Seqrite, divisi keamanan siber dari Quick Heal Technologies, telah merilis laporan mendalam mengenai kampanye phishing yang menggunakan tema bisnis untuk menyebarkan malware pencuri data. Kampanye ini mendeploy varian Phantom Stealer v3.5.0 melalui rantai infeksi berlapis yang dimulai dari file JavaScript berbahaya, dilanjutkan dengan dekripsi PowerShell, dan berakhir dengan injeksi reflektif ke dalam proses .NET yang sah. Temuan ini mengkonfirmasi bahwa infostealer tetap menjadi ancaman dominan dalam lanskap kriminal siber karena profitabilitas tinggi dan kompleksitas teknis yang moderat.
APA YANG TERJADI?
Kampanye phishing yang didokumentasikan oleh Seqrite menggunakan dua tema utama: UPS Forwarding Hub dan otoritas perpajakan Malaysia (LHDN). Korban menerima email yang tampak seperti komunikasi bisnis sah, namun berisi lampiran file JavaScript (.js) yang berfungsi sebagai loader awal. File JavaScript tersebut mendekodekan blob Base64 menjadi skrip PowerShell, yang kemudian menjalankan dekripsi AES terhadap payload berikutnya. PowerShell loader kedua membongkar injektor .NET yang dienkripsi dengan XOR (kunci: “DEVILboy56@@”) dan file PE mentah dari Phantom Stealer v3.5.0. Injektor kemudian melakukan injeksi reflektif (reflective injection) ke dalam proses aspnet_compiler.exe, sebuah utilitas pengembangan .NET yang sah, untuk menghindari deteksi antivirus.
DETAIL TEKNIS
Phantom Stealer v3.5.0 adalah malware infostealer yang dirancang untuk mengumpulkan data sensitif dari peramban (browser) korban. Stealer ini mampu mencuri kata sandi yang disimpan di peramban berbasis Chromium dan Gecko, informasi kartu kredit, cookie sesi, dompet kripto, serta data dari aplikasi perpesanan. Eksfiltrasi data dilakukan melalui protokol SMTP pada port 587 dengan mengaktifkan STARTTLS dan mekanisme autentikasi AUTH LOGIN. Seqrite mengamati penggunaan alamat email ruhi@aktekmetal[.]com[.]tr sebagai kredensial pengiriman SMTP dalam salah satu sampel. Tidak ada atribusi definitif terhadap aktor ancaman spesifik; malware ini bersifat komoditas yang dapat dibeli, disewa, atau dimodifikasi oleh berbagai pelaku kriminal siber. Teknik injeksi reflektif ke aspnet_compiler.exe merupakan strategi Living-off-the-Land (LotL) yang efektif karena proses tersebut biasanya dipercaya oleh solusi keamanan endpoint.
DAMPAK TERHADAP INDONESIA
Indonesia merupakan salah satu pasar terbesar untuk adopsi peramban Chromium-based dan aplikasi perpesanan digital, sehingga populasi pengguna menjadi target yang sangat menarik bagi operator infostealer. Kampanye phishing dengan tema logistik dan perpajakan sangat relevan di Indonesia karena tingginya volume perdagangan elektronik dan kewajiban perpajakan yang kompleks, yang sering kali membuat korban tidak curiga terhadap email semacam itu. Kebocoran kredensial peramban dapat berdampak serius pada sistem perbankan digital dan dompet elektronik yang banyak digunakan masyarakat Indonesia, mengingat kurangnya kesadaran mengenai pengelolaan sesi dan penyimpanan kata sandi. BSSN dan Kementerian Komunikasi dan Digital perlu meningkatkan literasi keamanan siber terkait ancaman phishing berbasis file JavaScript dan PowerShell, yang sering kali lolos dari filter email sederhana. Penggunaan SMTP dengan STARTTLS juga mengindikasikan bahwa infrastruktur email lokal dapat disalahgunakan sebagai relai pengiriman data curian jika tidak dikonfigurasi dengan autentikasi yang ketat.
REKOMENDASI MITIGASI
Pengguna dan organisasi harus menonaktifkan eksekusi file JavaScript (.js) dan PowerShell (.ps1) dari sumber tidak dikenal melalui kebijakan grup (group policy) atau pengaturan sistem operasi. Solusi keamanan endpoint harus dilengkapi dengan kemampuan analisis perilaku (behavioral analysis) untuk mendeteksi aktivitas dekripsi AES dan injeksi proses yang mencurigakan. Pengguna disarankan untuk tidak menyimpan kata sandi di peramban, menggunakan password manager terpisah, dan mengaktifkan multi-factor authentication (MFA) pada semua layanan penting. Administrator jaringan perlu memfilter dan memonitor lalu lintas keluar pada port 587 dengan memeriksa header email dan alamat tujuan yang tidak biasa. Tim keamanan harus secara rutin melakukan pemindaian intelijen ancaman terhadap sampel infostealer yang beredar di pasar gelap untuk mengidentifikasi indikator kompromi (IOC) spesifik yang menargetkan wilayah Indonesia.
Analisa Retasan
Secara teknis, rantai infeksi Phantom Stealer menunjukkan pendekatan modular dan berlapis yang dirancang untuk menghindari deteksi di setiap tahap. Penggunaan JavaScript sebagai loader awal memanfaatkan fakta bahwa banyak pengguna Windows masih mengasosiasikan ekstensi .js dengan file teks biasa, bukan eksekutable berbahaya. Transisi ke PowerShell untuk dekripsi AES menunjukkan pemanfaatan platform scripting bawaan Windows guna menghindari ketergantungan pada payload biner yang mudah dikenali. Injeksi reflektif ke aspnet_compiler.exe menunjukkan pemahaman mendalam terhadap proses .NET yang sering dikecualikan oleh solusi EDR, sehingga payload dapat berjalan dalam memori tanpa meninggalkan jejak file yang signifikan. Taktik ini mirip dengan kampanye infostealer lainnya seperti RedLine Stealer dan Raccoon Stealer, yang juga menggunakan loader berbasis skrip dan injeksi memori untuk menyebarkan payload utama. Kampanye phishing dengan tema otoritas perpajakan telah diamati secara global, termasuk pada serangan terhadap wajib pajak di berbagai yurisdiksi menggunakan malware seperti Emotet dan TrickBot di masa lalu. Phantom Stealer v3.5.0 mencerminkan evolusi infostealer komoditas yang terus menyempurnakan teknik anti-deteksi sambil mempertahankan fungsionalitas pencurian data yang komprehensif. Bagi Indonesia, tingginya angka pengguna internet dan adopsi layanan digital yang pesat menciptakan ekosistem yang rentan terhadap serangan infostealer. Kelemahan dalam literasi keamanan siber masyarakat umum memperbesar tingkat keberhasilan kampanye phishing, terutama ketika disertai dengan sosial engineering yang meyakinkan menggunakan institusi lokal atau internasional yang dikenal. Pemerintah dan sektor swasta perlu berkolaborasi dalam program edukasi nasional yang mengajarkan pengenalan file berbahaya, pentingnya MFA, dan praktik keamanan peramban. Selain itu, lembaga penegak hukum siber harus memperkuat kemampuan pelacakan infrastruktur eksfiltrasi, seperti akun SMTP yang digunakan oleh operator malware, untuk mengidentifikasi dan mengganggu rantai pasar gelap kredensial. Regulasi yang mewajibkan pelaporan insiden pencurian kredensial juga akan membantu memetakan skala ancaman infostealer di dalam negeri.
Sumber: Baca selengkapnya
