Telset.id – Peneliti keamanan dari Check Point Research (CPR) menemukan kampanye siber yang memanfaatkan halaman GitHub dan klien AI palsu untuk menjebak korban mengunduh malware. Kampanye yang dipantau selama dua bulan terakhir ini menyasar pengguna yang mencari aplikasi populer seperti GPT-5.6 Sol, GPT-6 Astra, dan Claude Opus, lalu menanamkan malware bernama Yoba yang berujung pada penambangan kripto XMRig.
Serangan ini tidak sekadar memalsukan aplikasi. Pelaku membuat klien unduhan palsu untuk sejumlah produk AI dan mengunggahnya ke GitHub. Yang membedakan kampanye ini dari serangan serupa, pelaku tidak berupaya membangun kesan legitimasi di halaman GitHub. Mereka tidak menggelembungkan jumlah unduhan, tidak mengerahkan bot untuk menaikkan jumlah bintang atau fork, dan tidak memposting komentar palsu. Meski begitu, halaman-halaman tersebut tetap muncul di posisi teratas hasil pencarian Google untuk kata kunci tertentu.
SEO Poisoning Jadi Kunci Penyebaran
Kemunculan di peringkat atas Google itu, menurut CPR, menunjukkan pelaku berinvestasi besar pada praktik SEO poisoning. Praktik ini bekerja dengan cara membeli ratusan bahkan ribuan artikel, blog, dan unggahan media sosial di dark web, lalu menyuruh pihak lain mengunggah dan menerbitkannya di seluruh internet. Setiap unggahan membawa tautan ke halaman GitHub yang dituju, sehingga Google menerima sinyal bahwa halaman tersebut populer dan relevan untuk istilah tertentu. Alhasil, Google mendorongnya ke atas hasil pencarian tanpa sadar membantu pelaku menjangkau target lebih cepat.
Pelaku juga membuat situs GitHub terpisah yang berfungsi sebagai deskripsi aplikasi dan menautkannya langsung ke file instalasi yang bisa diunduh. SEO poisoning sebenarnya sudah populer jauh sebelum kehadiran AI, tetapi kini prosesnya jauh lebih mudah karena alat AI dapat menghasilkan artikel sebanyak yang dibutuhkan dengan biaya jauh lebih murah. Teks-teks yang dihasilkan pun berkualitas sangat rendah, dan Google tengah berupaya menandainya sebagai spam, meski prosesnya masih berlangsung. Persoalan kode dan keamanan software berbasis AI sendiri juga menjadi sorotan, seperti terungkap dalam laporan AI Bikin 44% Kode Rentan.
Ketika korban mendarat di halaman GitHub tersebut dan mengunduh file eksekusi, mereka mengira sedang mendapatkan klien mandiri untuk sebuah alat AI. Yang sebenarnya mereka dapatkan adalah malware bernama Yoba. Setelah korban mengunduh dan menjalankannya, Yoba membangun persistensi dengan membuat mekanisme yang otomatis meluncurkannya setiap kali sistem dinyalakan ulang. Pengguna komputer awam akan sulit menyadarinya karena malware ini menyamar sebagai software Windows yang sah.
Baca Juga:
Yoba Hindari Analisis dan Filter Korban
Yoba kemudian memeriksa perangkat yang dijalankannya untuk memastikan tidak berada di dalam sandbox atau menginfeksi pengguna di negara yang dianggap “friendly”. Malware ini dapat sengaja menunda eksekusi hingga dua minggu untuk mempersulit analisis, dan memeriksa keyboard komputer untuk menghindari menginfeksi sistem dari Rusia, Belarus, Kazakhstan, dan Uzbekistan. CPR tidak menyebutkan dari mana asal pelaku, tetapi filter tersebut bisa menjadi indikasi kuat.
Langkah terakhir malware adalah menghubungi server C2 dan menarik payload final. Payload ini sebenarnya bisa berupa apa saja, mulai dari infostealer hingga ransomware, namun menurut CPR saat ini digunakan untuk menanamkan XMRig. XMRig adalah program open-source yang sepenuhnya legal dan dipakai untuk menambang cryptocurrency Monero. Sayangnya, program ini sangat populer di kalangan pelaku kejahatan siber karena Monero dirancang sebagai koin yang mengutamakan privasi dan, tidak seperti Bitcoin atau Ethereum, tidak mudah dilacak di blockchain.
Penambangan membutuhkan sumber daya komputasi dan listrik yang besar, serta perangkat yang terus terhubung ke internet. Dengan menanamkan XMRig ke banyak perangkat, pelaku dapat menghasilkan token dalam jumlah besar, sementara korban yang menanggung tagihan listrik dan komputasi yang membengkak. Pola monetisasi dari sumber daya korban ini menambah panjang daftar kerugian akibat kejahatan siber, sejalan dengan temuan bahwa kerugian korban cybercrime mencapai USD 9.468 per insiden.
Kampanye ini juga menunjukkan bagaimana kepercayaan pada platform besar seperti GitHub dan mesin pencari Google bisa dimanfaatkan untuk menyebarkan malware. Pengguna yang mencari alat AI terbaru perlu berhati-hati terhadap halaman unduhan yang muncul di peringkat atas pencarian, terutama jika halaman tersebut tidak memiliki jejak komunitas yang wajar seperti jumlah unduhan, bintang, atau komentar. Serangan yang menyasar kredensial dan kode akses juga terus berkembang, seiring dengan kebutuhan akan sistem identitas yang lebih kuat seperti dibahas dalam artikel IAM Tradisional Tak Cukup.
Komentar
Belum ada komentar.