Pengantar

Peneliti keamanan siber menemukan sebuah framework malware baru bernama Avalon. Malware ini disebarkan melalui serangan phishing bertahap dan dirancang untuk melewati berbagai sistem keamanan tradisional.

Avalon bukan sekadar malware pencuri data. Framework ini menggabungkan banyak kemampuan dalam satu paket, seperti mencuri kredensial, mengendalikan komputer dari jarak jauh, menyebar ke perangkat lain, merusak sistem pemulihan, dan menjalankan ransomware.

Komponen ransomware yang terdapat di dalam framework tersebut diberi nama CrownX.

Apa Itu Avalon?

Avalon merupakan sebuah framework malware modular. Artinya, malware ini dibangun dari beberapa komponen yang mempunyai fungsi berbeda-beda.

Penyerang dapat menggunakan Avalon untuk menjalankan berbagai aktivitas, antara lain:

  • Mengumpulkan informasi komputer korban.
  • Mencuri kata sandi dan data autentikasi.
  • Mengambil data dari browser.
  • Mencari komputer lain di dalam jaringan.
  • Menjalankan perintah dari jarak jauh.
  • Menghapus jejak serangan.
  • Mengenkripsi data menggunakan ransomware CrownX.

Pendekatan modular membuat Avalon lebih fleksibel daripada malware yang hanya memiliki satu fungsi. Penyerang tidak perlu memasang banyak malware berbeda karena berbagai kemampuan sudah tersedia dalam satu framework.

Serangan Dimulai dari Email Phishing

Serangan Avalon dimulai melalui email phishing yang dibuat menyerupai pemberitahuan dokumen hukum. Korban diarahkan ke sebuah arsip yang dilindungi kata sandi dan disimpan di Proton Drive.

Penggunaan layanan penyimpanan yang sah membuat tautan tersebut terlihat seperti bagian dari proses bisnis biasa. Selain itu, penggunaan arsip yang dilindungi kata sandi membuat sistem keamanan email lebih sulit memeriksa isinya.

Di dalam arsip tersebut terdapat file ISO yang menyamar sebagai paket dokumen aman. Setelah file ISO dibuka, korban akan melihat shortcut Windows dengan nama yang menyerupai dokumen PDF.

Secara sederhana, rantai serangannya adalah sebagai berikut:

Email phishing
      ↓
Tautan Proton Drive
      ↓
Arsip dengan kata sandi
      ↓
File ISO
      ↓
Shortcut Windows atau LNK
      ↓
MSBuild menjalankan kode berbahaya
      ↓
Avalon aktif di komputer
      ↓
Pencurian data dan penyebaran
      ↓
Ransomware CrownX

Penyalahgunaan MSBuild

Ketika korban membuka shortcut tersebut, sistem akan menjalankan perintah melalui cmd.exe. Perintah itu kemudian mencari sebuah file yang sebenarnya merupakan proyek MSBuild berbahaya.

MSBuild merupakan alat resmi Microsoft yang biasanya digunakan untuk membangun aplikasi .NET. Namun, dalam serangan ini, MSBuild disalahgunakan untuk menjalankan kode C# yang telah disisipkan di dalam file proyek.

Karena MSBuild merupakan program resmi Microsoft, aktivitasnya bisa terlihat lebih normal dibandingkan jika penyerang langsung menjalankan file malware biasa.

Kode berbahaya kemudian membuka dan menjalankan payload berikutnya langsung dari memori. Cara ini membantu penyerang mengurangi jumlah file berbahaya yang tersimpan di hard disk.

Berusaha Mengurangi Jejak Keamanan

Sebelum menjalankan payload utama, loader Avalon berusaha mengganggu beberapa fungsi pemantauan Windows.

Salah satunya adalah Event Tracing for Windows atau ETW, yaitu mekanisme yang digunakan Windows dan beberapa produk keamanan untuk mencatat aktivitas sistem. Avalon juga memiliki fungsi yang berkaitan dengan Antimalware Scan Interface atau AMSI, yang biasanya membantu antivirus memeriksa script dan konten di dalam memori.

Tujuannya adalah mengurangi informasi yang dapat dikumpulkan oleh antivirus, EDR, dan tim keamanan ketika serangan berlangsung.

Peneliti juga menemukan fungsi yang dirancang untuk menyesuaikan eksekusi malware berdasarkan produk keamanan yang terdapat pada komputer korban. Produk yang disebutkan dalam analisis antara lain Microsoft Defender, CrowdStrike, SentinelOne, Sophos, Elastic Endpoint, ESET, McAfee, FortiEDR, dan Bitdefender.

Data yang Menjadi Target Avalon

Setelah aktif, Avalon dapat mengumpulkan berbagai informasi sensitif dari komputer korban.

Malware ini menargetkan data browser berbasis Chromium dan Mozilla Firefox, seperti:

  • Kata sandi yang disimpan.
  • Cookie browser.
  • Riwayat penelusuran.
  • Bookmark.
  • Informasi sesi pengguna.

Avalon juga mencari data dari aplikasi dompet cryptocurrency, termasuk MetaMask, Phantom, Coinbase Wallet, Exodus, Electrum, Atomic Wallet, Ledger Live, dan Bitcoin Core.

Selain itu, malware ini dapat mencari data dari Discord, Slack, Microsoft Teams, OpenVPN, WireGuard, Windows Credential Manager, profil Wi-Fi, koneksi RDP yang tersimpan, dan daftar host SSH.

Data tersebut berbahaya jika jatuh ke tangan penyerang. Cookie dan token sesi, misalnya, dalam kondisi tertentu dapat digunakan untuk mengambil alih akun tanpa harus mengetahui kata sandinya.

Komunikasi dengan Server Penyerang

Avalon berkomunikasi dengan server command-and-control atau C2. Server ini digunakan untuk menerima data curian dan mengirimkan perintah baru kepada malware.

Dalam analisis Blackpoint Cyber, komunikasi ditemukan menuju domain:

helloxcherry[.]com

Malware menggunakan permintaan HTTP POST dengan tampilan yang menyerupai lalu lintas browser biasa. Teknik ini digunakan agar komunikasi berbahaya lebih sulit dibedakan dari aktivitas internet normal.

Mampu Menyebar ke Komputer Lain

Avalon tidak hanya menyerang satu komputer. Framework ini juga memiliki kemampuan untuk mencari sistem lain yang dianggap penting di dalam jaringan.

Beberapa sistem yang menjadi prioritas antara lain:

  • Domain controller.
  • Server perusahaan.
  • Platform backup.
  • Server virtualisasi.
  • Sistem penyimpanan data.
  • Server email.
  • Infrastruktur administrasi.

Avalon mencari nama atau sistem yang berkaitan dengan Veeam, Acronis, NetApp, Synology, Exchange, Citrix, Hyper-V, dan vCenter.

Malware kemudian dapat menggunakan kredensial atau token yang berhasil dicuri untuk mencoba mengakses komputer lain. Eksekusi jarak jauh dapat dilakukan melalui scheduled task, layanan remote, administrative share, dan metode yang menyerupai PsExec.

CrownX sebagai Tahap Akhir Serangan

Setelah data dicuri dan jaringan berhasil dipetakan, penyerang dapat menjalankan komponen ransomware bernama CrownX.

CrownX menggunakan fasilitas kriptografi Windows untuk mengenkripsi file. Analisis menemukan penggunaan AES dalam mode Galois/Counter Mode atau AES-GCM.

Ransomware ini menargetkan berbagai data penting, seperti:

  • Dokumen bisnis.
  • Database.
  • Source code.
  • File konfigurasi.
  • Proyek desain dan teknik.
  • Data mesin virtual.
  • File pengembangan aplikasi.
  • Data penyimpanan perusahaan.

Targetnya tidak hanya dokumen pengguna. CrownX juga dirancang untuk mengganggu lingkungan pengembangan, database, sistem engineering, dan infrastruktur virtual.

Setelah proses enkripsi selesai, CrownX menampilkan catatan tebusan dalam format HTML atau teks. Catatan tersebut dapat memuat jumlah file yang dienkripsi, nama komputer korban, instruksi pembayaran, dan penghitung waktu sebelum nilai tebusan dinaikkan.

Menghambat Proses Pemulihan

Salah satu kemampuan yang membuat Avalon berbahaya adalah usahanya mengganggu proses pemulihan.

Framework ini dapat mencoba:

  • Menghentikan Volume Shadow Copy Service.
  • Menghapus shadow copy.
  • Mengubah konfigurasi pemulihan Windows.
  • Mengganggu Windows Recovery Environment.
  • Menghapus restore point.
  • Merusak informasi yang berkaitan dengan sistem pemulihan.

Shadow copy biasanya dapat membantu administrator mengembalikan file ke versi sebelumnya. Dengan menghapusnya, penyerang berusaha membuat korban semakin bergantung pada backup eksternal atau terpaksa mempertimbangkan pembayaran tebusan.

Menghapus Jejak Serangan

Avalon juga mempunyai kemampuan anti-forensik. Fitur ini digunakan untuk menghapus atau mengganggu artefak Windows yang biasanya dianalisis oleh investigator.

Beberapa artefak yang menjadi sasaran meliputi:

  • Prefetch.
  • AmCache.
  • ShimCache.
  • Jump List.
  • Riwayat file terbaru.
  • SRUM.
  • BAM dan DAM.

Informasi tersebut biasanya membantu investigator mengetahui program apa yang dijalankan, kapan program dijalankan, dan file apa yang pernah diakses.

Penghapusan artefak membuat proses investigasi dan rekonstruksi insiden menjadi lebih sulit.

Indikasi Pengembangan dengan Bantuan AI

Peneliti melihat adanya tanda-tanda bahwa Avalon kemungkinan dikembangkan dengan bantuan kecerdasan buatan.

Framework ini memiliki banyak fungsi, tetapi beberapa komponennya terlihat seperti dikumpulkan dan digabungkan dengan cepat. Hal tersebut menunjukkan bahwa penyerang mungkin menggunakan AI untuk membantu menghasilkan kode, mengembangkan modul, atau mempercepat proses pembuatan malware.

Ini tidak berarti AI sepenuhnya menjalankan serangan secara mandiri. Namun, AI dapat menurunkan hambatan teknis dalam pembuatan malware.

Pelaku yang sebelumnya tidak mampu membangun framework kompleks kini berpotensi menghasilkan perangkat serangan dengan lebih cepat. Karena itu, banyaknya kemampuan pada sebuah malware tidak selalu menunjukkan bahwa pembuatnya adalah kelompok yang sangat berpengalaman.

Cara Mendeteksi Serangan Avalon

Tim keamanan perlu memperhatikan beberapa aktivitas mencurigakan, seperti:

  • File ISO yang berasal dari email atau layanan berbagi file.
  • Shortcut .lnk yang menyamar sebagai dokumen.
  • MSBuild yang dijalankan dari direktori sementara atau media ISO.
  • MSBuild yang membuat koneksi internet.
  • Eksekusi kode .NET langsung dari memori.
  • Upaya mengganggu ETW atau AMSI.
  • Penghapusan shadow copy.
  • Penghentian Volume Shadow Copy Service.
  • Akses tidak biasa ke database browser.
  • Percobaan autentikasi ke banyak komputer.
  • Pembuatan scheduled task dari jarak jauh.
  • Koneksi menuju domain atau server yang tidak dikenal.

Pemantauan sebaiknya dilakukan berdasarkan perilaku, bukan hanya berdasarkan nama atau hash file. Penyerang dapat mengganti nama file dan memodifikasi payload, tetapi pola serangannya sering kali tetap dapat dikenali.

Langkah Mitigasi

Organisasi dapat mengurangi risiko serangan serupa dengan beberapa langkah berikut.

Pertama, berikan edukasi kepada pengguna agar berhati-hati terhadap email yang mengatasnamakan dokumen hukum, tagihan, kontrak, atau pemberitahuan penting.

Kedua, blokir atau batasi file ISO, shortcut LNK, dan arsip yang dilindungi kata sandi apabila format tersebut tidak dibutuhkan dalam pekerjaan.

Ketiga, pantau penggunaan MSBuild, terutama ketika alat tersebut dijalankan oleh pengguna yang bukan pengembang atau berasal dari direktori yang tidak biasa.

Keempat, gunakan EDR atau XDR yang mampu mendeteksi perilaku mencurigakan di endpoint. Antivirus berbasis signature saja kemungkinan tidak cukup untuk menghadapi serangan yang berjalan melalui memori dan menyalahgunakan alat resmi Windows.

Organisasi juga perlu menerapkan MFA, segmentasi jaringan, prinsip least privilege, pembatasan hak administrator, serta backup yang terpisah dari jaringan utama.

Backup harus diuji secara berkala. Memiliki backup saja tidak cukup apabila proses pemulihannya belum pernah diuji atau backup tersebut masih dapat dihapus menggunakan akun administrator yang berhasil dicuri.

Kesimpulan

Avalon menunjukkan bagaimana malware modern semakin berkembang menjadi framework dengan banyak kemampuan.

Serangan dimulai dari email phishing yang terlihat sederhana. Namun, setelah korban membuka file berbahaya, Avalon dapat mencuri kredensial, mengumpulkan data, berkomunikasi dengan server penyerang, menyebar ke komputer lain, mengganggu sistem pemulihan, dan akhirnya menjalankan ransomware CrownX.

Ancaman terbesar Avalon bukan hanya enkripsi file. Sebelum catatan tebusan muncul, malware kemungkinan sudah mencuri informasi penting dan membuka jalan menuju sistem lain.

Karena itu, pertahanan terbaik adalah menghentikan serangan sejak tahap awal. Organisasi perlu menggabungkan edukasi pengguna, pembatasan aplikasi, pemantauan endpoint, segmentasi jaringan, autentikasi berlapis, dan backup yang benar-benar terisolasi.

Kasus Avalon juga menjadi peringatan bahwa bantuan AI dapat mempercepat pembuatan malware yang kompleks. Ke depan, organisasi tidak hanya menghadapi serangan yang lebih canggih, tetapi juga serangan yang dapat dikembangkan dan dimodifikasi dalam waktu lebih singkat.

Related Posts: