Pengguna Windows kembali perlu mewaspadai kampanye phishing yang memanfaatkan fitur bawaan komputer untuk menjalankan malware. Kampanye yang terdeteksi sejak Juni 2026 ini terutama menyasar pengguna dan organisasi berbahasa Spanyol melalui email yang menyamar sebagai dokumen resmi.

Pelaku menggunakan beberapa tahap serangan hingga malware dapat berjalan di perangkat korban. Salah satu komponen yang disalahgunakan adalah mshta.exe, utilitas resmi Windows yang sebenarnya berfungsi menjalankan HTML Application (HTA).

Email Palsu Jadi Pintu Masuk

Serangan dimulai dari email yang dibuat agar terlihat seperti komunikasi resmi. Pelaku menggunakan tema yang dapat memunculkan rasa khawatir dan urgensi, seperti tagihan atau pemberitahuan hukum.

Fortra’s Intelligence and Research Experts (FIRE) menemukan email dengan tema “Facturación” atau penagihan dan “Aviso Judicial” atau pemberitahuan hukum. Sebagian email juga dikirim melalui layanan email gratis dan menggunakan konfigurasi tertentu yang dapat membantu melewati penyaringan spam.

Ciri-ciri email dalam kampanye ini, antara lain:

• Menggunakan tema tagihan atau pemberitahuan hukum.
• Meminta penerima membuka tautan tertentu.
• Menggunakan bahasa yang disesuaikan dengan target.
• Mengarahkan korban ke beberapa halaman sebelum malware dijalankan.

Setelah tautan diklik, korban masuk ke tahap serangan berikutnya tanpa selalu menyadari bahwa perangkatnya sedang dipersiapkan untuk menjalankan file berbahaya.

Baca Juga: Phishing Passkey Jadi Modus Baru Bobol Akun Microsoft

File HTA Memanfaatkan Komponen Resmi Windows

Tautan phishing kemudian mengarahkan korban ke file HTA (HTML Application). File tersebut dibuka menggunakan mshta.exe, komponen Windows yang sah tetapi dapat disalahgunakan untuk menjalankan script berbahaya.

Pelaku juga berusaha menyembunyikan proses agar tidak mudah diketahui pengguna. Dalam salah satu sampel, jendela aplikasi dipindahkan ke luar area layar sehingga aktivitasnya tidak terlihat.

Teknik yang digunakan meliputi:

• Menjalankan file HTA melalui mshta.exe.
• Menyembunyikan jendela aplikasi dari layar pengguna.
• Membuat alamat server tujuan secara dinamis.
• Mengambil script dari sumber jarak jauh.

Pemanfaatan aplikasi resmi seperti ini membuat aktivitas berbahaya lebih sulit dikenali hanya dari nama file atau proses yang berjalan.

Malware Memeriksa Kondisi Perangkat

Setelah aktif, malware melakukan pemeriksaan terhadap komputer korban sebelum melanjutkan serangan. Tahap ini digunakan untuk mengumpulkan informasi dasar mengenai perangkat dan lingkungan sistem.

Fortra menemukan penggunaan WMI, PowerShell, dan environment variables untuk mengumpulkan berbagai informasi, seperti:

• Sistem operasi yang digunakan.
• Informasi BIOS.
• Nama pengguna.
• Konfigurasi lokal.
• Informasi lingkungan sistem.

Data tersebut dapat membantu pelaku menentukan apakah perangkat layak diserang lebih lanjut dan payload apa yang akan dikirimkan.

Baca Juga: Phishing Makin Canggih, Email Palsu Sulit Dideteksi

Malware Disamarkan sebagai Installer Firefox

Serangan kemudian menggunakan teknik HTML smuggling untuk membangun kembali arsip ZIP dari data yang telah dikodekan dalam halaman web. JavaScript mendekode data tersebut lalu memicu proses pengunduhan secara otomatis.

Halaman bahkan menampilkan pesan seperti “Descarga Iniciada” dan “Procesando descarga…” agar proses terlihat seperti unduhan biasa. Arsip yang dihasilkan berisi executable yang menyamar sebagai installer Firefox.

File tersebut kemudian mengekstrak payload ke folder sementara dan menjalankan proses berikutnya. Meski executable yang diamati terutama berfungsi sebagai dropper, struktur serangan ini dapat digunakan untuk mengirim malware lain.

Risiko yang mungkin muncul, antara lain:

• Pencurian kredensial dan informasi sensitif.
• Pengumpulan data dari perangkat.
• Penyebaran malware tambahan.
• Potensi serangan ransomware.

Cara Menghindari Modus Phishing Ini

Pengguna sebaiknya tidak langsung percaya pada email yang terlihat resmi, terutama ketika pesan meminta tindakan segera. File atau tautan yang mengarahkan ke aplikasi maupun installer juga perlu diperiksa dengan lebih hati-hati.

Beberapa langkah yang dapat dilakukan:

• Jangan membuka tautan atau lampiran dari pengirim yang tidak dikenal.
• Periksa alamat email dan domain tujuan sebelum mengeklik.
• Unduh aplikasi hanya dari sumber resmi.
• Hindari menjalankan file yang dikirim melalui email jika sumbernya tidak jelas.
• Perbarui sistem operasi dan perangkat lunak keamanan.
• Organisasi dapat memantau eksekusi mshta.exe dari folder seperti Downloads, Desktop, dan AppData.
• Penggunaan mshta.exe dapat dibatasi melalui AppLocker, Windows Defender Application Control, atau Attack Surface Reduction rules.

Kampanye ini menunjukkan bahwa phishing kini tidak hanya mengandalkan email palsu, tetapi juga dapat memanfaatkan fitur resmi Windows untuk menyamarkan aktivitas berbahaya. Karena itu, kewaspadaan pengguna tetap menjadi bagian penting dalam mencegah pencurian data dan kompromi perangkat.