Hacker Iran Gunakan Malware CHOSEN BRICK untuk Memata-matai Target

Sejumlah lembaga pemerintah memperingatkan adanya kampanye siber yang dikaitkan dengan kelompok peretas yang terhubung dengan Iran dan menggunakan malware Windows bernama CHOSEN BRICK untuk memata-matai target di berbagai negara.

Malware tersebut memiliki kemampuan mencuri data komunikasi melalui email, Telegram, dan WhatsApp, mengambil screenshot, merekam audio dari mikrofon, serta menjalankan berbagai perintah pada komputer korban.

Target yang menjadi perhatian utama mencakup dissident, aktivis, dan jurnalis, dengan korban yang terutama berada di Amerika Serikat, Inggris, dan Belanda.

Peringatan tersebut diterbitkan melalui kerja sama sejumlah badan keamanan siber pemerintah bersama FBI.

Serangan Dimulai melalui WhatsApp dan Telegram

Rangkaian serangan biasanya diawali dengan social engineering. Pelaku mengirim pesan melalui WhatsApp atau Telegram dengan menyamar sebagai kontak tepercaya atau petugas dukungan teknis.

Korban kemudian diarahkan untuk membuka file berbahaya yang dibuat menyerupai aplikasi atau dokumen yang sah.

Dalam sejumlah kasus, file tersebut menyamar sebagai aplikasi seperti Pictory, RunwayML, Norton Antivirus, Telegram, Adobe Flash Player, dan KeePass.

Pelaku juga menggunakan tema yang lebih spesifik sesuai konteks target. Peneliti menemukan bahwa beberapa kampanye menggunakan umpan yang berkaitan dengan layanan medis, termasuk dokumen yang diklaim sebagai hasil pemindaian MRI.

Teknik tersebut dirancang untuk membuat korban percaya bahwa file yang diberikan merupakan dokumen atau aplikasi yang memang mereka perlukan.

Aplikasi Palsu Menyembunyikan CHOSEN BRICK

Ketika korban menjalankan file berbahaya, aplikasi palsu tersebut dapat menampilkan antarmuka yang sesuai dengan identitas aplikasi atau dokumen yang digunakan sebagai umpan.

Di balik tampilan tersebut, malware CHOSEN BRICK dipasang secara diam-diam pada sistem Windows.

Malware kemudian membuat mekanisme persistence menggunakan Windows Registry Run keys, sehingga komponen berbahaya dapat dijalankan kembali ketika sistem atau pengguna memulai sesi berikutnya.

Untuk mengurangi kemungkinan terdeteksi oleh sistem keamanan, malware juga dapat menambahkan pengecualian pada Microsoft Defender.

Setelah aktif, CHOSEN BRICK terhubung ke sebuah Telegram bot unik yang dikaitkan dengan ID korban. Bot tersebut digunakan sebagai salah satu mekanisme command-and-control (C2) untuk mengirimkan instruksi kepada perangkat yang telah terinfeksi.

Kemampuan Spionase CHOSEN BRICK

CHOSEN BRICK memiliki sejumlah fungsi yang memungkinkan operator melakukan pengumpulan informasi dan pengawasan terhadap sistem korban.

Kemampuan yang ditemukan meliputi:

• Mengumpulkan informasi sistem.
• Mendeteksi dan mencatat proses yang sedang berjalan.
• Mengambil screenshot layar.
• Merekam suara melalui mikrofon.
• Mencuri isi email.
• Mengambil data browser yang berkaitan dengan Telegram dan WhatsApp.
• Mengunduh payload tambahan ke direktori Windows.
• Menghapus file.
• Menghapus seluruh sistem korban.

Kemampuan untuk mengambil screenshot dan merekam audio memungkinkan pelaku memperoleh informasi yang tidak selalu tersimpan dalam bentuk file pada perangkat.

Sementara itu, pencurian data browser Telegram dan WhatsApp dapat memberikan akses terhadap informasi komunikasi yang tersedia pada perangkat korban.

Data Dicuri melalui Telegram dan Layanan Cloud

Data yang dikumpulkan dari perangkat korban dapat dikirimkan kepada operator melalui Telegram maupun layanan penyimpanan cloud.

Infrastruktur yang digunakan dalam kampanye tersebut mencakup layanan seperti VultrObjects dan StorjShare.

Pada varian CHOSEN BRICK yang lebih baru, lalu lintas komunikasi juga dapat dialihkan melalui SOCKS5 proxy untuk menyamarkan sumber aktivitas dan mempersulit proses pelacakan.

Penggunaan berbagai jalur exfiltrasi menunjukkan bahwa infrastruktur kampanye dapat berubah mengikuti kebutuhan operasi dan upaya menghindari deteksi.

Data Korban Berpotensi Dipublikasikan

Peringatan pemerintah tersebut juga menyebutkan bahwa data yang berhasil dicuri dalam beberapa kasus kemudian dapat muncul di situs kebocoran data yang mendukung Iran.

Publikasi tersebut tidak hanya menjadi sarana penyebaran data hasil pencurian, tetapi juga dapat digunakan untuk melakukan tekanan atau pelecehan terhadap korban.

Bagi aktivis dan dissident yang berada di luar negeri, kebocoran informasi pribadi maupun komunikasi dapat meningkatkan risiko keamanan mereka.

Lembaga pemerintah yang menerbitkan peringatan menilai aktivitas siber Iran dapat digunakan sebagai bagian dari upaya menekan individu yang dianggap sebagai ancaman oleh pemerintah Iran, termasuk dissident, aktivis, dan jurnalis.

Cara Mendeteksi Potensi Infeksi

Organisasi dan individu yang berpotensi menjadi target disarankan melakukan pemeriksaan terhadap sistem Windows untuk mencari indikator kompromi yang berkaitan dengan CHOSEN BRICK.

Salah satu pemeriksaan penting adalah melihat Registry Run entries untuk menemukan entri mencurigakan yang tidak pernah dibuat oleh pengguna atau administrator.

Log sistem juga perlu diperiksa untuk menemukan aktivitas yang sesuai dengan Indicators of Compromise (IoC) yang dibagikan dalam advisory keamanan.

Koneksi yang tidak biasa menuju sejumlah layanan juga perlu mendapatkan perhatian, termasuk:

• Telegram API
• Backblaze B2
• VultrObjects
• StorjShare
• IPRoyal
• LightningProxies

Koneksi ke layanan tersebut tidak secara otomatis menunjukkan infeksi, karena layanan yang sama dapat digunakan secara sah. Namun, aktivitas yang muncul bersamaan dengan file, proses, registry entry, atau perilaku jaringan yang mencurigakan perlu diselidiki lebih lanjut.

Social Engineering Tetap Menjadi Titik Masuk Penting

Kasus CHOSEN BRICK menunjukkan bahwa serangan spionase modern tidak selalu membutuhkan eksploitasi kerentanan teknis yang rumit untuk mendapatkan akses awal.

Pelaku dapat memanfaatkan kepercayaan korban terhadap kontak, aplikasi, atau dokumen tertentu untuk membuat mereka menjalankan file berbahaya secara sukarela.

Karena itu, selain menggunakan antivirus dan sistem keamanan endpoint, organisasi perlu memperkuat edukasi pengguna mengenai file yang diterima melalui aplikasi pesan instan.

File yang mengaku sebagai aplikasi, dokumen teknis, atau bantuan dari tim support sebaiknya diverifikasi melalui jalur komunikasi lain sebelum dijalankan.

Untuk organisasi yang memiliki target berisiko tinggi seperti jurnalis, aktivis, peneliti, maupun personel pemerintahan, pemantauan endpoint dan jaringan juga menjadi lapisan pertahanan penting untuk mendeteksi aktivitas CHOSEN BRICK maupun malware sejenis.

Sumber: NCSC, FBI, dan lembaga keamanan siber pemerintah terkait