Produsen Drone Taiwan Diserang Kelompok Mata-mata TIDRONE

Aktor ancaman yang sebelumnya tidak dikenal bernama TIDRONE telah menyerang produsen drone di Taiwan, khususnya rantai industri terkait militer.

Penemuan ini dilakukan oleh Trend Micro. Mereka juga menemukan bahwa kelompok tersebut menggunakan dua malware untuk menargetkan korbannya: CXCLNT dan CLNTEND. Keduanya diterapkan melalui perangkat lunak perencanaan sumber daya perusahaan (ERP) dan desktop jarak jauh.

Faktanya, dalam semua serangan yang telah tercatat sejauh ini, perangkat lunak perencanaan sumber daya perusahaan (ERP) yang sama yang disusupi. Ini mungkin mengindikasikan serangan berantai.

Lebih Lanjut Tentang Malware

Kami tidak tahu banyak tentang malware tersebut kecuali fakta bahwa CXCLNT umumnya digunakan untuk mengumpulkan informasi korbanmenghapus jejak pembobolan serta pengunggahan dan pengunduhan file.

Setelah penyelidikan lebih lanjut, ditemukan pula bahwa komponen terkait malware diunduh melalui UltraVNC. Selain itu, backdoor CXCLNT dan CLNTEND juga diluncurkan dengan melakukan sideloading DLL berbahaya melalui Microsoft Word.

Trend Micro belum merilis rincian lengkap mekanisme serangan, tetapi kita tahu bahwa ini adalah proses 3 tahap yang terdiri dari Bypass UAC, pembuangan kredensial, dan penonaktifan antivirus.

Siapa di Balik Kelompok Ini?

Belum ada nama resmi yang diungkapkan, namun Trend Micro yakin bahwa Tiongkok mungkin ada hubungannya dengan hal ini.

“Konsistensi dalam waktu kompilasi berkas dan waktu operasi pelaku ancaman dengan aktivitas spionase Tiongkok lainnya mendukung penilaian bahwa kampanye ini kemungkinan dilakukan oleh kelompok ancaman berbahasa Tiongkok yang belum teridentifikasi.” – Peneliti keamanan Pierre Lee dan Vickie Su

Bagian terburuknya adalah ini Aktor ancaman terus memperbarui alat dan mekanisme serangan merekasehingga makin sulit untuk menangkap mereka. Untuk lebih menghindari deteksi, mereka kini menggunakan teknik anti-analisis dalam pemuat mereka.

Misalnya, memverifikasi alamat titik masuk dari proses induk dan menghubungkan API umum, seperti GetProcAddress, untuk mengontrol atau mengubah alur eksekusi.