BINDCLOAK Gunakan Token Windows Curian untuk Jalankan Malware

Sebuah backdoor Windows baru bernama BINDCLOAK ditemukan digunakan dalam operasi spionase siber yang diduga terkait dengan kelompok ancaman asal Asia Timur. Malware ini dirancang untuk memberikan akses yang lebih dalam ke jaringan korban dengan memanfaatkan token akses Windows yang dicuri agar dapat menjalankan malware menggunakan hak akses pengguna atau proses yang memiliki privilese lebih tinggi.

Baca Juga : Update April Windows Picu Error Warning di Remote Desktop

Berdasarkan temuan peneliti keamanan dari Zscaler yang dibagikan kepada Cyber Security News (CSN), kampanye ini menyasar sejumlah instansi pemerintah di kawasan Timur Tengah, terutama organisasi yang bergerak di sektor energi. Teknik yang digunakan menunjukkan bahwa pelaku memiliki kemampuan tinggi dalam mempertahankan akses sekaligus menghindari deteksi sistem keamanan.

Rantai Serangan Dimulai dari File ISO

Serangan yang memanfaatkan BINDCLOAK berlangsung melalui beberapa tahapan. Proses infeksi diawali dengan penyebaran file ISO yang berisi komponen Windows yang tampak sah. Setelah korban menjalankan file tersebut, malware TELESHIM akan diinstal sebagai tahap awal.

Selanjutnya, TELESHIM mengunduh dan menjalankan MIXEDKEY, yang bertugas mendekripsi serta memuat BINDCLOAK langsung ke dalam memori menggunakan teknik reflective loading. Pendekatan ini membuat malware tidak perlu ditulis ke penyimpanan sehingga lebih sulit dideteksi oleh perangkat keamanan.

Laporan sebelumnya juga mengungkap bahwa TELESHIM memanfaatkan bot Telegram sebagai media pengendalian sistem yang telah berhasil dikompromikan sebelum akhirnya BINDCLOAK diaktifkan.

BINDCLOAK Manfaatkan Token Windows Curian

Salah satu kemampuan utama BINDCLOAK adalah mengumpulkan token akses Windows dari pengguna maupun proses yang sedang berjalan. Dalam sistem operasi Windows, token akses merupakan objek keamanan yang menentukan hak dan izin suatu akun atau proses saat mengakses sumber daya sistem.

Alih-alih hanya mengeksploitasi kerentanan untuk meningkatkan hak akses, BINDCLOAK memilih pendekatan yang lebih senyap. Malware ini mencari token yang tersedia, kemudian menggunakan token tersebut untuk menjalankan modul-modulnya dengan hak akses yang lebih tinggi.

Backdoor ini memiliki sejumlah perintah untuk:

• Mengumpulkan token pengguna yang tersedia.
• Memeriksa seluruh proses yang sedang aktif.
• Mengidentifikasi token yang dapat disalin atau digunakan kembali.
• Mencoba login menggunakan kredensial yang diberikan.
• Menyimpan token yang berhasil diperoleh untuk digunakan pada eksekusi berikutnya.

Selain itu, BINDCLOAK juga dapat memeriksa Process ID (PID), informasi akun, hingga izin token dari proses aktif. Operator kemudian dapat memilih token yang dianggap memiliki hak akses lebih tinggi, menduplikasinya, lalu menjalankan modul malware dalam konteks keamanan tersebut.

Teknik penyalahgunaan token seperti ini sangat berbahaya karena aktivitasnya dapat menyerupai perilaku normal Windows sehingga lebih sulit dibedakan dari proses yang sah.

Menjalankan Malware dengan Hak Akses Lebih Tinggi

Setelah memperoleh token yang memiliki privilese lebih tinggi, BINDCLOAK memanggil fungsi Windows ImpersonateLoggedOnUser agar seluruh aktivitas malware berjalan menggunakan identitas akun tersebut.

Dengan cara ini, malware dapat memperoleh akses yang lebih luas tanpa harus mengeksploitasi celah keamanan tambahan. Penelitian terbaru mengenai eskalasi hak akses di Windows juga menunjukkan bahwa apabila penyerang berhasil memperoleh akses tingkat SYSTEM, mereka dapat mengambil alih hampir seluruh kontrol atas perangkat yang terinfeksi.

Tidak hanya itu, BINDCLOAK juga mampu menghentikan, menghapus, maupun mengganti modul yang sedang berjalan. Kemampuan modular ini memungkinkan operator memperbarui fungsi malware tanpa perlu memasang ulang seluruh backdoor.

Arsitektur Modular Sulit Dideteksi

Dalam berkomunikasi dengan server Command and Control (C2), BINDCLOAK menggunakan koneksi TLS melalui TCP dengan sistem pengiriman pesan khusus.

Seluruh komunikasi malware diproses melalui beberapa lapisan perlindungan, mulai dari kompresi data, enkripsi ganda menggunakan rolling XOR key, hingga penambahan data acak sebelum dikirim ke modul yang sesuai.

Saat pertama kali aktif, malware akan mengumpulkan berbagai informasi penting dari perangkat korban, di antaranya:

• Versi sistem operasi Windows.
• Nama komputer.
• Username pengguna.
• Hostname.
• Alamat IP lokal.
• Waktu lokal perangkat.

Informasi tersebut membantu operator menentukan target yang paling bernilai sebelum mengirimkan perintah atau plugin tambahan.

BINDCLOAK juga memiliki plugin loader yang membuat area memori dengan izin baca, tulis, dan eksekusi (RWX), kemudian memuat modul DLL langsung ke memori. Untuk mengurangi kemungkinan terdeteksi, malware menggunakan fungsi RtlQueueWorkItem guna memanggil LoadLibraryW, sehingga proses pemuatan DLL tampak lebih menyerupai aktivitas normal Windows.

Teknik serupa juga sering ditemukan pada serangan yang menyalahgunakan proses sah Windows untuk menyuntikkan DLL berbahaya, sehingga kode malware dapat bersembunyi di balik aktivitas yang dipercaya oleh sistem keamanan.

Diduga Merupakan Varian OctLurk

Berdasarkan analisis Zscaler, para peneliti memiliki tingkat keyakinan tinggi bahwa BINDCLOAK merupakan varian dari backdoor OctLurk. Kesimpulan tersebut didasarkan pada kemiripan kode program serta infrastruktur command and control yang digunakan oleh kedua malware.

Kelompok ancaman yang sebelumnya diketahui beroperasi di kawasan Asia Tengah kini diduga telah memperluas targetnya ke wilayah Timur Tengah. Kondisi ini menjadi pengingat bagi organisasi untuk lebih memperhatikan aktivitas yang tidak biasa, seperti penggunaan token akses yang mencurigakan, pemuatan DLL secara abnormal, maupun koneksi TLS keluar yang tidak dikenal.

Tim keamanan juga disarankan untuk menyelidiki keberadaan file ISO yang tidak dikenal, scheduled task yang mencurigakan, DLL yang ditempatkan berdampingan dengan executable tepercaya, hingga proses yang berjalan menggunakan konteks pengguna yang tidak semestinya.

Selain itu, pemantauan terhadap akses token proses yang tidak normal serta aktivitas web server yang mencurigakan dapat membantu proses investigasi insiden secara lebih menyeluruh.

Baca Juga : Kerentanan Windows RDP Ancam Keamanan Data Pengguna

Indicators of Compromise (IoCs)

Berikut beberapa Indicators of Compromise (IoCs) yang diidentifikasi dalam kampanye BINDCLOAK:

Catatan: Seluruh alamat IP dan domain di atas telah dibuat dalam format defanged (menggunakan [.]) untuk mencegah resolusi atau akses yang tidak disengaja. Gunakan kembali format normal (re-fang) hanya di lingkungan analisis ancaman yang terpercaya seperti MISP, VirusTotal, atau SIEM.