Artikel ini membongkar rantai infeksi 4 stage berbasis steganografi bitmap yang sangat canggih, dari decoy app hingga deployment AsyncRAT 0.5.8. Setiap stage menggunakan teknik keamanan yang berbeda mulai dari obfuscator ConfuserEx dan Eazfuscator, steganografi RGB channel, hingga process hollowing untuk menghindari deteksi endpoint.
APA YANG TERJADI?
Peneliti dari Threat Universe mengidentifikasi rantai infeksi .NET 4 stage yang menggunakan steganografi bitmap sebagai mekanisme transportasi payload tersembunyi. Stage 1 (WaterCycle.exe) merupakan decoy application yang di-obfuscate menggunakan ConfuserEx, menyamar sebagai simulasi siklus air Armenia yang lengkap dengan particle engine, control panel, dan charts. Tersembunyi di dalam resource bitmap stage 1 adalah stage 2 yang diekstrak melalui pembacaan RGB channel menggunakan Bitmap.GetPixel.
DETAIL TEKNIS
Stage 2 (ToolBelt.dll) merupakan decoy kedua berupa puzzle game yang memotong resource bitmap “Ozci” menjadi ukuran 407×407 piksel. Ia membaca 4 byte per piksel dalam format BGRA dan melakukan dekripsi XOR dengan keystream berulang 3 byte. Hasil dekripsi adalah stage 3 berupa loader yang dibungkus Eazfuscator, yang bersembunyi di balik HIV epidemiology simulator yang sah.
Stage 3 (WinTune.exe) menjalankan persistensi dan melakukan serangan terhadap Windows Defender dengan perintah Add-MpPreference -ExclusionPath dan DisableAntiSpyware. Teknik process hollowing kemudian digunakan untuk menginjeksi stage 4 ke dalam proses legitimasi seperti vbc.exe, MSBuild.exe, atau RegSvcs.exe. Stage 4 adalah AsyncRAT 0.5.8 dengan TLS yang di-pin ke self-signed certificate dan Dynamic DNS C2 menggunakan duckdns.org. Menariknya, semua fitur install, anti-analysis, dan BDOS dinonaktifkan karena crypter sudah menyediakan kemampuan tersebut.
Peneliti juga mengembangkan tool bernama pixelchain yang mampu mengekstrak seluruh 4 stage beserta konfigurasinya secara keyless dan end-to-end langsung dari file dropper saja, tanpa memerlukan eksekusi atau sandbox.
DAMPAK TERHADAP INDONESIA
AsyncRAT sebagai malware open-source yang tersedia sejak tahun 2019 telah menjadi salah satu RAT paling banyak digunakan oleh operator kriminal di Indonesia. BSSN mencatat peningkatan signifikan dalam deteksi RAT tahun 2025, dengan AsyncRAT menempati posisi teratas. Teknik steganografi bitmap seperti yang didokumentasikan dalam artikel ini sangat sulit dideteksi oleh antivirus berbasis signature konvensional, yang berarti banyak organisasi di Indonesia mungkin sudah menjadi korban tanpa menyadarinya.
Proses seperti vbc.exe dan MSBuild.exe yang sering digunakan untuk process hollowing sangat umum ditemukan di lingkungan .NET enterprise Indonesia, menjadikannya tempat persembunyian yang sangat efektif. SKKNI untuk keamanan siber perlu memasukkan indikator teknik steganografi dan process hollowing ke dalam pedoman deteksi. Tim SOC di sektor perbankan dan pemerintahan harus meningkatkan monitoring terhadap anomali pada proses .NET yang melakukan loading module dari lokasi tidak lazim atau menunjukkan anomali memori.
REKOMENDASI MITIGASI
Implementasikan monitoring terhadap penggunaan Bitmap.GetPixel dan teknik manipulasi gambar pada aplikasi .NET yang tidak lazim. Deteksi proses .NET yang melakukan loading assembly dari memori atau menampilkan hak akses RWX mencurigakan. Aktifkan Windows Defender Attack Surface Reduction rules untuk memblokir Office dan script-based macro execution. Gunakan AppLocker atau WDAC untuk membatasi eksekusi MSBuild.exe, vbc.exe, dan RegSvcs.exe hanya dari lokasi yang terverifikasi. Pantau koneksi ke layanan Dynamic DNS seperti duckdns.org yang sering digunakan untuk C2 infrastructure.
Analisa Retasan
Rantai infeksi 4 stage ini merupakan contoh Excellent engineering dalam malware development. Penggunaan dua decoy application berbeda (simulasi siklus air dan puzzle game) menunjukkan dedikasi tinggi penulis malware untuk mengelabui analis dan sandbox. Teknik steganografi bitmap yang menggunakan RGB channel dan XOR encryption memanfaatkan sifat inherent dari gambar bitmap yang menghasilkan noise visual sangat minimum, membuat deteksi berbasis analisis visual menjadi nyaris mustahil tanpa tool khusus seperti pixelchain.
Penggunaan LINQ expression trees yang dikompilasi secara runtime pada stage 1 untuk menghindari static analysis merupakan teknik evasion yang sangat canggih. Teknik ini memanfaatkan fitur .NET untuk membuat kode yang hanya dievaluasi saat runtime, sehingga analyzer statis tidak akan pernah melihat payload sebenarnya. Kombinasi dengan ConfuserEx dan Eazfuscator pada stage berbeda menunjukkan bahwa penulis malware memahami dengan baik kekuatan dan kelemahan masing-masing obfuscator.
Dari perspektif pertahanan Indonesia, insiden ini mengkonfirmasi bahwa metode deteksi berbasis signature konvensional sudah tidak memadai untuk menghadapi malware modern berbasis steganografi. Organisasi perlu berinvestasi pada kemampuan deteksi berbasis behavioral analysis dan memory forensics. Tool pixelchain yang dikembangkan peneliti juga bisa menjadi referensi berharga bagi tim malware analysis Indonesia untuk membangun kemampuan ekstraksi dan analisis serupa secara internal.
Sumber: Threat Universe – Pixels to Payload: Dissecting a Four-Stage Bitmap-Steganography Dropper
AsyncRAT, steganography, bitmap steganography, .NET dropper, process hollowing, Eazfuscator, ConfuserEx, malware analysis, pixelchain
