Tim Threat Hunting Zscaler ThreatLabz menemukan kampanye malware baru bernama Armorsteal yang menyasar orang yang sedang mencari perintah instalasi Chocolatey atau Microsoft Activation Scripts (MAS) di mesin pencari. Pelaku membuat dua situs tiruan dengan nama domain yang mirip aslinya, lalu mendorongnya ke hasil pencarian teratas lewat teknik SEO poisoning. Zscaler pertama kali melihat kampanye ini pada September 2026 dan menerbitkan laporannya pada 22 Oktober.
Chocolatey adalah pengelola paket untuk Windows yang banyak dipakai developer dan admin sistem. MAS adalah skrip aktivasi Windows dan Office tidak resmi buatan proyek Massgrave, yang juga populer di kalangan pengguna di Indonesia. Zscaler tidak menyebut proyek Chocolatey atau Massgrave ikut dibobol. Yang dipalsukan hanya situsnya.
Cara Armorsteal masuk ke komputer
Kedua situs palsu menampilkan satu baris perintah PowerShell yang tampak seperti cara instalasi biasa. Begitu korban menyalin dan menjalankannya, skrip meminta hak administrator, menyembunyikan jendela konsol, lalu mengunduh paket berisi runtime Python dan skrip yang disamarkan dengan Pyarmor. Pada lure Chocolatey, skrip juga menjalankan installer Chocolatey yang asli, sehingga korban tetap mendapat program yang dicari dan tidak curiga.
File malware disimpan di folder C:\Windows\SystemHealth\Update\ agar terlihat seperti komponen sistem. Pelaku memasang dua scheduled task, SysCheck2 dan SysCheckX, supaya malware tetap berjalan setiap kali komputer dinyalakan atau pengguna login. Malware juga memeriksa alamat IP publik korban. Jika alamat itu milik penyedia cloud seperti Google, Amazon, atau Microsoft, Armorsteal menampilkan pesan memori tidak cukup dan berhenti, kemungkinan untuk menghindari lingkungan analisis.
Data yang diincar
Armorsteal terdiri dari tiga modul. Modul akses jarak jauh menerima perintah dari server pelaku dan mengunduh modul lain. Modul pengintai merekam ketikan, judul jendela aktif, dan tangkapan layar, serta mengganti alamat dompet kripto yang disalin ke clipboard dengan alamat milik pelaku. Modul pencuri mengambil kata sandi dan cookie browser, data autofill, metadata kartu kredit, token Discord, kunci SSH, sesi Steam, data pengelola kata sandi, serta data dari 21 ekstensi dan aplikasi dompet kripto, termasuk seed phrase yang tersimpan di disk.
Langkah yang perlu diambil
Ambil perintah instalasi hanya dari situs resmi proyek, dan periksa ejaan domainnya sebelum menyalin apa pun ke PowerShell. Jangan menjalankan skrip aktivasi dari situs yang ditemukan lewat iklan atau hasil pencarian. Cara paling aman tetap memakai lisensi Windows dan Office resmi.
Kalau kamu pernah menjalankan perintah semacam itu dalam beberapa minggu terakhir, Zscaler menyarankan beberapa pemeriksaan: cari scheduled task bernama SysCheck2 dan SysCheckX, cek apakah folder SystemHealth\Update ada di dalam C:\Windows, dan hapus pengecualian Microsoft Defender yang tidak kamu buat sendiri. Admin juga perlu memeriksa log PowerShell dan memantau browser yang dijalankan dengan opsi remote debugging. Daftar domain dan indikator serangan lengkap tersedia di laporan Zscaler.
Bila tanda infeksi ditemukan, anggap semua kata sandi, sesi login, dan kunci SSH di komputer itu sudah bocor. Ganti dari perangkat lain yang bersih, dan pindahkan aset kripto ke dompet baru dengan seed phrase baru.
Sumber: Zscaler ThreatLabz, GBHackers. Gambar: Zscaler
Tinggalkan Balasan