JAVASCORNER.CO.ID, JAKARTA - Dua keluarga malware baru, WordlistLoader dan SynkLoader, telah menjadi sorotan para peneliti keamanan siber. Keduanya digunakan untuk mengirimkan muatan berbahaya tahap berikutnya dan diduga menjadi pintu masuk bagi kelompok ransomware.
Menurut temuan dari Gen Digital, WordlistLoader digunakan untuk menyebarkan Amatera Stealer (alias ACR Stealer atau AcridRain Stealer) melalui kampanye ClearFake. Kampanye ini memanfaatkan teknik ClickFix (atau FakeCaptcha) untuk mengelabui korban agar menjalankan perintah berbahaya dengan dalih verifikasi CAPTCHA.
- Latar Belakang
- Cara Kerja WordlistLoader
- SynkLoader: Ancaman melalui Microsoft Teams
- Dampak dan Langkah Perlindungan
Latar Belakang
Para peneliti keamanan dari Gen Digital menemukan bahwa WordlistLoader menjadi perantara untuk mengirimkan Amatera Stealer. Serangan ini memanfaatkan situs web yang telah disusupi dengan JavaScript berbahaya, yang diinjeksi dalam bentuk blob berenkode Base64.
Blob tersebut kemudian mengambil JavaScript lain dari kontrak pintar yang disimpan di blockchain, sebuah pendekatan yang dikenal sebagai EtherHiding. Kode yang diambil kemudian dieksekusi secara dinamis. Beberapa situs yang disusupi antara lain:
- abogadosrosarinos[.]com
- aptisweb[.]com
- avene-hebergement[.]com
- https-xhamster[.]com
- www.caesarjaco.co[.]id
- skybap[.]shop
Dalam beberapa bulan terakhir, kampanye ClearFake diperbarui dengan menggunakan "cdn.jsdelivr[.]net" untuk menghosting JavaScript berbahaya. Ini menunjukkan penyalahgunaan Content Delivery Network (CDN) yang sah untuk menyembunyikan muatan berbahaya.
Menurut catatan Expel, meskipun jsDelivr tampaknya cepat menghapus repositori berbahaya, penggunaan EtherHiding memungkinkan penyerang untuk dengan mudah mengganti URL yang terbakar dengan yang baru.
Cara Kerja WordlistLoader
Perintah ClickFix menggunakan "conhost" untuk meluncurkan proses "cmd.exe" yang tersembunyi, kemudian memetakan share WebDAV jarak jauh menggunakan pushd, dan akhirnya meluncurkan loader melalui "rundll32.exe". Pendekatan berbasis WebDAV ini serupa dengan kampanye yang disorot oleh Microsoft.
Microsoft mencatat tiga versi perintah yang berbeda:
- Pemanggilan rundll32 langsung.
- Share WebDAV yang dipasang dengan pushd, diikuti pemanggilan rundll32.exe.
- Eksekusi pushd tanpa kepala dan diobfuskasi, diikuti pemanggilan rundll32.exe (cocok dengan rantai infeksi WordlistLoader).
Dalam varian yang lebih canggih, penyerang menggunakan conhost.exe --headless untuk menyembunyikan jendela konsol, serta menggunakan obfuskasi variabel lingkungan dengan ekspansi variabel tertunda untuk menyembunyikan komponen penting seperti pushd, rundll32, dan nama host jarak jauh.
Perbedaan utama dengan kampanye sebelumnya adalah bahwa loader berbasis Python yang diamati antara akhir April 2026 dan pertengahan Juni 2026 kini digantikan oleh WordlistLoader. ACR Stealer juga disebarkan melalui prompt ClickFix yang memicu perintah untuk menjalankan MSHTA guna mengambil konten HTA dari domain yang dikendalikan penyerang.
WordlistLoader mendapatkan namanya karena shellcode disimpan dalam bentuk terenkode sebagai urutan kata-kata bahasa Inggris biasa, di mana setiap kata mewakili satu byte. Varian lain mengganti daftar kata dengan array potongan UUID 16-byte.
Shellcode tersebut akhirnya menggunakan reflective loader untuk membongkar dan memuat Amatera. Loader yang sama diamati pada akhir April 2026 dalam kampanye ClickFix lain yang mengirimkan Amatera 4.3.3-alpha1.
Versi terbaru dari pencuri ini dilengkapi dengan obfuskasi statis yang diperbarui, panggilan syscall yang diperkuat melalui transisi WoW64, trampolin syscall tidak langsung x64 yang dihasilkan secara dinamis melalui Heaven's Gate, dan bypass enkripsi terikat aplikasi (ABE) yang dirancang ulang, terinspirasi dari Remus Stealer.
SynkLoader: Ancaman melalui Microsoft Teams
Sementara itu, SynkLoader didistribusikan melalui kampanye phishing Microsoft Teams untuk mencuri kredensial login sistem dengan menampilkan layar kunci palsu. Aktivitas ini terdeteksi oleh Expel pada pertengahan Agustus 2025.
Penyerang menggunakan email @.onmicrosoft.com dengan nama IT Service Desk untuk meyakinkan korban mengunduh dan menginstal installer MSI dari endpoint penyimpanan file Microsoft Azure (https://filereserve.blob.core.windows[.]net/vgnghuyk/331/331.msi), sehingga tampak seperti berasal dari Microsoft.
Installer MSI menyamar sebagai PowerShell Cleaner, yang saat dijalankan mengekstrak arsip ZIP dan skrip PowerShell. Skrip tersebut dijalankan di memori dan digunakan untuk mengekstrak konten arsip serta meluncurkan loader berbasis Python yang memilih salah satu dari tiga domain C2 yang ditentukan dan memeriksa server secara acak, dengan jeda 90-120 detik antara permintaan.
Loader kemudian mendekripsi dan mengeksekusi respons dari server. Setidaknya tujuh modul berbeda telah diidentifikasi:
| No | Modul | Fungsi |
|---|---|---|
| 1 | System Profiler | Mengumpulkan data tentang sistem target. |
| 2 | Persistence Module | Membuat tugas terjadwal untuk meluncurkan SynkLoader setiap kali korban login. |
| 3 | PhishLocker | Menampilkan layar kunci Windows palsu untuk menangkap kata sandi login. |
| 4 | TrafficRedirector | Backconnect atau proxy terbalik untuk mengakses layanan jaringan lokal. |
| 5 | Interactive Shell | Modul RAT untuk mengeksekusi perintah PowerShell. |
| 6 | StreamMaster | Modul VNC untuk streaming desktop dan kontrol jarak jauh. |
| 7 | Status Checker | Melaporkan status modul yang sedang berjalan. |
Dengan tujuh modul yang teridentifikasi, SynkLoader memiliki kemampuan yang luas untuk mengendalikan sistem korban.
Dampak dan Langkah Perlindungan
Tujuan akhir dari operator SynkLoader belum jelas, tetapi diduga toolkit ini mungkin menjadi bagian dari kelompok ransomware atau broker akses awal. Ini menunjukkan bahwa ancaman ini serius dan dapat berdampak luas pada keamanan data.
Untuk melindungi diri, pengguna disarankan untuk tidak mengklik tautan mencurigakan, terutama yang mengarah ke situs yang tidak dikenal. Selalu verifikasi sumber email dan unduhan, serta pastikan perangkat lunak keamanan selalu diperbarui.
Dengan meningkatnya kecanggihan malware seperti WordlistLoader dan SynkLoader, kewaspadaan dan edukasi menjadi kunci utama dalam menjaga keamanan siber. Tetap pantau perkembangan terbaru untuk menghindari menjadi korban berikutnya.
