Peretas Menyamar sebagai Pemasang Platform Pemrograman untuk Sebarkan Perangkat Lunak Pencuri Data

Ancaman siber terus berkembang dengan memanfaatkan kebiasaan pengguna internet saat mengunduh perangkat lunak dari mesin pencari. Dalam kampanye terbaru, pelaku kejahatan digital menggunakan iklan berbayar pada layanan pencarian untuk menyebarkan sebuah pemuat malware baru yang menyamar sebagai pemasang platform pemrograman populer.

Serangan ini diketahui menargetkan pengguna sistem operasi komputer milik Microsoft di Amerika Serikat. Korban hanya perlu mengklik hasil pencarian bersponsor yang terlihat meyakinkan untuk tanpa sadar mengunduh perangkat lunak pencuri data ke perangkat mereka.

Iklan Palsu Digunakan untuk Menjebak Korban

Serangan memanfaatkan kebiasaan pengguna yang mempercayai hasil pencarian teratas saat mencari perangkat lunak. Pelaku membuat halaman berbahaya yang dirancang menyerupai situs resmi penyedia perangkat lunak sehingga tampak sah di mata calon korban.

Ketika pengguna mengklik iklan tersebut, mereka diam-diam dialihkan melalui alamat internet perantara sebelum akhirnya mengunduh berkas perintah berbahaya yang disimpan pada layanan penyimpanan berbasis komputasi awan yang sah. Teknik ini membuat aktivitas berbahaya lebih sulit dikenali oleh berbagai sistem keamanan.

Peneliti keamanan siber yang mengungkap kampanye tersebut menemukan bahwa pemuat malware yang digunakan sebelumnya belum pernah didokumentasikan secara terbuka. Selain itu, tingkat pendeteksiannya sangat rendah, baik oleh perangkat lunak antivirus maupun lingkungan pengujian otomatis yang biasa digunakan untuk menganalisis malware.

Kampanye ini dijalankan melalui layanan iklan mesin pencari menggunakan akun pengiklan yang telah terverifikasi. Setelah aktivitas berbahaya teridentifikasi, akun tersebut beserta seluruh kampanye terkait akhirnya dihapus.

Perangkat Lunak Pencuri Data Menjadi Muatan Utama

Hal yang paling mengkhawatirkan dari serangan ini adalah kemampuan pelaku memanfaatkan berbagai layanan tepercaya untuk mengirimkan muatan berbahaya tanpa menimbulkan kecurigaan.

Muatan akhir yang dikirim melalui rangkaian serangan tersebut merupakan perangkat lunak pencuri data yang dirancang untuk mengumpulkan berbagai informasi sensitif dari sistem yang terinfeksi.

Data yang menjadi sasaran dapat mencakup informasi akun, data peramban internet, kredensial masuk, serta berbagai informasi lain yang dapat dimanfaatkan untuk pencurian identitas maupun akses tidak sah ke layanan digital.

Rantai Infeksi Berawal dari Pencarian Perangkat Lunak

Halaman Palsu Menyerupai Situs Resmi

Proses infeksi dimulai ketika pengguna mencari pemasang perangkat lunak dan mengklik hasil pencarian bersponsor.

Korban kemudian diarahkan ke halaman palsu yang dirancang menyerupai situs resmi penyedia perangkat lunak tersebut. Setelah itu, sistem mengalihkan pengguna melalui alamat internet perantara menuju berkas perintah berbahaya yang disimpan pada layanan penyimpanan berbasis komputasi awan.

Pelaku sengaja memanfaatkan layanan yang memiliki reputasi baik untuk menghindari penyaringan keamanan yang bergantung pada reputasi alamat internet.

Menampilkan Jendela Pemasangan Palsu

Berkas perintah berbahaya tersebut tidak hanya berjalan di latar belakang, tetapi juga menampilkan jendela pemasangan perangkat lunak palsu yang tampak meyakinkan.

Tampilan tersebut dirancang menyerupai proses pemasangan normal sehingga korban tidak memiliki alasan untuk mencurigai adanya aktivitas berbahaya.

Di balik antarmuka itu, malware secara diam-diam mengunduh komponen tahap berikutnya dan memunculkan permintaan hak akses tambahan pada sistem. Seluruh proses dirancang agar terlihat seperti pemasangan perangkat lunak biasa.

Peneliti juga menemukan varian lain dari pemuat malware yang menggunakan penyamaran berbeda, tetapi tetap mengandalkan mekanisme infeksi yang sama.

Cara Malware Menghindari Pendeteksian

Memeriksa Lingkungan Sistem

Pemuat malware ini dirancang dengan kemampuan penghindaran pendeteksian sebagai salah satu fitur utamanya.

Sebelum menjalankan fungsi berbahaya, malware melakukan beberapa pemeriksaan untuk memastikan bahwa dirinya tidak berjalan di lingkungan analisis atau komputer virtual yang biasa digunakan oleh peneliti keamanan.

Pemeriksaan tersebut meliputi:

• Memastikan sistem memiliki sedikitnya tiga inti pemroses.
• Memastikan tersedia minimal 3 gigabita memori fisik.
• Memeriksa tingkat penyegaran layar di atas 20 hertz.
• Memastikan perangkat tidak berada di wilayah tertentu yang sering menjadi fokus pengujian malware.
• Memastikan sistem tidak menggunakan pengaturan bahasa tertentu yang dianggap berisiko bagi pelaku.

Jika salah satu kondisi yang mencurigakan terdeteksi, malware dapat menghentikan aktivitasnya untuk menghindari analisis lebih lanjut.

Menyembunyikan Aktivitas di Dalam Memori

Selain memeriksa lingkungan sistem, malware juga menggunakan teknik penyamaran kode yang kompleks untuk mempersulit proses analisis.

Kode berbahaya disembunyikan pada bagian tertentu dari sistem yang umumnya tidak digunakan untuk menjalankan instruksi program. Teknik ini membuat berbagai alat analisis standar kesulitan mengenali aktivitas mencurigakan.

Malware juga menggunakan metode dekripsi yang dapat memodifikasi dirinya sendiri saat berjalan di memori sehingga proses pembongkaran kode menjadi lebih lambat dan rumit.

Pada tahap akhir, perangkat lunak pencuri data dijalankan sepenuhnya melalui memori tanpa meninggalkan banyak jejak pada media penyimpanan. Pendekatan ini semakin menyulitkan perangkat keamanan tradisional untuk mendeteksi keberadaannya.

Kewaspadaan Pengguna Tetap Menjadi Kunci

Kasus ini menunjukkan bahwa hasil pencarian bersponsor tidak selalu aman meskipun muncul di posisi teratas mesin pencari. Para ahli keamanan siber mengimbau pengguna untuk selalu memverifikasi sumber unduhan perangkat lunak melalui situs resmi pengembang dan memastikan sistem perlindungan perangkat memiliki kemampuan pendeteksian perilaku yang aktif. Di tengah meningkatnya kecanggihan teknik penyamaran malware, kewaspadaan pengguna tetap menjadi salah satu lapisan pertahanan terpenting terhadap ancaman siber.

Yoga Hidayat

“Web nerd. General bacon practitioner. Social media ninja. Award-winning coffee specialist. Food advocate.”