FinanSaya.com – Microsoft Threat Intelligence memperingatkan kampanye malware baru yang memanfaatkan smart contract BNB Chain, situs web yang diretas, dan CAPTCHA palsu untuk menjebak pengguna.
Dalam skema malware baru ini, penyerang tidak hanya mengandalkan server biasa untuk menyimpan instruksi serangan. Mereka memakai teknik EtherHiding, yakni menyimpan perintah berbahaya di smart contract blockchain.
Instruksi itu kemudian diambil melalui JavaScript yang telah disisipkan ke situs web korban. Ketika pengguna membuka situs yang sudah dikompromikan, rangkaian serangan mulai berjalan.
Microsoft memperingatkan serangan semacam ini dapat mencuri password, memberi akses persisten kepada hacker, dan membuka jalan bagi ransomware.
Malware Baru Manfaatkan EtherHiding
EtherHiding membuat infrastruktur serangan lebih sulit ditangani dengan cara pemblokiran biasa. Alasannya, data yang tersimpan di blockchain tidak bisa begitu saja dihapus oleh penyedia hosting atau pemilik situs.
Menurut Microsoft Threat Intelligence, JavaScript yang disuntikkan ke situs web korban akan terhubung ke gateway BNB Chain. Kode itu mengambil perintah dari smart contract yang dikaitkan dengan kampanye malware ClearFake.
Dengan cara ini, penyerang dengan malware baru tidak perlu menaruh seluruh instruksi serangan pada server tradisional. Sebagian perintah disimpan di blockchain agar lebih sulit ditutup melalui proses takedown.
Namun, penggunaan BNB Chain dalam kampanye malware baru tersebut tidak berarti jaringan blockchain itu diretas. Penyerang memanfaatkan infrastrukturnya sebagai media penyimpanan dan distribusi instruksi berbahaya.
CAPTCHA Palsu Jadi Pintu Masuk
Setelah pengguna masuk ke situs yang telah diretas dengan malware baru, serangan berlanjut melalui rekayasa sosial. Korban akan melihat CAPTCHA palsu yang seolah-olah menjadi proses verifikasi normal.
Pengguna kemudian diarahkan membuka menu Windows Run, menempelkan teks yang sudah berada di clipboard, lalu menekan Enter.
Masalahnya, teks tersebut bukan bagian dari proses CAPTCHA. Perintah itu berasal dari hacker dan dirancang untuk menjalankan kode berbahaya di perangkat korban.
Teknik seperti ini dikenal sebagai ClickFix. Variasi lainnya, TerminalFix, meminta pengguna memakai Windows Terminal atau PowerShell.
Keunggulan metode malware baru ini bagi penyerang adalah korban dibuat merasa sedang memperbaiki masalah atau menyelesaikan verifikasi. Padahal, pengguna justru menjalankan perintah yang memberi akses awal kepada pelaku.
Ribuan Perangkat Jadi Target Harian
Microsoft menyebut ClickFix dan TerminalFix telah berkembang menjadi metode initial access dengan volume tinggi. Kampanye yang memakai teknik tersebut disebut menargetkan ribuan perangkat perusahaan dan konsumen di seluruh dunia setiap hari.
Serangan malware baru ini juga dapat disebarkan lewat malvertising atau iklan berbahaya. Iklan tersebut mengarahkan pengguna ke halaman penipuan yang menampilkan instruksi palsu.
Dengan pola itu, target tidak selalu pengguna kripto. Siapa pun yang membuka situs terinfeksi atau mengikuti instruksi CAPTCHA palsu dapat menjadi korban.
Karena itu, ancaman malware baru ini perlu dilihat sebagai risiko keamanan siber umum, bukan hanya masalah pada komunitas aset digital.
Alat Windows Sah Bisa Disalahgunakan
Microsoft menemukan penyerang memanfaatkan sejumlah alat Windows yang sebenarnya sah. Beberapa di antaranya PowerShell, Command Prompt, mshta, rundll32, msiexec, curl, Windows Management Instrumentation, dan scheduled tasks.
Karena alat-alat tersebut merupakan bagian normal dari sistem Windows, aktivitas berbahaya dapat tampak seperti proses biasa.
Baca Juga: Malware Perbankan Bisa Kuras Rekening? Ini Faktanya
Setelah infeksi malware baru berhasil, hacker dapat mencuri password dan informasi sensitif lain. Pelaku juga dapat mempertahankan akses ke perangkat korban secara persisten.
Dalam jaringan perusahaan, akses awal seperti ini dapat berkembang menjadi kompromi yang lebih luas. Pada kasus serius, serangan dapat berujung pada pencurian data atau ransomware.
Blockchain Pernah Dipakai Malware Lain
Pemanfaatan blockchain dalam infrastruktur malware bukan hal baru. Pada 2016, ransomware Cerber diketahui memakai transaksi Bitcoin untuk menemukan server command-and-control.
Pada 2019 hingga 2021, botnet Glupteba juga memanfaatkan blockchain Bitcoin untuk mencari server cadangan ketika infrastruktur utamanya tidak dapat diakses.
ClearFake mulai menggunakan teknik EtherHiding pada 2023 untuk mengambil kode berbahaya dari smart contract BNB Chain.
Pada April 2026, peneliti keamanan juga menemukan Omnistealer memakai beberapa blockchain, termasuk TRON, Aptos, dan BNB Chain. Malware itu dirancang untuk memburu kredensial akun, data cloud, password, hingga informasi dompet kripto.
BNB Chain Siapkan Layer-1 Baru
Peringatan Microsoft muncul tidak lama setelah BNB Chain mengungkap rencana pengembangan blockchain layer-1 baru.
Jaringan baru tersebut dirancang untuk mendukung aktivitas seperti high-frequency trading, pembayaran otomatis, dan transaksi berbasis kecerdasan buatan.
Testnet ditargetkan tersedia pada akhir 2026. Sementara itu, peluncuran mainnet direncanakan pada awal 2027.
Perkembangan ini menunjukkan penggunaan blockchain semakin luas. Namun, kasus EtherHiding memperlihatkan bahwa infrastruktur terdesentralisasi juga dapat dipakai untuk tujuan berbahaya jika disalahgunakan.
Microsoft Ingatkan Pengguna Windows
Microsoft menyarankan organisasi membatasi penggunaan command-line tools yang tidak diperlukan. Organisasi juga disarankan mengaktifkan pencatatan aktivitas PowerShell dan menerapkan application control.
Bagi pengguna biasa, langkah pencegahan paling penting adalah tidak menyalin atau menempelkan perintah dari CAPTCHA ke Windows Run, Terminal, PowerShell, atau Command Prompt.
Pengguna juga perlu waspada terhadap instruksi dari pesan error browser, email, iklan, atau halaman dukungan yang tidak diminta.
CAPTCHA normal umumnya meminta pengguna mencentang kotak, memilih gambar, atau menyelesaikan verifikasi langsung di browser. Permintaan untuk membuka Windows Run atau PowerShell dan menjalankan perintah harus diperlakukan sebagai tanda bahaya.
Dalam peringatan Microsoft, malware baru ini memanfaatkan smart contract BNB Chain, situs web yang diretas, dan CAPTCHA palsu untuk membuat korban menjalankan perintah berbahaya di perangkatnya sendiri. (Sol)
