Malware Phexia Pencuri Kata Sandi Pengguna Mac

Malware Phexia Pencuri Kata Sandi Pengguna Mac – Pengguna macOS menjadi sasaran malware bernama Phexia yang disebarkan melalui halaman web palsu.

Penyerang memanfaatkan teknik rekayasa sosial ClickFix untuk membujuk korban menyalin dan menjalankan perintah tertentu melalui Terminal.

Setelah perintah dieksekusi, malware dapat menetap di perangkat, mencuri kata sandi login, serta mengumpulkan data browser dan informasi sensitif lainnya.

Berbeda dari serangan yang mengeksploitasi celah perangkat lunak, ClickFix mengandalkan tindakan pengguna sendiri.

Halaman web menampilkan instruksi yang seolah-olah diperlukan untuk:

Menyelesaikan verifikasi.
Memperbaiki masalah.
Atau mengaktifkan fitur tertentu.

Korban kemudian diminta menyalin perintah dan menempelkannya ke Terminal tanpa memahami dampaknya.

Menurut laporan peneliti yang diterbitkan pada 4 November 2026, Phexia merupakan malware modular yang menggabungkan kemampuan backdoor dan pencuri informasi (infostealer).

Malware ini diketahui telah digunakan setidaknya sejak akhir 2025, dengan jumlah infeksi yang meningkat sejak awal 2026. Peningkatan tersebut mengindikasikan bahwa Phexia kemungkinan telah dipasarkan kepada lebih banyak kelompok penjahat siber.

ClickFix Menjadi Pintu Masuk Phexia

Dalam hampir seluruh kasus yang dianalisis, infeksi Phexia bermula dari perintah yang dijalankan melalui Terminal. Perintah tersebut menggunakan utilitas curl untuk mengunduh skrip shell, kemudian langsung meneruskannya ke bash agar dieksekusi.

Skrip yang digunakan umumnya memiliki nama seperti update.sh, meskipun peneliti juga menemukan variasi nama script.sh, clear-cache.sh, dan Terminal.sh.

File tersebut ditempatkan pada subdomain yang berubah-ubah. Salah satu insiden pada 6 Juli bahkan dikaitkan dengan domain yang menyerupai alamat situs asli (typosquatting).

Setelah dijalankan, skrip akan memanggil dropper berbasis AppleScript. Komponen ini membuat LaunchAgent di dalam folder Library milik pengguna dan mengaturnya agar berjalan kembali ketika prosesnya berhenti.

Mekanisme tersebut memungkinkan malware mempertahankan keberadaannya setelah perangkat terinfeksi.

Kode pemuat malware disimpan dalam bentuk Base64 di dalam file LaunchAgent. Dengan cara ini, skrip tidak langsung terlihat dalam format teks yang mudah dibaca.

Peneliti juga menemukan perubahan pola penamaan LaunchAgent. Versi yang digunakan sejak Juni hingga pertengahan September memakai awalan com. diikuti 16 huruf kecil, sedangkan versi Oktober menggunakan awalan com.Apple..

Perubahan tersebut diduga dimaksudkan agar komponen berbahaya terlihat seperti bagian dari sistem Apple. Namun, penggunaan huruf kapital pada kata Apple menjadi petunjuk yang dapat diperiksa karena label resmi Apple menggunakan huruf kecil.

Mencuri Kata Sandi dan Data Browser

Salah satu kemampuan utama Phexia adalah mengambil kata sandi login macOS. Malware menggunakan utilitas bawaan dscl untuk memeriksa apakah kata sandi yang dimasukkan pengguna benar.

Dalam beberapa kasus, malware menampilkan jendela palsu yang menyerupai System Preferences dan terus meminta kata sandi sampai korban memasukkan informasi yang sesuai.

Kata sandi yang berhasil diperoleh disimpan dalam file tersembunyi bernama .passphrase. Peneliti menemukan bahwa proses pencurian ini dapat berlangsung kurang dari satu menit hingga sekitar delapan menit setelah infeksi.

Pada beberapa perangkat, pemeriksaan kata sandi baru dimulai sekitar 22 jam kemudian dan dapat berulang pada hari-hari berikutnya.

Setelah memperoleh kata sandi, Phexia mengumpulkan berbagai informasi dari perangkat korban, antara lain:

Data browser: cookie, riwayat penjelajahan, dan file login tersimpan dari Chrome, Edge, Brave, Opera, dan Vivaldi.
Kunci penyimpanan browser: data Safe Storage yang digunakan sejumlah browser untuk melindungi informasi sensitif.
Data pengelola kata sandi: penyimpanan ekstensi LastPass dan NordPass.
Informasi sistem: file login Keychain dan cookie Safari.

Data yang dikumpulkan dikompresi menjadi arsip ZIP, kemudian dikirim ke server kendali penyerang (command-and-control/C2).

Peneliti juga menemukan pengiriman data ke server lain melalui koneksi HTTP tanpa enkripsi. Kondisi ini berpotensi membuat informasi yang dikirim tidak terlindungi selama proses transmisi.

Selain mencuri informasi, operator Phexia memasang penambang Monero XMRig. Komponen tersebut berulang kali dipasang kembali, sementara alamat mining pool dan dompet yang digunakan turut diubah.

Dengan demikian, perangkat korban tidak hanya menjadi sumber pencurian data, tetapi juga dapat disalahgunakan untuk aktivitas penambangan kripto.

Blockchain Polygon Menyembunyikan Server Kendali

Perubahan penting pada Phexia terjadi pada Mei 2026 ketika malware mulai menggunakan teknik EtherHiding. Teknik ini memanfaatkan smart contract pada blockchain untuk menyimpan informasi alamat server kendali.

Alih-alih menyimpan alamat server secara permanen di dalam malware, pemuat Phexia meminta informasi tersebut melalui endpoint publik jaringan Polygon. Setelah memperoleh alamat terbaru, malware menghubungi server terkait untuk mengambil modul tambahan.

Pendekatan ini menyulitkan upaya pemblokiran karena operator dapat mengganti alamat server melalui transaksi blockchain. Jika satu domain diblokir, malware dapat mencari alamat baru dengan membaca kembali informasi dari smart contract.

Peneliti menemukan satu kontrak yang digunakan sejak 14 Juni hingga 22 Oktober. Kontrak berbeda muncul pada 27 Oktober dan mengarah ke domain baru.

Namun, perangkat yang telah terinfeksi tidak langsung beralih ke server terbaru. Sebagian masih menghubungi domain lama selama sekitar satu bulan setelah perubahan dilakukan.

Dalam kasus infeksi ulang, dua versi Phexia bahkan dapat berjalan bersamaan pada satu perangkat. Versi lama masih menerima perintah selama lebih dari 20 menit setelah versi baru aktif.

Temuan ini menunjukkan bahwa pemeriksaan keamanan tidak cukup hanya mencari satu indikator atau satu komponen malware.

Cara Mendeteksi dan Menangani Infeksi Phexia

Karena Phexia memanfaatkan utilitas bawaan macOS dan setiap versinya memiliki obfuscation berbeda, pencocokan hash file saja tidak cukup untuk mendeteksi seluruh varian. Peneliti menyarankan pemantauan berdasarkan perilaku yang mencurigakan, seperti:

Proses Terminal yang mengunduh skrip dan kemudian menjalankan osascript.
LaunchAgent yang mendekode data Base64 untuk menjalankan AppleScript.
Proses skrip yang melakukan permintaan ke endpoint blockchain Polygon.
Pemanggilan dscl yang tidak biasa untuk memeriksa kata sandi pengguna.
Munculnya beberapa LaunchAgent mencurigakan pada satu perangkat.

Jika perangkat diduga terinfeksi, pengguna atau tim keamanan perlu segera melakukan langkah berikut:

Putuskan koneksi Mac dari jaringan untuk membatasi komunikasi dengan server penyerang.
Identifikasi dan hapus seluruh LaunchAgent berbahaya, termasuk komponen dari infeksi sebelumnya.
Ganti kata sandi dari perangkat lain yang dipastikan bersih.
Cabut sesi login dan token aktif pada layanan yang berpotensi terdampak.
Periksa akun pengelola kata sandi, dompet kripto, serta layanan lain yang kredensialnya mungkin tersimpan di perangkat.
Lakukan pemeriksaan menyeluruh untuk memastikan tidak ada komponen malware yang masih berjalan.

Kasus Phexia memperlihatkan bahwa pengguna Mac dapat menjadi korban serangan tanpa harus menghadapi eksploitasi kerentanan sistem. Penyerang cukup memanfaatkan kepercayaan pengguna terhadap instruksi di halaman web untuk menjalankan perintah berbahaya secara sukarela.

Karena itu, jangan pernah menyalin dan menjalankan perintah Terminal dari situs web yang tidak dapat diverifikasi. Instruksi yang mengatasnamakan CAPTCHA, verifikasi keamanan, atau perbaikan sistem bukan alasan untuk menjalankan skrip yang tidak dipahami.

Dalam serangan berbasis ClickFix, satu tindakan pengguna dapat memberikan akses yang cukup bagi malware untuk mencuri informasi penting dari perangkat.

Baca artikel lainnya: