Ringkasan laporan dari Black Lotus Labs
Gambaran insiden
- Terjadi insiden: Selama 72 jam dari 25 hingga 27 Oktober 2023, lebih dari 600 ribu router small office/home office (SOHO) yang berada di bawah satu penyedia layanan internet (ISP) menjadi offline.
- Dampak: Perangkat yang terinfeksi menjadi tidak dapat berfungsi secara permanen dan memerlukan penggantian perangkat keras.
- Penyebab utama: Trojan akses jarak jauh (RAT) bernama "Chalubo" diidentifikasi sebagai penyebab utama.
Trojan Chalubo
- Pertama kali ditemukan: Pertama kali ditemukan pada 2018.
- Karakteristik:
- Menghapus semua file dari disk dan berjalan di memori.
- Menggunakan nama proses acak yang sudah ada di perangkat.
- Mengenkripsi seluruh komunikasi dengan server command and control (C2).
- Fungsi: Dapat menjalankan serangan DDoS dan mengeksekusi skrip Lua.
Proses infeksi
- Akses awal: Kemungkinan besar memanfaatkan kredensial yang lemah atau antarmuka manajemen yang terekspos.
- Tahap infeksi:
- Tahap pertama: Mengakses server payload awal melalui skrip bash "get_scrpc".
- Tahap kedua: Mengunduh dan menjalankan skrip serta payload tambahan.
- File utama:
/usr/bin/usb2rci, /tmp/.adiisu, /tmp/crrs dan lain-lain.
Status infeksi global
- Aktivitas: Dari November 2023 hingga awal 2024, malware Chalubo sangat aktif.
- Alamat IP terinfeksi: Per 30 Oktober 2023, lebih dari 330 ribu alamat IP unik terinfeksi.
Kesimpulan
- Keunikan: Serangan ini terbatas pada ASN tertentu, tetapi memengaruhi lebih dari 600 ribu perangkat.
- Tujuan serangan: Membuat perangkat tidak dapat berfungsi melalui pembaruan firmware yang disengaja.
- Rekomendasi keamanan:
- Organisasi pengelola router SOHO: Jangan gunakan kata sandi bawaan, dan perkuat keamanan antarmuka manajemen.
- Pengguna umum: Lakukan reboot router secara berkala dan pasang pembaruan keamanan.
Opini GN⁺
- Hal yang menarik: Insiden ini sangat tidak lazim karena terbatas pada satu ISP dan memerlukan penggantian perangkat keras dalam skala besar.
- Kebutuhan penguatan keamanan: Penguatan keamanan untuk router SOHO dan perangkat IoT sangat mendesak.
- Pelajaran teknis: Malware berkembang dengan teknik penghindaran deteksi, seperti hanya berjalan di memori dan mengenkripsi komunikasi.
- Solusi alternatif: Perlu meninjau solusi atau proyek keamanan lain yang menyediakan fungsi serupa.
- Hal yang perlu dipertimbangkan saat adopsi: Saat mengadopsi teknologi keamanan baru, perlu mempertimbangkan kompatibilitas dengan sistem yang ada dan kemudahan pengelolaan.
1 komentar
Komentar Hacker News