Iklan Berbahaya (Malvertising) pada macOS yang Terkait dengan DPRK Memanfaatkan Pembaruan Palsu untuk Menyebarkan Malware Pencuri Kripto

Slot online terpercaya – Aktor ancaman yang terkait dengan Korea Utara diduga berada di balik kampanye malvertising macOS yang canggih, yang melibatkan pengalihan pengguna ke halaman web palsu yang menampilkan urutan pembaruan fiktif dalam mode layar penuh untuk menyebarkan malware sebagai bagian dari iterasi terbaru dari kampanye Contagious Interview yang telah berlangsung lama. Aspek yang menjadi ciri khas serangan ini adalah bahwa layar pembaruan perangkat lunak macOS palsu tersebut secara diam-diam menyalin perintah serangan ke clipboard, lalu meminta korban untuk menjalankannya melalui aplikasi Terminal—sebuah teknik yang dikenal sebagai ClickFix. “Pengalaman ini dirancang untuk menimbulkan kepanikan,” kata AllSecure dalam laporan yang dibagikan kepada .

“Komputer tampak macet atau sedang reboot, sehingga pengguna yang mengira sistem operasi telah gagal akan mengikuti instruksi yang seharusnya mereka anggap mencurigakan.” Kampanye ini juga patut diperhatikan karena penggunaan sistem perintah dan kendali (C2) yang dihosting di blockchain, di mana malware mengekstrak alamat server aktif dari kontrak pintar Ethereum. Pendekatan yang tahan terhadap penutupan ini, yang disebut EtherHiding, telah digunakan oleh Korea Utara Aktor ancaman yang terkait dengan Contagious Interview (alias UNC5342) dalam kampanye-kampanye sebelumnya.

Tujuan akhir serangan ini adalah memfasilitasi eksekusi kode jarak jauh, yang memungkinkan implant untuk berkomunikasi dengan server C2 dan mengambil dua muatan tambahan, yaitu pencuri informasi yang mampu menargetkan 157 dompet kripto dan ekstensi Chrome berbahaya. Rantai serangan ini berbeda dari kampanye Contagious Interview pada umumnya karena titik awalnya melibatkan klik pada hasil pencarian untuk perusahaan target yang tidak disebutkan namanya. Segera setelah situs web terbuka, browser menampilkan pesan reboot macOS layar penuh, memberikan kesan bahwa pembaruan perangkat lunak sedang berlangsung, sementara secara diam-diam mempersiapkan tahap infeksi berikutnya.

Setelah urutan pembaruan palsu selesai, halaman palsu tersebut meminta pengguna untuk membuka aplikasi Terminal dan menempelkan perintah yang telah disalin ke clipboard sistem. Menariknya, upaya apa pun untuk mengulangi urutan ini tidak akan menghasilkan hasil yang sama, yang berarti aktivasi ini dirancang untuk sekali pakai saja. Yang menarik di sini adalah umpan awal Bukanlah tawaran pekerjaan yang mencurigakan, penilaian melalui video, atau tes pemrograman—semua itu merupakan berbagai metode yang pernah digunakan oleh kelompok Contagious Interview di masa lalu.

Sebaliknya, semuanya bermula dari pencarian di internet yang tampaknya tidak berbahaya. Dalam kasus yang diamati oleh AllSecure, korban dilaporkan sedang mencari mesin elektroforesis dan mengklik hasil iklan dari sebuah perusahaan yang tampaknya menjual mesin tersebut. Rangkaian infeksi dimulai segera setelah halaman palsu dimuat di browser mereka.

Perintah yang ditempelkan ke Terminal adalah perintah curl yang dirancang untuk mengambil malware tahap berikutnya, yang mengarah pada eksekusi backdoor Node.js yang menggunakan LaunchAgent untuk persisten dan memanggil kontrak Ethereum guna menentukan alamat server C2. Implan ini dikonfigurasi untuk melakukan check-in ke server setiap lima menit dan menjalankan kode JavaScript apa pun yang dikembalikan oleh server tersebut.

Mekanisme EtherHiding berfungsi sebagai saluran untuk dua muatan — pencuri informasi yang mengumpulkan data dari peramban web (Chrome, Brave, Edge, Firefox, Opera, dan Vivaldi), serta 157 cryptocurrency dompet cy, serta kunci SSH, AWS, Azure, dan npm. Sebuah ekstensi berbahaya bernama “Google Drive Offline” yang dipasang secara tidak resmi ke dalam browser dengan memodifikasi berkas Preferensi Aman Chrome, dan digunakan untuk menguras dompet korban. Dua alamat Ethereum tertanam dalam malware tersebut, keduanya berfungsi sebagai konfigurasi EtherHiding yang bertanggung jawab untuk mengambil server C2 yang sebenarnya: “rg-telemetry[.]

sbs/api” dan “th-updates[.]sbs/analytics.” “Setiap kontrak dibuat oleh dompet sekali pakai yang menjalankan skrip empat langkah yang identik: diisi dengan ~0,0126 ETH, menyebarkan kontrak, menulis konfigurasi, meneruskan sisa ~0,006 ETH, lalu membuang dompet,” kata AllSecure.

“Pola ini menunjukkan adanya operator yang telah mengindustrialisasikan proses penyebaran: mendanai, menyebarkan, mengonfigurasi, menguras sisa dana, membuang dompet, dan mengulangi.” Analisis lebih lanjut telah menentukan bahwa baik backdoor maupun drainer ekstensi browser didanai dari kluster dompet yang sama, yang mengindikasikan bahwa aktivitas tersebut merupakan perbuatan dari satu pelaku. “Konteks penyebarannya juga patut diperhatikan: kampanye yang terkait dengan DPRK sering kali desc “Meskipun biasanya dilihat melalui kacamata wawancara kerja palsu dan perekrutan pengembang, kasus ini menunjukkan bahwa logika operasional yang sama juga muncul dalam skenario penjelajahan web yang lebih luas,” kata Christian Papathanasiou, salah satu pendiri dan CEO AllSecure.

“Hal ini tidak menggantikan pola lowongan kerja palsu; melainkan memperluas model ancaman.”