Malwarebytes melaporkan kampanye distribusi malware yang menyamar sebagai game, mod, dan software crack menggunakan RenPy Loader untuk menyebarkan Amatera Stealer melalui rantai infeksi multi-tahap yang menyalahgunakan MSBuild dan teknik EtherHiding.
APA YANG TERJADI?
Penyerang mendistribusikan file berbahaya yang disamarkan sebagai installer game melalui situs download palsu, portal game, dan layanan file-sharing seperti Wormhole, GoFile, Google Drive, dan MEGA. File yang diunduh berupa arsip berisi Setup.exe yang memicu rantai infeksi kompleks. RenPy Loader, juga dikenal sebagai RenEngine Loader, menyalahgunakan mesin game Ren’Py yang legitim untuk menyembunyikan kode berbahaya dalam visual novel atau game interaktif. Loader ini mengubah file .rpa dan script Python untuk menyandikan payload berikutnya.
DETAIL TEKNIS
Rantai infeksi dimulai dari RenPy Loader yang membaca konfigurasi terenkripsi XOR dari file data/.GEg dan mendekripsi arsip ZIP dari data/j3lpTcg7kBRN.E3 menggunakan kunci XOR. Arsip tersebut diekstrak ke folder %TEMP% dengan nama acak, menghapus Mark of the Web melalui Alternate Data Stream (ADS), dan meluncurkan payload menggunakan forfiles.exe. File BAT yang diekstrak kemudian mengeksekusi MSBuild.exe dengan project file Nancy.csproj yang telah dimodifikasi. MSBuild property functions disalahgunakan untuk mendekode dan memuat DLL trojanized Nancy .NET secara reflektif melalui AppDomain.CurrentDomain.Load. DLL tersebut menggunakan bytecode kustom untuk mendekode stage berikutnya, GollopDevest.dll, yang memanfaatkan teknik EtherHiding untuk mendapatkan alamat C2. EtherHiding menggunakan panggilan eth_call ke smart contract di Binance Smart Chain (bsc-dataseed.binance.org) sehingga domain C2 tidak tersimpan langsung di dalam malware. Dari C2, payload tambahan diunduh dan akhirnya memuat Amatera Stealer yang mencuri password browser, wallet kripto, data aplikasi pesan, dan file lokal.
DAMPAK TERHADAP INDONESIA
Komunitas gaming Indonesia termasuk salah satu yang terbesar di Asia Tenggara, dengan jutaan pengguna aktif yang sering mencari mod, crack, atau game gratis melalui situs tidak resmi. Kebiasaan ini membuat mereka sangat rentan terhadap kampanye semacam ini. Selain itu, penetrasi e-wallet dan platform perbankan digital di Indonesia yang tinggi membuat hasil pencurian data oleh infostealer seperti Amatera memiliki nil ekonomi yang signifikan. Banyak pengguna Indonesia juga kurang memiliki kebiasaan memeriksa hash file atau memverifikasi sumber unduhan, sehingga social engineering melalui tema game menjadi sangat efektif. Pelaku ancaman dapat dengan mudah menyesuaikan tema lure dengan game atau aplikasi yang sedang populer secara lokal.
REKOMENDASI MITIGASI
Pengguna harus mengunduh game dan software hanya dari situs resmi, toko aplikasi tepercaya, atau platform distribusi yang mapan. Hindari software crack, mod tidak resmi, dan versi gratis dari game berbayar. Periksa isi arsip sebelum mengeksekusi file seperti Setup.exe. Gunakan anti-malware real-time dan pastikan sistem operasi serta browser selalu diperbarui. Organisasi harus menerapkan application control untuk membatasi eksekusi MSBuild.exe dan forfiles.exe dari direktori yang dapat ditulis pengguna, serta memantau aktivitas anomali pada Alternate Data Stream dan penghapusan Zone.Identifier.
Analisa Retasan
Kampanye ini menunjukkan evolusi taktis yang cerdas dalam distribusi malware: penyalahgunaan teknologi legitim secara bertingkat. Dimulai dari RenPy, mesin game open-source yang umumnya diasosiasikan dengan visual novel indie, penyerang memanfaatkan fleksibilitas integrasi Python untuk menyisipkan kode berbahaya. Transisi ke MSBuild adalah langkah yang dirancang untuk menghindari deteksi berbasis executable tradisional, karena MSBuild adalah komponen .NET Framework yang legitim dan sering di-whitelist oleh EDR. Teknik EtherHiding yang menggunakan blockchain Binance Smart Chain sebagai resolver C2 merupakan inovasi yang mengubah paradigma: alamat C2 tidak lagi tersimpan dalam binary, melainkan diambil secara dinamis dari smart contract, membuat takedown infrastruktur menjadi jauh lebih sulit karena blockchain bersifat immutable dan terdesentralisasi. Pola ini mirip dengan teknik yang diamati pada loader malware lain yang menggunakan DNS-over-HTTPS atau domain generation algorithm, namun EtherHiding menambahkan lapisan ketahanan dengan memanfaatkan infrastruktur kripto.
Dari perspektif lokal, Indonesia menghadapi risiko besar karena kurangnya literasi keamanan siber di kalangan gamer muda yang sering menjadi target utama. Ketergantungan pada sumber unduhan tidak resmi, ditambah dengan kurangnya edukasi tentang bahaya software crack, menciptakan ekosistem yang mendukung penyebaran malware semacam ini. Amatera Stealer yang ditargetkan pada wallet kripto dan session browser sangat relevan mengingat adopsi aset kripto dan e-banking di Indonesia yang terus meningkat. Serangan serupa yang menargetkan aplikasi e-wallet lokal seperti OVO, GoPay, atau DANA dapat menimbulkan kerugian finansial massal. Selain itu, penggunaan MSBuild sebagai stager menunjukkan perlunya EDR lokal yang mampu memantau anomali pada toolchain development, bukan hanya executable jahat yang jelas.
Secara strategis, kombinasi RenPy Loader, MSBuild abuse, dan EtherHiding menciptakan rantai serangan yang sangat modular dan sulit dilacak. Setiap komponen dapat diganti dengan teknologi lain yang serupa tanpa mengubah arsitektur keseluruhan. Ini adalah contoh Living Off The Land (LOTL) yang canggih, di mana hampir setiap tools yang digunakan adalah komponen legitim yang ada di sistem. Bagi praktisi blue team di Indonesia, deteksi harus bergeser dari signature-based menuju behavioral analytics yang memantau anomali seperti MSBuild memuat DLL dari path sementara, koneksi ke endpoint blockchain, atau aktivitas aneh pada browser credential stores. Tanpa pergeseran paradigma deteksi ini, kampanye serupa akan terus lolos dari pertahanan tradisional.
Sumber: Malwarebytes
