Bagaimana Serangan Bekerja: Teknik EtherHiding

Inovasi utama—dan alasan kampanye ini sangat sulit digagalkan—adalah teknik EtherHiding. Alih-alih menggunakan server komando tradisional yang bisa ditutup, penyerang menyimpan instruksi muatan berbahaya langsung di dalam smart contract BNB Smart Chain . Karena hanya alamat dompet yang menyebarkan kontrak yang bisa memodifikasi isinya, penghapusan instruksi berbahaya melalui metode pemblokiran atau penutupan tradisional menjadi hampir mustahil . Kampanye ini terkait dengan operasi malware ClearFake yang sebelumnya menggunakan prompt pembaruan peramban palsu untuk menyebarkan malware .

Rantai Infeksi: Dari Situs Web Diretas ke Malware

Serangan terjadi dalam beberapa langkah singkat yang mengeksploitasi kepercayaan pengguna dan alat bawaan Windows:

1. Peretasan Situs Web – Penyerang meretas situs web yang sah (seringkali situs WordPress) dan menyuntikkan JavaScript terenkode Base64 ke dalam halaman tersebut .
2. Permintaan ke Blockchain – Skrip yang disuntikkan terhubung ke gateway RPC BNB Smart Chain dan meminta smart contract tertentu untuk mengambil instruksi jahat tahap berikutnya .
3. CAPTCHA Palsu – Peramban menerjemahkan instruksi yang diambil dan menampilkan layar verifikasi CAPTCHA palsu kepada pengguna .
4. Rekayasa Sosial (ClickFix/TerminalFix) – Pengguna diarahkan untuk menekan Windows+R guna membuka kotak dialog Run (atau membuka Windows Terminal atau PowerShell), menempelkan perintah dari papan klip, dan menjalankannya . Ini adalah trik rekayasa sosial utama: pengguna secara tidak sadar menjadi bagian dari proses infeksi.
5. Eksekusi Malware – Perintah yang ditempelkan mengunduh dan menjalankan muatan malware akhir .

Alat Windows yang Disalahgunakan (Living-off-the-Land)

Untuk menghindari deteksi, penyerang secara ekstensif menyalahgunakan komponen Windows yang sah—teknik yang dikenal sebagai "living-off-the-land" (LOLBins) . Alat yang teramati dalam kampanye ini meliputi:

• conhost – Host konsol yang digunakan untuk eksekusi perintah
• PowerShell – Eksekusi skrip dan pengunduhan muatan
• cmd (Command Prompt) – Eksekusi perintah langsung
• mshta – Menjalankan file HTA berbahaya
• rundll32 – Memuat DLL melalui baris perintah
• curl – Mengunduh muatan tahap berikutnya
• WMI (Windows Management Instrumentation) – Untuk pergerakan lateral atau persistensi
• Kotak dialog Windows Run – Titik eksekusi awal sesuai umpan ClickFix

Dengan menggunakan komponen tepercaya Microsoft ini, penyerang dapat melewati banyak pertahanan titik akhir tradisional .

Jenis Malware yang Disebarkan

Kampanye ini tidak terbatas pada satu jenis malware tertentu. Ini berfungsi sebagai mekanisme pengiriman untuk berbagai trojan pencuri informasi dan akses jarak jauh :

• Lumma Stealer – Muatan utama yang teramati di banyak kasus . Mencuri kata sandi peramban, kredensial dompet mata uang kripto, cookie sesi, dan data sensitif lainnya.
• XWorm (Xworm) – Trojan akses jarak jauh (RAT) yang mampu mencuri data dan mengunduh muatan tambahan.
• AsyncRAT – RAT sumber terbuka yang digunakan untuk pengawasan, keylogging, dan pencurian kredensial.
• MintsLoader – Pengunduh/pemuat yang menginstal malware tambahan ke sistem yang dikompromikan.
• Alat Manajemen Jarak Jauh – Berpotensi menyalahgunakan alat yang sah (misalnya, AnyDesk, perangkat lunak berbagi layar) untuk persistensi dan pergerakan lateral.

Eksekusi yang berhasil dapat menyebabkan paparan kredensial, pembentukan akses persisten, pergerakan lateral dalam jaringan, dan pada akhirnya penyebaran ransomware . Pada sistem macOS, kampanye ini juga teramati mengirimkan MacSync dan Atomic Stealer .

Langkah Perlindungan yang Direkomendasikan Microsoft

Microsoft mengeluarkan beberapa rekomendasi praktis untuk melindungi dari kampanye ini :

1. Aktifkan perlindungan multi-layer di Microsoft Defender – Pastikan perlindungan real-time, perlindungan yang dikirimkan melalui cloud, dan tamper protection aktif.
2. Batasi alat baris perintah – Gunakan AppLocker atau Windows Defender Application Control (WDAC) untuk memblokir eksekusi alat yang tidak tepercaya seperti PowerShell, mshta, dan rundll32.
3. Aktifkan pencatatan skrip PowerShell – Nyalakan pencatatan blok skrip dan transkripsi untuk mendeteksi upaya eksekusi perintah yang dikaburkan.
4. Kesadaran pengguna (langkah paling kritis) – Jangan pernah menempelkan perintah dari sumber yang tidak dikenal atau tidak terverifikasi ke dalam kotak dialog Run, Terminal, atau PowerShell. CAPTCHA yang sah tidak akan pernah memerintahkan pengguna untuk melakukan tindakan seperti ini.
5. Blokir titik akhir RPC smart contract – Jika memungkinkan, batasi akses keluar ke gateway RPC publik BNB Smart Chain dari titik akhir yang tidak memerlukan akses blockchain.
6. Gunakan Microsoft Defender for SmartScreen – Alat ini membantu memblokir halaman web berbahaya pada tahap akses awal, mencegah pengguna melihat CAPTCHA palsu .

Deteksi dan Cakupan

Meskipun pengumuman publik dari Microsoft tidak memberikan daftar lengkap nama deteksi Microsoft Defender Antivirus spesifik untuk kampanye ini , penelitian keamanan terkait dari Juli dan Agustus 2026 menunjukkan bahwa Microsoft Defender for Endpoint memberikan cakupan perilaku untuk :

• Pola eksekusi living-off-the-land
• Aktivitas WebDAV dan MSHTA yang mencurigakan
• Eksekusi PowerShell yang dikaburkan
• Persistensi tugas terjadwal
• Eksekusi muatan dalam memori
• Pencurian kredensial peramban

Blog ClickFix macOS yang diterbitkan Microsoft pada 5 Agustus 2026, mendokumentasikan bahwa Microsoft Defender for SmartScreen memblokir halaman web berbahaya, dan Defender XDR menyediakan cakupan permukaan di bawah pemetaan taktik dan teknik tertentu . Deteksi Microsoft Defender Antivirus untuk keluarga ancaman ClickFix yang lebih luas mencakup nama-nama seperti Behavior:Win32/ClickFix, Trojan:Win32/ClickFix, dan Trojan:HTML/FakeCaptcha , meskipun tanda tangan spesifik untuk injeksi JavaScript terkait BNB Chain dari kampanye ini telah diterapkan tetapi tidak disebutkan secara individual dalam peringatan publik .

Bagaimana Serangan Bekerja: Teknik EtherHiding

Inovasi utama—dan alasan kampanye ini sangat sulit digagalkan—adalah teknik EtherHiding. Alih-alih menggunakan server komando tradisional yang bisa ditutup, penyerang menyimpan instruksi muatan berbahaya langsung di dalam smart contract BNB Smart Chain . Karena hanya alamat dompet yang menyebarkan kontrak yang bisa memodifikasi isinya, penghapusan instruksi berbahaya melalui metode pemblokiran atau penutupan tradisional menjadi hampir mustahil . Kampanye ini terkait dengan operasi malware ClearFake yang sebelumnya menggunakan prompt pembaruan peramban palsu untuk menyebarkan malware .

Rantai Infeksi: Dari Situs Web Diretas ke Malware

Serangan terjadi dalam beberapa langkah singkat yang mengeksploitasi kepercayaan pengguna dan alat bawaan Windows:

1. Peretasan Situs Web – Penyerang meretas situs web yang sah (seringkali situs WordPress) dan menyuntikkan JavaScript terenkode Base64 ke dalam halaman tersebut .
2. Permintaan ke Blockchain – Skrip yang disuntikkan terhubung ke gateway RPC BNB Smart Chain dan meminta smart contract tertentu untuk mengambil instruksi jahat tahap berikutnya .
3. CAPTCHA Palsu – Peramban menerjemahkan instruksi yang diambil dan menampilkan layar verifikasi CAPTCHA palsu kepada pengguna .
4. Rekayasa Sosial (ClickFix/TerminalFix) – Pengguna diarahkan untuk menekan Windows+R guna membuka kotak dialog Run (atau membuka Windows Terminal atau PowerShell), menempelkan perintah dari papan klip, dan menjalankannya . Ini adalah trik rekayasa sosial utama: pengguna secara tidak sadar menjadi bagian dari proses infeksi.
5. Eksekusi Malware – Perintah yang ditempelkan mengunduh dan menjalankan muatan malware akhir .

Alat Windows yang Disalahgunakan (Living-off-the-Land)

Untuk menghindari deteksi, penyerang secara ekstensif menyalahgunakan komponen Windows yang sah—teknik yang dikenal sebagai "living-off-the-land" (LOLBins) . Alat yang teramati dalam kampanye ini meliputi:

• conhost – Host konsol yang digunakan untuk eksekusi perintah
• PowerShell – Eksekusi skrip dan pengunduhan muatan
• cmd (Command Prompt) – Eksekusi perintah langsung
• mshta – Menjalankan file HTA berbahaya
• rundll32 – Memuat DLL melalui baris perintah
• curl – Mengunduh muatan tahap berikutnya
• WMI (Windows Management Instrumentation) – Untuk pergerakan lateral atau persistensi
• Kotak dialog Windows Run – Titik eksekusi awal sesuai umpan ClickFix

Dengan menggunakan komponen tepercaya Microsoft ini, penyerang dapat melewati banyak pertahanan titik akhir tradisional .

Jenis Malware yang Disebarkan

Kampanye ini tidak terbatas pada satu jenis malware tertentu. Ini berfungsi sebagai mekanisme pengiriman untuk berbagai trojan pencuri informasi dan akses jarak jauh :

• Lumma Stealer – Muatan utama yang teramati di banyak kasus . Mencuri kata sandi peramban, kredensial dompet mata uang kripto, cookie sesi, dan data sensitif lainnya.
• XWorm (Xworm) – Trojan akses jarak jauh (RAT) yang mampu mencuri data dan mengunduh muatan tambahan.
• AsyncRAT – RAT sumber terbuka yang digunakan untuk pengawasan, keylogging, dan pencurian kredensial.
• MintsLoader – Pengunduh/pemuat yang menginstal malware tambahan ke sistem yang dikompromikan.
• Alat Manajemen Jarak Jauh – Berpotensi menyalahgunakan alat yang sah (misalnya, AnyDesk, perangkat lunak berbagi layar) untuk persistensi dan pergerakan lateral.

Eksekusi yang berhasil dapat menyebabkan paparan kredensial, pembentukan akses persisten, pergerakan lateral dalam jaringan, dan pada akhirnya penyebaran ransomware . Pada sistem macOS, kampanye ini juga teramati mengirimkan MacSync dan Atomic Stealer .

Langkah Perlindungan yang Direkomendasikan Microsoft

Microsoft mengeluarkan beberapa rekomendasi praktis untuk melindungi dari kampanye ini :

1. Aktifkan perlindungan multi-layer di Microsoft Defender – Pastikan perlindungan real-time, perlindungan yang dikirimkan melalui cloud, dan tamper protection aktif.
2. Batasi alat baris perintah – Gunakan AppLocker atau Windows Defender Application Control (WDAC) untuk memblokir eksekusi alat yang tidak tepercaya seperti PowerShell, mshta, dan rundll32.
3. Aktifkan pencatatan skrip PowerShell – Nyalakan pencatatan blok skrip dan transkripsi untuk mendeteksi upaya eksekusi perintah yang dikaburkan.
4. Kesadaran pengguna (langkah paling kritis) – Jangan pernah menempelkan perintah dari sumber yang tidak dikenal atau tidak terverifikasi ke dalam kotak dialog Run, Terminal, atau PowerShell. CAPTCHA yang sah tidak akan pernah memerintahkan pengguna untuk melakukan tindakan seperti ini.
5. Blokir titik akhir RPC smart contract – Jika memungkinkan, batasi akses keluar ke gateway RPC publik BNB Smart Chain dari titik akhir yang tidak memerlukan akses blockchain.
6. Gunakan Microsoft Defender for SmartScreen – Alat ini membantu memblokir halaman web berbahaya pada tahap akses awal, mencegah pengguna melihat CAPTCHA palsu .

Deteksi dan Cakupan

Meskipun pengumuman publik dari Microsoft tidak memberikan daftar lengkap nama deteksi Microsoft Defender Antivirus spesifik untuk kampanye ini , penelitian keamanan terkait dari Juli dan Agustus 2026 menunjukkan bahwa Microsoft Defender for Endpoint memberikan cakupan perilaku untuk :

• Pola eksekusi living-off-the-land
• Aktivitas WebDAV dan MSHTA yang mencurigakan
• Eksekusi PowerShell yang dikaburkan
• Persistensi tugas terjadwal
• Eksekusi muatan dalam memori
• Pencurian kredensial peramban

Blog ClickFix macOS yang diterbitkan Microsoft pada 5 Agustus 2026, mendokumentasikan bahwa Microsoft Defender for SmartScreen memblokir halaman web berbahaya, dan Defender XDR menyediakan cakupan permukaan di bawah pemetaan taktik dan teknik tertentu . Deteksi Microsoft Defender Antivirus untuk keluarga ancaman ClickFix yang lebih luas mencakup nama-nama seperti Behavior:Win32/ClickFix, Trojan:Win32/ClickFix, dan Trojan:HTML/FakeCaptcha , meskipun tanda tangan spesifik untuk injeksi JavaScript terkait BNB Chain dari kampanye ini telah diterapkan tetapi tidak disebutkan secara individual dalam peringatan publik .