Cyber Security Alerts &
Advisories
Executive Summary
Kampanye phishing yang berhasil biasanya menggabungkan taktik penipuan korban
yang canggih dengan lapisan stealth, persistensi, dan teknik penghindaran tingkat lanjut,
sehingga aktor ancaman dapat secara diam-diam mempertahankan akses ke sistem dan
jaringan yang berhasil dikompromi.
Contoh utamanya adalah operasi baru yang melibatkan penggunaan malware perbankan
yang kemudian berubah menjadi remote access Trojan (RAT), yang oleh peneliti Fortinet
dilacak sebagai "MostereRAT." Kampanye ini menggabungkan penggunaan bahasa
pemrograman yang jarang digunakan, manipulasi terhadap alat keamanan, serta
penyalahgunaan perangkat lunak sah dan banyak dipakai untuk memberikan
pengendalian rahasia jangka panjang atas lingkungan korban.
Dalam laporan yang dirilis pada hari Senin, FortiGuard Labs milik Fortinet
memperingatkan bahwa kampanye ini merepresentasikan peningkatan yang
mengkhawatirkan dalam taktik penyerang, khususnya terkait dengan penonaktifan
antivirus (AV) dan pertahanan endpoint, serta penyembunyian aktivitas berbahaya
dengan cara membaur ke dalam aktivitas IT normal. Terkait target korban, kampanye ini
sejauh ini menargetkan pengguna Microsoft Windows di Jepang, namun tujuan akhir
masih belum jelas, kata Yurren Wan, peneliti ancaman di Fortinet's FortiGuard Labs.
09/09/2025 1
Cyber Security Alerts &
Advisories
Mostere RAT
Informasi:
Threat Actors : Unknown, advanced threat group dengan kemampuan mirip APT
Attack Type : Spear-phishing menggunakan dokumen Word berbahaya dengan link ZIP
yang mengeksekusi MostereRAT
Objective : Mendapatkan akses jarak jauh penuh, eksfiltrasi data, spionase, dan
kontrol jangka panjang
Target Technology : Windows OS, Windows Services, Scheduled Tasks, Registry, Remote
Desktop Tools (AnyDesk, TightVNC, RDP Wrapper, Xray)
Target Industry : Organisasi dan perusahaan di Jepang, berfokus pada lingkungan
berbasis Windows
Target Geography : Jepang
Business Impact : Pencurian data sensitif, potensi sabotase operasional, kerusakan
reputasi, dan risiko kepatuhan terhadap regulasi data.
Kampanye MostereRAT menargetkan organisasi di Jepang melalui email phishing yang
mengirimkan dokumen Word berbahaya dengan tautan ke file ZIP berisi executable
[Link], yang kemudian mengeksekusi payload terenkripsi secara tersembunyi. Setelah
aktif, malware membangun persistensi dengan membuat layanan Windows baru, scheduled
tasks, serta akun administrator tersembunyi, lalu meningkatkan hak akses menggunakan NSudo
untuk menjalankan proses dengan level SYSTEM dan TrustedInstaller. Mekanisme pertahanan
korban dilemahkan melalui pemblokiran antivirus menggunakan Windows Filtering Platform,
penghentian layanan keamanan, dan penghapusan scheduled tasks terkait sistem proteksi.
Untuk komunikasi command and control, MostereRAT menggunakan mTLS dengan sertifikat
unik sehingga trafik terenkripsi sulit dianalisis, kemudian mengunduh dan menjalankan berbagai
remote access tools seperti AnyDesk, TightVNC, Xray, dan RDP Wrapper yang memberikan
kendali penuh bagi penyerang secara covert. Dengan kombinasi teknik ini, MostereRAT
memungkinkan pengambilalihan sistem target untuk spionase, pencurian data, pemantauan
aktivitas pengguna, serta berpotensi menimbulkan gangguan operasional dan kerugian bisnis
yang signifikan.
09/09/2025 2
Cyber Security Alerts &
Advisories
Attack Flow Operation Mostere RAT:
09/09/2025 3
Cyber Security Alerts &
Advisories
Tactics, Techniques, and Procedures (TTPs) Mostere RAT
Taktik Teknik Prosedur
Initial Access Phishing (T1566) Penyerang menggunakan email
phishing yang menargetkan
organisasi di Jepang. Email berisi
dokumen Word dengan tautan ke file
ZIP berbahaya. Ketika dibuka, file
ZIP mengekstrak dan menjalankan
malware MostereRAT.
Execution User Execution (T1204) Korban secara manual membuka
dokumen Word dan mengunduh ZIP,
lalu mengeksekusi file [Link]
sehingga malware aktif di perangkat.
Execution Obfuscated Files or Information File [Link] berisi payload
(T1027) terenkripsi yang disamarkan sebagai
file gambar. Payload ini didekripsi
dengan algoritma sederhana
(operasi SUB 'A') sebelum
dieksekusi di direktori
C:\ProgramData\Windows.
Persistence Boot or Logon Autostart Execution Malware membuat dua layanan
(T1547) Windows baru, “WpnCoreSvc” dan
“WinSvc_”, yang diatur agar berjalan
otomatis saat sistem startup maupun
login. Layanan ini berjalan dengan
hak SYSTEM.
Persistence Scheduled Task/Job (T1053) Malware membuat scheduled tasks
dengan nama “winrshost” dan
“winresume” yang dieksekusi
berulang untuk mempertahankan
keberadaan malware setelah restart.
Persistence Create Account (T1136) Malware menambahkan akun
administrator tersembunyi dengan
nama “V”. Akun ini kemudian
dimodifikasi pada registry agar tidak
muncul di layar login, sehingga
memudahkan akses backdoor
permanen.
Privilege Exploitation for Privilege Malware menggunakan alat NSudo
Escalation Escalation (T1068) untuk menduplikasi token SYSTEM
dan TrustedInstaller. Hal ini
09/09/2025 4
Cyber Security Alerts &
Advisories
memungkinkan eksekusi perintah
dengan hak tertinggi di sistem tanpa
sepengetahuan pengguna.
Defense Evasion Impair Defenses (T1562) Malware secara aktif mencari jalur
instalasi antivirus dan EDR (misalnya
Windows Defender, Avast,
Kaspersky). Kemudian
menggunakan Windows Filtering
Platform (WFP) untuk memblokir
komunikasi keamanan serta
menghapus scheduled tasks milik
Windows Security.
Defense Evasion Disabling Security Tools (T1089) Malware menonaktifkan layanan
keamanan penting seperti wuauserv
(Windows Update) dan UsoSvc.
Selain itu, malware menghapus file
sistem tertentu untuk mencegah
pemulihan sistem keamanan.
Command and Encrypted Channel (T1573) Malware menggunakan protokol
Control mTLS (mutual TLS) dengan sertifikat
CA dan klien unik untuk memastikan
komunikasi ke server C2 terenkripsi
dan mencegah penyamaran pihak
ketiga.
Command and Exfiltration Over C2 Channel Data hasil pengumpulan (informasi
Control (T1041) sistem, hasil monitoring) dikirimkan
ke server C2 menggunakan port
9001 dan 9002 setelah verifikasi file
konfigurasi.
Execution Remote Access Software (T1219) Malware menginstal dan
(Payload) menjalankan perangkat lunak remote
seperti AnyDesk, TightVNC, RDP
Wrapper, dan Xray. Alat ini memberi
penyerang akses penuh ke
perangkat korban dengan tampilan
yang disembunyikan dari pengguna.
Execution Remote Services (T1021) Setelah instalasi remote tool,
(Payload) penyerang dapat mengakses
perangkat target menggunakan
layanan remote (RDP, VNC) secara
tersembunyi untuk kontrol jangka
panjang.
09/09/2025 5
Cyber Security Alerts &
Advisories
Discovery System Information Discovery Malware mengumpulkan informasi
(T1082) sistem termasuk GUID perangkat,
nama host, versi sistem operasi,
waktu instalasi, serta data booting
untuk profiling target.
Collection Automated Collection (T1119) Malware mengambil tangkapan
layar, mencatat aktivitas pengguna,
serta mengumpulkan data lain
secara otomatis lalu menyimpannya
sebelum dikirim ke server C2.
Indicator of Compromise:
Type Value
Hostname www[.]efu66[.]com
Domain mostere[.]com
Domain huanyu3333[.]com
Domain idkua93dkh9590764478t18822056bck[.]com
Domain osjfd923bk78735547771x3690026ddl[.]com
Domain zzzzzzz0379098305467195353458278[.]com
Domain xxxxxx25433693728080140850916444[.]com
SHA256 d281e41521ea88f923cf11389943a046557a2d73c20d30b64e02af1c04c64ed1
SHA256 4e3cdeba19e5749aa88329bc3ac67acd777ea7925ba0825a421cada083706a4e
SHA256 546a3418a26f2a83a2619d6c808985c149a0a1e22656553ce8172ca15622fd9b
SHA256 3c621b0c91b758767f883cbd041c8ef701b9806a78f2ae1e08f932b43fb433bb
SHA256 926b2b9349dbd4704e117304c2f0edfd266e4c91fb9325ecb11ba83fe17bc383
09/09/2025 6
Cyber Security Alerts &
Advisories
Yara Rule
rule MostereRAT_Fortinet_Generic_v2
{
meta:
author = "CTI Analysis"
description = "Generic detection for MostereRAT artifacts described in Fortinet report"
reference = "[Link]
full-access"
date = "2025-09-09"
malware_family = "MostereRAT"
strings:
// Service names used for persistence
$svc1 = "WpnCoreSvc" ascii
$svc2 = "WinSvc_" ascii
// Scheduled task names
$task1 = "winrshost" ascii
$task2 = "winresume" ascii
// Known install/executable path observed in report
$path = "C:\\ProgramData\\Windows\\[Link]" ascii
// Remote access tools referenced in the report
$anydesk = "AnyDesk" ascii
$tightvnc = "TightVNC" ascii
$rdpwrap = "RDP Wrapper" ascii
$xray = "Xray" ascii
condition:
// basic PE check and avoid very large files to speed scanning
uint16(0) == 0x5A4D and filesize < 52428800 and
(
any of ($svc*) or
any of ($task*) or
$path or
// require at least two RAT-related strings to reduce false positives
2 of ($anydesk, $tightvnc, $rdpwrap, $xray)
)
}
09/09/2025 7
Cyber Security Alerts &
Advisories
Rekomendasi:
1. Edukasi pengguna → latih karyawan agar tidak membuka lampiran/email mencurigakan.
2. Patch & update → pastikan Windows dan software keamanan selalu diperbarui.
3. Endpoint security → gunakan antivirus/EDR yang mampu mendeteksi RAT & remote
tools.
4. Kontrol software → blokir instalasi/eksekusi AnyDesk, TightVNC, RDP Wrapper, Xray
bila tidak resmi digunakan.
5. Monitoring → pantau aktivitas jaringan (terutama port 9001 & 9002) dan log Windows
untuk layanan baru atau akun admin tersembunyi.
6. Least privilege → batasi hak admin, gunakan akun standar untuk aktivitas sehari-hari.
7. Backup rutin → lakukan backup teratur dan pastikan tersimpan offline agar siap
dipulihkan.
Referensi:
1. [Link]
covert-full-access
2. [Link]
tools
3. [Link]
09/09/2025 8