C2Looper, Backdoor Rust yang Beralih dari HTTP ke GitHub
C2Looper adalah backdoor Windows berbasis Rust yang pertama kali diidentifikasi Zscaler ThreatLabz pada Juli 2026 dan dinilai kemungkinan digunakan aktor terkait ransomware. Varian lama memakai beacon HTTP plaintext yang sangat sering, eksekusi shell, pengintaian sistem, pengunduhan file, serta pembaruan melalui DLL...
C2Looper adalah backdoor Windows berbasis Rust yang pertama kali diidentifikasi Zscaler ThreatLabz pada Juli 2026 dan dinilai kemungkinan digunakan aktor terkait ransomware.
Varian lama memakai beacon HTTP plaintext yang sangat sering, eksekusi shell, pengintaian sistem, pengunduhan file, serta pembaruan melalui DLL sideloading pada OneDrive; varian baru menggunakan direktori GitHub khusu...
Organisasi perlu mewaspadai prompt verifikasi palsu ClickFix, aktivitas shell yang mencurigakan, pemuatan DLL tak lazim oleh OneDrive, serta lalu lintas HTTP atau GitHub yang berpola periodik.
What is the Rust-based C2Looper Windows backdoor, when was it first identified, how is it believed to be connected to ransomware-related actEditorial illustration of C2Looper's evolving command-and-control infrastructure.
AI Perintah
Create a landscape editorial hero image for this Studio Global article: What is the Rust-based C2Looper Windows backdoor, when was it first identified, how is it believed to be connected to ransomware-related act. Article summary: C2Looper is a newly identified Rust-based Windows backdoor designed to give an operator a foothold for remote command execution, host reconnaissance, payload deployment, and likely later-stage lateral movement. Zscaler T. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
openai.com
C2Looper adalah backdoor Windows baru berbasis Rust yang memberi penyerang pijakan untuk menjalankan perintah dari jarak jauh, mengenali sistem korban, mengunduh file, dan memasang payload tambahan. Zscaler ThreatLabz mengidentifikasi keluarga malware ini pada Juli 2026 dan menilai C2Looper kemungkinan digunakan aktor yang berkaitan dengan ransomware. Penilaian tersebut belum merupakan atribusi pasti, sementara dugaan jalur penyebarannya juga masih berada pada tingkat keyakinan rendah hingga menengah.
Perubahan terpenting pada C2Looper adalah peralihan dari kendali dan komunikasi (command and control atau C2) melalui HTTP plaintext ke infrastruktur berbasis repositori GitHub. Bagi tim keamanan, hal ini menciptakan dua pola perburuan ancaman: beacon HTTP yang sangat teratur pada sampel lama dan pertukaran tugas berbasis JSON pada versi yang lebih baru.
Mengapa C2Looper penting bagi pertahanan ransomware?
C2Looper tidak digambarkan sebagai ransomware itu sendiri. Perannya lebih menyerupai tahap akses dan persiapan intrusi. Operator dapat menjalankan perintah, memeriksa komputer korban, mengunduh file, lalu memasang perangkat atau payload lain setelah kompromi awal. Kapabilitas tersebut dapat membantu penyerang mempertahankan akses dan memperluas jangkauan di jaringan sebelum operasi ransomware berikutnya.
Laporan yang tersedia belum membuktikan atribusi publik kepada kelompok ransomware tertentu. Kemiripan infrastruktur yang dikaitkan dengan malware lain, termasuk Oyster dan Lactrodectus, sebaiknya diperlakukan sebagai petunjuk investigasi—bukan bukti bahwa pengembang atau operatornya sama.
Studio Global AI
Lanjutkan penelitian Anda
Halaman ini berisi jawaban yang didukung sumber yang dapat Anda lanjutkan di dalam Studio Global.
Apa jawaban singkat untuk "C2Looper, Backdoor Rust yang Beralih dari HTTP ke GitHub"?
C2Looper adalah backdoor Windows berbasis Rust yang pertama kali diidentifikasi Zscaler ThreatLabz pada Juli 2026 dan dinilai kemungkinan digunakan aktor terkait ransomware.
Apa poin penting yang harus divalidasi terlebih dahulu?
C2Looper adalah backdoor Windows berbasis Rust yang pertama kali diidentifikasi Zscaler ThreatLabz pada Juli 2026 dan dinilai kemungkinan digunakan aktor terkait ransomware. Varian lama memakai beacon HTTP plaintext yang sangat sering, eksekusi shell, pengintaian sistem, pengunduhan file, serta pembaruan melalui DLL sideloading pada OneDrive; varian baru menggunakan direktori GitHub khusu...
Apa yang harus saya lakukan selanjutnya dalam latihan?
Organisasi perlu mewaspadai prompt verifikasi palsu ClickFix, aktivitas shell yang mencurigakan, pemuatan DLL tak lazim oleh OneDrive, serta lalu lintas HTTP atau GitHub yang berpola periodik.
Sampel awal berkomunikasi dengan server yang dikendalikan penyerang melalui HTTP plaintext dan menggunakan tugas berformat JSON. Laporan menyebutkan bahwa malware melakukan polling dengan frekuensi sangat tinggi, bahkan sekitar satu detik sekali. Pola ini dapat menjadi sinyal perilaku yang khas di endpoint maupun jaringan.
Beacon dari implant mengidentifikasi korban menggunakan data seperti nama pengguna Windows, nama host DNS, ID proses C2Looper yang sedang berjalan, serta ID bot yang dibentuk dari nama host dan nama pengguna. Beacon dikirim ke jalur /api/beacon, sedangkan keluaran perintah dilaporkan melalui /api/result/.
Kumpulan perintahnya memberi operator kendali praktis atas sistem yang terinfeksi, termasuk:
Menjalankan shell atau perintah sistem secara arbitrer
Melakukan pengintaian terhadap host
Mengunduh file
Memperbarui implant dan memasang payload tambahan
Salah satu mekanisme pembaruan yang menonjol menggunakan perintah upload. C2Looper mengambil berkas executable portabel dari URL yang diberikan operator, lalu menyimpannya sebagai DLL di direktori OneDrive lokal pengguna. Malware kemudian dapat menghentikan proses OneDrive dan memanfaatkan executable OneDrive yang sah untuk memuat library tersebut melalui teknik DLL sideloading. Sampel yang dilaporkan menggunakan wtsapi32.dll di %LocalAppData%\\Microsoft\\OneDrive.
Teknik ini menempatkan kode berbahaya di dekat executable tepercaya dan memanfaatkan perilaku normal executable tersebut saat memuat library. Karena itu, indikator penting bagi defender bukan sekadar keberadaan OneDrive, melainkan executable OneDrive yang sah tetapi memuat DLL tak terduga dari lokasi yang tidak biasa atau dapat ditulis oleh pengguna.
Fitur pengelakan pada sampel lama
C2Looper menggunakan dekripsi string XOR saat runtime, yang dilaporkan memakai kembali kunci sepanjang delapan byte. Malware ini juga menyelesaikan API Windows secara dinamis melalui LoadLibrary dan GetProcAddress. Teknik tersebut dapat mengurangi efektivitas pemeriksaan statis sederhana dan membuat telemetri perilaku dari perangkat EDR semakin penting.
Varian baru: GitHub sebagai infrastruktur C2
Build C2Looper yang lebih baru menggantikan server C2 konvensional dengan repositori GitHub. Repositori tersebut digunakan untuk mengirim tugas, menerima beacon, menampung hasil perintah, dan—menurut laporan mengenai varian baru—menyimpan data yang berkaitan dengan payload.
Setiap host yang terinfeksi memperoleh direktori repositori tersendiri. Implant membaca instruksi dari cmd.json, menjalankan tindakan yang diminta, kemudian menulis hasilnya ke result.json pada direktori yang sama. Dengan alur berbasis file ini, operator dapat mengirim perintah dan mengambil hasil tanpa mengandalkan server C2 khusus.
Pemakaian GitHub dapat menyulitkan strategi pemblokiran domain sederhana karena layanan tersebut juga merupakan infrastruktur sah bagi pengembang dan perusahaan. Respons yang lebih tepat adalah mendeteksi perilaku: selidiki akses repositori atau API GitHub yang periodik dari endpoint yang biasanya tidak memerlukannya, lalu bedakan aktivitas JSON per host yang mencurigakan dari penggunaan pengembangan atau CI/CD yang telah disetujui.
Peralihan ke GitHub, ditambah kemampuan eksekusi payload yang dilaporkan pada sampel lebih baru, menunjukkan bahwa C2Looper masih dikembangkan secara aktif.
Dugaan penyebaran melalui rekayasa sosial ClickFix
ThreatLabz menilai dengan tingkat keyakinan rendah hingga menengah bahwa C2Looper mungkin disebarkan melalui rantai infeksi ClickFix bertahap. Dalam skenario semacam ini, korban melihat prompt verifikasi palsu, pesan kesalahan browser, CAPTCHA, atau notifikasi perbaikan sistem. Korban kemudian dibujuk untuk menyalin dan menjalankan perintah melalui PowerShell, dialog Run Windows, atau antarmuka perintah lainnya.
Interaksi manusia menjadi titik penting untuk pencegahan. Situs web atau pesan dari browser seharusnya tidak pernah meminta pengguna menempelkan perintah ke PowerShell, Terminal, atau Run untuk menyelesaikan verifikasi maupun memperbaiki masalah.
Laporan terkait juga membahas vishing melalui Teams dan penyalahgunaan Quick Assist dalam ekosistem rekayasa sosial yang lebih luas. Namun, bukti yang tersedia tidak membuktikan bahwa setiap kampanye tersebut menyebarkan C2Looper. Hubungan itu sebaiknya dipandang sebagai konteks yang masuk akal, bukan atribusi kampanye yang sudah terkonfirmasi.
Hal yang perlu dipantau defender
Organisasi dapat memusatkan perhatian pada sejumlah perilaku bernilai tinggi, alih-alih mencoba memblokir setiap alat atau layanan yang mungkin berhubungan dengan malware ini:
Beacon HTTP plaintext yang sangat sering: Selidiki lalu lintas POST JSON dengan interval tidak wajar, terutama permintaan yang menyerupai /api/beacon dan /api/result/, lalu korelasikan dengan proses baru atau mencurigakan di endpoint.
Aktivitas GitHub yang mencurigakan: Cari akses endpoint ke repositori atau API GitHub yang berpola periodik, khususnya direktori per host yang berisi cmd.json dan result.json. Jangan memblokir GitHub secara membabi buta; perhitungkan alur kerja pengembangan dan otomasi yang sah.
DLL sideloading melalui OneDrive: Buat peringatan ketika executable OneDrive yang sah berjalan dari jalur profil pengguna yang tidak lazim, memuat DLL dari direktori yang berdekatan dan dapat ditulis, atau membuat proses turunan yang tidak semestinya.
Eksekusi perintah dan pengintaian: Gunakan telemetri EDR untuk menemukan PowerShell, cmd.exe, aktivitas dialog Run, pemetaan sistem, pengunduhan bertahap, dan eksekusi shell dari binary yang baru muncul.
Pola perilaku implant Rust: Amati kombinasi resolusi API dinamis, string terenkripsi, polling jaringan, dan pemasangan payload. Jangan hanya bergantung pada satu ciri file.
Prioritas pencegahan
Kontrol teknis perlu dipadukan dengan pertahanan terhadap rekayasa sosial. Jika sesuai dengan kebutuhan bisnis, batasi atau atur penggunaan PowerShell, host skrip, binary tanpa tanda tangan digital, serta eksekusi dari direktori yang dapat ditulis pengguna. Application allowlisting juga dapat mengurangi peluang payload hasil unduhan untuk dijalankan.
Tim keamanan dan staf help desk perlu dilatih untuk tidak pernah menempelkan perintah yang diberikan situs web, CAPTCHA, halaman kesalahan browser, atau kontak dukungan yang tidak diminta. Penggunaan alat dukungan jarak jauh harus mengikuti alur resmi, kanal dukungan yang terverifikasi, autentikasi kuat, pencatatan sesi, dan peninjauan cepat terhadap sesi yang tidak biasa.
Segmentasi jaringan, akses dengan hak minimum, autentikasi multifaktor, penambalan cepat sistem yang terhubung ke internet, serta pencadangan offline atau immutable yang telah diuji dapat membatasi dampak jika C2Looper terdeteksi. Jika endpoint menunjukkan beacon mencurigakan, aktivitas shell, atau DLL sideloading, segera isolasi perangkat sambil mempertahankan log endpoint, catatan jaringan, dan—bila diperlukan—memori untuk investigasi.
Kesimpulan
Signifikansi C2Looper terletak pada perkembangannya: dari backdoor HTTP yang relatif sederhana menjadi implant fleksibel yang dapat memakai repositori GitHub sebagai infrastruktur operasional. Kemampuan shell jarak jauh, pengintaian, pengunduhan, dan pembaruan menjadikannya pijakan yang kredibel untuk intrusi terkait ransomware. Namun, bukti yang tersedia tetap mendukung penilaian hati-hati, bukan atribusi definitif.
Strategi pertahanan paling kuat adalah menggabungkan alur kerja pengguna yang tahan terhadap ClickFix dengan perburuan perilaku—mulai dari eksekusi perintah yang tidak wajar, DLL sideloading OneDrive, polling HTTP berfrekuensi tinggi, hingga aktivitas repositori GitHub yang tidak dapat dijelaskan.
