Situs unduhan palsu mengganti hash tiap klik—nama berkas bukan lagi pegangan

Pada 1 September 2026, Microsoft Security Research menerbitkan analisis kampanye aktif yang memakai situs unduhan tiruan untuk menyebarkan installer berbahaya. Dalam satu pengamatan, perangkat yang sama menerima dua arsip bernama app_setup.6653004.zip dengan isi berbeda dalam selang sekitar 69 detik—bukti bahwa muatan dapat dibuat ulang di server untuk setiap permintaan.

Temuan itu berarti nama berkas dan satu daftar hash tidak lagi cukup untuk mengenali seluruh kampanye. Pada 2 September 2026, liputan The Hacker News tentang kampanye yang sama menguatkan bahwa arsip mempertahankan nama ketika hash berubah pada setiap unduhan, lalu dapat membangun persistensi, mengubah pengecualian Microsoft Defender, merusak Windows Update, dan menghapus volume shadow copy setelah dijalankan.

Mengapa hash tetap berguna, tetapi tidak boleh berdiri sendiri

Hash masih dapat memastikan apakah berkas lokal identik dengan rilis resmi atau sampel malware yang sudah diketahui. Masalahnya muncul ketika setiap permintaan menghasilkan arsip baru: hash unduhan berikutnya dapat berbeda meskipun halaman umpan, jalur pengiriman, dan perilaku setelah eksekusi tetap berkaitan.

Nama berkas juga merupakan atribut yang mudah dipilih penyerang. Dalam kampanye ini, halaman tiruan memakai nama dan tampilan vendor yang dikenal, sedangkan tombol unduh mengarah ke infrastruktur pengiriman lain. Karena itu, penilaian perlu menggabungkan URL halaman asal, host yang mengirim berkas, metadata penerbit, lokasi berkas yang dibuat, hubungan proses, dan perubahan sistem.

Cakupan yang terlihat terutama berkaitan dengan operasi perusahaan multinasional di China dan pengguna berbahasa Mandarin. Tidak ada bukti terbuka dalam laporan yang diperiksa bahwa Indonesia menjadi sasaran utama, tetapi tekniknya tetap relevan bagi siapa pun yang mencari perangkat lunak melalui mesin pencari atau tautan pihak ketiga.

Sebelum mengunduh, periksa jalur distribusinya

Halaman yang rapi dan logo yang tepat bukan bukti kepemilikan. Jalur paling aman adalah membuka halaman unduhan dari domain vendor yang telah diverifikasi, dokumentasi resmi, toko aplikasi tepercaya, atau pengelola paket yang direkomendasikan pengembang.

1. Periksa ejaan dan struktur domain, bukan hanya nama merek yang muncul di dalam alamat. Hentikan proses jika domain terlihat menyerupai vendor tetapi tidak tercantum pada kanal resminya.
2. Perhatikan host yang benar-benar mengirim berkas. Pengalihan ke domain lain tidak selalu berbahaya, tetapi harus dapat dijelaskan oleh vendor atau penyedia distribusi resminya.
3. Sebelum menjalankan installer, buka informasi tanda tangan digital. Tanda tangan yang hilang, tidak valid, atau menampilkan penerbit yang tidak sesuai merupakan alasan untuk tidak melanjutkan; tanda tangan yang valid pun tidak menggantikan pemeriksaan sumber URL.
4. Jika vendor menerbitkan checksum untuk versi yang sama, cocokkan dengan berkas lokal. Nilai pembanding harus berasal dari kanal resmi, bukan halaman yang juga menawarkan unduhan mencurigakan.
5. Untuk pelaporan, simpan URL rujukan, URL pengiriman, waktu unduh, nama dan hash berkas, serta metadata tanda tangan. Jangan mengunduh ulang berkali-kali dari perangkat produksi karena setiap permintaan dapat mengambil varian lain.

Jika arsip sudah diterima tetapi belum dibuka, jangan menjalankannya sekadar untuk menguji kecurigaan. Karantina sesuai prosedur organisasi dan serahkan artefaknya kepada tim keamanan.

Setelah installer dijalankan, isolasi perangkat lebih dulu

Mencopot program yang tampak di layar tidak cukup untuk membalikkan perubahan sistem. Ringkasan teknis TechRadar mencatat peniruan merek seperti Microsoft Edge, Razer, Kaspersky, Baidu Netdisk, SteelSeries, dan Calibre, serta dampak berupa tugas terjadwal, injeksi ke proses sah, pelemahan Defender dan Windows Update, penghapusan cadangan, dan pengiriman muatan lanjutan.

Putuskan endpoint dari jaringan kantor, Wi-Fi, VPN, dan penyimpanan bersama tanpa mematikan atau membersihkan perangkat secara sembarangan. Hubungi tim keamanan melalui perangkat lain yang dipercaya. Penghapusan riwayat, pemindaian dengan alat acak, atau percobaan pemulihan dapat mengubah bukti yang diperlukan untuk menentukan cakupan insiden.

Jika akun kerja atau kredensial administratif digunakan setelah eksekusi, perlakukan akun tersebut sebagai berpotensi terpapar. Pencabutan sesi dan penggantian kata sandi dilakukan dari perangkat bersih, lalu diperiksa bersama log autentikasi untuk mencari akses yang tidak semestinya.

Admin perlu memburu rangkaian perilaku

Respons organisasi sebaiknya dimulai dari artefak endpoint pertama, kemudian diperluas ke perangkat lain berdasarkan urutan kejadian. Hash tetap dicatat untuk korelasi, tetapi perburuan tidak berhenti ketika hash itu tidak ditemukan di host lain.

• Sumber unduhan: korelasikan URL rujukan, host pengiriman, waktu unduh, dan browser atau proses yang menulis arsip.
• Eksekusi: cari executable bernama acak di lokasi yang dapat ditulis pengguna atau direktori sistem umum, terutama jika muncul setelah arsip dibuka atau melalui msiexec.exe.
• Tugas terjadwal: periksa tugas baru yang berjalan sebagai SYSTEM, nama yang menyamar sebagai pekerjaan rutin, eksekusi berulang, serta urutan tugas dibuat, dijalankan, lalu segera dihapus.
• Pengecualian antivirus: audit perubahan Microsoft Defender yang mengecualikan direktori luas. Hubungkan waktu perubahan dengan PowerShell, Command Prompt, dan Task Scheduler.
• Layanan pembaruan: periksa layanan Windows Update yang dihentikan atau dinonaktifkan, perubahan DLL terkait, penghapusan cache pembaruan, dan kebijakan yang mematikan pembaruan otomatis.
• Pemulihan: cari jejak penghapusan volume shadow copy dan uji cadangan yang terpisah. Catatan bahwa pencadangan pernah berjalan tidak membuktikan salinannya masih tersedia atau bersih.
• Jaringan dan identitas: korelasikan koneksi keluar setelah instalasi dengan sesi akun, autentikasi tidak biasa, dan upaya menjangkau endpoint lain.

Satu hasil pemindaian bersih belum cukup untuk menghubungkan perangkat kembali ke jaringan. Persistensi harus dihapus, konfigurasi perlindungan dan pembaruan dipulihkan, kredensial terkait ditangani, serta integritas cadangan diverifikasi. Bila perubahan sistem tidak dapat dipetakan dengan yakin, pembangunan ulang dari media tepercaya memberi dasar pemulihan yang lebih jelas.

Atribusi terbatas, pola pertahanannya sudah terlihat

Aktivitas tersebut dinilai konsisten dengan kampanye perangkat lunak palsu Silver Fox, juga dikenal sebagai Yinhu, dengan tingkat keyakinan sedang. Penilaian itu bukan atribusi kepada aktor negara, dan tujuan akhir seluruh intrusi belum dipastikan secara terbuka.

Pada saat publikasi, domain, arsip, dan muatan dapat terus berganti. Jejak yang lebih tahan lama adalah rangkaiannya: halaman vendor tiruan mengirim arsip, executable muncul di lokasi tidak lazim, tugas terjadwal membangun persistensi, perlindungan serta pembaruan dilemahkan, mekanisme pemulihan dirusak, lalu perangkat mencoba berkomunikasi keluar. Sampai ada data lanjutan tentang cakupan dan tujuan akhir kampanye, kombinasi sumber unduhan dan perilaku endpoint menjadi dasar pemeriksaan yang lebih kuat daripada nama atau satu hash saja.

Baca juga:

• Hugging Face bukan sekadar gudang model: tiga bagiannya sering tertukar
• Valuasi startup bukan tebakan: pilih metode sesuai data yang tersedia
• CAPTCHA palsu membuka jalan ke jaringan kantor lewat PowerShell