Peretas menginfeksi aplikasi komunikasi 3CX populer dengan malware

Peretas telah mengkompromikan 3CX, konferensi video populer dan aplikasi manajemen telepon bisnis yang digunakan oleh lebih dari 600.000 perusahaan.

Beberapa penyedia keamanan siber, termasuk CrowdStrike Holdings Inc., diterbitkan peringatan tentang pelanggaran pada hari Rabu. CrowdStrike yakin para peretas di balik pelanggaran itu terkait dengan aktor ancaman yang didukung negara Korea Utara yang dikenal sebagai Labyrinth Chollima. Menurut perusahaan, para peretas menggunakan aplikasi 3CX yang disusupi untuk meluncurkan serangan siber terhadap pengguna.

600.000 perusahaan yang menggunakan 3CX termasuk perusahaan besar seperti Coca-Cola Co., McDonald’s Corp. dan BMW AG. Perangkat lunak ini memiliki sekitar 12 juta pengguna harian di seluruh dunia.

Berdasarkan Komputer Tidur, tanda-tanda bahwa CX3 telah disusupi mulai muncul lebih dari seminggu yang lalu. Pada tanggal 22 Maret, banyak pelanggan melaporkan bahwa perangkat lunak antivirus mereka telah menandai aplikasi tersebut sebagai berbahaya. Versi berbahaya dari aplikasi CX2 dikirimkan lebih dari dua minggu sebelumnya, pada tanggal 3 Maret.

Malware mengirimkan data yang dicurinya ke infrastruktur jarak jauh yang dikendalikan oleh peretas. Menurut SentinelOne Inc. analisissebagian infrastruktur itu sudah disiapkan sejak awal Februari lalu.

Sebagai bagian dari serangan siber, para peretas mengemas kode berbahaya ke dalam penginstal klien desktop 3CX. Versi Windows dan Mac keduanya terpengaruh. Selain itu, pelanggan yang sudah menginstal 3CX menerima pembaruan yang juga berisi kode berbahaya.

Menurut CrowdStrike, penginstal dan pembaruan berbahaya telah ditandatangani. Penandatanganan kode adalah metode keamanan dunia maya yang memungkinkan perusahaan untuk memastikannya mengembangkan perangkat lunak. Dengan menggunakan metode ini, komputer dapat memverifikasi bahwa aplikasi yang akan diinstal telah diunduh dari sumber aslinya dan bukan dari server berbahaya.

Pierre Jourdan, kepala petugas informasi keamanan di 3CX, menyatakan dalam sebuah posting blog bahwa kode berbahaya tersebut tampaknya berasal dari salah satu “perpustakaan yang dibundel” yang digunakan perusahaan. Perpustakaan adalah komponen kode yang dikembangkan secara eksternal yang dimasukkan oleh para insinyur ke dalam perangkat lunak mereka. Jourdan tidak memberikan detail teknis tentang komponen berbahaya tersebut.

Menurut SentinelOne, aplikasi berbahaya 3CX menyebarkan malware di mesin pengguna melalui proses tiga fase.

Fase pertama melibatkan sepasang file DLL berbahaya yang ditambahkan oleh peretas ke klien desktop. Setelah diaktifkan, kedua file tersebut mengunduh lebih banyak kode berbahaya dari repositori GitHub. Pada fase ketiga, kode yang diunduh dari GitHub menginstal malware pencuri data.

Malware tersebut dapat mengumpulkan data tentang perangkat yang menjalankannya, serta mengekstraksi informasi dari aplikasi seperti Chrome. Dilaporkan menggunakan beberapa taktik berbeda untuk mengakses file sensitif. Antara lain, malware tersebut mampu mengaktifkan shell perintah interaktif, sebuah program yang digunakan oleh administrator untuk mengubah konfigurasi komputer dan mengambil data sistem.

“Aktivitas berbahaya tersebut termasuk mercusuar ke infrastruktur yang dikendalikan aktor, penerapan muatan tahap kedua, dan, dalam sejumlah kecil kasus, aktivitas keyboard langsung,” peneliti CrowdStrike terperinci dalam sebuah penasehat.

Produk keamanan siber dari CrowdStrike, SentinelOne, dan beberapa penyedia antivirus lainnya secara otomatis memblokir klien 3CX yang berbahaya. Dalam posting forum pagi ini, Chief Executive Officer 3CX Nick Galea dikabarkan menyarankan pelanggan untuk meng-uninstall aplikasi tersebut. Galea menambahkan bahwa perusahaan sedang mengerjakan pembaruan yang akan menghapus malware dan menjanjikan “laporan lengkap” tentang insiden tersebut hari ini.

Gambar: 3CX