Ancaman siber kembali berkembang dengan ditemukannya toolkit akses jarak jauh bernama CTRL. Malware ini dilaporkan mampu membajak sesi Remote Desktop Protocol (RDP) secara diam-diam tanpa terdeteksi, sekaligus mencuri kredensial dari sistem Windows.

Temuan ini menunjukkan bahwa metode serangan kini semakin canggih, tidak hanya mengeksploitasi celah teknis, tetapi juga menyamarkan aktivitasnya agar terlihat seperti proses normal di dalam sistem.

Modus Awal Serangan: Menyamar sebagai File Biasa

Serangan CTRL dimulai dari metode yang terlihat sederhana, yaitu file shortcut (LNK) yang disamarkan sebagai folder atau dokumen penting.

Dalam praktiknya, serangan ini biasanya melibatkan:

• File LNK berbahaya yang tampak seperti folder biasa
  File ini sering diberi nama yang meyakinkan, seperti arsip private key atau dokumen penting, sehingga korban tidak curiga saat membukanya.
• Eksekusi PowerShell tersembunyi
  Saat file dibuka, sistem akan menjalankan skrip tersembunyi yang memuat malware langsung ke memori tanpa meninggalkan jejak file yang jelas.
• Loader bertahap (multi-stage)
  Malware tidak langsung aktif sepenuhnya, melainkan diunduh dan dijalankan secara bertahap untuk menghindari deteksi.

Pendekatan ini membuat serangan sulit dikenali sejak awal, terutama jika tidak ada sistem validasi file yang memadai.

Baca Juga: Library Populer Disusupi Malware, Jutaan Developer Terancam!

Cara Malware Bertahan dan Menyatu dalam Sistem

Setelah berhasil masuk, CTRL dirancang untuk tetap berada di dalam sistem dalam jangka panjang tanpa menimbulkan kecurigaan.

Beberapa teknik yang digunakan antara lain:

• Menyimpan payload di registry Windows
  Malware disimpan di lokasi yang terlihat seperti bagian dari sistem, sehingga sulit dibedakan dari data normal.
• Membuat scheduled task otomatis
  Hal ini memungkinkan malware tetap aktif meskipun perangkat direstart.
• Menambahkan aturan firewall dan komponen tambahan
  Sistem diatur agar aktivitas malware tidak terblokir dan tetap berjalan lancar.

Dengan cara ini, malware tidak hanya masuk, tetapi juga “bersembunyi” dan beroperasi sebagai bagian dari sistem.

Bypass Keamanan: Mengambil Alih Hak Akses

CTRL juga memiliki kemampuan untuk melewati sistem keamanan Windows, termasuk User Account Control (UAC).

Teknik yang digunakan meliputi:

• Manipulasi registry untuk eskalasi akses
  Malware memanfaatkan celah konfigurasi untuk mendapatkan hak administrator.
• Pemanfaatan binary resmi Microsoft
  Digunakan untuk menghindari kecurigaan karena terlihat sebagai proses yang sah.
• Persistensi setelah reboot
  Akses tetap terjaga meskipun sistem dimatikan dan dinyalakan kembali.

Hal ini membuat kontrol terhadap sistem menjadi lebih sulit untuk dipulihkan tanpa penanganan khusus.

Pembajakan RDP yang Tidak Disadari

Salah satu kemampuan paling berbahaya dari CTRL adalah membajak sesi RDP tanpa mengganggu aktivitas pengguna.

Modus yang digunakan mencakup:

• Modifikasi file sistem seperti termsrv.dll
  Untuk membuka celah akses tambahan pada layanan remote desktop.
• Instalasi RDP Wrapper
  Memungkinkan beberapa sesi remote berjalan bersamaan tanpa diketahui pengguna.
• Phishing melalui tampilan Windows Hello palsu
  Antarmuka dibuat sangat mirip dengan tampilan asli untuk mencuri PIN atau kredensial pengguna.

Dengan pendekatan ini, pelaku dapat mengakses sistem secara paralel tanpa menimbulkan kecurigaan.

Baca Juga: Alat Peretasan iPhone Bocor, Lindungi Data Anda dengan Cara Ini

Kontrol Sistem Tanpa Jejak Mencolok

CTRL dirancang untuk menghindari deteksi jaringan dengan tidak menggunakan pola komunikasi yang umum.

Beberapa teknik yang digunakan antara lain:

• Reverse tunneling dengan Fast Reverse Proxy (FRP)
  Membuat jalur komunikasi tersembunyi antara korban dan pelaku.
• Keylogger untuk merekam aktivitas pengguna
  Semua input keyboard dapat disimpan tanpa diketahui.
• Komunikasi lokal melalui named pipe (ctrlPipe)
  Menghindari penggunaan server eksternal yang mudah terdeteksi.

Pendekatan ini membuat aktivitas malware sulit dikenali oleh sistem keamanan konvensional.

Indikator yang Perlu Diwaspadai

Meskipun sulit terdeteksi, ada beberapa tanda yang bisa menjadi indikasi bahwa sistem telah terkompromi:

• Perubahan tidak wajar pada registry Windows
• Munculnya file seperti C:\Temp\keylog.txt
• File konfigurasi mencurigakan di C:\ProgramData\frp\
• Scheduled task yang tidak dikenali
• Koneksi ke IP atau domain asing yang tidak biasa
• Akun administrator baru tanpa sepengetahuan pengguna

Pemantauan terhadap indikator ini penting untuk deteksi dini.

Pentingnya Validasi dan Kontrol Akses Digital

Serangan seperti CTRL menunjukkan bahwa keamanan tidak cukup hanya mengandalkan sistem proteksi teknis.

Diperlukan pendekatan yang lebih menyeluruh, seperti:

• Validasi keaslian dokumen dan file sebelum diakses
• Proses due diligence digital untuk memastikan keamanan data
• Penggunaan tanda tangan elektronik yang terverifikasi

Langkah-langkah ini membantu memastikan bahwa setiap akses dan aktivitas digital benar-benar sah dan dapat dipertanggungjawabkan.