Dalam dunia yang semakin bergantung pada teknologi dan perangkat lunak, ancaman malvertising (iklan berbahaya) telah menjadi salah satu metode paling efektif yang digunakan oleh penjahat dunia maya untuk menyebarkan malware. Baru-baru ini, tim Sophos Managed Detection and Response (MDR) mengidentifikasi sebuah kampanye malvertising yang mendistribusikan infostealer berbahaya yang dikenal dengan nama TamperedChef. Kampanye ini tampaknya merupakan bagian dari kampanye lebih besar yang dikenal sebagai EvilAI, yang menggunakan iklan Google untuk menyebarkan malware berbahaya kepada pengguna Windows di seluruh dunia.
Apa Itu TamperedChef?
TamperedChef adalah sebuah infostealer—malware yang dirancang khusus untuk mencuri informasi sensitif dari perangkat yang terinfeksi, seperti kredensial login, data browser, dan file penting lainnya. Apa yang membuat TamperedChef semakin berbahaya adalah teknik penyebarannya yang sangat canggih, menggunakan Google Ads untuk menarik korban menuju situs web palsu yang menawarkan aplikasi PDF Editor yang tampaknya sah namun ternyata sudah dipenuhi dengan malware.
Pada awalnya, aplikasi yang dipromosikan ini, bernama AppSuite PDF Editor, terlihat seperti sebuah alat edit PDF biasa. Namun, begitu diinstal di perangkat Windows, aplikasi ini secara diam-diam menginstal infostealer yang akan mencuri data penting pengguna.
Bagaimana TamperedChef Menyerang?
Proses serangan dimulai ketika korban mencari aplikasi untuk mengedit PDF atau manual produk secara online. Iklan yang berbayar, yang disebarkan melalui Google Ads, akan membawa pengguna ke situs-situs yang tampaknya sah namun pada kenyataannya, adalah situs berbahaya yang dikelola oleh penjahat siber. Melalui iklan ini, korban akan diarahkan untuk mengunduh AppSuite PDF Editor, yang pada kenyataannya adalah sebuah aplikasi trojan yang membawa malware berbahaya.
Setelah diinstal, malware akan tetap dorman (tidak aktif) selama sekitar 56 hari, yang merupakan strategi untuk memaksimalkan jumlah infeksi sebelum malware benar-benar diaktifkan. Begitu diaktifkan, infostealer ini mulai mencuri kredensial browser, cookies, serta data sensitif lainnya. Bahkan, malware ini berusaha untuk menyembunyikan jejaknya dengan memanfaatkan sertifikat tanda tangan kode yang telah disalahgunakan, untuk menghindari deteksi oleh perangkat lunak keamanan.
Jangkauan dan Dampak Kampanye
Menurut data yang dikumpulkan oleh tim Sophos, lebih dari 100 sistem yang terinfeksi terdeteksi sebelum langkah-langkah penanggulangan dilakukan. Kampanye ini memiliki dampak global, dengan korban utama di Jerman (~15%), Inggris (~14%), dan Prancis (~9%), meskipun pengaruh kampanye ini tampaknya menjangkau 19 negara lainnya.
Penting untuk dicatat bahwa industri yang sangat bergantung pada peralatan teknis khusus—seperti manual produk atau perangkat lunak teknis—mungkin menjadi target utama karena kebiasaan pengguna di industri ini yang sering mencari panduan online untuk peralatan mereka, sesuatu yang dimanfaatkan oleh kampanye TamperedChef untuk menyebarkan infostealer.
Taktik dan Teknik yang Digunakan oleh Pelaku
TamperedChef menggunakan serangkaian taktik yang sangat canggih untuk menghindari deteksi dan meningkatkan efektivitas infeksi. Beberapa langkah kunci yang digunakan dalam kampanye ini adalah:
-
Malvertising dan Redirects: Penjahat siber menggunakan teknik SEO dan iklan berbayar untuk memanipulasi hasil pencarian, menarik pengguna ke situs web berbahaya yang tampaknya sah.
-
Penundaan Aktivasi Malware: Setelah diinstal, malware ini tetap tidak aktif selama lebih dari 50 hari, yang sesuai dengan siklus iklan berbayar, sehingga memaksimalkan jumlah korban yang terinfeksi.
-
Penyalahgunaan Sertifikat Tanda Tangan Kode: Para pelaku mengakuisisi sertifikat dari pihak ketiga untuk menambah kepercayaan dan menghindari deteksi oleh alat pengamanan seperti Windows SmartScreen.
-
Exfiltrasi Data dan Persistence: Setelah malware diaktifkan, ia mulai mengumpulkan kredensial browser dan data sensitif lainnya, serta menghubungkan perangkat ke server kontrol dan perintah (C2) untuk mengirimkan data yang dicuri. Bahkan setelah reboot, malware berusaha untuk tetap aktif dengan mengubah registri dan membuat tugas terjadwal.
Strategi Perlindungan dan Tindakan yang Disarankan
Untuk mencegah serangan seperti TamperedChef, ada beberapa langkah yang dapat diambil:
-
Hindari Mengunduh Perangkat Lunak dari Iklan atau Pop-up: Selalu pastikan untuk mengunduh perangkat lunak hanya dari situs web resmi atau sumber yang dapat dipercaya. Hindari mengklik iklan yang muncul di hasil pencarian atau pop-up yang tidak dikenal.
-
Pengelolaan Aplikasi yang Ketat: Di lingkungan perusahaan, pastikan hanya perangkat lunak yang disetujui yang diizinkan untuk diinstal. Implementasi kebijakan kontrol aplikasi yang ketat dapat mencegah perangkat lunak berbahaya masuk.
-
Meningkatkan Pengelolaan Kredensial: Nonaktifkan penyimpanan kata sandi di browser jika memungkinkan dan gunakan pengelola kata sandi yang aman dan terverifikasi untuk semua akun. Selalu aktifkan Multi-Factor Authentication (MFA) untuk lapisan perlindungan tambahan.
-
Edukasi Pengguna: Melakukan pelatihan kepada pengguna mengenai bahaya malvertising dan cara mengidentifikasi iklan berbahaya serta situs web palsu. Pengguna harus selalu waspada terhadap iklan atau unduhan yang tidak terduga, bahkan jika mereka datang dari situs web yang tampaknya sah.
-
Langkah Tanggap Darurat: Setelah insiden, lakukan pemindaian endpoint secara menyeluruh dengan menggunakan informasi ancaman terbaru untuk mendeteksi tanda-tanda kompromi. Reimagine perangkat yang terinfeksi dan segera lakukan reset kredensial untuk mencegah akses yang tidak sah.
Kesimpulan
Kampanye TamperedChef adalah contoh jelas bagaimana malvertising dapat dimanfaatkan oleh penjahat siber untuk menyebarkan infostealer secara global, dengan tujuan mencuri data sensitif dan kredensial pengguna. Penyebaran yang cerdik melalui iklan berbayar dan teknik seperti penundaan aktivasi serta penyalahgunaan sertifikat tanda tangan kode semakin memperburuk ancaman ini. Oleh karena itu, penting bagi pengguna dan organisasi untuk waspada, memastikan hanya perangkat lunak yang sah yang diinstal, dan selalu menerapkan praktik keamanan terbaik untuk melindungi diri dari ancaman ini.
Jika Anda merasa sistem Anda mungkin terinfeksi oleh TamperedChef atau malware lainnya, segeralah melakukan pemindaian dan tindak lanjut dengan profesional keamanan siber untuk mengurangi potensi kerusakan lebih lanjut.
Perlindungan Siber yang Tangguh Bersama Sophos
Keamanan siber yang kuat bukan hanya soal teknologi—tetapi juga soal kepercayaan, kecepatan, dan kinerja terbukti. Sophos hadir untuk menghadirkan pertahanan digital yang dapat Anda andalkan.
Apakah Anda khawatir data dan sistem perusahaan rentan terhadap serangan siber? Dengan solusi Sophos, Anda dapat memperkuat sistem keamanan, meminimalkan risiko, dan menjaga kelangsungan bisnis tanpa hambatan.
- Hubungi Tim Sophos Indonesia sekarang, atau
- Diskusikan kebutuhan keamanan Anda dengan PT. iLogo Infralogy Indonesia, mitra resmi yang siap mendampingi Anda.
Kami akan membantu Anda merancang, mengimplementasikan, dan mengoptimalkan sistem keamanan yang cepat, tangguh, dan efektif—sehingga bisnis Anda terlindungi dari ancaman dunia maya yang terus berkembang.
Mulai sekarang, amankan bisnis Anda sebelum ancaman datang.
