Cruciferra Dipakai Hacker untuk Sembunyikan Malware di Windows

Pelaku kejahatan siber semakin mengandalkan teknik canggih untuk menyembunyikan malware dari sistem keamanan komputer. Salah satu perangkat yang kini menjadi perhatian adalah Cruciferra, sebuah layanan crypter yang dirancang untuk menyamarkan malware Windows sekaligus menghindari berbagai mekanisme deteksi.

Cruciferra diketahui digunakan oleh sejumlah kelompok kejahatan siber untuk menyebarkan berbagai jenis malware, mulai dari remote access trojan (RAT) hingga pencuri informasi (information stealer).

Temuan tersebut diungkap perusahaan keamanan siber Proofpoint dalam analisis terbarunya. Menurut Proofpoint, Cruciferra memiliki sejumlah kemampuan yang dirancang khusus untuk menghindari deteksi, mempersulit analisis keamanan, serta mengurangi jejak yang dapat ditemukan setelah serangan.

"Cruciferra ditulis menggunakan Mono dan memiliki banyak teknik yang dirancang untuk menghindari deteksi, analisis, serta upaya respons insiden," kata Proofpoint dalam analisisnya.

Beberapa teknik yang digunakan antara lain indirect system calls, API and Import Address Table (IAT) unhooking, manipulasi sistem keamanan menggunakan teknik Bring Your Own Vulnerable Driver (BYOVD), peningkatan hak akses, mekanisme persistensi, hingga teknik Process Ghosting.

Kombinasi berbagai teknik tersebut membuat Cruciferra tidak sekadar berfungsi sebagai alat untuk mengenkripsi atau menyamarkan malware. Layanan ini juga membantu malware bertahan di komputer korban dan berusaha menghindari perangkat keamanan yang mendeteksi aktivitas mencurigakan.

Cruciferra, Senjata untuk Menyamarkan Malware

Dalam ekosistem kejahatan siber, crypter memiliki fungsi penting. Alat ini digunakan untuk mengenkripsi atau mengaburkan kode malware sehingga lebih sulit dikenali oleh sistem keamanan.

Dengan payload yang telah disamarkan, pelaku berharap malware dapat melewati perangkat keamanan dan berhasil dijalankan di komputer korban.

Cruciferra menggunakan pendekatan yang lebih kompleks. Proofpoint menemukan bahwa layanan tersebut memiliki berbagai mekanisme enkripsi khusus yang tampaknya dapat dibuat secara dinamis dari elemen sejumlah algoritma kriptografi yang sudah dikenal.

Akibatnya, satu sampel malware dapat memiliki karakteristik enkripsi yang berbeda dengan sampel lainnya.

Perbedaan tersebut menjadi tantangan bagi sistem keamanan yang mengandalkan signature-based detection. Metode ini biasanya mencari pola atau tanda tertentu yang sudah diketahui sebagai ciri malware.

"Algoritma yang digunakan untuk mengenkripsi payload dan string pada setiap set sampel berbeda, dan terdapat variasi algoritma yang sangat besar," kata peneliti Chris Wakelin, Georgi Mladenov, dan Kyle Cucci.

Menurut mereka, variasi tersebut menunjukkan bahwa algoritma yang digunakan kemungkinan dibuat secara acak atau polimorfik dari berbagai elemen algoritma hashing, pseudo-random number generator (PRNG), dan cipher yang telah dikenal.

Dengan kata lain, Cruciferra dapat membuat bentuk malware yang berbeda-beda sehingga lebih sulit dikenali hanya berdasarkan pola kode.

Ditawarkan hingga 2.000 Dollar AS per Bulan

Cruciferra bukan alat yang hanya digunakan secara internal oleh satu kelompok peretas. Layanan ini diketahui telah dipasarkan di pasar bawah tanah kejahatan siber.

Pelaku mengiklankan Cruciferra sebagai "crypter paling mematikan" dengan tarif antara 450 hingga 2.000 dollar AS per bulan.

Layanan tersebut pertama kali ditawarkan untuk dijual pada musim gugur 2025.

Menurut Proofpoint, sejumlah keluarga malware yang diketahui disebarkan melalui Cruciferra antara lain Agent Tesla, AsyncRAT, DarkCloud Stealer, Formbook, Phantom Stealer, Remcos RAT, Snake Keylogger, ValleyRAT, XLoader, XWorm, dan zgRAT.

Kehadiran layanan semacam ini menunjukkan bahwa pelaku tidak selalu harus membangun seluruh infrastruktur serangan dari awal. Mereka dapat menyewa alat tertentu dari pasar kejahatan siber untuk meningkatkan kemampuan malware yang sudah dimiliki.

Model tersebut membuat serangan siber menjadi semakin mudah dilakukan oleh berbagai kelompok dengan tingkat kemampuan yang berbeda.

Phishing Jadi Pintu Masuk Utama

Dalam sejumlah kampanye yang teridentifikasi, phishing menjadi metode utama untuk memperoleh akses awal ke komputer korban.

Cruciferra memungkinkan pelaku menggunakan beberapa metode untuk mengirimkan payload. Malware yang telah dienkripsi dapat langsung disimpan ke perangkat korban atau diunduh dari server yang digunakan sebagai tempat penampungan sementara.

Skala kampanyenya juga cukup besar. Proofpoint menilai aktivitas tersebut bersifat oportunistis dan dapat menjangkau ratusan hingga ribuan pesan dalam satu kampanye. Sektor yang menjadi sasaran mencakup jasa keuangan, kesehatan, pemerintahan, pendidikan, dan manufaktur.

Salah satu kampanye yang menjadi perhatian adalah serangan yang dikaitkan dengan aktor kejahatan siber berbahasa Mandarin bernama TA4922. Aktor tersebut memiliki sejumlah kesamaan dengan kelompok ancaman siber Silver Fox.

Dalam kampanye ini, pelaku memanfaatkan tema perpajakan sebagai umpan. Korban diarahkan menuju halaman situs yang dikendalikan penyerang dan kemudian diminta mengunduh file ZIP yang berisi malware. Proofpoint mengidentifikasi empat kampanye dengan pola tersebut antara April hingga awal Juni 2026.

Aktivitas tersebut sebelumnya juga telah dianalisis oleh Seqrite Labs dan Cyderes Howler Cell. Seqrite Labs melacak operasi tersebut dengan nama Operation DragonReturn.

Bukan Hanya Menyerang lewat Pajak

Cruciferra ternyata tidak hanya digunakan dalam kampanye yang menyamar sebagai komunikasi terkait pajak. Pada Mei 2026, misalnya, ditemukan kampanye yang menggunakan email dengan mengatasnamakan U.S. Social Security Administration (SSA). Email tersebut digunakan untuk menyebarkan malware XWorm dan AdaptixC2.

Sementara itu, pada akhir Juni 2026, pelaku menggunakan tema yang berkaitan dengan kutu busuk dan keluhan tamu untuk menargetkan organisasi di industri perhotelan dan perjalanan. Kampanye tersebut digunakan untuk mengirimkan malware zgRAT.

Beragam tema yang digunakan menunjukkan bahwa pelaku dapat menyesuaikan umpan phishing dengan karakteristik calon korban. Di balik variasi tersebut, Cruciferra tetap menggunakan sejumlah teknik yang sama untuk menyembunyikan aktivitasnya.

Manfaatkan BYOVD untuk Ganggu Keamanan

Salah satu kemampuan Cruciferra yang paling menonjol adalah penggunaan Bring Your Own Vulnerable Driver (BYOVD). BYOVD merupakan teknik ketika penyerang memanfaatkan driver yang memiliki kerentanan untuk memperoleh kemampuan dengan hak akses tinggi di sistem operasi.

Dalam kasus Cruciferra, Proofpoint menemukan penyalahgunaan driver bernama GoFlyDrv.sys.

Driver tersebut dimanfaatkan untuk menghentikan proses keamanan pada komputer korban. Karena driver memiliki hak akses yang tinggi, penyalahgunaannya dapat memberikan kemampuan kepada malware untuk mengganggu perangkat lunak keamanan yang berjalan di sistem.

Selain itu, Cruciferra terlebih dahulu memeriksa apakah dirinya sudah berjalan dengan hak akses Administrator.

Jika belum, malware mencoba meningkatkan hak akses dengan melewati mekanisme User Account Control (UAC) menggunakan COM Elevation Moniker. Setelah memperoleh hak akses yang dibutuhkan, Cruciferra juga dapat mempertahankan keberadaannya di komputer korban.

Caranya adalah dengan menambahkan konfigurasi ke registry Windows pada:

Software\Microsoft\Windows\CurrentVersion\Run 

Cruciferra menggunakan nilai bawaan "putty". Konfigurasi tersebut membuat malware dapat dijalankan kembali secara otomatis ketika komputer melakukan restart.

Process Ghosting Hapus Jejak Malware

Teknik lain yang membuat Cruciferra sulit dideteksi adalah Process Ghosting. Secara sederhana, Process Ghosting merupakan teknik untuk menjalankan kode berbahaya melalui file sementara yang kemudian dihapus dari disk sebelum proses berjalan sepenuhnya.

Kondisi tersebut dapat menyulitkan sistem keamanan karena ketika proses berbahaya aktif, file yang menjadi sumbernya sudah tidak lagi tersedia secara normal di disk.

Teknik tersebut juga dapat menyulitkan penyelidikan forensik. Peneliti keamanan biasanya dapat mengambil dan menganalisis file malware yang ditemukan di komputer korban. Namun, pada skenario Process Ghosting, file tersebut dapat menghilang sebelum pemeriksaan dilakukan.

Cruciferra menambahkan mekanisme lain untuk memperkuat teknik tersebut. Malware diketahui melakukan patching terhadap hook ZwQueryVirtualMemory  dan mencoba memanipulasi rutinitas NtManageHotPatch . 

Langkah tersebut digunakan untuk menyembunyikan proses penghapusan file sekaligus mengganggu pemeriksaan integritas yang dilakukan sistem.

Mengapa Cruciferra Berbahaya?

Menurut Proofpoint, kemampuan Cruciferra menunjukkan bahwa layanan crypter kini berkembang jauh melampaui fungsi sekadar mengenkripsi payload. Cruciferra menggabungkan berbagai teknik, mulai dari penyamaran malware, DLL side-loading, indirect system calls, UAC bypass, BYOVD, persistensi registry hingga Process Ghosting.

Teknik DLL side-loading sendiri memungkinkan malware memanfaatkan mekanisme pemuatan DLL yang sah untuk menjalankan kode berbahaya. Sementara indirect system calls dapat digunakan untuk mengurangi visibilitas aktivitas malware terhadap sistem pemantauan keamanan.

Kombinasi tersebut membuat satu serangan memiliki beberapa lapisan perlindungan sekaligus.

Proofpoint menyebut Cruciferra memiliki kemampuan penghindaran pertahanan yang luas dan unik, desain modular, serta metode perlindungan payload yang sangat disesuaikan dan bervariasi. Perkembangan ini menjadi peringatan bagi organisasi yang masih mengandalkan deteksi berbasis file atau signature sebagai pertahanan utama.

Sistem keamanan perlu mampu mengenali perilaku mencurigakan, termasuk penyalahgunaan driver, perubahan registry, aktivitas proses yang tidak lazim, upaya meningkatkan hak akses, hingga tindakan yang berusaha menonaktifkan perangkat keamanan.

Kasus Cruciferra juga memperlihatkan bagaimana ekosistem kejahatan siber semakin menyerupai industri. Pelaku dapat menyewa layanan khusus untuk menyamarkan malware, sementara kelompok lain memanfaatkannya untuk menjalankan kampanye phishing dalam skala besar.

Dengan kemampuan seperti ini, malware tidak hanya berusaha masuk ke komputer korban, tetapi juga berusaha memastikan dirinya tetap tersembunyi setelah berhasil masuk.

Bagi perusahaan dan organisasi, kondisi tersebut membuat pendekatan keamanan berlapis menjadi semakin penting. Deteksi berbasis tanda tangan tetap dibutuhkan, tetapi harus dilengkapi pemantauan perilaku, perlindungan endpoint, pengawasan terhadap driver, serta kemampuan mendeteksi aktivitas mencurigakan di dalam sistem Windows.

Cruciferra pada akhirnya menunjukkan satu hal penting: perang melawan malware bukan lagi sekadar soal menemukan file berbahaya, tetapi juga mendeteksi perilaku yang sengaja dirancang agar tidak terlihat.