Tag: Security

Saya baru baca blognya yohanes nugroho tentang ransomware brain cipher. Yohanes ini salah satu dewa reverse di Indonesia. Di blog itu dia share tentang reverse engineering ransomware brain cipher yang nyerang PDN. Disitu dia jelasin tentang Ransomware Lockbit, jadi brain cipher ini salah satu variannya lockbit. Walupun geng yang bikin lockbit ini udah di takedown, namun buildernya udah bocor, sehingga banyak muncul varian dari lockbit. Biasanya sebelum nyerang mereka bikin file locker.exe dan unlocker.exe. Locker.exe isinya public key, unlocker.exe isinya private key. locker.exe menghasilkan key yang unik. Malwarenya juga beda2, tergantung settingan config.json yang dipake.

Setiap locker.exe ini punya ID enkripsi yang unik. Ini buat si hacker ngenalin si korban pake kunci yang mana. Pas si korban kena ransom, file korban bakal terenkrip dan dia dapat pesan ransom, biasanya isinya alamat url yang harus dikunjungi (pake tor) dan ID enkripsi. Kalo orang buka alamat url tersebut dan masukin id enkripsi dia bisa chat sama si hacker. Lockbit ternyata udah sampe versi 3, sekarang pake algoritma Salsa20, dah gak pake AES, trus pake obfuscation juga. Yohanes dan temennya ternyata sempet menawarkan bantuan ke bssn buat ngereverse si brain cipher ini, cuman ya begitulah bssn kita. Dia coba cari sampel si ransomware dari IOC yang dishare BSSN.

Dari sampel yang dia dapet, menurut yohanes ada bug yang bisa dieksploitasi, yaitu bug keystream reuse, bahkan dia dah bikin POC nya. Dia menemukan kelemahan ransomware kalo misalnya ada 2 file di dalam satu folder, yang satu namanya pendek, yang satu namanya panjang, maka file yang namanye pendek tadi bisa dia dekrip isinya. Perbedaan panjang nama filenya harus minimal 82 karakter. Penjelasannya rada panjang tapi menarik.

tulisan yohanes bisa dilihat disini:

https://blog.compactbyte.com/2024/07/01/reverse-engineering-ransomware-brain-cipher-penyerang-pdn

tentang celah keamanan keystream reuse:

https://blog.calif.io/p/dissecting-lockbit-v3-ransomware#§keystream-reuse-vulnerability

Semoga bermanfaat!

Untuk melakukan analisa malware selalu ada resiko komputer kita terinfeksi. Lebih parah lagi kalo sampe nyebar ke jaringan. Jadi analisa malware harus dilakukan secara hati-hati. Berikut ini ada beberapa tips analisa malware yang aman:

1. Idealnya gunakan komputer yang berbeda dengan komputer yang kita pake sehari-hari.
2. Kalo pake VM, Gunakan sistem operasi yang berbeda dengan host. Misalnya VM nya windows, Hostnya ubuntu
3. Mesin untuk analisa malware tidak terhubung ke jaringan
4. Untuk transfer file menggunakan Flash disk (USB), kasih label yang jelas agar tidak tertukar. Misalnya pake tulisan warna merah, (berbahaya!!)
5. Kalo transfer malware menggunakan shared folder, setting folder di VM hanya “readable” , jangan writeable
6. Untuk OS Windows, gunakan (ACL) Access Control List untuk mencegah eksekusi. Walaupun begitu untuk file dengan format .msi masih bisa melakukan unpacking ke TEMP dan melakukan eksekusi.
7. Pada windows gunakan ekstensi yang non-executable misalnya .vir, .bin Untuk mengubah ekstensi file sebaiknya tidak menggunakan explorer, baiknya pake script atau pake tools ReNamer. Hal ini untuk mencegah eksekusi malware secara tidak sengaja dan mencegah eksploit exec pada PE icon loading.
8. Jangan jalankan tools analisis pada host yang tidak statik secara keseluruhan. Contohnya De4Dot tidak sepenuhnya statik, tergantung pada metoda deobfuscation. Kalo gak yakin lakukan analisa pada mesin analisa dinamik
9. Ketika ngeshare sample, gunakan archive terenkripsi dengan password “infected”
10. Jangan pernah klik links/URL/C2 (command & control server)
11. Jangan juganakan fitur seperti clipboard sharing antara VM dan host
12. Gunakan fake network

Referensi:

dari thread Karsten Hahn https://twitter.com/struppigel/status/1617384467731185665

Buat yang lagi belajar analisa malware ada tutorial bagus dari Paul. Dia pake tools Flare-VM dari mandiant, radare2 sama idapro. Dia bagi tutorialnya dalam beberapa tulisan. Bagian pertama tentang dasar analisa malware, dia jelasin tentang analisa statik dan ngasih contoh analisa sebuah keylogger, bisa dilihat disini:

https://artik.blue/malware1

Tulisan kedua dia ngasih contoh analisa maldocs (malware yang disisipin di dokumen office). Biasanya maldoc ini eksploitasi fungsi makro. bisa dilihat disini:

https://artik.blue/malware2

Bagian berikutnya dia ngebahas tentang teknik unpacking/dekripsi malware. Dia ngasih contoh malware dridex, Salah satu malware banking. Tulisannya bisa dilihat disini:

https://artik.blue/malware3

Tulisan berikutnya masih ngebahas teknik unpacking, tapi dia ngebahas sampel yang lebih kompleks. Dia contohin pake Ramnit:

https://artik.blue/malware4

Tulisan berikutnya dia ngebahas tentang cara ngerverse sampel, buat mempelajari berbagai cara kerja malwarenya, seperti koneksi ke server command & server (CNC) dan algoritma lainnya. Contoh yang dia bahas adalah ICEID loader:

https://artik.blue/malware5

Tulisan berikutnya dia ngebahas tentang berbagai teknik injeksi. Teknik ini biasanya dipake malware buat mengelabui antivirus (evasion). Diantaranya teknik dll injection:

https://artik.blue/malware6

Tulisannya detail dan mudah dipahami. Seru banget buat yang belajar analisa malware. Kayaknya masih bakalan ada lanjutannya tulisan om paul ini. thx om Paul. Semoga Bermanfaat!