Tautan WhatsApp Sebar Trojan –

Tautan WhatsApp Sebar Trojan – Sebuah lampiran WhatsApp berbahaya saat ini tengah dieksploitasi untuk menyebarkan troya akses jarak jauh.

Yakni remote access trojan/RAT berbasis Windows yang mampu meraih hak akses tingkat SYSTEM, memberikan kendali penuh kepada para operatornya atas perangkat komputer yang terinfeksi.

Kampanye ini bermula dari sebuah file arsip berformat ZIP yang membawa umpan dokumen keuangan serta sebuah file eksekusi bernama Statement.exe.

Ketika penerima membuka file tersebut, malware ini langsung memicu rangkaian proses tersembunyi yang cukup panjang, berpindah dari proses tingkat pengguna biasa (user-level) menuju layanan Windows yang berjalan dengan hak istimewa LocalSystem.

Payload akhir dari serangan ini, yang diidentifikasi sebagai VulcanRAT207.A, memberikan kemampuan penuh kepada operator jarak jauh untuk:

Mengumpulkan data sistem.
Menjalankan perintah.
Mengelola file.
Menangkap layar (screen capture).
Merekam ketikan papan tik (keylogging).
Membuat atau mengubah akun lokal.
Hingga menyebarkan payload tambahan.

Kampanye ini juga memanfaatkan driver bertanda tangan resmi (signed driver) untuk mengakhiri paksa proses keamanan tertentu, serta membuat scheduled task yang dapat menghidupkan kembali RAT tersebut dengan hak istimewa SYSTEM setelah perangkat melakukan reboot.

Hal ini menjadikan file yang dikirimkan melalui WhatsApp sebagai ancaman serius bagi organisasi, terutama di mana staf kantor sering menerima faktur, laporan keuangan, dokumen pajak, atau file terkait pembayaran melalui aplikasi pesan instan.

Membedah Rantai Serangan

Para peneliti berhasil mengidentifikasi rantai malware ini dan mendeskripsikan bagaimana ancaman tersebut bergerak dari lampiran WhatsApp menuju koneksi RAT berbasis WebSocket secara penuh.

Riset mereka menunjukkan bahwa pelaku membagi aktivitas ini ke dalam tahap-tahap terpisah guna menghindari kecurigaan:

Pembongkaran arsip (unpacking).
Peningkatan hak istimewa (privilege elevation).
Injeksi kode.
Pengunduhan payload.
Pelumpuhan alat keamanan.
Pembuatan persistensi.
Hingga kendali jarak jauh.

Desain semacam ini berhasil mengurangi jejak perilaku mencurigakan yang terlihat dari satu file tunggal saja, sehingga mempersulit proses investigasi forensik.

File eksekusi pertama sangat padat dikompresi menggunakan metode NRV2E, yang menyembunyikan loader aslinya dari pemeriksaan statis dasar.

Sebelum beraksi, loader tersebut memeriksa apakah komputer korban benar-benar sistem pengguna asli atau sekadar lingkungan analisis otomatis (sandbox). Ia akan:

Memeriksa ruang kosong pada disk.
Detail layar.
Memori.
Sumber daya CPU.
Log kejadian.
Kunci Registry.
Penanda mesin virtual (virtual-machine markers).
Serta produk keamanan yang terpasang.

Juga menggunakan pemeriksaan pewaktuan (timing checks) untuk menghentikan eksekusi jika berjalan di dalam sandbox yang lambat atau sistem emulasi.

Teknik Injeksi Canggih dan Eksploitasi WTS

Jika malware belum memiliki izin administrator, ia akan mencoba meningkatkan hak akses melalui objek COM dan dapat beralih ke fungsi runas bawaan Windows. Selanjutnya, ia akan:

Mengaktifkan SeDebugPrivilege.
Memulihkan salinan bersih dari ntdll.dll untuk menghapus kait keamanan (security hooks) mode pengguna.
Lalu menginjeksikan shellcode pengunduh ke dalam proses yang menghosting layanan Windows Task Scheduler (WTS).

Alih-alih menggunakan metode umum seperti CreateRemoteThread, malware ini memanfaatkan metode PoolParty Variant 7 dan sistem penyelesaian I/O Windows untuk menjalankan kode di dalam proses layanan yang tepercaya.

Karena Task Scheduler berjalan sebagai LocalSystem, komponen berikutnya secara otomatis mewarisi akses SYSTEM tanpa perlu melakukan eskalasi lagi.

Shellcode yang diinjeksikan tersebut kemudian menghubungi alamat 61[.]18[.]208[.]27 melalui port 8888 untuk mengunduh bundel penerapan langsung ke dalam memori. Bundel ini mencakup:

Utilitas resmi Intel yang telah ditandatangani (VulkanInfo)
File berbahaya vulkan-1.dll
Wadah RAT vulkan-1.bin
Sebuah DLL penerapan (deployment DLL)

Teknik yang digunakan di sini dikenal sebagai DLL sideloading, di mana aplikasi resmi memuat DLL buatan penyerang yang ditempatkan tepat di sebelah file aplikasi tersebut.

Aksi di Tingkat Kernel dan Pembuatan Persistensi

Sebelum menyiapkan persistensi, DLL penerapan mencoba memasang GoFly64.sys, sebuah driver filter jaringan asal China yang memiliki tanda tangan resmi yang sah.

Program ini membuat file driver dan layanan sementara, lalu mengirimkan ID proses ke driver tersebut melalui kode kontrol 0x12227A.

Para peneliti menemukan bahwa jalur ini menargetkan proses bdservicehost.exe dan bduserhost.exe, yang terhubung dengan perangkat lunak keamanan Baidu.

Penggunaan driver bertanda tangan resmi ini sangat penting bagi penyerang karena memungkinkan malware untuk beroperasi di tingkat kernel dan mematikan proses perlindungan tertentu.

Tim keamanan harus memperlakukan pembuatan layanan driver yang tak terduga, terutama dari jalur direktori sementara di bawah direktori driver Windows sebagai peristiwa berisiko tinggi.

Untuk mempertahankan keberadaannya (persistence), malware menulis file:

vulkaninfo-64.exe.
vulkan-1.dll.
vulkan-1.bin ke dalam direktori C:\Program Files\Common Files\.

Ia kemudian membuat tugas terjadwal (scheduled task) SYSTEM bernama USOPrivate Kit atau USOPrivate, menggunakan nama yang tampak menyerupai aktivitas pembaruan normal dari Microsoft.

Ketika tugas tersebut dijalankan, utilitas resmi VulkanInfo akan mencari folder lokalnya, memuat vulkan-1.dll, yang kemudian membaca file .bin terdekat untuk membangun RAT akhir di dalam memori.

Kendali Penuh atas Perangkat Korban

Setelah aktif, VulcanRAT207.A berkomunikasi dengan server yang sama menggunakan protokol WebSocket versi 13 (setelah sebelumnya menggunakan HTTP untuk pengambilan tahap awal).

RAT ini mampu mengumpulkan detail host, akun pengguna, koneksi jaringan, aplikasi terinstal, proses berjalan, layanan, log kejadian, hingga file tertentu yang dipilih oleh operator.

Ia juga dapat membuka cangkang perintah jarak jauh (remote command shell), mengambil tangkapan layar desktop, merekam ketikan, mengontrol tetikus dan papan tik, mengubah data clipboard, memblokir lalu lintas jaringan melalui aturan Windows Filtering Platform, serta menginjeksikan payload ke proses lain.

Perangkat set perintahnya bahkan dapat membuat akun administrator lokal, mengubah kata sandi, mengunduh file, menjalankan program eksekusi, hingga mendaftarkan driver tambahan.

Langkah Mitigasi Rekomendasi

Untuk melindungi organisasi dari ancaman penyebaran RAT berbahaya melalui aplikasi perpesanan seperti WhatsApp, terapkan 8 langkah mitigasi keamanan berikut:

Terapkan kebijakan ketat untuk memblokir penerimaan file eksekusi atau arsip ZIP yang diklaim berisi dokumen keuangan, laporan laba rugi, atau file pajak melalui platform pesan instan.
Tim pemantau endpoint harus memburu proses Task Scheduler yang menunjukkan aktivitas memori tidak biasa serta kemunculan tugas terjadwal seperti USOPrivate Kit.
Periksa secara berkala keberadaan file mencurigakan di dalam direktori C:\Program Files\Common Files\ atau jalur direktori sistem bersama lainnya.
Awasi eksekusi file utilitas bawaan resmi yang dijalankan dari lokasi direktori yang tidak biasa (seperti vulkaninfo-64.exe di luar direktori aslinya).
Lakukan pemantauan ketat terhadap pemasangan driver kernel baru yang tidak dikenal atau pembuatan layanan driver dari jalur direktori sementara (temporary paths).
Berikan peringatan dini (alert) otomatis jika ada upaya mencurigakan untuk mematikan atau mengakhiri paksa proses dari perangkat lunak keamanan endpoint.
Batasi hak istimewa akun staf harian agar tidak memiliki akses administrator lokal penuh, sehingga memperkecil ruang gerak malware untuk melakukan eskalasi hak istimewa.
Berikan pelatihan kesadaran keamanan secara rutin agar staf tidak mudah percaya dan mengunduh file lampiran dari pengirim tidak dikenal di aplikasi perpesanan.

Baca artikel lainnya: