Browser Merakit Malware Sendiri –

Browser Merakit Malware Sendiri – Penjahat siber terus mengembangkan cara baru untuk terus berusaha menghindari deteksi perangkat keamanan.

Jika sebelumnya malware umumnya didistribusikan dalam bentuk file berbahaya yang dapat langsung dikenali oleh antivirus, kini muncul pendekatan yang jauh lebih canggih.

Sebuah kampanye malvertising (malicious advertising) bernama SourTrade menggunakan metode unik dengan memanfaatkan browser korban untuk “merakit” malware secara langsung di perangkat mereka.

Teknik ini membuat file berbahaya tidak pernah dikirim sebagai satu kesatuan melalui jaringan. Sebaliknya, browser korban menyusun sendiri file eksekusi Windows menggunakan komponen yang tampak sah.

Sehingga proses distribusi menjadi jauh lebih sulit dideteksi oleh solusi keamanan berbasis tanda tangan (signature-based detection).

Menargetkan Investor Kripto dan Trader

Berdasarkan hasil penelitian yang dipublikasikan oleh para peneliti keamanan, kampanye SourTrade telah aktif sejak akhir tahun 2024 dan menyasar para trader ritel serta investor aset kripto di sedikitnya 12 negara dengan dukungan 25 bahasa.

Untuk memperoleh korban, pelaku membuat iklan palsu yang menyamar sebagai layanan populer seperti TradingView, Solana, dan Luno.

Ketika calon korban mengklik iklan tersebut, mereka diarahkan ke halaman web yang tampilannya hampir identik dengan situs resmi.

Namun, tidak semua pengunjung akan melihat halaman palsu tersebut. Situs terlebih dahulu melakukan fingerprinting, yaitu mengumpulkan berbagai informasi mengenai browser, perangkat, dan lingkungan pengguna.

Jika pengunjung dicurigai sebagai peneliti keamanan, bot, atau sistem analisis otomatis, halaman hanya akan menampilkan konten kosong sehingga aktivitas berbahaya tidak terlihat.

Sebaliknya, pengguna yang dianggap sebagai target potensial akan disajikan halaman tiruan yang sangat meyakinkan.

Browser Korban Merakit Malware Sendiri

Hal yang membedakan SourTrade dari kampanye malware lainnya adalah cara distribusinya.

Alih-alih mengunduh satu file malware lengkap, halaman web akan memanfaatkan Bun Runtime, sebuah lingkungan JavaScript yang sah dan banyak digunakan pengembang aplikasi. Runtime ini sendiri bukan malware, sehingga keberadaannya tidak menimbulkan kecurigaan.

Setelah halaman dimuat, browser menjalankan beberapa komponen JavaScript, yang bekerja di latar belakang, yakni:

ServiceWorker
SharedWorker,

Selanjutnya browser mengambil konfigurasi dari server pelaku yang berisi berbagai potongan data dalam format Base64.

Termasuk struktur dasar file Windows Portable Executable (PE), bytecode JavaScript berbahaya, serta parameter acak yang berbeda untuk setiap sesi.

Menggunakan data tersebut, browser kemudian menyusun file eksekusi Windows secara lokal dengan menggabungkan:

Bagian tertentu dari Bun Runtime yang sah,
Data acak yang dihasilkan menggunakan algoritma kriptografi AES-CTR,
Serta komponen berbahaya yang dikendalikan oleh pelaku.

Hasil akhirnya adalah sebuah file executable Windows yang baru “lahir” di perangkat korban.

Setiap Korban Mendapatkan File yang Berbeda

Salah satu keunggulan teknik ini bagi pelaku adalah setiap korban dapat menerima file yang memiliki hash SHA-256 berbeda, meskipun fungsi malware di dalamnya tetap sama.

Perubahan nilai acak pada setiap sesi menyebabkan file yang dihasilkan selalu unik. Akibatnya, solusi keamanan yang hanya mengandalkan pencocokan hash akan kesulitan mengenali malware tersebut karena tidak ada dua file yang benar-benar identik.

Dengan kata lain, tidak pernah ada satu file malware utuh yang dikirim melalui jaringan. Yang dikirim hanyalah komponen-komponen penyusun yang kemudian dirakit langsung oleh browser korban.

Memanfaatkan Fitur Browser yang Sah

Menariknya, teknik ini tidak mengeksploitasi celah keamanan pada browser maupun sistem operasi Windows.

Seluruh proses memanfaatkan fitur browser yang memang tersedia secara resmi, seperti:

ServiceWorker,
SharedWorker,
Streaming download,
Serta kemampuan Bun Runtime untuk menghasilkan aplikasi Windows.

Selain itu, tanda keamanan Mark of the Web (MotW) tetap melekat pada file hasil unduhan. Artinya, Windows masih mengetahui bahwa file tersebut berasal dari internet.

Namun informasi sumber unduhan hanya menunjuk ke halaman web utama, bukan ke server lain yang menyediakan Bun Runtime.

Pendekatan ini menunjukkan bahwa pelaku lebih memilih menyalahgunakan fitur yang sah daripada mengeksploitasi kerentanan perangkat lunak.

Sulit Dideteksi, Tetapi Bukan Mustahil

Walaupun metode SourTrade tergolong inovatif, para peneliti menegaskan bahwa teknik ini bukan berarti tidak dapat dideteksi.

Komponen malware tetap dikirim melalui jaringan dalam bentuk potongan data, sementara browser tetap melakukan komunikasi dengan berbagai domain selama proses perakitan berlangsung.

Oleh karena itu, deteksi sebaiknya tidak hanya berfokus pada file hasil akhir, tetapi juga mengamati keseluruhan rantai serangan (attack chain).

Aktivitas yang perlu mendapat perhatian antara lain:

Akses menuju iklan mencurigakan,
Pengalihan ke halaman web yang melakukan fingerprinting,
Permintaan konfigurasi ke server pelaku,
Pengunduhan Bun Runtime dari domain sekunder,
Hingga proses pembuatan file melalui ServiceWorker.

Pendekatan berbasis perilaku (behavior-based detection) dan analisis aktivitas jaringan akan jauh lebih efektif dibandingkan hanya mengandalkan hash file atau tanda tangan malware.

Teknik Lama dengan Evolusi Baru

Para peneliti juga menemukan bahwa kampanye ini merupakan evolusi dari aktivitas yang telah diamati sebelumnya. Pada versi terdahulu, proses pengunduhan memanfaatkan pustaka open-source StreamSaver.js yang diambil dari GitHub.

Kini, pelaku tidak lagi menggunakan pustaka tersebut secara langsung, tetapi mempertahankan mekanisme streaming yang sama sambil memindahkan seluruh proses ke infrastruktur yang mereka kendalikan. Perubahan ini semakin menyulitkan proses pelacakan sumber sebenarnya dari malware.

Meskipun terdapat indikasi keterkaitan dengan kampanye malvertising yang pernah dilaporkan pada tahun 2025, para peneliti belum dapat memastikan bahwa muatan akhir (payload) yang digunakan benar-benar sama karena analisis dihentikan setelah file berhasil dibuat di perangkat korban.

Rekomendasi Keamanan

Kemunculan SourTrade menunjukkan bahwa pelaku kini tidak hanya mengembangkan malware yang lebih canggih, tetapi juga menciptakan metode distribusi yang mampu menghindari mekanisme deteksi tradisional.

Oleh karena itu, organisasi maupun pengguna individu perlu meningkatkan kewaspadaan melalui beberapa langkah berikut:

Unduh aplikasi hanya dari situs resmi pengembang, bukan melalui iklan mesin pencari maupun media sosial.
Hindari menginstal aplikasi perdagangan saham atau dompet aset kripto dari tautan sponsor yang belum dapat diverifikasi keasliannya.
Gunakan solusi keamanan yang mendukung deteksi berbasis perilaku, bukan hanya mengandalkan pencocokan hash atau signature malware.
Pantau aktivitas jaringan secara menyeluruh, termasuk komunikasi browser dengan domain yang tidak dikenal.
Tingkatkan edukasi pengguna mengenai risiko malvertising dan teknik penyamaran situs web yang semakin sulit dibedakan dari layanan resmi.

Berjalan Beriringan

Kasus SourTrade menjadi bukti bahwa lanskap ancaman siber terus berkembang mengikuti kemajuan teknologi, berjalan beriringan.

Dengan memanfaatkan runtime yang sah dan membiarkan browser korban merakit malware secara mandiri, pelaku berhasil mengurangi jejak digital yang selama ini menjadi andalan banyak sistem deteksi.

Bagi organisasi, teknik seperti ini menjadi pengingat bahwa perlindungan tidak lagi cukup mengandalkan antivirus konvensional.

Pendekatan keamanan modern perlu menggabungkan analisis perilaku, pemantauan aktivitas jaringan, intelijen ancaman, serta edukasi pengguna agar mampu mendeteksi serangan yang semakin canggih dan sulit dikenali

Baca artikel lainnya: