Trojan SilentRoute

Penjenayah siber sekali lagi telah menemui cara untuk mempersenjatai perisian yang dipercayai, kali ini dengan mencipta versi trojan SSL VPN NetExtender. Kempen serangan ini, yang didedahkan oleh penyelidik keselamatan siber, menimbulkan ancaman serius kepada pengguna yang mencari akses rangkaian jauh.

Trojan dalam Penyamaran

Di tengah-tengah kempen ini ialah versi diubah suai bagi klien SSL VPN NetExtender, alat yang sah yang direka untuk membolehkan pengguna jauh menyambung dengan selamat ke rangkaian perusahaan. Ia membolehkan pengguna menjalankan aplikasi dalaman, mengakses pemacu kongsi dan memindahkan fail seolah-olah ia terdapat secara fizikal pada rangkaian syarikat.

Malangnya, kumpulan ancaman yang tidak diketahui telah mengedarkan versi palsu perisian ini, menyuntiknya dengan perisian hasad yang telah digelar SilentRoute. Setelah dipasang, versi penyangak ini mencuri data sensitif daripada pengguna secara senyap.

Bagaimana Serangan Berfungsi

Penyerang menggunakan tapak web palsu untuk mengehoskan pemasang NetExtender yang berniat jahat, menyamar sebagai versi sah 10.3.2.27. Walaupun tapak web telah dialih keluar, pemasang dilaporkan telah ditandatangani secara digital oleh CITYLIGHT MEDIA PRIVATE LIMITED, memberikannya kesahihan palsu.

Mangsa berkemungkinan terpikat untuk memuat turun perisian hasad melalui:

• Tapak web palsu muncul dalam hasil carian melalui keracunan SEO
• E-mel spear-phishing dengan pautan berniat jahat
• Kempen malvertising dan siaran media sosial yang mengelirukan

Setelah dimuat turun, pemasang berniat jahat menggunakan versi diubah suai bagi dua komponen kritikal, NeService.exe dan NetExtender.exe, yang telah diubah untuk mengabaikan pengesahan sijil digital. Komponen ini mengeluarkan data konfigurasi secara senyap ke pelayan dikawal penyerang di 132.196.198.163:8080.

Apa yang Dicuri dan Bagaimana

Selepas pengguna memasukkan bukti kelayakan VPN mereka dan menekan butang 'Sambung', trojan melakukan semakan sendiri sebelum menghantar data yang dicuri ke pelayan penyerang. Maklumat yang dieksfiltrasi termasuk:

• Nama pengguna
• Kata laluan
• Domain
• Butiran pelayan VPN dan data konfigurasi

Maklumat yang dicuri ini boleh memberikan penyerang akses tanpa kebenaran kepada persekitaran korporat, menjadikan ini kebimbangan keselamatan siber yang ketara.

Pengambilan Utama untuk Kekal Dilindungi

Untuk mengelak daripada menjadi mangsa ancaman sedemikian, organisasi dan pengguna hendaklah:

• Hanya muat turun VPN dan alat akses jauh dari tapak web rasmi atau vendor yang disahkan.
• Berhati-hati apabila mengklik pautan dalam e-mel, iklan atau hasil carian, terutamanya yang menawarkan muat turun perisian.

Selain itu, pentadbir rangkaian harus memantau sambungan keluar luar biasa dan memastikan sistem perlindungan titik akhir dikemas kini dan dikonfigurasikan untuk mengesan boleh laku yang diusik.

Fikiran Akhir

Kempen SilentRoute menonjolkan kecanggihan pengedaran perisian hasad yang semakin meningkat melalui penyamaran dan kejuruteraan sosial. Kewaspadaan, ditambah pula dengan kebersihan digital yang kukuh, kekal sebagai pertahanan terbaik terhadap ancaman penipuan tersebut.