Konferensi Kripto Palsu Manfaatkan X dan Google Docs untuk Menjebak Peneliti Keamanan

Kampanye ini memadukan situasi profesional yang familiar dengan layanan daring yang dipercaya banyak orang. Akun X bernama @HartmansDoeke mengaku mewakili CoinDesk dan mendekati orang-orang yang terkait dengan Black Hat serta DEF CON—kadang melalui balasan publik, sebelum percakapan dipindahkan ke pesan langsung (DM). Penyerang kemudian menawarkan konferensi mata uang kripto yang disebut-sebut diselenggarakan CoinDesk, lalu membagikan Google Doc yang diklaim sebagai bahan perencanaan acara. 1411

Yang perlu dibedakan, dokumen Google tersebut sendiri dapat terlihat normal. Perilaku berbahayanya berasal dari antarmuka Google Apps Script yang disematkan serta instruksi yang ditampilkan melalui antarmuka itu. Laporan yang tersedia menjelaskan upaya pengiriman malware, tetapi tidak membuktikan bahwa peneliti Huntress atau target lain benar-benar memasang payload tersebut. 468

Begini cara umpan rekayasa sosialnya bekerja

Pesan pembuka memanfaatkan konteks konferensi sebagai jalan pintas untuk membangun kepercayaan. Peniru tersebut, dengan bahasa Inggris yang tidak lancar, menanyakan apakah calon target berencana menghadiri acara lain, lalu memperkenalkan konferensi fiktif yang dikaitkan dengan media berita kripto terkenal. Balasan publik membantu menemukan atau mendekati orang yang kemungkinan hadir, sedangkan DM menciptakan jalur percakapan pribadi untuk tahap berikutnya. 4510

Setelah target menunjukkan ketertarikan, pelaku mengirim dokumen yang tampak seperti berkas perencanaan konferensi. Dokumen itu disertai “kunci enkripsi” atau kunci dekripsi yang dikirim melalui percakapan di X. Alur tersebut dibuat agar terlihat seperti koordinasi acara biasa, bukan phishing konvensional. 68

Jebakan Google Docs dan Apps Script

Pengguna Google yang sudah masuk ke akunnya akan melihat sidebar khusus di samping dokumen. Menurut Huntress, sidebar itu membuat materi terlihat seolah-olah sebagian terenkripsi dan meminta penerima memasukkan kunci yang sebelumnya diberikan melalui DM. Kunci tersebut tampak gagal digunakan, sehingga target memiliki alasan untuk mengikuti langkah pemulihan yang disarankan sidebar. 68

Langkah lanjutan itu mencakup instruksi bergaya ClickFix dan opsi unduhan. Keduanya dirancang untuk membujuk penerima mengunduh dan menjalankan kode berbahaya. Jadi, dokumen tersebut bukan sekadar tautan menuju situs eksternal yang mencurigakan. Infrastruktur Google yang sah dan tampilan Docs yang terasa bawaan digunakan untuk membuat seluruh proses tampak familiar. 48

Di sinilah pelajaran utama dari kampanye tersebut: alamat google.com yang benar atau dokumen yang terbuka di layanan produktivitas terkenal hanya menunjukkan tempat konten di-hosting. Itu tidak membuktikan bahwa dokumen, skrip, instruksi, maupun file unduhannya aman.

Malware yang dikaitkan dengan operasi ini

Jalur pengiriman yang dilaporkan berbeda menurut sistem operasi:

• macOS: Target diarahkan menuju Atomic macOS Stealer (AMOS), yaitu malware pencuri informasi. Jalur macOS tersebut juga dikaitkan dengan tautan berbagi Dropbox DocSend palsu dan installer tiruan. 2
• Windows: Operasi ini melibatkan NetSupport RAT, produk dukungan serta akses desktop jarak jauh yang sah tetapi disalahgunakan dan dipaketkan sebagai trojan akses jarak jauh. 2
• Target pengguna kripto: Peneliti juga menemukan installer atau implant dompet Ledger palsu. Hal ini menunjukkan bahwa kredensial mata uang kripto dan informasi terkait dompet kemungkinan termasuk sasaran operasi tersebut. 2

Bukti yang tersedia menjelaskan payload dan mekanisme pengiriman yang dimaksudkan, bukan kompromi yang telah terkonfirmasi terhadap peneliti yang menyelidiki kampanye ini.

Cara Huntress membongkar modus tersebut

Peneliti Huntress yang menjadi target menyadari pendekatan itu mencurigakan, tetapi tetap melanjutkan percakapan sambil berpura-pura bekerja sama. Dengan cara tersebut, Huntress dapat mengamati pesan pelaku, menerima dokumen, dan mendokumentasikan bagaimana prompt enkripsi palsu mengarah ke tahap eksekusi malware. Peneliti itu tidak memasang payload. 1411

Metode ini memberikan gambaran yang cukup lengkap tentang rantai serangan. Investigasi tidak berhenti pada pesan pertama yang mencurigakan, tetapi menghubungkan klaim identitas akun X, dalih konferensi, Google Doc, sidebar Apps Script, prompt kunci palsu, hingga jalur malware yang disesuaikan dengan sistem operasi target.

Tanda bahaya yang perlu diperhatikan tim keamanan

Kampanye ini menunjukkan bahwa ajakan terkait konferensi perlu diperiksa dengan kewaspadaan yang sama seperti phishing melalui email—meskipun pesan datang dari platform sosial dan memanfaatkan layanan cloud yang sah.

Beberapa tanda peringatannya meliputi:

• pendekatan tanpa diminta dari akun yang mengaku sebagai penyelenggara konferensi, perusahaan media, atau sponsor;
• ajakan memindahkan percakapan dari balasan publik ke DM sebelum identitas pengirim diverifikasi melalui kanal terpisah;
• dokumen yang meminta kunci, kata sandi, atau langkah “dekripsi” yang dikirim melalui percakapan lain;
• Google Doc yang memakai sidebar khusus atau prompt interaktif tidak biasa untuk mengarahkan penerima mengunduh perangkat lunak atau menempelkan perintah; dan
• dompet kripto, alat dukungan jarak jauh, atau utilitas konferensi yang ditawarkan di luar kanal resmi organisasi yang telah dikonfirmasi secara independen.

Jika seseorang telanjur mengikuti instruksi tersebut, langkah paling aman adalah mengisolasi perangkat yang terdampak, mengganti kredensial yang mungkin terekspos, merotasi secret atau token, serta memeriksa dompet kripto dan akun sensitif lainnya. 1819

Apa yang sudah dan belum dikonfirmasi

Laporan yang tersedia mendukung mekanisme utama kampanye ini: penyamaran identitas di X, penggunaan balasan publik dan DM, dalih konferensi kripto palsu, Google Doc yang ditingkatkan dengan Apps Script, kunci dekripsi palsu yang dikirim ke target, instruksi lanjutan bergaya ClickFix, serta upaya mengirimkan malware untuk macOS dan Windows. 1246811

Namun, catatan yang tersedia tidak memuat pernyataan terverifikasi dari penyerang yang diduga maupun Google. Bukti yang ada juga belum cukup untuk membuat perbandingan spesifik dengan kampanye terdahulu yang dikaitkan dengan pemerintah atau kelompok tertentu.

Secara umum, insiden ini mengikuti pola lama: rekayasa sosial yang dibuat khusus untuk menyasar profesional keamanan. Variasi yang menonjol adalah penyalahgunaan konten yang di-hosting di Google dan antarmuka Apps Script sebagai bagian dari alur pengiriman malware.