Sejumlah kampanye phishing baru-baru ini memanfaatkan pemberitahuan pajak penghasilan palsu untuk menyebarkan malware berbahaya kepada korban yang tidak curiga di seluruh India.
Tim peneliti dari CYFIRMA berhasil mengidentifikasi operasi ini, yang mengandalkan sebuah situs web palsu yang mirip dengan komunikasi resmi dari Departemen Pajak Penghasilan India.
Portal palsu ini dihosting di domain yang baru saja terdaftar dan menampilkan pesanan penilaian yang meyakinkan, lengkap dengan referensi hukum dan bahasa mendesak yang dirancang untuk mendorong penerima agar segera bertindak.
Cara Infeksi Terjadi
Ketika korban berinteraksi dengan pemberitahuan palsu tersebut, mereka akan diminta untuk mengunduh arsip ZIP yang disamarkan sebagai dokumen penilaian resmi lengkap dengan perhitungan pendukung.
Setelah diekstrak, arsip tersebut menyimpan sebuah file gambar disk yang berfungsi sebagai wadah untuk muatan jahat yang sesungguhnya.
Di dalam arsip itu terdapat program loader yang dengan tenang mengaktifkan komponen kedua, yaitu file DLL yang disamarkan sebagai layanan Windows yang sah.
Peneliti menemukan bahwa loader ini menggunakan teknik berbasis refleksi yang dirancang khusus untuk membuat deteksi dan analisis otomatis menjadi jauh lebih sulit.
Kedua file tersebut juga disamarkan menggunakan alat perlindungan yang dikenal, yang lebih lanjut mempersulit usaha tim keamanan untuk memeriksa kode yang ada.
Setelah aktif, muatan malware bertindak sebagai Trojan Akses Jarak Jauh, memberi akses terus-menerus dan terenkripsi kepada penyerang ke mesin yang terinfeksi.
Malware ini dapat mengumpulkan detail sistem, memantau aktivitas pengguna, mengecek perangkat lunak keamanan yang terpasang, serta secara diam-diam memuat komponen jahat tambahan sesuai perintah.
Komunikasi dengan server penyerang terjadi melalui saluran terenkripsi, menggunakan alamat tetap yang dilacak ke infrastruktur yang berbasis di Hong Kong.
Kemampuan ini menunjukkan bahwa operasi ini lebih dimotivasi oleh faktor finansial, bukan untuk menyebabkan kerusakan atau gangguan langsung, dan memiliki kemiripan dengan karakteristik yang terkait dengan keluarga RAT komoditas yang dikenal seperti XWorm.
Namun, peneliti mencatat bahwa atribusi yang pasti kepada aktor ancaman tertentu masih belum terkonfirmasi saat ini.
Mengapa Kampanye Ini Penting
Kampanye ini bukan sekadar upaya phishing terisolasi, melainkan bagian dari pola yang lebih luas di mana penyerang mengeksploitasi kecemasan terkait pajak untuk mengabaikan kewaspadaan pengguna sepenuhnya.
Temuan CYFIRMA menunjukkan bahwa arsitektur loader dan payload yang sama sebelumnya pernah terkait dengan operator ransomware, menunjukkan bahwa infrastruktur ini mungkin melayani lebih dari satu jenis serangan tergantung pada korban yang dituju.
Memastikan perangkat lunak antivirus yang mutakhir dengan deteksi berbasis perilaku tetap menjadi pertahanan praktis terhadap jenis pengiriman malware yang terdistribusi dalam beberapa komponen ini.
Para peneliti keamanan merekomendasikan agar individu memverifikasi setiap korespondensi yang berhubungan dengan pajak secara langsung melalui saluran resmi pemerintah daripada mengklik tautan yang disisipkan.
Organisasi juga disarankan untuk membatasi eksekusi file-file tidak dikenal yang tiba melalui arsip atau gambar disk, karena kampanye ini sangat bergantung pada metode pengiriman tersebut untuk berhasil.
