Kelompok kejahatan dunia maya ‘Bluebottle’ baru menargetkan lembaga keuangan di Afrika

Peneliti keamanan di Symantec hari ini merinci kelompok kejahatan dunia maya baru yang secara aktif menargetkan sektor keuangan di negara-negara berbahasa Prancis di Afrika.

Dijuluki “Bluebottle,” grup tersebut dikatakan menggunakan Living off the Land secara ekstensif, alat penggunaan ganda dan malware komoditas, tanpa malware khusus yang digunakan. Serangan LotL adalah serangan dunia maya di mana penyusup menggunakan perangkat lunak dan fungsi yang sah yang tersedia dalam sistem untuk melakukan tindakan jahat padanya, istilah yang berasal dari bertahan hidup pada apa yang dapat digali, diburu, atau ditanam di alam.

Kegiatan Bluebottle diyakini terkait dengan kelompok sebelumnya yang diidentifikasi sebagai OPERA1ER, yang aktif dari pertengahan 2019 hingga 2021. OPERA1ER diyakini telah mencuri setidaknya $11 juta selama 30 serangan yang ditargetkan.

Vektor serangan awal yang digunakan oleh Bluebottle tidak diketahui, tetapi file berbahaya yang ditemukan di jaringan korban memiliki nama file bertema pekerjaan berbahasa Prancis. Para peneliti percaya bahwa file-file ini mungkin bertindak sebagai umpan dan, dalam beberapa kasus, diberi nama untuk mengelabui pengguna agar berpikir bahwa file tersebut adalah file PDF yang berhubungan dengan pekerjaan. Spear-phishing diduga sebagai vektor serangan yang mungkin, yang juga sejalan dengan vektor awal yang sebelumnya digunakan oleh OPERA1ER.

Kampanye Bluebottle pertama kali diamati oleh para peneliti Symantec pada bulan Juli, dengan setidaknya satu korban ditemukan telah terinfeksi oleh malware infostealer sejak pertengahan Mei 2022.

Sambil mencatat bahwa grup tersebut menggunakan malware umum yang tersedia, para peneliti menemukan bahwa malware bertema pekerjaan diamati di jalur yang menunjukkan bahwa malware tersebut telah dipasang sebagai CD-ROM. Ini dapat menunjukkan bahwa vektor infeksi melalui media fisik atau file berbahaya datang sebagai file ISO dan dipasang di komputer korban.

Malware yang dikirimkan termasuk GuLoader, pengunduh berbasis shellcode dengan fitur anti-analisis. Loader menyebarkan beberapa biner yang sah sebagai umpan untuk aktivitas jahatnya sebelum menerapkan skrip NSIS sekunder yang menyuntikkan kode shell yang disamarkan ke dalam proses lain.

Kumpulan malware lain yang disebarkan oleh grup tersebut juga ditemukan memiliki tujuan yang mungkin untuk menonaktifkan protokol keamanan di jaringan korban. Malware tersebut terdiri dari DLL pengontrol yang membaca daftar proses dan driver “pembantu” bertanda tangan yang digunakan untuk menghentikan proses dalam daftar.

Permainan akhir Bluebottle diyakini sebagai kegigihan dan pencurian kredensial. Korban telah diidentifikasi di tiga negara Afrika, bersamaan dengan serangan terhadap organisasi nirlaba di Kanada.

“Keefektifan kampanyenya membuat Bluebottle tidak mungkin menghentikan aktivitas ini,” para peneliti menyimpulkan. “Tampaknya sangat terfokus pada negara-negara berbahasa Prancis di Afrika, jadi lembaga keuangan di negara-negara ini harus tetap waspada.”

Foto: Andrea Schaffer/Wikimedia Commons