2 Malware Baru Mengintai Windows, Password Jadi Incaran

Dunia keamanan siber kembali dihadapkan pada ancaman malware yang memanfaatkan teknik rekayasa sosial untuk mengelabui pengguna. Kali ini, peneliti menemukan dua keluarga malware, WordlistLoader dan SynkLoader, yang memiliki kemampuan berbeda tetapi sama-sama dirancang untuk membuka jalan bagi serangan lanjutan.

WordlistLoader diketahui menjadi perantara untuk menyebarkan Amatera Stealer, malware pencuri informasi yang sebelumnya dikenal dengan nama ACR Stealer atau AcridRain Stealer. Sementara itu, SynkLoader digunakan dalam kampanye phishing untuk mencuri kredensial login Windows dan memberikan kendali lebih jauh kepada penyerang.

Temuan tersebut menunjukkan bahwa serangan siber modern tidak selalu dimulai dengan eksploitasi celah keamanan yang rumit. Penyerang justru semakin sering memanfaatkan kepercayaan dan kebiasaan pengguna, termasuk ketika melakukan verifikasi CAPTCHA atau menerima pesan yang mengaku berasal dari tim dukungan teknologi informasi.

WordlistLoader Disebarkan lewat ClickFix

Menurut temuan Gen Digital, WordlistLoader digunakan dalam kampanye ClearFake untuk mengirimkan Amatera Stealer ke komputer korban. Serangan tersebut memanfaatkan teknik ClickFix, yang juga dikenal sebagai FakeCaptcha.

Teknik ini dirancang untuk membuat korban percaya bahwa mereka sedang menyelesaikan verifikasi keamanan yang sah. Biasanya, korban diminta mencentang kotak "I'm not a robot". Namun, setelah itu korban justru diarahkan untuk menjalankan perintah tertentu di komputer Windows.

Dalam skenario yang ditemukan, sebuah perintah berbahaya secara otomatis disalin ke clipboard korban. Pengguna kemudian diarahkan untuk membuka Windows Run, menempelkan perintah tersebut, dan menjalankannya.

"Setelah pengunjung mengklik kotak 'I'm not a robot', mereka diarahkan mengikuti alur ClickFix. Perintah berbahaya disalin ke clipboard dan korban diminta menempelkannya ke Windows Run," ujar peneliti keamanan Gen Digital, Vojtěch Krejsa.

Perintah tersebut selanjutnya mengunduh WordlistLoader. Malware ini kemudian menjalankan tahapan berikutnya hingga akhirnya Amatera Stealer aktif di komputer korban.

Metode tersebut menjadi berbahaya karena korban tidak merasa sedang mengunduh malware. Mereka justru mengira sedang mengikuti prosedur verifikasi keamanan pada sebuah situs.

Situs Asli Disusupi JavaScript Berbahaya

Serangan ClearFake tidak hanya mengandalkan situs palsu. Dalam sejumlah kasus, prompt ClickFix justru ditampilkan pada situs web yang sebenarnya sah tetapi telah diretas.

Pelaku menyisipkan JavaScript berbahaya ke situs tersebut dalam bentuk blob yang telah dienkode menggunakan Base64. Kode tersebut kemudian mengambil JavaScript lain dari sebuah smart contract yang disimpan di blockchain.

Teknik penyimpanan kode berbahaya pada blockchain tersebut dikenal sebagai EtherHiding. Setelah kode diperoleh, JavaScript akan dijalankan secara dinamis untuk melanjutkan rantai infeksi.

Sejumlah situs yang diketahui pernah menampilkan prompt ClickFix akibat kompromi antara lain abogadosrosarinos[.]com, aptisweb[.]com, avene-hebergement[.]com, https-xhamster[.]com, www.caesarjaco.co[.]id, dan skybap[.]shop.

Dalam perkembangan terbaru, kampanye ClearFake juga memanfaatkan cdn.jsdelivr[.]net untuk menempatkan JavaScript berbahaya. Infrastruktur tersebut merupakan layanan Content Delivery Network (CDN) yang sah dan umum digunakan untuk mendistribusikan berbagai aset web.

Penyalahgunaan layanan tepercaya seperti ini membuat serangan semakin sulit dikenali. Pelaku dapat memanfaatkan reputasi layanan yang sudah dikenal untuk menyamarkan aktivitas berbahaya.

Expel sebelumnya menemukan bahwa pelaku menggunakan CDN tersebut untuk meng-host skrip PowerShell berbahaya. Meskipun repositori yang digunakan penyerang dapat dihapus dengan cepat, penggunaan EtherHiding memberi keleluasaan bagi pelaku untuk mengganti URL yang telah diblokir dengan URL baru.

Perintah Malware Dibuat Semakin Sulit Terlihat

Rantai serangan WordlistLoader juga menggunakan sejumlah teknik untuk menyembunyikan aktivitasnya dari pengguna dan sistem keamanan.

Perintah ClickFix yang digunakan dalam kampanye ini memanfaatkan conhost untuk menjalankan cmd.exe secara tersembunyi. Selanjutnya, perintah menggunakan pushd untuk mengakses WebDAV share dari jarak jauh sebelum menjalankan loader melalui rundll32.exe.

Teknik tersebut memiliki kemiripan dengan kampanye berbasis ClickFix yang sebelumnya diungkap Microsoft. Dalam salah satu variasi serangan, korban diminta menjalankan perintah yang membuka cmd.exe. Program tersebut kemudian menggunakan rundll32.exe untuk memuat DLL dari WebDAV share yang diakses melalui HTTPS.

Microsoft menemukan sedikitnya tiga variasi metode tersebut. Variasi pertama menjalankan rundll32 secara langsung. Variasi kedua menggunakan pushd untuk memasang WebDAV share sebelum menjalankan rundll32.exe. Sementara variasi ketiga menggunakan pushd secara tersembunyi dan terobfusikasi, lalu menjalankan rundll32.exe.

Varian ketiga inilah yang memiliki kemiripan dengan rantai infeksi WordlistLoader.

Microsoft mengatakan pelaku juga menggunakan conhost.exe dengan mode headless sehingga jendela konsol tidak muncul di layar. Selain itu, environment variable dan delayed variable expansion dimanfaatkan untuk menyembunyikan komponen penting dalam perintah.

Teknik tersebut membuat korban semakin sulit menyadari bahwa sebuah proses berbahaya sedang berjalan di perangkatnya. Bagi sistem keamanan, metode ini juga dapat menyulitkan analisis statis dan meningkatkan tantangan dalam mendeteksi aktivitas malware.

WordlistLoader Menggantikan Loader Python

Dalam kampanye terbaru, WordlistLoader menggantikan loader berbasis Python yang sebelumnya diamati Microsoft dalam serangan terkait ACR Stealer antara akhir April hingga pertengahan Juni 2026.

Namun, penyebaran ACR Stealer tidak berhenti pada metode tersebut. Malware ini juga pernah dikirim melalui ClickFix yang menjalankan MSHTA untuk mengambil dan menjalankan konten HTA dari domain yang dikendalikan pelaku. Tahapan tersebut kemudian menjalankan loader VBScript yang mendekode dan mengeksekusi PowerShell. Skrip PowerShell tersebut dapat mengunduh gambar JPEG dari layanan hosting gambar.

Di balik gambar tersebut terdapat data berbahaya yang kemudian diekstrak langsung di memori. Teknik ini digunakan untuk mengurangi jejak file malware pada disk sehingga pemeriksaan keamanan menjadi lebih sulit. Gen Digital menjelaskan bahwa fungsi utama WordlistLoader adalah menjadi tahap perantara untuk merekonstruksi shellcode yang kemudian digunakan sebagai pintu masuk ke tahap serangan berikutnya.

Malware tersebut juga menggunakan metode berbasis hardware breakpoint untuk melewati Event Tracing for Windows (ETW). ETW merupakan mekanisme Windows yang dapat membantu mencatat aktivitas sistem dan dimanfaatkan oleh sejumlah perangkat keamanan untuk mendeteksi perilaku mencurigakan.

Dari Mana Nama WordlistLoader Berasal?

Nama WordlistLoader berasal dari cara malware tersebut menyimpan shellcode. Alih-alih menyimpan shellcode dalam bentuk data yang mudah dikenali, malware menyamarkannya sebagai rangkaian kata dalam bahasa Inggris. Setiap kata merepresentasikan satu byte data.

Gen Digital juga menemukan varian yang menggunakan pendekatan berbeda. Pada varian tersebut, daftar kata digantikan oleh kumpulan potongan UUID berukuran 16 byte. Setelah direkonstruksi, shellcode menggunakan reflective loader untuk membongkar dan memuat Amatera versi 4.3.3-alpha1.

Versi terbaru Amatera juga membawa sejumlah peningkatan untuk memperkuat kemampuan bertahan dan menyulitkan analisis. Di antaranya adalah obfuscation statis yang diperbarui, pemanggilan syscall melalui transisi WoW64, pembuatan trampoline indirect-syscall x64 secara dinamis melalui Heaven's Gate, serta desain baru untuk melewati Application-Bound Encryption atau ABE.

Teknik untuk melewati ABE tersebut disebut memiliki kemiripan dengan pendekatan yang digunakan Remus Stealer.

SynkLoader Memburu Password Windows

Ancaman lain datang dari SynkLoader. Jika WordlistLoader terutama digunakan untuk mengirimkan Amatera Stealer, SynkLoader memiliki kemampuan yang lebih luas, termasuk mencuri kredensial login Windows. Expel menemukan SynkLoader dalam kampanye phishing yang memanfaatkan Microsoft Teams. Aktivitas tersebut terdeteksi pada pertengahan Agustus 2025.

Dalam skenario serangan, pelaku menghubungi korban dengan mengaku sebagai bagian dari IT Service Desk. Mereka menggunakan alamat email Microsoft 365 dengan format domain onmicrosoft.com sehingga komunikasi terlihat lebih meyakinkan.

Pelaku kemudian meminta korban mengunduh dan memasang file MSI yang diklaim sebagai aplikasi "PowerShell Cleaner". File tersebut disimpan melalui Azure Blob Storage, layanan cloud resmi milik Microsoft. Penggunaan infrastruktur cloud yang sah membuat file berbahaya tersebut terlihat lebih meyakinkan dan berpotensi melewati sebagian pemeriksaan keamanan.

Ketika dijalankan, MSI mengekstrak arsip ZIP dan skrip PowerShell. Skrip tersebut kemudian dijalankan langsung di memori.

Selanjutnya, skrip mengekstrak komponen lain dan menjalankan loader berbasis Python. Loader tersebut memilih salah satu dari tiga domain command-and-control atau C2 yang telah ditentukan sebelumnya. Komunikasi dengan server dilakukan secara berkala dan acak, dengan jeda sekitar 90 hingga 120 detik di antara permintaan. Respons yang diterima dari server kemudian didekripsi dan dijalankan.

Tujuh Modul Memperluas Kemampuan SynkLoader

Peneliti telah mengidentifikasi sedikitnya tujuh modul dalam SynkLoader. 

• System Profiler digunakan untuk mengumpulkan informasi mengenai sistem korban.
• Persistence Module bertugas memastikan malware tetap aktif dengan membuat scheduled task yang menjalankan SynkLoader ketika pengguna masuk ke sistem dan setiap hari pukul 10.00.
• Ada pula PhishLocker yang menjadi salah satu komponen paling berbahaya karena dapat menampilkan layar kunci Windows palsu untuk menangkap password korban. 
• TrafficRedirector memungkinkan penyerang mengakses layanan jaringan lokal melalui komputer korban atau mengarahkan lalu lintas internet melalui perangkat yang telah terinfeksi.
• Sementara itu, Interactive Shell memberikan kemampuan remote access trojan atau RAT sehingga penyerang dapat menjalankan perintah PowerShell dan menerima hasilnya. 
• Modul StreamMaster memanfaatkan VNC untuk menampilkan desktop korban sekaligus memberikan kemampuan mengendalikan mouse dan keyboard dari jarak jauh.
• Terakhir, Status Checker berupa skrip Python digunakan untuk melaporkan modul SynkLoader yang sedang aktif pada komputer korban. 

Dengan kombinasi tersebut, SynkLoader bukan sekadar malware pencuri password. Jika seluruh komponennya berhasil aktif, penyerang dapat memperoleh akses yang jauh lebih luas terhadap komputer dan jaringan korban.

Penyerang Menyamar sebagai Tim IT

ReliaQuest kemudian menemukan perkembangan tambahan dalam kampanye SynkLoader. Menurut perusahaan tersebut, malware ini juga disebarkan melalui rekayasa sosial yang menggabungkan vishing atau penipuan melalui suara dengan pesan Microsoft Teams.

Pelaku kembali menyamar sebagai personel dukungan IT untuk meyakinkan korban memasang MSI palsu "PowerShell Cleaner" yang di-host di Azure Blob Storage.

SynkLoader menjalankan payload langsung di memori dan memeriksa hash kriptografinya sebelum melakukan eksekusi. Jika payload telah dimodifikasi atau diekstrak secara tidak benar, malware dapat berhenti tanpa menampilkan indikasi yang jelas kepada korban.

ReliaQuest juga menemukan backdoor Python modular bernama ss.py. Berbeda dari malware konvensional yang menyimpan semua fungsi di dalam satu payload, backdoor tersebut mengambil kemampuan tambahan dari server C2 saat dibutuhkan.

Pendekatan ini membuat jejak forensik menjadi lebih sedikit sekaligus memungkinkan operator menambahkan fungsi baru tanpa harus mengganti seluruh malware.

Ancaman Mengandalkan Kepercayaan Korban

Rangkaian temuan tersebut memperlihatkan pola yang semakin jelas dalam perkembangan malware modern. Penyerang tidak hanya mengandalkan teknik teknis, tetapi juga memanfaatkan layanan dan identitas yang dipercaya pengguna.

ClickFix memanfaatkan kepercayaan terhadap CAPTCHA. SynkLoader memanfaatkan kepercayaan terhadap staf IT dan infrastruktur Microsoft. Keduanya menunjukkan bahwa pengguna dapat menjadi titik masuk serangan meskipun sistem menggunakan layanan dan platform yang sah.

Tujuan akhir operator SynkLoader masih belum diketahui secara pasti. Namun, peneliti menduga perangkat tersebut mungkin terkait dengan kelompok ransomware atau initial access broker (IAB), yakni pihak yang mendapatkan akses ke jaringan korban untuk kemudian menjualnya kepada kelompok kriminal siber lainnya.

Dengan semakin banyaknya serangan yang memanfaatkan rekayasa sosial, pengguna perlu lebih berhati-hati terhadap instruksi yang meminta mereka menjalankan perintah, membuka Windows Run, memasang aplikasi yang tidak biasa, atau memberikan kredensial login.

Pesan yang mengatasnamakan tim IT, tampilan CAPTCHA, bahkan file yang disimpan di layanan cloud resmi tidak otomatis menjamin bahwa aktivitas tersebut aman. Justru, memanfaatkan layanan tepercaya dan menyamar sebagai proses yang familiar kini menjadi bagian penting dari strategi penyerang untuk menghindari deteksi.