Penyerang Siber Pro-Hamas Mengincar Malware 'Pierogi' di Berbagai Target Timur Tengah

Penyerang Siber Pro-Hamas Mengincar Malware 'Pierogi' di Berbagai Target Timur Tengah

Stempel Waktu: 15 Desember 2023 1:51
Node Sumber: 3021137

Sekelompok penyerang pro-Hamas yang dikenal sebagai Gaza Cybergang menggunakan variasi baru dari malware pintu belakang Pierogi++ untuk melancarkan serangan terhadap sasaran Palestina dan Israel.

Menurut penelitian dari Sentinel Labs, pintu belakang didasarkan pada bahasa pemrograman C++ dan telah digunakan dalam kampanye antara tahun 2022 dan 2023. Penyerang juga telah menggunakan Mikropsia malware dalam kampanye peretasan baru-baru ini di Timur Tengah.

“Aktivitas Cybergang Gaza baru-baru ini menunjukkan penargetan yang konsisten terhadap entitas Palestina, tanpa ada perubahan signifikan dalam dinamika sejak dimulainya perang Israel-Hamas,” tulis peneliti ancaman senior Sentinel Labs, Aleksandar Milenkoski dalam laporannya.

Mendistribusikan Malware

Para peretas mendistribusikan malware Pierogi++ menggunakan file arsip dan dokumen Office berbahaya yang membahas topik Palestina dalam bahasa Inggris dan Arab. Ini berisi artefak Windows seperti tugas terjadwal dan aplikasi utilitas, termasuk makro berisi malware yang dirancang untuk menyebarkan pintu belakang Pierogi++.

Milenkoski mengatakan kepada Dark Reading bahwa Cybergang Gaza menggunakan serangan phishing dan keterlibatan berbasis media sosial untuk menyebarkan file berbahaya tersebut.

“Didistribusikan melalui dokumen Office yang berbahaya, Pierogi++ disebarkan oleh makro Office saat pengguna membuka dokumen tersebut,” jelas Milenkoski. “Dalam kasus di mana pintu belakang disebarluaskan melalui file arsip, biasanya ia menyamarkan dirinya sebagai dokumen bertema politik mengenai urusan Palestina, menipu pengguna untuk mengeksekusinya melalui tindakan klik dua kali.”

Banyak dokumen yang menggunakan tema politik untuk memikat korbannya dan mengeksekusi pintu belakang Pierogi++, seperti: “Situasi pengungsi Palestina di Suriah pengungsi di Suriah” dan “Kementerian Negara Urusan Tembok dan Permukiman yang dibentuk oleh pemerintah Palestina.”

Pierogi Asli

Jenis malware baru ini adalah versi terbaru dari pintu belakang Pierogi, yang peneliti di Cybereason diidentifikasi hampir lima tahun lalu.

Para peneliti tersebut menggambarkan pintu belakang memungkinkan “penyerang memata-matai korban yang ditargetkan” dengan menggunakan rekayasa sosial dan dokumen palsu, seringkali berdasarkan topik politik yang berkaitan dengan pemerintah Palestina, Mesir, Hizbullah, dan Iran.

Perbedaan utama antara backdoor Pierogi asli dan varian yang lebih baru adalah versi pertama menggunakan bahasa pemrograman Delphi dan Pascal, sedangkan versi kedua menggunakan C++.

Variasi lama dari pintu belakang ini juga menggunakan perintah pintu belakang Ukraina 'vydalyty', 'Zavantazhyty', dan 'Ekspertyza'. Pierogi++ menggunakan string bahasa Inggris 'download' dan 'screen'.

Penggunaan bahasa Ukraina di Pierogi versi sebelumnya mungkin menunjukkan keterlibatan eksternal dalam pembuatan dan distribusi pintu belakang, namun Sentinel Labs tidak yakin hal ini berlaku untuk Pierogi++.

Sentinel Labs mengamati bahwa kedua varian memiliki kesamaan pengkodean dan fungsionalitas meskipun ada beberapa perbedaan. Ini termasuk dokumen palsu yang identik, taktik pengintaian, dan rangkaian malware. Misalnya, peretas dapat menggunakan pintu belakang untuk mengambil tangkapan layar, mengunduh file, dan menjalankan perintah.

Para peneliti mengatakan Pierogi++ adalah bukti bahwa Gaza Cybergang menopang “pemeliharaan dan inovasi” malware-nya dalam upaya untuk “meningkatkan kemampuannya dan menghindari deteksi berdasarkan karakteristik malware yang diketahui.”

Tidak Ada Aktivitas Baru Sejak Oktober

Meskipun Gaza Cybergang telah menargetkan korban warga Palestina dan Israel dalam kampanye “pengumpulan intelijen dan spionase” sejak tahun 2012, kelompok tersebut belum meningkatkan volume aktivitasnya sejak dimulainya konflik Gaza pada bulan Oktober. Milenkoski mengatakan kelompok tersebut secara konsisten menargetkan “terutama entitas dan individu Israel dan Palestina” selama beberapa tahun terakhir.

Geng tersebut terdiri dari beberapa “sub-kelompok yang berdekatan” yang telah berbagi teknik, proses, dan malware selama lima tahun terakhir, kata Sentinel Labs.

“Ini termasuk Gaza Cybergang Group 1 (Molerat), Grup Cybergang Gaza 2 (Viper Kering, Desert Falcons, APT-C-23), dan Gaza Cybergang Group 3 (kelompok di belakang Operasi Parlemen),” kata para peneliti.

Meskipun Gaza Cybergang telah aktif di Timur Tengah selama lebih dari satu dekade, lokasi fisik para peretasnya masih belum diketahui. Namun, berdasarkan intelijen sebelumnya, Milenkoski yakin mereka kemungkinan besar tersebar di negara-negara berbahasa Arab seperti Mesir, Palestina, dan Maroko.

Stempel Waktu:

Lebih dari Bacaan gelap