Situs unduhan palsu meniru merek tepercaya—nama file pun terus berubah

Analisis Microsoft pada 1 September 2026 mengungkap kampanye malware aktif yang meniru situs unduhan vendor tepercaya untuk menyebarkan installer berbahaya. Aktivitas yang terkonfirmasi terutama mengenai pengguna berbahasa Tionghoa dan operasi perusahaan multinasional di Tiongkok, dengan korban di sejumlah organisasi dan sektor.

Dalam kampanye aktif yang sama, nama arsip dapat dipertahankan sementara isinya berubah pada permintaan berikutnya; setelah diekstrak, nama executable dan jalur penyimpanannya juga diacak. Jika installer dijalankan, malware dapat membangun persistensi, melemahkan perlindungan Windows, menghubungi infrastruktur penyerang, dan pada sebagian lingkungan membuka akses bagi operator manusia.

Merek terkenal mengantar korban ke server lain

Halaman umpan menyalin tampilan vendor dan menempatkan tombol unduh yang meyakinkan, tetapi domainnya bukan alamat resmi. Domain tiruan memasukkan nama merek dan banyak menggunakan akhiran .com.cn atau .hl.cn; tombolnya kemudian mengarahkan pengguna ke infrastruktur pengiriman terpisah yang menyediakan arsip ZIP.

Liputan TechRadar pada 2 September mencatat peniruan Microsoft Edge, Razer, Kaspersky, NetEase, Baidu NetDisk, oCam Screen Recorder, SteelSeries, Calibre, dan MindMaster. Daftar itu menunjukkan bahwa penyerang tidak bergantung pada satu merek: halaman palsu disesuaikan dengan perangkat lunak yang sedang dicari korban, sedangkan jalur pengiriman malware dapat digunakan bersama.

Sebelum mengunduh, bukti terpenting adalah asal file, bukan kemiripan halaman. Pemeriksaan yang relevan meliputi:

• masuk melalui domain resmi vendor, dokumentasi produk, atau katalog perangkat lunak organisasi;
• memeriksa seluruh nama domain, termasuk salah eja, kata tambahan, dan akhiran yang tidak biasa;
• memastikan tombol unduh tidak berpindah ke host yang tidak terkait dengan vendor;
• memeriksa penerbit tanda tangan digital installer jika tersedia, karena nama file tidak membuktikan identitas penerbit.

Arsip tetap bernama sama, tetapi muatannya berganti

Dalam satu pengamatan, dua salinan app_setup.6653004.zip ditulis ke perangkat dengan jarak sekitar 69 detik. Nama arsipnya sama, tetapi kontennya berbeda—bukti langsung bahwa server dapat meregenerasi paket untuk setiap permintaan.

Uraian The Hacker News pada 2 September juga menjelaskan bahwa hash arsip berubah pada setiap unduhan walaupun nama file dipertahankan. Setelah arsip dibuka, pembungkus installer memakai nama seperti a_instapp83353001.exe atau ainst8663586104.exe, lalu menulis muatan tahap awal ke nama file dan direktori acak.

Temuan itu memberi batas yang jelas pada dua indikator statis. Hash masih berguna untuk mengenali salinan tertentu yang sudah dianalisis, dan nama file dapat membantu pencarian awal, tetapi keduanya tidak menjamin paket berikutnya akan terdeteksi ketika server mengubah isi atau penyerang mengacak nama executable. Sebaliknya, perubahan hash tidak berarti setiap file bernama sama pasti berbahaya; asal unduhan dan perilakunya tetap harus diperiksa.

Eksekusi diikuti persistensi dan pelemahan Windows

Rantai utama dimulai ketika pengguna mengekstrak ZIP dan menjalankan pembungkus installer. Jalur lain yang teramati menyalahgunakan layanan Windows Installer, msiexec.exe, untuk menulis dan meluncurkan executable bernama acak dari direktori yang dapat ditulisi pengguna. Penggunaan komponen Windows yang sah tidak menjadikan muatan turunannya aman.

Persistensi dibangun melalui scheduled task dengan nama yang menyerupai pekerjaan TI atau produktivitas. Untuk memperoleh hak SYSTEM, malware juga membuat task sementara, menjalankan perubahan berprivilege tinggi, lalu menghapus task tersebut. Pola buat-jalankan-hapus ini dapat meninggalkan jejak yang singkat meskipun dampaknya bertahan.

Muatan lanjutan mencoba menambahkan pengecualian luas pada Microsoft Defender, menghapus volume shadow copies, memperketat izin direktori malware, dan menghentikan atau menonaktifkan layanan Windows Update. Komponen jaringan kemudian mencoba menghubungi server command-and-control; telemetri juga memperlihatkan injeksi proses dan percobaan pergerakan lateral melalui SMB.

Indikator setelah eksekusi karena itu perlu dibaca sebagai rangkaian perubahan:

• scheduled task baru, terutama yang berjalan sebagai SYSTEM atau segera menghilang;
• pengecualian Microsoft Defender yang luas atau perubahan kebijakan antivirus;
• layanan Windows Update yang berhenti, dinonaktifkan, atau komponennya diganti nama;
• penghapusan shadow copies dan cache SoftwareDistribution;
• executable acak di Users\Public, ProgramData, atau Program Files (x86), diikuti koneksi keluar yang tidak lazim;
• alert injeksi proses, komunikasi C2, akses SMB ke host lain, atau aktivitas hands-on-keyboard.

Pemeriksaan sebelum unduh berbeda dari respons insiden

Sebelum file dijalankan, tujuannya adalah memutus rantai pengiriman. Organisasi dapat membatasi instalasi ke repositori yang disetujui serta mengaktifkan SmartScreen, perlindungan jaringan, Tamper Protection, dan aturan pengurangan permukaan serangan. Bagi pengguna, domain resmi dan penerbit bertanda tangan lebih bermakna daripada desain halaman atau nama ZIP.

Setelah installer telanjur dijalankan, menghapus arsip atau memindainya kembali berdasarkan nama tidak cukup. Perangkat perlu diisolasi, riwayat proses dan alert endpoint ditinjau, scheduled task serta perubahan layanan diperiksa, dan koneksi C2 maupun percobaan akses ke perangkat lain dicari dalam telemetri. Persistensi masih harus diberantas secara manual meskipun perlindungan otomatis telah mengarantina perangkat atau akun.

Microsoft menilai dengan keyakinan sedang bahwa aktivitas tersebut konsisten dengan kampanye perangkat lunak palsu Silver Fox, yang juga dikenal sebagai Yinhu, tetapi tidak mengatribusikannya kepada aktor negara. Laporan 1 September menyebut kampanye masih aktif dan tidak memublikasikan jumlah lengkap organisasi terdampak maupun tujuan akhir seluruh operasi; kepastian atribusi dan skala korban karena itu tetap terbatas.

Baca juga:

• RAG atau fine-tuning? Data yang berubah membuat pilihannya tidak seimbang
• Satu memori palsu bisa menyesatkan agen AI lama setelah sesi berakhir
• llms.txt berubah menjadi pintu instalasi paket yang tak bertuan