Para penjahat siber kini menyasar para profesional keamanan melalui kampanye ClickFix yang sangat terarah. Tujuannya? Menginfeksi komputer mereka dengan malware pencuri informasi. Peneliti keamanan dari Huntress mengungkap adanya kampanye aktif yang menargetkan orang-orang yang pernah atau sering menghadiri konferensi cybersecurity seperti Black Hat dan DEF CON.
Serangan dimulai di platform X, di mana pelaku menggunakan akun palsu untuk berinteraksi dengan orang-orang yang berbagi konten dari konferensi-konferensi tersebut. Setelah membangun hubungan, mereka mulai mengirim pesan langsung, mengklaim bahwa mereka sedang mengorganisir konferensi baru dan membagikan file Google Docs yang berisi “informasi lebih lanjut” kepada korban.
Serangan lanjutan
Di sinilah para penyerang beraksi lebih lanjut dalam serangan ClickFix. Dokumen yang dikirimkan penyusup dilengkapi dengan sidebar vertikal yang tampaknya berfungsi sebagai fitur keamanan untuk menjaga isi file tetap terenkripsi. Korban diberikan kode dekripsi untuk dimasukkan, namun kode tersebut menghasilkan kesalahan dan menawarkan solusi – membuka Terminal dan menyalin menempelkan sepotong kode.
Dari titik ini, mengikuti praktik biasa dalam serangan ClickFix, korban akhirnya mengunduh dan menjalankan AMOS, sebuah infostealer terkenal di Mac yang dapat mengambil informasi browser, cookie, data dari keychain, informasi dompet cryptocurrency, file Telegram, dan banyak lagi. Versi untuk Windows tidak berfungsi ketika Huntress mencoba menganalisisnya, namun bisa dipastikan bahwa tujuan akhir serangan tetap sama.
Huntress juga menemukan bahwa serangan ini tidak berhenti di situ. Jika korban tidak menginstal perangkat lunak pencuri informasi, pelaku akan mengirimkan dokumen lain yang kali ini berpura-pura berasal dari Dropbox dan hanya bekerja dengan aplikasi desktop. Tentu saja, tombol unduh akan mengarahkan langsung ke infostealer tersebut.
Para peneliti membagikan daftar lengkap dari Indikator Kompromi (IoC) yang dapat dilihat pada link mereka. Mereka juga menyarankan siapa pun yang berinteraksi dengan umpan yang serupa untuk mengisolasi sistem dari jaringan, mengumpulkan bukti forensik yang relevan, dan “mempertimbangkan untuk mem-format ulang sistem.”
Mereka mengingatkan, “Anggaplah bahwa kredensial pada sistem telah dikompromikan. Cabut sesi aktif, reset kata sandi, dan rotasi kunci API atau rahasia lain yang mungkin terdapat dalam sistem. Juga tinjau dompet cryptocurrency jika ada.” Hal ini menjadi pelajaran penting tentang bagaimana menjaga keamanan di era digital yang semakin kompleks.
