Aktor ancaman asal Korea Utara di balik kampanye ClickFix-style yang menggunakan domain typosquatting Zoom dan Microsoft Teams telah ditemukan mengoperasikan kit phishing aktif yang memprofil dompet kripto korban sebelum pengiriman malware. Platform ini menggunakan kontak industri yang telah dikompromikan, rekayasa sosial, rekognisi dompet, dan video AI-generated headshot untuk menciptakan pipeline perolehan korban yang dapat diulang.
APA YANG TERJADI?
JUMPSEC melaporkan bahwa BlueNoroff telah mengoperasikan trust abuse dengan menggabungkan kontak industri yang telah dikompromikan, rekayasa sosial, rekognisi dompet, dan pengiriman malware menjadi pipeline perolehan korban yang dapat diulang. Platform memprofil dompet kripto korban sebelum pengiriman malware, memungkinkan penargetan selektif terhadap korban bernilai tinggi. Aktivitas ini melibatkan penggunaan kontak tepercaya yang telah dikompromikan sebagai initial access vector untuk menciptakan rantai serangan yang mempropagasi diri melalui Telegram. Lure link didistribusikan dari akun yang target sudah percaya dan pernah bertemu secara nyata, dengan penyerang membajak akun Telegram sah individu dalam ruang kripto untuk mengirim pesan ke karyawan senior perusahaan besar dan membagikan link meeting Calendly.
Setiap korban yang menjalankan payload dengan Telegram Web terbuka atau Telegram Desktop yang terinstal adalah calon untuk sesi Telegram mereka dicuri dan digunakan kembali terhadap kontak mereka sendiri, menciptakan sifat self-sustaining dari kampanye ini. Link Calendly membawa korban ke URL yang tampaknya adalah meeting Zoom, namun pada kenyataannya adalah domain palsu yang meniru layanan videokonferensi. Pengguna yang mendarat pada halaman phishing diminta untuk memasukkan nama mereka dan memberikan izin akses webcam. Namun, setelah izin diberikan, stream webcam dikirim secara diam-diam ke panel operator melalui mediasoup WebRTC. Pada tahap akhir, korban melihat halaman di mana mereka tampak berada dalam panggilan Zoom sendirian dengan pesan “waiting for other participants.”
DETAIL TEKNIS
Kit phishing menjalankan langkah fingerprinting pada browser web untuk menginventarisasi dompet kripto yang terinstal, setelah itu admin bergabung dengan meeting palsu. Video yang dilihat korban bukan stream langsung, melainkan video yang telah diedit sebelumnya menampilkan headshot AI-generated yang dibuat menggunakan OpenAI ChatGPT dan disuperimposisi di atas gerakan tubuh autentik yang ditangkap selama meeting sebelumnya. Jadi, setiap serangan yang berhasil memberikan materi sumber ke dalam komposit yang digunakan terhadap target berikutnya. JUMPSEC menangkap dua varian lure yang berbeda, masing-masing untuk Zoom dan Microsoft Teams. Varian Teams dinilai lebih polished dibandingkan versi Zoom, mendukung emoji reaction, pemblokiran mobile atau tablet, dan wallet probe yang lebih canggih sebelum pengiriman malware.
Rantai serangan ClickFix kompatibel dengan Windows dan macOS. Pada Windows, perintah ClickFix menjalankan PowerShell loader yang mengunduh dan mengeksekusi VBScript, menonaktifkan Microsoft Defender, menambahkan folder C:\Users ke exclusion path, dan merestart Defender secara paksa agar exclusion diterapkan. VBScript implant memeriksa keberadaan file Telegram Web dalam direktori profil browser, kemungkinan untuk menentukan apakah korban memiliki akun Telegram aktif dan berpotensi membajak session cookies akun. Implant juga mengenumerasi ekstensi yang terinstal dan mencocokkan extension IDs dengan wallet extensions yang dikenal seperti MetaMask untuk mengidentifikasi target bernilai tinggi. Pada macOS, perintah ClickFix menjalankan shell script yang mengunduh installer Teams palsu, yang menjalankan stealer payload untuk mengekstrak dan mengekfiltrasi data sensitif termasuk metadata sistem dan Google Chrome master keys dari iCloud Keychain melalui channel Telegram bernama Aurora.
DAMPAK TERHADAP INDONESIA
Indonesia memiliki komunitas kripto yang sangat aktif, dengan jutaan pengguna exchange lokal dan investor DeFi. Aktor ancaman seperti BlueNoroff, yang secara khusus menargetkan ruang kripto dan venture capital, memandang Indonesia sebagai pasar yang menarik karena pertumbuhan aset digital yang pesat namun tingkat keamanan yang tidak seimbang. Banyak pengusaha startup teknologi dan investor kripto Indonesia menggunakan Zoom dan Telegram sebagai alat komunikasi utama untuk pitch dan partnership, menjadikan mereka target alami bagi skema ClickFix ini. Selain itu, dengan adopsi kripto yang meningkat di kalangan milenial dan Gen Z Indonesia, literasi keamanan tentang social engineering berbasis videokonferensi masih sangat minim. Komunitas kripto Indonesia yang erat dan berbasis referral trust membuat teknik hijacking akun Telegram dan impersonation contact menjadi sangat efektif.
REKOMENDASI MITIGASI
Individu dan organisasi dalam ruang kripto harus secara skeptis memverifikasi identitas peserta meeting melalui channel komunikasi terpisah sebelum bergabung dengan panggilan video yang tidak diharapkan. Gunakan hardware wallet alih-alih browser extension wallets untuk menyimpan aset kripto bernilai signifikan. Nonaktifkan fitur WebRTC dan izin webcam default pada browser kecuali secara eksplisit diperlukan. Implementasi application whitelisting dan browser extension management policy di perangkat kerja dapat mencegah instalasi wallet extension yang tidak disetujui. Untuk organisasi, nonaktifkan device code authentication flow di Microsoft Entra ID jika tidak diperlukan, dan gunakan always-on VPN dengan encrypted DNS. Periksa keaslian domain meeting dengan cermat; typosquatting seperti us.zoom.06webin.us sangat mirip dengan URL Zoom resmi. Terakhir, waspadai permintaan untuk menjalankan perintah PowerShell atau terminal untuk “memperbaiki” masalah audio atau video.
Analisa Retasan
Kit phishing BlueNoroff merepresentasikan tingkat kematangan yang luar biasa dalam orkestrasi serangan nation-state yang memadukan rekayasa sosial, AI-generated synthetic media, dan cryptocurrency reconnaissance. Secara teknis, platform ini bukan sekadar phishing kit statis melainkan victim acquisition platform yang dinamis: setiap kompromize korban memberikan materi sumber video baru untuk memperkaya library komposit AI yang digunakan melawan target berikutnya. Mekanisme self-sustaining attack chain melalui Telegram session hijacking menciptakan efek multiplier di mana satu akun yang dikompromikan dapat menyebarkan serangan ke seluruh jaringan sosial korban. Penggunaan mediasoup WebRTC untuk menangkap stream webcam korban sebelum pengiriman malware adalah teknik surveillance yang biasanya ditemukan pada spyware canggih, bukan pada phishing kit konvensional.
Pola ini merupakan evolusi dari kampanye North Korea sebelumnya seperti AppleJeus dan Lazarus Group attacks yang menargetkan cryptocurrency exchanges. Perbedaannya adalah bahwa BlueNoroff tidak menargetkan infrastruktur exchange melainkan individu dengan akses ke aset digital, menggunakan teknik trust abuse yang jauh lebih personal. Penggunaan AI-generated headshot yang disuperimposisi di atas gerakan tubuh autentik adalah aplikasi deepfake yang cerdas karena mengurangi kebutuhan akan model wajah real-time, yang masih teknis sulit. Sebagai gantinya, penyerang menggunakan rekaman video korban sebelumnya sebagai template gerakan, yang kemudian dipadukan dengan headshot AI-generated dari persona palsu. Teknik ini menghasilkan video yang secara visual plausible dan bergerak dengan bahasa tubuh yang familier bagi target berikutnya.
Bagi Indonesia, munculnya kit phishing selevel ini menunjukkan bahwa ancaman nation-state tidak lagi hanya menargetkan pemerintah atau militer, melainkan juga ekosistem ekonomi digital. Dengan pertumbuhan sektor kripto dan fintech Indonesia, aktor ancaman tingkat lanjut akan semakin melihat negara ini sebagai target yang menguntungkan. Kesiapan keamanan siber Indonesia terhadap serangan yang menggabungkan AI-generated content, social engineering berbasis komunikasi video, dan surveillance melalui WebRTC masih sangat minim. BSSN dan Kementerian Kominfo perlu bekerja sama dengan komunitas kripto nasional untuk mengembangkan guideline keamanan spesifik yang mencakup verifikasi identitas pada panggilan video, deteksi deepfake real-time, dan prosedur incident response untuk kompromize akun komunikasi. Tanpa kesiapan ini, ekosistem digital Indonesia akan tetap rentan terhadap serangan yang semakin sofistikated dan personal.
Sumber: The Hacker News
