Verifikasi Cloudflare Palsu Bisa Berujung Pencurian Data di Windows

Pemeriksaan keamanan di sebuah situs biasanya hanya meminta pengunjung mengeklik atau menunggu. Jika halaman yang mengaku sebagai verifikasi Cloudflare justru menyuruh Anda menempelkan perintah ke Windows Run, itulah tanda bahaya. Teknik rekayasa sosial ini dikenal sebagai ClickFix: penyerang mengandalkan pengguna untuk menjalankan perintah berbahaya di komputernya sendiri. 1540

Dua kasus yang dilaporkan memperlihatkan variasi jebakan tersebut. Situs bisnis Ukraina yang disusupi digunakan untuk mengirimkan Psychedelic Stealer, sedangkan domain third-party.com menampilkan umpan lain kepada pengunjung Windows. Kesamaan tampilannya tidak membuktikan bahwa kedua kasus melibatkan pelaku atau malware yang sama. 315

Dari situs bisnis ke pemasang Psychedelic

Menurut Arctic Wolf Labs, penyerang menyisipkan iframe—elemen yang memuat konten lain di dalam halaman—pada situs bisnis Ukraina yang sah. Konten itu menampilkan verifikasi Cloudflare palsu berbahasa Ukraina. Saat pengunjung berinteraksi dengannya, halaman tersebut menyalin perintah msiexec ke papan klip dan meminta pengunjung menempelkannya ke Windows Run. Jika dijalankan, perintah itu mengambil pemasang MSI yang digunakan untuk mengirimkan Psychedelic Stealer. Melihat halaman saja tidak sama dengan memasang malware; titik penentunya adalah menjalankan perintah. 313

Psychedelic dirancang untuk mengambil kata sandi browser, token akun, dan data dompet mata uang kripto. Laporan tentang malware ini juga menyebut mekanisme agar ia tetap berjalan melalui tugas terjadwal serta komunikasi dengan server kendali untuk menerima instruksi lanjutan. Karena itu, dugaan eksekusi perlu ditangani sebagai potensi kebocoran data sekaligus kemungkinan infeksi yang masih aktif. 313

Arctic Wolf Labs melaporkan korban di 32 negara di Eropa, Amerika, dan Asia-Pasifik, meski umpannya berbahasa Ukraina. Angka tersebut menggambarkan jangkauan geografis, bukan jumlah perangkat yang terinfeksi; laporan yang tersedia tidak memberikan hitungan infeksi yang dapat diandalkan. Arctic Wolf juga menemukan panel pengelolaan lalu lintas beridentitas Rusia, tetapi petunjuk itu saja tidak cukup untuk memastikan identitas, lokasi, atau kelompok pelakunya. 31

Mengapa third-party.com berbeda?

Nama domain third-party.com kerap dipakai sebagai contoh pengganti dalam dokumentasi pengembang dan cuplikan kode. BleepingComputer melaporkan bahwa domain tersebut menampilkan verifikasi Cloudflare palsu kepada pengunjung Windows dan mencoba membujuk mereka menjalankan perintah PowerShell. Pengunjung lain dapat melihat halaman pengalih yang tidak berbahaya. Artinya, tautan yang semula dicantumkan sekadar sebagai contoh bisa mengantar pembaca ke umpan aktif, sementara perbedaan tampilan antarpengunjung menyulitkan pemeriksaan. 54

Ini bukan bagian yang telah terbukti dari kampanye Psychedelic. Rantai Psychedelic menggunakan msiexec untuk mengambil pemasang MSI; kasus third-party.com dilaporkan menggunakan instruksi PowerShell. Sumber yang tersedia tidak menetapkan adanya pelaku atau muatan malware yang sama. Mengunjungi domain itu pun tidak membuktikan seseorang telah menjalankan perintahnya. 315

ClickFix tidak selalu berhenti pada pencurian data

Dalam rantai ClickFix lainnya, Blackpoint Cyber menemukan dua komponen malware yang dikirim bersama: RemotePanel, sarana akses jarak jauh yang dapat bertahan di sistem, dan BoundSiphon, pencuri kredensial serta data kripto. Temuan ini menunjukkan bahwa investigasi ClickFix tidak boleh hanya mencari data yang mungkin telah dicuri; tim keamanan juga perlu memeriksa kemungkinan akses lanjutan. Blackpoint tidak menyatakan kedua komponen itu terkait dengan Psychedelic ataupun third-party.com. 19

Langkah yang perlu diprioritaskan

• Hentikan di tahap instruksi. Ingatkan pengguna bahwa permintaan untuk menempelkan perintah ke Windows Run atau PowerShell bukan langkah CAPTCHA atau verifikasi keamanan yang wajar. 1540
• Pastikan apakah perintah sempat dijalankan. Periksa peluncuran PowerShell atau pengunduhan tak terduga melalui msiexec setelah kunjungan ke situs, lalu bedakan kunjungan halaman dari eksekusi perintah. 315
• Telusuri dampaknya. Jika Psychedelic diduga berjalan, periksa paparan kredensial browser, token akun, data dompet, dan mekanisme agar malware tetap aktif. Untuk muatan ClickFix lain, jangan abaikan kemungkinan akses jarak jauh yang berlanjut. 319
• Rapikan sumber paparan. Periksa situs yang terdampak untuk konten sisipan, dan ganti domain contoh yang aktif dalam dokumentasi atau pengujian dengan contoh yang berada di bawah kendali sendiri. 315