Guildma: Malware perbankan yang menggunakan email, Facebook, dan YouTube untuk menyebar

Penelitinya ESET, menurut analisis terbaru dari Trojan perbankan mempengaruhi Amerika Latin, melanjutkan ke anatominya Persekutuan.

Σkhususnya, melanjutkan ke anatomi yang paling kuat dan canggih Trojan perbankan yang pernah mereka temui dari kelompok ini di daerah itu: the Persekutuan. Malware ini secara khusus menargetkan institusi perbankan, mencoba mencuri kredensial untuk akun email, toko elektronik, dan layanan streaming di Brasil.

Itu telah menginfeksi setidaknya 10 kali lebih banyak korban daripada Trojan perbankan Amerika Latin lainnya yang dianalisis oleh ESET. Selama periode booming - kampanye besar di tahun 2019 - ESET telah mencatat hingga 50.000 serangan sehari. Guildma menyebar secara eksklusif melalui email yang tidak diminta dengan lampiran berbahaya.

Dalam salah satu rilis terbarunya, Guildma menggunakan cara baru untuk mendistribusikan server perintah dan kontrol, menyalahgunakan profil di YouTube dan Facebook. Namun, operatornya segera berhenti menggunakan Facebook dan, setidaknya pada tahap ini, bergantung sepenuhnya pada YouTube.

«Guildma menggunakan metode eksekusi yang sangat inovatif dan teknik serangan yang canggih. Serangan sebenarnya diatur oleh server C&C. Dengan cara ini, operatornya dapat bereaksi lebih fleksibel terhadap tindakan pencegahan yang diterapkan oleh bank saat diserangJelas Robert uman, peneliti ESET yang memimpin tim analisis Guildma.

Guildma memiliki beberapa fungsi backdoor, seperti mengambil tangkapan layar, merekam penekanan tombol, mensimulasikan fungsi mouse dan keyboard, memblokir pintasan (seperti menonaktifkan Alt + F4 untuk mempersulit jendela palsu menghilang), dan/atau reboot.

Selain itu, Guildma memiliki arsitektur yang sangat modular, saat ini terdiri dari setidaknya 10 modul. Malware menggunakan alat yang sudah ada di mesin dan menggunakan kembali metodenya sendiri. «Teknik baru ditambahkan dari waktu ke waktu, tetapi sebagian besar, pengembang tampaknya hanya menggunakan kembali teknik dari versi yang lebih lama.", kata uman.

Dalam salah satu edisi pertamanya Persekutuan pada 2019, kemungkinan penargetan lembaga (terutama bank) di luar Brasil ditambahkan. Namun, selama 14 bulan terakhir, ESET tidak mendeteksi adanya kampanye internasional di luar negeri. Faktanya, penyerang bertindak lebih jauh dengan memblokir unduhan dari alamat IP di luar Brasil.

Kampanye Guildma meningkat perlahan hingga kampanye besar-besaran pada Agustus 2019, ketika Tim Riset ESET mencatat hingga 50.000 sampel per hari. Kampanye ini berlanjut selama hampir dua bulan, mencapai lebih dari dua kali lipat jumlah deteksi yang diamati 10 bulan sebelumnya.

Sumber