Microsoft Threat Intelligence mengidentifikasi kampanye malware berskala luas yang menyimpan dan mengambil instruksi serangan melalui smart contract di BNB Chain. Operasi yang memengaruhi ribuan sistem Windows setiap hari — baik di jaringan korporasi maupun pengguna individu ini — memanfaatkan pendekatan bernama EtherHiding, di mana JavaScript berbahaya yang disematkan pada situs web yang dikompromikan melakukan query ke kontrak blockchain untuk mendapatkan perintah terbaru. Kontrak yang digunakan memiliki kaitan dengan kampanye ClearFake sebelumnya.
APA YANG TERJADI?
Penyerang menyajikan tantangan CAPTCHA palsu kepada korban. Prompt ini mendorong pengguna untuk membuka dialog Run Windows, menempelkan konten clipboard yang telah dimuat sebelumnya, dan mengeksekusinya. Varian lain yang dikenal sebagai TerminalFix mengarahkan korban ke Windows Terminal atau PowerShell. Karena instruksi berada di blockchain dan hanya dapat diubah oleh wallet pengendali kontrak, taktik gangguan standar seperti penyitaan server terbukti tidak efektif.
Setelah perintah ditempel dan dijalankan, malware menyalahgunakan komponen Windows yang sah, termasuk PowerShell, cmd, mshta, rundll32, msiexec, dan scheduled tasks. Teknik obfuscation semakin menyembunyikan aktivitas: karakter caret memecah keyword, environment variables menyembunyikan interpreter, dan proses diluncurkan di jendela yang diminimalkan. Payload yang diamati mencakup Lumma Stealer untuk pencurian kredensial, tool akses jarak jauh seperti Xworm dan AsyncRAT, serta MintsLoader untuk mengantarkan malware tambahan.
DETAIL TEKNIS
Infeksi yang berhasil memungkinkan pemanenan password, akses sistem jangka panjang, lateral movement di dalam jaringan, dan akhirnya penyebaran ransomware yang dioperasikan oleh manusia yang dapat membahayakan seluruh domain. Penggunaan infrastruktur blockchain untuk command-and-control malware bukan hal baru: contoh sebelumnya mencakup ransomware Cerber yang mengandalkan transaksi Bitcoin, botnet Glupteba yang memakai blockchain Bitcoin untuk server cadangan, adopsi EtherHiding oleh ClearFake di BNB Chain pada 2023, dan Omnistealer yang memanfaatkan beberapa rantai termasuk BNB.
Pengumuman ini juga mengikuti laporan Microsoft Juni 2026 tentang CryptoBandits, malware clipper yang memantau clipboard untuk alamat cryptocurrency dan menukarnya dengan alamat milik penyerang. Meskipun teknik ini tidak eksklusif untuk BNB Chain, pengungkapan tersebut bertepatan dengan pengumuman roadmap teknis jaringan ini, yang mencakup layer-1 baru yang dioptimalkan untuk perdagangan frekuensi tinggi, pembayaran otomatis, dan transaksi terkait AI.
DAMPAK TERHADAP INDONESIA
Adopsi cryptocurrency di Indonesia termasuk salah satu yang tertinggi di dunia, dan BNB Chain merupakan salah satu jaringan yang paling banyak digunakan oleh pengguna lokal untuk transaksi token dan aplikasi DeFi. Kampanye CAPTCHA palsu berbasis ClickFix juga telah menyasar pengguna di berbagai negara, termasuk Indonesia, melalui situs web yang dikompromikan. Kombinasi antara kebiasaan menempel perintah ke Run atau Terminal dan tingginya aktivitas kripto menjadikan pengguna Indonesia target yang rentan terhadap kampanye EtherHiding, terutama ketika malware clipper seperti CryptoBandits juga aktif mengintai clipboard.
REKOMENDASI MITIGASI
Microsoft menyarankan organisasi untuk membatasi utilitas command-line yang tidak diperlukan, mengaktifkan PowerShell script-block logging, menerapkan kebijakan application-control, dan mengaktifkan proteksi Defender yang komprehensif mencakup ancaman jaringan, web, dan cloud. Bagi pengguna akhir, pesannya tegas: jangan pernah menempelkan perintah yang berasal dari halaman CAPTCHA, alert browser, email, iklan, atau pesan dukungan yang tidak terduga ke Run, Terminal, PowerShell, atau command prompt. Microsoft Defender XDR menawarkan deteksi multi-tahap, sementara SmartScreen dan Defender for Office 365 dapat mencegat domain berbahaya dan halaman CAPTCHA palsu sejak awal.
Analisa Retasan
Root cause dari efektivitas kampanye EtherHiding adalah kombinasi antara social engineering ClickFix yang manipulatif dan infrastruktur C2 yang kebal terhadap takedown. Dengan menempatkan instruksi di smart contract yang hanya bisa dimodifikasi oleh wallet pengendali, penyerang menghilangkan titik tunggal kegagalan yang selama ini menjadi andalan penegak hukum dan vendor keamanan. Setiap kali server atau domain disita, instruksi di blockchain tetap utuh dan kampanye dapat langsung dipulihkan — ini adalah evolusi signifikan dari model C2 tradisional.
Cross-reference dengan kampanye ClearFake dan penggunaan blockchain C2 oleh Cerber serta Glupteba menunjukkan bahwa teknik ini telah matang selama bertahun-tahun. Yang baru adalah skala dan integrasinya: penyalahgunaan komponen Windows yang sah untuk menghindari deteksi, obfuscation berlapis, dan rantai payload yang berakhir pada ransomware yang dioperasikan manusia. Pola ini sejalan dengan tren malware-as-a-service yang modular, di mana setiap komponen dapat dijual dan digunakan kembali secara independen — dari pencuri kredensial hingga loader dan RAT.
Bagi Indonesia, kampanye ini menekankan pentingnya pertahanan berlapis yang berfokus pada perilaku pengguna dan monitoring endpoint, bukan hanya pada upaya penutupan infrastruktur. Edukasi publik tentang bahaya menempelkan perintah dari sumber yang tidak tepercaya harus digalakkan, mengingat tingginya pengguna Windows dan adopsi kripto di tanah air. Organisasi perlu memastikan logging PowerShell aktif dan alert dari Defender diperlakukan sebagai potensi initial-compromise, bukan sekadar noise — karena satu kali kesalahan manusia pada halaman CAPTCHA palsu dapat membuka pintu bagi serangan ransomware berskala penuh.
