Jurnal Indonesia — Pengembang alat optimasi Windows, Wintoys, baru-baru ini mengungkap sebuah operasi kejahatan siber yang sangat canggih. Operasi ini melibatkan peniruan puluhan aplikasi Windows populer melalui situs web duplikat yang dirancang agar terlihat sangat mirip dengan aslinya. Situs-situs palsu ini dilaporkan mendistribusikan malware yang mampu membahayakan privasi pengguna, membajak kredensial akun, hingga menguras aset kripto.

BogdanX, pengembang Wintoys, menemukan situs web palsu yang meniru halaman resmi Wintoys. Penelusuran lebih lanjut mengungkap adanya 72 situs web penipuan dengan skema serupa, beberapa di antaranya menggunakan URL yang nyaris identik dengan domain asli.

Modus manipulasi mesin pencari ini juga telah dipetakan oleh perusahaan keamanan siber Check Point Research. Situs-situs palsu ini berupaya keras untuk mendapatkan peringkat tinggi di mesin pencari seperti Google untuk kata kunci terkait perangkat lunak Windows populer. Setelah mendapatkan kepercayaan dan trafik pengunjung, mereka mulai menyebarkan malware.

Awalnya, situs-situs ini menautkan ke unduhan aplikasi yang sah. Namun, seiring popularitasnya meningkat, tautan asli diganti dengan tautan penipuan. Banyak domain ini terdaftar di bawah pemilik yang sama dan bahkan mencantumkan referensi repositori GitHub asli, sehingga sangat sulit dibedakan dari proyek sah.

Beberapa situs menggunakan lapisan staging JavaScript via Amazon CloudFront yang mencegat klik tombol unduh. Koneksi kemudian dialihkan melalui sistem distribusi lalu lintas (TDS) yang mengarahkan pengguna ke infrastruktur hosting malware atau sumber yang sah, berdasarkan lokasi, peramban, dan sinyal korban lainnya.

Selain Wintoys, aplikasi Windows populer lain yang ditiru termasuk PowerToys, CrystalDiskMark, EasyBCD, dan Lively Wallpaper. Halaman tiruan juga ditemukan untuk alat keamanan dan riset seperti Ghidra, dnSpy, dan SpiderFoot, menunjukkan bahwa pengguna tingkat lanjut pun tidak kebal terhadap ancaman ini.

Para peneliti mengaitkan infrastruktur operasi ini dengan beberapa keluarga malware berbahaya. Salah satunya adalah SessionGate, sebuah loader multi-tahap untuk menginstal perangkat lunak yang tidak diinginkan. Dua cabang lain dari jaringan TDS yang sama mengarah ke muatan yang lebih berbahaya:

  • RemusStealer: Malware pencuri informasi yang diduga varian dari keluarga Lumma Stealer.
  • AnimateClipper: Malware pencuri kripto yang membaca clipboard perangkat dan mengganti alamat dompet kripto pengguna dengan alamat milik penyerang.

Skala operasi ini terlihat dari data telemetri VirusTotal, dengan lebih dari 5.000 kiriman sampel terkait dari subset publik. Diperkirakan jumlah infeksi sebenarnya jauh lebih tinggi. Sampel paling awal berasal dari Agustus 2025, menandakan operasi ini telah berjalan hampir setahun sebelum terungkap.