Cisco Talos mengungkap kampanye malware canggih yang dijalankan oleh threat actor berbahasa Rusia yang dilacak dengan nama UAT-11795. Kampanye ini menggunakan Python-based Remote Access Trojan (RAT) bernama Starland RAT serta PowerShell implant bernama WLDR Agent untuk menargetkan korban di Amerika Serikat dan Eropa. Tujuan utamanya adalah mencuri kredensial, dompet cryptocurrency, serta memberikan akses jarak jauh secara persisten ke sistem korban.
Apa yang Terjadi?
Menurut Cisco Talos, UAT-11795 telah aktif setidaknya sejak Juni 2025 dan mengoperasikan infection chain multi-tahap (multi-stage) yang modular.
Akses awal diperoleh melalui teknik ClickFix-style social engineering, yaitu korban dibujuk untuk menyalin dan menjalankan perintah berbahaya secara manual. Perintah tersebut kemudian menjalankan file HTA menggunakan mshta.exe, sebuah komponen Windows yang sering disalahgunakan untuk mengeksekusi skrip.
File HTA tersebut menurunkan (drop) installer yang telah dimodifikasi (trojanized installer). Installer ini membundel Python runtime bersama sebuah loader yang di-obfuscate dan disamarkan sebagai file LICENSE.txt.
Selanjutnya, Python loader mendekripsi dan mengeksekusi Starland RAT langsung di dalam memori menggunakan XOR obfuscation dengan kunci 0xC6. Malware memanfaatkan modul ctypes untuk melakukan dynamic resolution terhadap Win32 API seperti VirtualAllocEx dan CreateRemoteThread, sehingga mampu melakukan process injection tanpa menyimpan daftar API secara statis di dalam binary. Teknik ini mempersulit proses analisis maupun deteksi berbasis signature.
Detail Teknis
Starland RAT membangun persistensi melalui dua mekanisme utama, yaitu:
- Scheduled Tasks dengan nama acak seperti PythonLauncher-{random}
- Shortcut pada folder Startup Windows
Selain itu, malware juga berupaya memperoleh hak akses administrator menggunakan ShellExecuteW dengan parameter runas.
Sebelum menjalankan aksi lanjutan, malware melakukan proses host profiling secara menyeluruh, meliputi:
- Hardware ID (HWID)
- Kapasitas RAM
- Informasi antivirus
- Informasi Active Directory
- Enumerasi domain menggunakan Get-CimInstance dan nltest /dclist
Salah satu kemampuan paling menonjol dari Starland RAT adalah modul pencurian aset cryptocurrency. Malware mampu melakukan enumerasi terhadap lebih dari 40 aplikasi wallet, baik berbasis browser maupun desktop.
Data hasil pencurian dikumpulkan ke dalam payload JSON yang dienkripsi menggunakan XOR dengan kunci “helo1”, kemudian dikirim ke server Command and Control (C2) melalui HTTP POST menggunakan User-Agent Chrome palsu untuk menyamarkan lalu lintas jaringan.
Menariknya, sebelum proses exfiltrasi penuh dilakukan, malware terlebih dahulu mengirim metadata korban beserta informasi mengenai keberadaan wallet ke bot Telegram yang dikendalikan penyerang, yaitu:
- skuefq_bot
- komandastuk_bot
Mekanisme ini memberikan real-time visibility kepada operator mengenai korban yang baru berhasil dikompromikan.
Infrastruktur Command and Control
Infrastruktur C2 dirancang agar menyatu dengan lalu lintas web yang tampak sah.
Beberapa domain yang diamati antara lain:
- eorthopaedics[.]com
- sastoro[.]com
Payload disimpan pada path yang terlihat tidak mencurigakan, seperti:
- /feed/
- /alpha/
Namun, aspek yang paling menarik dari kampanye ini adalah penggunaan blockchain sebagai mekanisme ketahanan (resilience).
Alih-alih hanya mengandalkan domain C2 konvensional, Starland RAT menggunakan smart contract Polygon dengan alamat:
0x6ae382ed2154cc84c6672e4e908cd2c69c1b35ba
Sebagai mekanisme cadangan (fallback), malware melakukan permintaan eth_call ke polygon-rpc[.]com untuk mengambil domain C2 alternatif yang telah dienkripsi menggunakan XOR. Dengan pendekatan ini, operator dapat mengganti alamat C2 tanpa harus memperbarui malware yang telah terpasang pada sistem korban.
Payload Lanjutan
Setelah berhasil mengompromikan sistem, UAT-11795 dapat mengirim payload tambahan, di antaranya:
- CastleStealer, malware berbasis .NET yang berfokus pada pencurian kredensial dan aset cryptocurrency.
- Remcos RAT, yang menyediakan akses jarak jauh secara persisten.
Selain itu terdapat WLDR Agent, sebuah implant PowerShell yang berjalan secara fileless, menggunakan encrypted beaconing, HWID-bound tasking, serta Runspace-based execution engine untuk meningkatkan stealth dan mengurangi jejak artefak pada disk.
Dampak terhadap Indonesia
Penggunaan trojanized installer untuk aplikasi populer seperti:
- MobaXterm
- DBeaver
- WebEx
- Zoom
- FACEIT
sangat relevan bagi profesional TI, administrator sistem, developer, maupun pengguna umum di Indonesia.
Seiring meningkatnya adopsi cryptocurrency di Indonesia, termasuk melalui berbagai bursa aset kripto yang beroperasi sesuai regulasi nasional, Starland RAT menjadi ancaman serius bagi individu maupun organisasi yang menyimpan aset digital menggunakan wallet berbasis browser atau desktop.
Selain risiko pencurian aset, kompromi perangkat kerja juga dapat menjadi pintu masuk bagi serangan lanjutan terhadap jaringan perusahaan.
Menurut berbagai laporan keamanan siber sepanjang 2026, aktivitas ransomware dan infostealer di kawasan Asia Tenggara terus meningkat. Dalam konteks tersebut, organisasi di Indonesia perlu memastikan bahwa SOC maupun tim keamanan mampu mendeteksi indikator kompromi yang tidak lagi terbatas pada domain C2 konvensional, tetapi juga mencakup komunikasi melalui Telegram serta mekanisme fallback berbasis blockchain.
Rekomendasi Mitigasi
- Selalu unduh dan verifikasi integritas installer hanya dari sumber resmi.
- Pantau pembuatan Scheduled Tasks dan perubahan pada Startup Folder yang tidak dikenal.
- Terapkan egress filtering untuk membatasi komunikasi menuju Telegram API dari proses selain browser atau aplikasi yang telah diotorisasi.
- Monitor aktivitas eth_call menuju polygon-rpc.com dari endpoint pengguna, terutama jika berasal dari proses yang tidak lazim.
- Gunakan solusi EDR yang mampu mendeteksi process injection, dynamic API resolution melalui ctypes, serta eksekusi PowerShell fileless.
Analisis Retasan
Aspek paling menarik dari kampanye ini bukan sekadar kemampuan Starland RAT mencuri aset cryptocurrency, melainkan penggunaan blockchain sebagai mekanisme ketahanan Command and Control.
Selama bertahun-tahun, strategi pertahanan terhadap malware umumnya berfokus pada penyitaan atau sinkhole domain C2. Namun, pendekatan tersebut menjadi jauh lebih kompleks ketika informasi mengenai server cadangan disimpan di dalam smart contract yang bersifat permanen dan terdistribusi.
Dengan memanfaatkan blockchain Polygon sebagai media distribusi konfigurasi C2, operator memperoleh lapisan redundansi yang sulit dinonaktifkan hanya melalui penyitaan domain atau pemblokiran DNS. Kondisi ini menunjukkan bagaimana teknologi publik yang dirancang untuk meningkatkan desentralisasi juga dapat dimanfaatkan oleh pelaku kejahatan siber sebagai bagian dari strategi ketahanan infrastruktur mereka.
Di sisi lain, tingkat kematangan operasional UAT-11795 juga patut diperhatikan. Penggunaan kanal Telegram sebagai media staging, notifikasi real-time ketika korban baru berhasil dikompromikan, hingga penggunaan beberapa payload dengan fungsi berbeda menunjukkan operasi yang terorganisasi dengan baik. Pola semacam ini semakin memperlihatkan bahwa kelompok kriminal bermotif finansial kini mengadopsi teknik, prosedur, dan tingkat disiplin operasional yang dahulu lebih sering dikaitkan dengan kelompok Advanced Persistent Threat (APT).
Bagi ekosistem cryptocurrency di Indonesia, kampanye ini menjadi pengingat bahwa ancaman tidak lagi datang hanya dari situs phishing atau ekstensi browser berbahaya. Installer perangkat lunak yang tampak sah kini dapat menjadi media distribusi malware yang dirancang untuk mencuri aset digital dalam skala besar. Pengguna disarankan menggunakan hardware wallet untuk penyimpanan aset bernilai tinggi, menghindari penyimpanan private key di browser, serta selalu memverifikasi keaslian dan integritas perangkat lunak sebelum melakukan instalasi.
