Microsoft Intelligence Ancaman: Penyerang ClickFix Memanfaatkan Smart Contract Blockchain untuk Menghindari Tindakan Penurunan

Intelijen ancaman Microsoft telah merilis temuan penyelidikan terkait aktivitas serangan ClickFix yang terus berkembang, yang kini memanfaatkan infrastruktur blockchain dan teknologi fingerprinting browser canggih untuk menyusup secara massal ke sistem Windows dan macOS.

Serangan yang menargetkan sistem Windows ini menggunakan teknik EtherHiding, yaitu menyimpan perintah berbahaya secara langsung di smart contract pada BNB Smart Chain. Penyerang menyuntikkan kode JavaScript yang telah dienkode Base64 ke situs web yang telah disusupi, yang kemudian menggunakan gateway RPC untuk meminta instruksi tahap selanjutnya dari smart contract tersebut. 

Karena payload berada di on-chain, payload tersebut tidak dapat dihapus melalui metode tradisional seperti penurunan konten atau blackhole—hanya pemilik wallet kripto yang melakukan deploy payload inilah yang dapat mengubah isinya. 

Korban akan melihat kode verifikasi palsu yang memancing mereka untuk membuka dialog Run di Windows dan menempelkan perintah yang diberikan oleh penyerang. Rantai eksekusi ini akan menyalahgunakan berbagai alat bawaan seperti PowerShell, mshta, rundll32, msiexec, dan curl, biasanya menggunakan teknik pemecahan berdasarkan caret dan obfuscation dengan variabel lingkungan untuk menghindari deteksi. Microsoft melaporkan bahwa serangan ini menargetkan ribuan perangkat enterprise dan konsumen di seluruh dunia setiap harinya, serta menyebarkan malware seperti Lumma Stealer, Xworm, AsyncRAT, dan MintsLoader. 

Satu infeksi yang berhasil dapat mengekspos kredensial, membangun persistensi, memungkinkan pergerakan lateral, dan menciptakan jalur bagi ransomware yang dijalankan secara manual.

Deploy Operasional macOS dan Pintu Fingerprinting Anti-Analisis

Sementara itu, Microsoft menemukan sebuah klaster macOS ClickFix yang telah bertransformasi dari menyediakan perintah terminal berbahaya secara terbuka menjadi menyembunyikannya di balik mekanisme fingerprinting browser sisi server. Aktivitas serangan klaster ini melibatkan lebih dari 250 domain, banyak di antaranya menggunakan pola penamaan algoritmik seperti "filewordword". Ketika pengunjung mengakses domain ini, program analisis JavaScript ringan akan mengumpulkan atribut browser, sinyal GPU WebGL, offset zona waktu, serta konteks iframe, lalu mengirimkan fingerprint tersebut ke server untuk evaluasi. 

Permintaan yang gagal dalam pemeriksaan ini (misalnya dari sandbox, mesin virtual, atau browser non-macOS) akan menerima halaman umpan yang tidak berbahaya atau konten kosong, sedangkan pengguna macOS asli akan melihat halaman unduhan “Publisher Terverifikasi” palsu yang memuat perintah terminal berbahaya. Sistem distribusi trafik ini menyebarkan infostealer seperti MacSync dan Atomic Stealer, yang menargetkan pencurian data Keychain, kredensial browser, wallet kripto, dan SSH key. 

Teknologi fingerprinting itu sendiri sebenarnya bukan hal baru, namun integrasi ke dalam infrastruktur ClickFix membuat deteksi dan analisis otomatis menjadi lebih kompleks karena konten berbahaya hanya diberikan kepada korban yang telah disaring dan memenuhi syarat.