Hacker menemukan cara baru untuk menyebarkan malware pencuri informasi dengan memanfaatkan tampilan Google CAPTCHA palsu. Kampanye ini menggabungkan situs web yang telah disusupi, WebDAV, Cloudflare Workers, serta smart contract BNB Smart Chain untuk mengarahkan korban hingga malware berhasil masuk ke perangkat.

Cisco Talos pertama kali mengidentifikasi aktivitas tersebut pada April 2026. Salah satu temuan awal berasal dari organisasi pemerintah Ukraina yang menjalankan DLL bernama “verification.google” dari jalur WebDAV menggunakan rundll32.exe.

CAPTCHA Palsu Menipu Pengguna

Serangan diawali ketika pengguna mengunjungi situs yang telah disusupi. Kode berbahaya yang disisipkan melalui Cloudflare Worker kemudian menampilkan halaman yang menyerupai Google CAPTCHA.

Alih-alih sekadar melakukan verifikasi, halaman tersebut mengarahkan pengguna untuk menjalankan perintah tertentu di Windows. Teknik rekayasa sosial ini dikenal sebagai ClickFix, karena korban tanpa sadar membantu menjalankan malware di perangkat mereka.

Modus yang digunakan, antara lain:

• Menampilkan CAPTCHA yang menyerupai layanan Google.
• Meminta korban menekan Windows + R.
• Mengarahkan korban menempelkan perintah dari clipboard.
• Menjalankan loader malware melalui rundll32.exe.
• Mengambil file melalui jalur WebDAV.

Cara tersebut membuat proses infeksi lebih sulit dikenali karena eksekusi dilakukan langsung oleh pengguna.

Baca Juga: Waspada BraZetsu, Malware yang Jual Akses Komputer

BNB Smart Chain Dipakai dalam Distribusi Malware

Penyerang juga memanfaatkan smart contract di BNB Smart Chain untuk menyimpan data JavaScript berbahaya. Teknik ini dikenal sebagai EtherHiding dan memungkinkan pelaku memperbarui konten berbahaya tanpa harus mengubah situs yang telah dikompromikan.

Dalam kampanye tersebut, skrip awal mengakses smart contract BNB Smart Chain testnet dan memilih kontrak berdasarkan sistem operasi pengunjung. Sementara itu, WebDAV digunakan untuk menyediakan jalur menuju loader.

Infrastruktur serangan melibatkan:

• Cloudflare Worker sebagai penyisip JavaScript.
• BNB Smart Chain untuk menyimpan data tertentu.
• WebDAV untuk distribusi loader.
• rundll32.exe untuk mengeksekusi DLL.
• Kontrak berbeda untuk menyesuaikan payload dengan perangkat korban.

Amatera Mencuri Kredensial dan Data Kripto

Rangkaian serangan tersebut pada akhirnya menyebarkan Amatera, yang juga dikenal sebagai ACR Stealer. Malware ini dirancang untuk mengumpulkan berbagai informasi sensitif dari perangkat korban.

Cisco Talos menemukan lebih dari 400 entri dalam salah satu konfigurasi malware yang menargetkan browser, ekstensi, aplikasi komunikasi, dompet cryptocurrency, password manager, hingga perangkat lunak VPN dan remote access.

Aplikasi yang menjadi sasaran mencakup:

• Telegram, Signal, dan WhatsApp.
• KeePass, Bitwarden, dan 1Password.
• FileZilla, NordVPN, dan AnyDesk.
• Browser dan berbagai ekstensi.
• Cryptocurrency wallet.

Amatera juga mencari private key, cadangan dompet, API token, OAuth material, password database, dan file sertifikat seperti .kdbx, .p12, .pfx, dan .pem di Desktop, Downloads, Documents, serta Recent Items.

Baca Juga: Google Chrome Rentan Diretas, Hindari Ancaman Keamanan Terbaru dengan Cara Ini

Malware Bisa Mengambil Alih Aktivitas Perangkat

Ancaman tidak berhenti pada pencurian data. Pada salah satu jalur serangan, loader “pf.ch” mengunduh komponen Google Chrome yang sah untuk menjalankan DLL berbahaya melalui teknik DLL sideloading.

Payload bernama ZigCryptoStealer kemudian dapat memantau clipboard dan mengganti alamat dompet cryptocurrency yang disalin pengguna dengan alamat milik penyerang. Serangan juga dapat memasang driver rentan untuk menghentikan sejumlah proses keamanan, termasuk EDR.

Jalur lainnya dapat memasang NetSupport Manager secara tidak sah untuk memberikan akses jarak jauh kepada penyerang. Aktivitas tersebut menunjukkan bahwa kampanye ini tidak hanya bertujuan mencuri kredensial, tetapi juga mempertahankan akses ke perangkat korban.

Cara Mencegah Serangan CAPTCHA Palsu

Pengguna perlu lebih waspada terhadap CAPTCHA atau halaman verifikasi yang meminta tindakan di luar proses verifikasi biasa. CAPTCHA yang meminta pengguna menjalankan perintah melalui Windows Run atau Terminal merupakan tanda bahaya.

Beberapa langkah yang dapat dilakukan, antara lain:

• Jangan menjalankan perintah yang diberikan melalui clipboard dari halaman CAPTCHA.
• Waspadai rundll32.exe yang mengakses WebDAV atau file dengan nama tidak lazim.
• Batasi penggunaan WebDAV dan WebClient yang tidak diperlukan.
• Periksa instalasi remote-access tool yang tidak dikenal.
• Pantau aktivitas PowerShell dan proses sistem yang mencurigakan.
• Edukasi pengguna agar tidak mengikuti instruksi keamanan yang tidak wajar.

Kampanye ini menunjukkan bagaimana rekayasa sosial, layanan cloud, blockchain, dan teknik eksekusi Windows dapat digabungkan untuk menciptakan serangan malware yang semakin sulit dikenali.