Technologue.id, Jakarta - Grup peretas terkenal bernama Lazarus telah membentuk bisnis mata uang kripto (cryptocurrency) dengan melakukan trojanisasi baru kepada aplikasi keuangan terdesentralisasi (DeFi) untuk meraup keuntungan.
Lazarus menyalahgunakan aplikasi sah yang digunakan untuk mengelola dompet mata uang kripto dengan mendistribusikan malware yang memberikan kendali atas sistem yang dimiliki korban.
Grup Lazarus adalah salah satu aktor APT (Advanced Persistent Threats) paling aktif di dunia yang setidaknya sudah beroperasi sejak 2009. Tidak seperti kebanyakan grup APT yang disponsori oleh negara, Lazarus dan aktor ancaman lain yang terkait dengan APT ini telah menjadikan keuntungan finansial sebagai salah satu motif utama mereka.
Baca Juga:
Lebih dari Sekadar Tren, Kripto Hadir dan Terus Berkembang
Seiring dengan pertumbuhan pasar mata uang kripto bersama dengan non-fungible token (NFT) dan pasar keuangan terdesentralisasi (DeFi), Lazarus terus menemukan cara baru untuk menargetkan pengguna kripto.
"Kami telah mengamati minat yang tinggi dari kelompok Lazarus terhadap industri mata uang kripto untuk sementara waktu dan juga menyaksikan bagaimana mereka mengembangkan metode canggih untuk memikat korban tanpa menarik perhatian pada proses infeksi," kata Seongsu Park, peneliti keamanan senior di Tim Riset dan Analisis Global (GReAT) Kaspersky.
Pada bulan Desember 2021, peneliti Kaspersky menemukan kampanye malware baru, dimana grup Lazarus mengirimkan aplikasi DeFi yang ditrojanisasi kepada bisnis mata uang kripto. Aplikasi ini berisi program sah yang disebut DeFi Wallet, yang menyimpan dan mengelola dompet mata uang kripto.
Saat dijalankan, aplikasi menjatuhkan file berbahaya sekaligus penginstal untuk aplikasi yang sah, hingga akhirnya meluncurkan malware dengan jalur penginstal Trojan. Malware tersebut kemudian menimpa aplikasi yang sah dengan aplikasi yang di-trojan.
Baca Juga:
Hacker Gunakan Server HP untuk Menambang Kripto
Malware yang digunakan dalam skema infeksi ini adalah backdoor berfitur lengkap dengan kemampuan mengendalikan sistem korban dari jarak jauh. Setelah mengendalikan sistem, penyerang dapat menghapus file, mengumpulkan informasi, menghubungkan ke alamat IP tertentu dan berkomunikasi dengan server C2.
Berdasarkan sejarah serangan Lazarus, peneliti menganggap motivasi di balik kampanye ini tidak lain adalah keuntungan finansial. Setelah melihat fungsionalitas backdoor ini, peneliti Kaspersky banyak menemukan tumpang tindih dengan alat lain yang digunakan oleh grup Lazarus, yaitu, cluster malware CookieTime dan ThreatNeedle.
Skema infeksi multistage juga banyak digunakan dalam infrastruktur Lazarus.
"Dalam kampanye baru-baru ini, Lazarus menyalahgunakan aplikasi DeFi yang sah dengan mengimitasinya dan menjatuhkan malware, dan ini merupakan taktik umum yang digunakan dalam perburuan kripto. Itulah sebabnya kami mendesak perusahaan untuk tetap waspada terhadap tautan dan lampiran email yang tidak dikenal, karena berpotensi palsu, meskipun tampak familier dan aman," ungkap Park.