Duh, Situs Aplikasi Windows Dipalsukan untuk Sebar Malware

Jakarta -

Pengembang di balik alat optimasi Windows populer, Wintoys, baru saja membongkar sebuah operasi kejahatan siber canggih. Operasi ini meniru puluhan aplikasi Windows populer melalui situs web duplikat yang dibuat sangat mirip dengan aslinya.

Situs-situs palsu tersebut dilaporkan mendistribusikan malware yang mampu menjebol privasi pengguna, membajak kredensial akun, hingga menguras dompet kripto.

Pengembang dengan nama BogdanX tersebut mengatakan kepada Windows Latest bahwa risetnya bermula setelah ia menemukan situs web palsu yang meniru halaman resmi Wintoys.

SCROLL TO CONTINUE WITH CONTENT

Penelusuran terhadap pendaftaran situs tersebut akhirnya mengarah pada 72 situs web penipuan yang dibangun dengan skema serupa. Beberapa di antaranya bahkan secara sengaja menggunakan URL yang nyaris identik dengan domain asli yang mereka tiru.

Modus manipulasi mesin pencari

Skema penipuan yang lebih luas ini sebelumnya juga telah dipetakan secara rinci pada bulan lalu oleh perusahaan keamanan siber Check Point Research. Mereka menemukan bahwa situs-situs palsu ini bekerja keras untuk mendapatkan peringkat tinggi di mesin pencari seperti Google untuk kata kunci pencarian terkait perangkat lunak Windows yang populer.

Setelah mendapatkan kepercayaan dari mesin pencari dan mendatangkan trafik pengunjung, mereka akan mulai menyebarkan malware.

Pada tahap awal beroperasi, situs-situs ini menautkan pengunjung ke tautan unduhan aplikasi yang sah. Namun, begitu situs tersebut mulai populer dan mendapatkan banyak pengunjung, para pelaku diam-diam mengganti tautan asli tersebut dengan tautan penipuan.

Banyak dari domain ini terdaftar di bawah pemilik yang sama dan bahkan mencantumkan referensi sumber hulu asli, seperti repositori GitHub sungguhan, sehingga sangat sulit dibedakan dari proyek sah yang mereka tiru.

Beberapa situs memuat lapisan staging JavaScript via Amazon CloudFront yang mencegat klik pada tombol unduh dan mengalihkan koneksi melalui sistem distribusi lalu lintas atau Traffic Distribution System (TDS). Sistem ini kemudian mengarahkan pengguna ke infrastruktur hosting malware atau sumber yang sah, bergantung pada lokasi, jenis peramban, dan sinyal lainnya dari korban.

Menyamar jadi aplikasi populer

Selain Wintoys, program Windows populer lainnya yang turut dipalsukan dengan cara ini meliputi PowerToys, CrystalDiskMark, EasyBCD, Lively Wallpaper, dan banyak lagi. Temuan Check Point juga mengungkap keberadaan halaman tiruan untuk alat keamanan dan riset seperti Ghidra, dnSpy, dan SpiderFoot.

Hal ini menjadi peringatan keras bahwa power user sekalipun tidak kebal terhadap ancaman jebakan situs web palsu ini.

Para peneliti mengaitkan infrastruktur operasi ini dengan beberapa keluarga malware berbahaya. Salah satunya adalah SessionGate, sebuah loader multi-tahap yang digunakan untuk menginstal perangkat lunak yang tidak diinginkan secara diam-diam.

Dua cabang lain dari jaringan TDS yang sama mengarah ke muatan yang lebih merusak, yaitu:

RemusStealer: Sebuah malware pencuri informasi (infostealer) yang diyakini sebagai varian dari keluarga Lumma Stealer.
AnimateClipper: Malware pencuri kripto yang bersembunyi untuk membaca clipboard perangkat, lalu secara otomatis mengganti alamat dompet kripto yang disalin pengguna dengan alamat dompet milik penyerang.

Skala operasi ini terlihat jelas dari data telemetri VirusTotal. Para peneliti mencatat lebih dari 5.000 kiriman sampel terkait hanya dari subset yang dibagikan secara publik, dan memperkirakan jumlah infeksi sebenarnya di lapangan jauh lebih tinggi.

Sampel paling awal bahkan tercatat berasal dari Agustus 2025, yang berarti operasi ini telah berjalan tanpa terdeteksi selama hampir setahun penuh sebelum akhirnya terbongkar, demikian dikutip detikINET dari Techspot, Jumat (31/7/2026).

(asj/afr)