Waspada! LabubaRAT Menyamar sebagai Software NVIDIA di Windows

Peneliti keamanan siber mengungkap kemunculan sebuah remote access trojan (RAT) baru yang dinilai memiliki kemampuan canggih untuk mengendalikan komputer Windows dari jarak jauh. Malware yang diberi nama LabubaRAT ini dikembangkan menggunakan bahasa pemrograman Rust dan dirancang untuk menyamar sebagai perangkat lunak resmi NVIDIA agar lebih mudah menghindari kecurigaan pengguna maupun sistem keamanan.

Temuan tersebut dipublikasikan oleh tim peneliti Blackpoint Cyber, yang menyebut LabubaRAT sebagai malware dengan arsitektur modern dan fleksibel. Tidak hanya mampu membuka akses permanen ke komputer korban, malware ini juga dibekali berbagai fitur yang memungkinkan pelaku serangan melakukan aktivitas secara langsung di dalam sistem yang telah berhasil disusupi.

Menurut peneliti Blackpoint Cyber, Sam Decker dan Nevan Beal, setelah berhasil terpasang, LabubaRAT dapat mengumpulkan informasi mengenai perangkat korban, mengidentifikasi solusi keamanan yang digunakan, menerima instruksi dari operator, memindahkan file, mengambil tangkapan layar, hingga menjadikan komputer korban sebagai jalur lalu lintas jaringan.

Keunggulan lain yang membuat malware ini berbahaya adalah dukungan terhadap beberapa metode komunikasi dengan server command-and-control (C2). LabubaRAT dapat berkomunikasi melalui HTTPS, WebView2, maupun DNS tunneling. Dengan memiliki lebih dari satu jalur komunikasi, operator malware tetap dapat mempertahankan akses ke komputer korban meskipun salah satu kanal berhasil dideteksi dan diblokir oleh sistem keamanan.

Para peneliti juga menemukan indikasi bahwa LabubaRAT kemungkinan dipasarkan menggunakan skema malware-as-a-service (MaaS). Model ini memungkinkan pembuat malware menyediakan infrastrukturnya kepada pelaku kejahatan siber lain, sehingga ancaman dapat digunakan dalam berbagai kampanye serangan tanpa harus dikembangkan dari awal.

Menyamar sebagai Aplikasi NVIDIA

Rantai infeksi dimulai melalui sebuah file eksekusi bernama "nvidia-sysruntime.exe". Nama tersebut sengaja dipilih karena menyerupai komponen resmi NVIDIA Container Runtime Toolkit, sehingga pengguna maupun administrator sistem berpotensi menganggapnya sebagai aplikasi yang sah.

Namun, di balik nama tersebut tersembunyi mekanisme yang cukup berbeda dibandingkan malware pada umumnya.

Alih-alih menyimpan alamat server C2 secara permanen di dalam kode program, LabubaRAT menerima konfigurasi ketika dijalankan melalui command-line arguments. Dengan cara ini, operator dapat menentukan alamat server, interval komunikasi, maupun parameter lainnya saat malware dieksekusi.

Peneliti menemukan salah satu alamat server yang digunakan adalah "pipicka[.]xyz". Selain dikirimkan dalam bentuk parameter biasa, konfigurasi tersebut juga dapat disisipkan dalam satu argumen yang telah dikodekan menggunakan Base64.

Pendekatan ini memberikan fleksibilitas tinggi bagi pelaku ancaman. Satu file malware yang sama dapat digunakan berulang kali untuk berbagai target, organisasi, maupun kampanye berbeda tanpa perlu memodifikasi kode atau membuat sampel baru.

Mengumpulkan Profil Lengkap Korban

Setelah konfigurasi diterima, LabubaRAT menyimpannya ke dalam basis data SQLite lokal sebelum mulai melakukan proses pengintaian terhadap sistem korban.

Tahap ini bertujuan mengumpulkan sebanyak mungkin informasi mengenai lingkungan tempat malware berjalan.

LabubaRAT akan memeriksa browser yang terpasang, seperti Google Chrome, Mozilla Firefox, Microsoft Edge, dan Brave. Informasi tersebut dapat membantu operator memahami aktivitas pengguna maupun menentukan teknik serangan lanjutan.

Selain browser, malware juga melakukan pemeriksaan terhadap berbagai produk keamanan populer, termasuk Microsoft Defender, CrowdStrike, SentinelOne, Carbon Black, Sophos, Malwarebytes, Bitdefender, ESET, Kaspersky, McAfee, Symantec, dan Trend Micro.

Tidak berhenti di situ, malware turut mengumpulkan informasi perangkat berupa nama komputer (hostname), kapasitas RAM, model prosesor (CPU), hingga status Windows User Account Control (UAC).

Data tersebut memungkinkan operator menyesuaikan strategi serangan berdasarkan kondisi komputer korban. Misalnya, beberapa fungsi malware dapat diaktifkan atau dinonaktifkan tergantung pada solusi keamanan yang berhasil dideteksi.

Memiliki Kemampuan Layaknya Alat Administrasi Jarak Jauh

Sebagai sebuah remote access trojan, LabubaRAT dibekali berbagai kemampuan yang memberikan kendali penuh kepada operator.

Malware ini mampu menjalankan perintah sistem secara langsung, mengeksekusi skrip PowerShell, menjalankan kode JavaScript, mengambil screenshot layar, mengunggah maupun mengunduh file, mengelola arsip, hingga menyediakan layanan SOCKS5 proxy.

Fitur SOCKS5 memungkinkan komputer korban dimanfaatkan sebagai perantara lalu lintas jaringan. Dengan demikian, aktivitas penyerang dapat disamarkan seolah-olah berasal dari komputer korban, sehingga menyulitkan proses pelacakan.

Menurut Blackpoint Cyber, seluruh kemampuan tersebut cukup untuk menjalankan operasi pasca-eksploitasi tanpa membutuhkan malware tambahan.

"Operator dapat berinteraksi langsung dengan sistem korban, memindahkan file, mengarahkan lalu lintas jaringan melalui komputer yang terinfeksi, serta mempertahankan akses tanpa harus mengandalkan loader atau alat lain," jelas para peneliti.

Dibangun sebagai Framework yang Fleksibel

Nama LabubaRAT sendiri berasal dari istilah "LabubaPanel", yaitu panel pengelola yang ditemukan pada infrastruktur command-and-control milik malware tersebut. Panel itu juga menggunakan favicon bertema karakter Labubu, yang menjadi petunjuk utama mengenai penamaan malware.

Namun, menurut Blackpoint Cyber, aspek paling menarik bukanlah namanya, melainkan desain arsitekturnya.

LabubaRAT menggabungkan konfigurasi saat dijalankan, penyimpanan status lokal, pemetaan lingkungan sistem, berbagai metode komunikasi, serta mekanisme penerimaan tugas dalam satu framework terpadu. Desain seperti ini membuat malware lebih mudah dikonfigurasi dan digunakan dalam berbagai operasi dengan infrastruktur yang berbeda.

Selain itu, malware mampu mempertahankan mekanisme user-level autostart, sehingga dapat kembali aktif setiap kali pengguna masuk ke Windows tanpa memerlukan intervensi operator.

Pengguna Perlu Lebih Waspada

Kemunculan LabubaRAT menunjukkan bahwa pelaku kejahatan siber terus mengembangkan malware yang semakin sulit dideteksi. Teknik penyamaran sebagai aplikasi resmi, konfigurasi dinamis, serta dukungan berbagai jalur komunikasi membuat malware seperti ini lebih fleksibel dibandingkan RAT konvensional.

Karena itu, organisasi maupun pengguna individu disarankan untuk hanya mengunduh perangkat lunak dari sumber resmi, memverifikasi keaslian file sebelum dijalankan, memperbarui sistem operasi dan perangkat lunak keamanan secara rutin, serta memantau aktivitas mencurigakan pada jaringan maupun endpoint. Langkah-langkah tersebut dapat membantu mengurangi risiko infeksi dan mencegah penyerang memperoleh kendali penuh atas komputer Windows.