Cyberthreat.id - Pekan lalu peneliti di Prevailion melaporkan operasi Malware yang dikenal sebagai Phantom in Command Shell. Operasi ini menargetkan perusahaan keuangan di seluruh dunia menggunakan malware Evilnum yang didistribusikan kepada para korban menggunakan tautan berbagi Google Drive.

Skenarionya adalah korban mengklik tautan berbagi Google Drive mengunduh file arsip zip berbahaya ke host. Saat di-dekompresi, file tersebut memberikan akses ke file shortcut Microsoft (LNK) yang menyamar sebagai file JPEG atau PDF. 

Menurut blog Prevailion, set umpan pertama menggunakan elemen Know Your Customer (KYC) dasar (misalnya SIM, kartu kredit, dokumen sejarah kredit, dan lain-lain). Sedangkan sub kluster kedua termasuk dokumen yang tampaknya menyamar sebagai organisasi jasa keuangan yang mapan, dan mereferensikan rencana kepatuhan mereka tergadap GDPR 2020.

Mengingat sifat umpan ini yang khusus KYC, diasumsikan bahwa upaya ini ditargetkan ke lembaga keuangan tertentu daripada spamming berskala besar dan luas.

Setelah file dalam arsip dibuka, komponen jahat, file "o.js" dijatuhkan (dropped). File ini ditulis menggunakan bahasa Phantom dan merupakan malware tradisional berbasis trojan.

Ini mengumpulkan informasi host Windows menggunakan Windows Management Instrumentation (WMI) dan berkomunikasi dengan server Command and Control (C2) untuk menerima perintah dan mengekspor data.

Strategi Mitigasi

Untuk membantu mengurangi kampanye Phantom, peneliti dari Herjavec Group memberikan sejumlah rekomendasi sebagai berikut:

1. Memblokir Indicators of Compromise (IOC) seperti yang tersedia di bawah artikel.

2. Cari secara proaktif untuk IOC tambahan yang relevan di SIEM dan melalui pencarian kembali.

3. Pantau kotak masuk, nama pengguna, email dengan rajin dan jangan klik tautan atau lampiran yang mencurigakan untuk mengurangi ancaman yang ditimbulkan oleh serangan phishing.

Untuk pelanggan SPM yang ada, HG dapat membantu secara proaktif menerapkan strategi mitigasi yang disarankan.

Berikut Indikator of Compromise (IOC) dalam operasi Phantom in Command Shell yang meliputi:

GDrive URLs

• hxxps://drive[.]google[.]com/uc?auth_user=0&id=1KjJy7FCn-4IN7rsOSwWmSab3xVfY-wNn&export=download
• hxxps://docs[.]google[.]com/uc?authuser=0&id=1TROQjDFvR1pw7QckQq1TUVnOYUK6tR6Q&export=download

Zip Files

• 0f4b51dafe6bd75bce2cfbd1fe16d1af91fd958084e23b526671b4e05423f9ee
• 97aa67531305da6fb73198fabd05b0592705c427519670a218d68d9def83f764
• 83f1af96b4a15b3b8ec7490de83555000800779d6456ccd017ba02623704f80c

Microsoft ShortCut (Lnk) Files

• 9666285017da522bc193fdfa89ecec0ebb8f382aed04260f9c3dc6520bcb23b5
• b89cc69c63894c4b263be5a7b7390d3f8500a8ed4834882a7282ebca301e528e
• 951ca0adc511173018277b090a9eae3fb389092e095dbc4a0c9b67181dc43d1b
• 7c0e1b2c7bfab05f69cb8f2412e8c6423549ca8d675fcb092c196e6710e6cad6
• 4930874f700dd81bff1c0f2ec7a8f55741987e102be8164bdc4aad6ea97062cb 
• 1bd7598549a967fe6df9c79a173e3f6c6721ec21088e5e1543e2865436cce284 
• 88537039a4b87ff55ef9a57c21f728ecf90e40e532486913d763e16db04ccac4 
• 01f1f23649920e30d510f6ae48e370c82dd57ce0817d12f649615d7188c9b0e2 
• ca23b0c263652259fc9163d9981033913c9aa3d51a23b1e43f145ca0e0960a30 
• Ceb892d73cbfea205239dab384101305a957bfd675486a126787a74068c1ddea
• 83e5eeb549543e16f98eb26d848194baa8273d5e0408c72222999535f91434fe 
• 4e734713911d2bcb1ba9da2752e529387fe176aa2da0c043593c412e7dec1ade 
• Bb8b6c6b9b157b093ba5ff60ec5e9e9268b3efa4ebd46a403859a4d65d21cce7
• 7d643b369be21f07be4893097084e685f8ea7583d01f19ece6ee3bb86cec062e
• 69d94240bf1b3dae168934be93d742e2b5e41c2767b4573ccabf3c79c8a017d4
• E06ab6b87c4977c4ee30f3925dd935764a0ec0da11458aca4308da61b8027d76
• 79ddc62bcab8efaef586c7e4202fa6a40a82a37571cbab309812602f7a03162b

Core Agent

• Javascript agent version 4.0
  • 75ae7bbdbfccde37a545a6b316e885e9a6d1ecf3c069fa48594a6db6f30c41d0
• Javascript agent version 3.6
  • 8c770d3424324030887fd6efcd7b989129f1430b8dafb482372240e93c009a24
  • 951ca0adc511173018277b090a9eae3fb389092e095dbc4a0c9b67181dc43d1b
• Javascript agent version 3.5
  • ba4ca5ae0aeb7916a6b08320830bb48c756f7ebaa281431e1311cb66dba3bca0
  • 8100351010C260A7BDC2D283065097140418B5A33CF682F902E793FFAED263D4
• Media.reg
  • 9FEE4514F8B3027AD045E67EE8D80317DD2AFBF7A996C97F47C216EAD011B070
• MediaIE.reg
  • 6cc5a6ce509a7bbbcaeab1f0635c8b14cbd6a5503cde799de3163fbf70221301

C2 Retrieval URLs

• hxxps://gitlab[.]com/bliblobla123/testingtesting/-/raw/master/README.md
• hxxps://www.digitalpoint[.]com/members/bliblobla.943007/
• hxxps://gitlab[.]com/jhondeer123/test/raw/master/README.md
• hxxps://www.digitalpoint[.]com/members/johndeer123.923670/
• hxxps://gitlab[.]com/jhondeer123/test/raw/master/test.py

Command and Control Node

• hxxp://139.28.37[.]63
• hxxp://185.62.190[.]89
• hxxp://185.62.190[.]218