OXLOADER Loader Baru Menggunakan Iklan Google Berbahaya untuk Mengirimkan CastleStealer

Perkembangan ini menjadi salah satu sorotan penting dalam perkembangan alat dan strategi keamanan siber. Peneliti keamanan siber telah mengungkapkan rincian kampanye baru yang menghadirkan CastleStealer melalui pemuat malware yang sebelumnya tidak dilaporkan yang dijuluki OXLOADER.

Menurut Elastic Security Labs, kampanye tersebut memanfaatkan Google Ads yang berbahaya sebagai titik awal untuk mendistribusikan malware. Bukti menunjukkan bahwa pelaku ancaman kemungkinan besar berbahasa Rusia dan bermotivasi finansial, karena adanya pengecualian eksplisit untuk mencegah mesin yang menginfeksi di wilayah Persemakmuran Negara-Negara Merdeka (CIS). Kampanye ini diberi nama kode REF8372.

Menjalankan skrip batch menampilkan antarmuka pengguna (UI) wizard instalasi palsu, sementara secara diam-diam mengunduh payload tahap berikutnya, executable yang dihosting Storj yang dijuluki OXLOADER melalui perintah PowerShell dan mengeksekusinya dengan -Verb RunAs untuk memicu prompt Kontrol Akun Pengguna Windows (UAC).

Serangan tersebut kemudian menggunakan pemuatan samping DLL untuk meluncurkan DLL jahat, yang kemudian melanjutkan untuk mendekripsi dan mengeksekusi muatan CastleStealer. OXLOADER juga menggunakan teknik seperti perataan aliran kontrol (CFF) dan Aritmatika Boolean campuran (MBA) untuk menghindari deteksi statis, sekaligus mengambil langkah untuk memastikannya tidak dijalankan di lingkungan sandbox.

CastleStealer adalah pencuri informasi. NET yang baru-baru ini didistribusikan bersama CastleLoader melalui umpan gaya ClickFix yang menyamar sebagai alat pengeditan gambar gratis sebagai bagian dari kampanye dengan nama kode BackgroundFix. CastleLoader dikaitkan dengan kelompok aktivitas ancaman yang dikenal sebagai GrayBravo.

“OXLOADER masih dalam tahap operasional awal, namun rekayasa di baliknya menunjukkan bahwa keluarga ini layak untuk diperhatikan,” kata Elastic. "Kebingungan kode, tindakan anti-VM, kode yang tampak tidak berbahaya yang digunakan untuk menyamarkan binernya, dan teknik pementasan yang unik mencerminkan pilihan rekayasa yang disengaja untuk menghindari analisis."

Secara keseluruhan, perkembangan ini memberi gambaran tentang arah terbaru di perkembangan alat dan strategi keamanan siber dan alasan mengapa topik ini tetap relevan untuk terus dipantau.

Baca sumber asli dari thehackernews. com