GhostContainer: Kerentanan baru menyerang server Microsoft Exchange melalui malware backdoor

Tim Riset dan Analisis Global Kaspersky (GReAT) telah menemukan malware backdoor baru yang disebut GhostContainer, yang dibangun di atas alat sumber terbuka, malware canggih yang belum pernah ditemukan sebelumnya.

Menurut Kaspersky, belum memungkinkan untuk menetapkan tanggung jawab kepada kelompok peretas mana pun karena para penyerang tidak menunjukkan tanda-tanda telah menembus infrastruktur apa pun.

Tim GReAT menemukan malware tersebut selama upaya respons insiden di sistem pemerintah yang menggunakan Microsoft Exchange. GhostContainer diyakini sebagai bagian dari kampanye ancaman persisten tingkat lanjut (APT) yang canggih dan persisten yang menargetkan organisasi-organisasi penting di kawasan Asia, termasuk perusahaan-perusahaan teknologi besar.

Berkas berbahaya yang ditemukan Kaspersky, bernama App_Web_Container_1.dll, sebenarnya merupakan pintu belakang multifungsi yang dapat diperluas dengan mengunduh modul tambahan dari jarak jauh. Malware ini memanfaatkan banyak proyek sumber terbuka dan dikustomisasi secara canggih untuk menghindari deteksi.

Setelah GhostContainer berhasil diinstal pada sistem, peretas dapat dengan mudah menguasai sepenuhnya server Exchange, yang darinya mereka dapat melakukan serangkaian tindakan berbahaya tanpa sepengetahuan pengguna. Malware ini dengan cerdik menyamar sebagai komponen server yang valid dan menggunakan berbagai teknik penghindaran pengawasan untuk menghindari deteksi perangkat lunak antivirus dan menerobos sistem pemantauan keamanan.

Selain itu, malware ini dapat bertindak sebagai server perantara (proxy) atau terowongan terenkripsi (tunnel), yang menciptakan celah bagi peretas untuk menembus sistem internal atau mencuri informasi sensitif. Melihat cara operasi ini, para ahli menduga bahwa tujuan utama kampanye ini kemungkinan besar adalah spionase siber.

Analisis mendalam kami menunjukkan bahwa para pelaku sangat mahir dalam menembus server Microsoft Exchange. Mereka memanfaatkan berbagai alat sumber terbuka untuk menembus lingkungan IIS dan Exchange , dan telah mengembangkan alat mata-mata canggih berdasarkan kode sumber terbuka yang tersedia. Kami akan terus memantau aktivitas kelompok ini, serta cakupan dan tingkat keparahan serangan mereka, untuk lebih memahami lanskap ancaman secara keseluruhan,” ujar Sergey Lozhkin, Kepala Tim Riset dan Analisis Global (GReAT) untuk Asia Pasifik, Timur Tengah, dan Afrika di Kaspersky.

GhostContainer menggunakan kode dari beberapa proyek sumber terbuka, sehingga sangat rentan terhadap kelompok penjahat siber atau kampanye APT di seluruh dunia . Perlu dicatat, pada akhir tahun 2024, total 14.000 paket malware terdeteksi dalam proyek sumber terbuka, meningkat 48% dibandingkan akhir tahun 2023. Angka ini menunjukkan bahwa tingkat risiko di lapangan semakin meningkat.

BINH LAM

Sumber: https://www.sggp.org.vn/ghostcontainer-lo-hong-moi-tan-cong-may-chu-microsoft-exchange-thong-qua-ma-doc-backdoor-post805372.html