Hacker Menargetkan Diplomat EU dengan Undangan Acara Anggur Palsu

Hacker Rusia yang menyamar sebagai pejabat Uni Eropa memancing diplomat dengan undangan anggur palsu, menerapkan malware diam-diam GRAPELOADER dalam kampanye spionase yang terus berkembang.

Para peneliti keamanan siber telah mengungkap gelombang baru serangan phishing yang dilakukan oleh kelompok peretas yang terkait dengan Rusia, APT29, yang juga dikenal sebagai Cozy Bear. Kampanye ini, yang diidentifikasi oleh Check Point, menargetkan diplomat Eropa dengan menipu mereka melalui undangan palsu ke acara wine tasting diplomatik.

Penyelidikan menemukan bahwa penyerang berpura-pura sebagai Kementerian Luar Negeri Eropa dan mengirimkan undangan melalui email kepada diplomat yang tampak resmi. Email tersebut berisi tautan yang, ketika diklik, akan mengarahkan ke unduhan malware yang tersembunyi dalam file bernama wine.zip.

File ini menginstal alat baru bernama GRAPELOADER, yang memungkinkan penyerang untuk mendapatkan pijakan di komputer korban. GRAPELOADER mengumpulkan informasi sistem, membuat pintu belakang untuk perintah lebih lanjut, dan memastikan malware tetap ada di perangkat bahkan setelah restart.

“GRAPELOADER memperhalus teknik anti-analisis WINELOADER sambil memperkenalkan metode penyamaran yang lebih canggih,” catatan para peneliti. Kampanye ini juga menggunakan versi yang lebih baru dari WINELOADER, sebuah pintu belakang yang dikenal dari serangan APT29 sebelumnya, yang kemungkinan digunakan pada tahap-tahap selanjutnya.

Email phishing dikirim dari domain yang meniru pejabat kementerian asli. Jika tautan dalam email gagal menipu target, email tindak lanjut dikirim untuk mencoba lagi. Dalam beberapa kasus, mengklik tautan mengarahkan pengguna ke situs web Kementerian sebenarnya untuk menghindari kecurigaan.

Proses infeksi menggunakan file PowerPoint yang sah untuk menjalankan kode tersembunyi menggunakan metode yang disebut “DLL side-loading.” Malware kemudian menyalin dirinya ke folder tersembunyi, mengubah pengaturan sistem untuk meluncurkan secara otomatis, dan terhubung ke server remote setiap menit untuk menunggu instruksi lebih lanjut.

Para penyerang berusaha keras untuk tetap tersembunyi. GRAPELOADER menggunakan teknik kompleks untuk mengacak kode-nya, menghapus jejaknya, dan menghindari deteksi oleh perangkat lunak keamanan. Metode ini membuatnya lebih sulit bagi analis untuk membongkar dan mempelajari malware tersebut.

Kampanye ini menunjukkan bahwa APT29 terus mengembangkan taktiknya, menggunakan strategi kreatif dan menipu untuk mengintai target pemerintah di seluruh Eropa.