.com, simaqz.com, dan jiayingjing.com, yang menunjukkan adanya klaster infrastruktur yang lebih luas.
Penelusuran lebih lanjut terhadap infrastruktur yang terkait dengan kkxqbh[.]top mengungkapkan bahwa beberapa alamat IP yang telah diresolusi, termasuk 117.44.201.119, berada di Nanchang, Provinsi Jiangxi, Tiongkok dan termasuk dalam AS4134 (CHINANET BACKBONE), yang dioperasikan oleh jaringan provinsi Jiangxi milik China Telecom.
Penggunaan berulang infrastruktur yang dihosting di dalam ChinaNet (AS4134), dikombinasikan dengan artefak berbahasa Mandarin yang telah diidentifikasi sebelumnya, tumpang tindih infrastruktur, dan kesamaan TTP, semakin memperkuat penilaian kami tentang hubungan ancaman yang bersekutu dengan Tiongkok. Meskipun lokasi geografis dan infrastruktur hosting saja tidak merupakan atribusi yang pasti, temuan ini memberikan bukti pendukung tambahan dan berkontribusi pada penilaian kepercayaan menengah hingga tinggi kami.
Garis Waktu Kampanye
Operasi DragonReturn pertama kali diamati pada 18 Mei 2026, dengan pelaku ancaman menunjukkan respons operasional yang cepat dengan merotasi muatan setiap 7-10 hari di lima varian berbeda sepanjang Mei dan Juni 2026. Email spear phishing yang membawa PDF berbahaya diamati didistribusikan secara aktif pada 10 Juni 2026, dengan muatan ZIP berbahaya dikemas dan disebarkan pada hari berikutnya. Kampanye mencapai fase paling kritisnya pada 12 Juni 2026, ketika varian muatan terbaru mencapai tingkat deteksi 0/66 di semua mesin antivirus, membuat deteksi berbasis tanda tangan menjadi tidak efektif sama sekali. Hingga 17 Juni 2026, Operasi DragonReturn tetap aktif sepenuhnya dengan semua pengiriman dikonfirmasi dari India, menunjukkan bahwa ini adalah operasi spionase siber China-Nexus yang sedang berlangsung dan aktif tanpa tanda-tanda melambat.
Kesimpulan:
Operasi DragonReturn merupakan kampanye spionase siber canggih dan aktif yang melibatkan keterkaitan dengan Tiongkok, yang sengaja dirancang untuk mengeksploitasi musim pengajuan SPT Pajak Penghasilan 2026-27, dengan menargetkan infrastruktur pajak Pemerintah India termasuk badan usaha, profesional pajak, akuntan publik, dan wajib pajak perorangan di seluruh India. Pelaku ancaman menunjukkan kematangan operasional yang signifikan melalui rekayasa sosial presisi melalui dokumen umpan yang menyamar sebagai Pemerintah India, infrastruktur berbahaya yang dibuat khusus dan dihosting di govtop[.]one, dan rantai penyebaran DcRAT multi-tahap yang memanfaatkan penyembunyian muatan steganografi dalam background.jpg, eksekusi .NET tanpa file, bypass AMSI, persistensi layanan Windows dengan kedok Layanan Realitas Campuran, dan komunikasi C2 berbasis TLS terenkripsi di 223[.]26.63.40:2671 dan kkxqbh[.]top - semuanya sambil secara aktif merotasi muatan untuk mempertahankan tingkat deteksi VirusTotal 0/66, yang menegaskan bahwa ini bukan serangan oportunistik tetapi operasi spionase yang disengaja, didukung sumber daya, dan berkelanjutan dengan tujuan utama untuk membangun akses rahasia jangka panjang ke infrastruktur keuangan pemerintah India yang bernilai tinggi untuk pengumpulan intelijen, pencurian kredensial, dan eksfiltrasi data sistematis.
Seqrite Cakupan:
- Malware.Ulise
- Trojan.Ulise
- Trojan.Phonzy
- Trojan.Ravartar
- Trojandownloader.Smallao
- Trojan.InjectorCiR
IOC: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:
- govtop[.]one/pajak penghasilan
- 204.194.48.250
- 118.107.0.197
- 27.50.54.191
- 223.26.63.40:2671
- Ikkkkddd[.]com
- Kkxqbh[.]atas
MITRE ATT&CK:
| Taktik | Nama Teknik | ID Teknik |
| Akses Awal | Lampiran Spearphishing | T1566.001 |
| Tautan Spearphishing | T1566.002 | |
| Execution | Eksekusi Pengguna: File Berbahaya | T1204.002 |
| Penerjemah Perintah dan Skrip: Windows Command Shell | T1059.003 | |
| API asli | T1106 | |
| Ketekunan | Membuat atau Mengubah Proses Sistem: Layanan Windows | T1543.003 |
| Kunci Jalankan Registri / Folder Startup | T1547.001 | |
| Eskalasi Privilege | Penyalahgunaan Mekanisme Kontrol Peningkatan: Bypass UAC / Runas | T1548.002 |
| Penghindaran Pertahanan | File atau Informasi yang Dikaburkan | T1027 |
| Deobfuscate/Decode File atau Informasi | T1140 | |
| Proses Injeksi | T1055 | |
| Pemuatan Kode Reflektif / Eksekusi Dalam Memori | T1620 | |
| Melemahkan Pertahanan: Melewati AMSI | T1562.001 | |
| Menyamar | T1036 | |
| Virtualisasi/Penghindaran Kotak Pasir | T1497 | |
| penemuan | Penemuan Informasi Sistem | T1082 |
| Proses Penemuan | T1057 | |
| Penemuan Perangkat Lunak Keamanan | T1518.001 | |
| Pemilik Sistem/Penemuan Pengguna | T1033 | |
| Penemuan Jendela Aplikasi | T1010 | |
| Koleksi | screen Capture | T1113 |
| Data dari Sistem Lokal | T1005 | |
| Komando dan Pengendalian | Saluran Terenkripsi | T1573 |
| Protokol Lapisan Aplikasi: Protokol Web | T1071.001 | |
| Protokol Lapisan Non-Aplikasi | T1095 | |
| Resolusi Dinamis | T1568 | |
| exfiltration | Eksfiltrasi Melalui Saluran C2 | T1041 |
